Microsoft セキュリティ情報 MS14-025 - 重要

[アーティクル]
03/15/2024

グループポリシーの基本設定の脆弱性により、特権が昇格される (2962486)

公開日: 2014 年 5 月 13 日

バージョン: 1.0

一般情報

概要

このセキュリティ更新プログラムは、Microsoft Windows で公開されている脆弱性を解決します。この脆弱性により、Active Directory グループポリシーの基本設定を使用して do 全体にパスワードを配布する場合に特権が昇格する可能性がありますメイン- 攻撃者がグループポリシーの基本設定で保存されているパスワードを取得および復号化できるようにする手法です。

このセキュリティ更新プログラムは、影響を受けるエディションの Windows Vista、Windows 7、Windows 8、および Windows 8.1 にインストールされている場合、リモートサーバーの管理一覧ツールで重要と評価されます。この更新プログラムは、影響を受けるすべてのエディションの Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、および Windows Server 2012 R2 でも重要と評価されます。詳細については、「影響を 受けるソフトウェア 」および「影響を受けるソフトウェア」セクションを参照してください。

このセキュリティ更新プログラムは、特定のグループポリシー基本設定拡張機能を使用するパスワードを構成および配布する機能を削除することで、この脆弱性を解決します。この脆弱性の詳細については、このセキュリティ情報の後半にある特定の脆弱性に関するよく寄せられる質問 (FAQ) サブセクションを参照してください。

追加のアクションが必要です。 このセキュリティ情報で対処されている脆弱性から完全に保護するために、グループポリシーの基本設定を使用する既存のグループポリシーをお持ちのお客様は、これらのポリシーを削除するための追加のアクションを実行する必要があります。詳細については、 このセキュリティ情報の脆弱性に関する FAQ を参照してください。

推奨。 Microsoft では、お客様ができるだけ早い機会に更新プログラムを適用し、上記および関連 FAQ で詳しく説明されている追加のアクションを実行することをお勧めします。

この更新プログラムは、Microsoft ダウンロードセンターと Microsoft Update カタログからのみ入手できます。

このセキュリティ情報の後半の「検出と展開のツールとガイダンス」セクションも参照してください。

サポート技術情報の記事

サポート技術情報の記事: 2962486
ファイル情報: はい
SHA1/SHA2 ハッシュ: はい
既知の問題: なし

影響を受けるソフトウェアと影響を受けないもの

次のソフトウェアは、影響を受けるバージョンまたはエディションを特定するためにテストされています。その他のバージョンまたはエディションは、サポートライフサイクルを過ぎたか、影響を受けません。ソフトウェアのバージョンまたはエディションのサポートライフサイクルを確認するには、「Microsoft サポートライフサイクル」を参照してください。

影響を受けるソフトウェア

オペレーティングシステム	コンポーネント	セキュリティへの影響の最大値	重大度の評価の集計	更新置換済み
Windows Vista
Windows Vista Service Pack 2^[1]	リモートサーバー管理istration ツール (2928120)	特権の昇格	重要	なし
Windows Vista x64 Edition Service Pack 2^[1]	リモートサーバー管理istration ツール (2928120)	特権の昇格	重要	なし
Windows Server 2008
Windows Server 2008 for 32 ビットシステム Service Pack 2^[2](2928120)	適用なし	特権の昇格	重要	なし
x64 ベースシステム Service Pack 2 用 Windows Server 2008[2^](2928120)	適用なし	特権の昇格	重要	なし
Windows Server 2008 for Itanium ベースのシステム Service Pack 2^[2](2928120)	適用なし	特権の昇格	重要	なし
Windows 7
Windows 7 for 32 ビットシステム Service Pack 1^[1]	リモートサーバー管理istration ツール (2928120)	特権の昇格	重要	なし
Windows 7 for x64 ベースのシステム Service Pack 1^[1]	リモートサーバー管理istration ツール (2928120)	特権の昇格	重要	なし
Windows Server 2008 R2
x64 ベースシステム Service Pack 1^{用 Windows Server 2008 R2[2]}(2928120)	適用なし	特権の昇格	重要	なし
Windows Server 2008 R2 for Itanium ベースのシステム Service Pack 1^[2](2928120)	適用なし	特権の昇格	重要	なし
Windows 8 および Windows 8.1
Windows 8 for 32 ビットシステム^[1]	リモートサーバー管理istration ツール (2928120)	特権の昇格	重要	なし
Windows 8 for x64 ベースのシステム^[1]	リモートサーバー管理istration ツール (2928120)	特権の昇格	重要	なし
Windows 8.1 for 32 ビットシステム^[1]	リモートサーバー管理istration Tools^[3](2928120)	特権の昇格	重要	なし
Windows 8.1 for 32 ビットシステム^[1]	リモートサーバー管理istration Tools^[4] (2961899)	特権の昇格	重要	なし
x64 ベースシステム^{用 Windows 8.1[1]}	リモートサーバー管理istration Tools^[3](2928120)	特権の昇格	重要	なし
x64 ベースシステム^{用 Windows 8.1[1]}	リモートサーバー管理istration Tools^[4] (2961899)	特権の昇格	重要	なし
Windows Server 2012 および Windows Server 2012 R2
Windows Server 2012^[2](2928120)	適用なし	特権の昇格	重要	なし
Windows Server 2012 R2^[2][3](2928120)	適用なし	特権の昇格	重要	なし
Windows Server 2012 R2[2^]^[4] (2961899)	適用なし	特権の昇格	重要	なし

^[1]クライアントシステムは、リモートサーバー管理istration Tools がインストールされている場合にのみ影響を受けます。
^[2]サーバーシステムは、グループポリシー管理がサーバーで構成されている場合にのみ影響を受けます。
^[3]この更新プログラムは、2919355更新プログラムがインストールされているシステムを対象としています。詳細については、更新プログラムに 関する FAQ を参照してください。
^[4]この更新プログラムは、2919355更新プログラムがインストールされていないシステム用です。詳細については、更新プログラムに 関する FAQ を参照してください。

影響を受けるソフトウェア以外のソフトウェア

オペレーティングシステム
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Itanium ベースのシステム用 Windows Server 2003 SP2
Windows RT
Windows RT 8.1
Server Core のインストールオプション
Windows Server 2008 for 32 ビットシステム Service Pack 2 (Server Core インストール)
x64 ベースシステム Service Pack 2 用 Windows Server 2008 (Server Core インストール)
x64 ベースシステム Service Pack 1 用 Windows Server 2008 R2 (Server Core インストール)
Windows Server 2012 (Server Core のインストール)
Windows Server 2012 R2 (Server Core のインストール)

更新に関する FAQ

この更新によってグループポリシーの基本設定にどのような動作が変更されますか?
更新プログラムがグループポリシーの基本設定の動作を変更する方法の詳細については、マイクロソフトサポート技術情報の記事2962486を参照してください。

Microsoft ダウンロードセンターと Microsoft Update カタログからのみ更新プログラムを入手できるのはなぜですか?
Microsoft は、お客様ができるだけ早くシステムの更新を開始できるように、これらの更新プログラムを Microsoft ダウンロードセンターと Microsoft Update Catalog にリリースしています。

この更新プログラムには、機能に関するセキュリティ関連の変更が含まれていますか?
はい。この更新プログラムは、次のグループポリシー設定拡張機能を使用してパスワードを構成および配布する機能を削除することで、グループポリシー管理コンソール (GPMC) の [グループポリシー管理エディター] ウィンドウを変更します。

ローカルユーザーとグループ
マップされたドライブ
サービス
スケジュールされたタスク (アップレベル)
スケジュールされたタスク (ダウンレベル)
イミディエイトタスク (アップレベル)
イミディエイトタスク (ダウンレベル)
データソース

Windows 8.1 と Windows Server 2012 R2 には、複数の更新プログラムが一覧表示されています。両方の更新プログラムをインストールする必要がありますか?
いいえ。更新プログラムを受信するようにシステムを構成する方法に応じて、Windows 8.1 または Windows Server 2012 R2 の特定のエディションの更新プログラムの 1 つだけが適用されます。

Windows 8.1 または Windows Server 2012 R2 を実行しているシステムの場合:

2928120更新プログラムは、2919355更新プログラムが既にインストールされているシステム用です。
2961899更新プログラムは、2919355更新プログラムがインストールされていないシステム用です。

Windows 8.1 または Windows Server 2012 R2 を実行しています。 2928120更新プログラムをインストールするための前提条件はありますか?
はい。 Windows 8.1 または Windows Server 2012 R2 システムを実行しているお客様は、2928120更新プログラムをインストールする前に、2014 年 4 月にリリースされた2919355更新プログラムを最初にインストールする必要があります。前提条件の更新プログラムの詳細については、マイクロソフトサポート技術情報の記事2919355を参照してください。

Server Core のインストールは、このセキュリティ情報で対処されている脆弱性の影響を受けますか?
この更新プログラムで対処される脆弱性は、Server Core インストールオプションを使用してインストールした場合、影響を受けるソフトウェア以外の表に示されているように、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、または Windows Server 2012 R2 のサポートされているエディションには影響しません。このインストールオプションの詳細については、TechNet の記事、「 Server Core インストールの管理: 概要」、「 Server Core インストールのサービス」、「Server Core と完全なサーバー統合の概要」を参照してください。

このセキュリティ情報で説明されているソフトウェアの以前のリリースを使用しています。どうすればよいですか。
このセキュリティ情報に記載されている影響を受けるソフトウェアは、影響を受けるリリースを特定するためにテストされています。他のリリースはサポートライフサイクルを過ぎている。製品ライフサイクルの詳細については、Microsoft サポートライフサイクル Web サイトを参照してください。

ソフトウェアの古いリリースをお持ちのお客様は、脆弱性にさらされる可能性を防ぐために、サポートされているリリースに移行することが優先されます。ソフトウェアリリースのサポートライフサイクルを決定するには、「ライフサイクル情報の製品を選択する」を参照してください。これらのソフトウェアリリースのサービスパックの詳細については、「Service Pack ライフサイクルサポートポリシー」を参照してください。

古いソフトウェアのカスタムサポートを必要とするお客様は、カスタムサポートオプションについて、Microsoft アカウントチームの担当者、テクニカルアカウントマネージャー、または適切な Microsoft パートナー担当者にお問い合わせください。契約、プレミア契約、または承認された契約を持たないお客様は、お住まいの地域の Microsoft 営業所にお問い合わせください。連絡先情報については、Microsoft Worldwide Information Web サイトを参照し、[連絡先情報] リストで国を選択し、[移動] をクリックして電話番号の一覧を表示します。お電話の際は、地元の Premier サポートセールスマネージャーにお問い合わせください。詳細については、Microsoft サポートライフサイクルポリシーに関する FAQ を参照してください。

重大度の評価と脆弱性識別子

次の重大度評価は、脆弱性の潜在的な最大影響を想定しています。このセキュリティ情報のリリースから 30 日以内に、脆弱性の重大度評価とセキュリティへの影響に関する脆弱性の悪用可能性の可能性については、5 月のセキュリティ情報の概要にある Exploitability Index を参照してください。詳細については、「Microsoft Exploitability Index」を参照してください。

脆弱性の重大度評価と影響を受けるソフトウェアによる最大のセキュリティ影響
影響を受けるソフトウェア	グループポリシーの基本設定のパスワードによる特権の昇格の脆弱性 - CVE-2014-1812	重大度の評価の集計
Windows Vista
Windows Vista Service Pack 2 (2928120) にインストールされているリモートサーバー管理istration ツール	特権の重要な昇格	重要
Windows Vista x64 Edition Service Pack 2 (2928120) にインストールされているリモートサーバー管理登録ツール	特権の重要な昇格	重要
Windows Server 2008
Windows Server 2008 for 32 ビットシステム Service Pack 2 (2928120)	特権の重要な昇格	重要
x64 ベースシステム Service Pack 2 用 Windows Server 2008 (2928120)	特権の重要な昇格	重要
Windows Server 2008 for Itanium ベースのシステム Service Pack 2 (2928120)	特権の重要な昇格	重要
Windows 7
Windows 7 for 32 ビットシステム Service Pack 1 にインストールされている場合のリモートサーバー管理登録ツール (2928120)	特権の重要な昇格	重要
Windows 7 for x64 ベースシステム Service Pack 1 にインストールされている場合のリモートサーバー管理登録ツール (2928120)	特権の重要な昇格	重要
Windows Server 2008 R2
x64 ベースシステム Service Pack 1 用 Windows Server 2008 R2 (2928120)	特権の重要な昇格	重要
Windows Server 2008 R2 for Itanium ベースのシステム Service Pack 1 (2928120)	特権の重要な昇格	重要
Windows 8 および Windows 8.1
Windows 8 for 32 ビットシステム (2928120) にインストールされているリモートサーバー管理istration Tools	特権の重要な昇格	重要
Windows 8 for x64 ベースシステム (2928120) にインストールされている場合のリモートサーバー管理登録ツール	特権の重要な昇格	重要
Windows 8.1 for 32 ビットシステム (2928120) にインストールされているリモートサーバー管理istration Tools	特権の重要な昇格	重要
Windows 8.1 for 32 ビットシステム (2961899) にインストールされているリモートサーバー管理istration Tools	特権の重要な昇格	重要
x64 ベースシステム用 Windows 8.1 にインストールされている場合のリモートサーバー管理登録ツール (2928120)	特権の重要な昇格	重要
x64 ベースシステム用 Windows 8.1 にインストールされている場合のリモートサーバー管理登録ツール (2961899)	特権の重要な昇格	重要
Windows Server 2012 および Windows Server 2012 R2
Windows Server 2012 (2928120)	特権の重要な昇格	重要
Windows Server 2012 R2 (2928120)	特権の重要な昇格	重要
Windows Server 2012 R2 (2961899)	特権の重要な昇格	重要

グループポリシーの基本設定のパスワードによる特権の昇格の脆弱性 - CVE-2014-1812

グループポリシーの基本設定を使用して構成されたパスワードを Active Directory が配布する方法に、特権の昇格の脆弱性が存在します。認証された攻撃者がこの脆弱性を悪用した場合、パスワードを復号化し、それらを使用して doメインに対する特権を昇格させる可能性があります。

この脆弱性を一般的な脆弱性と露出の一覧の標準エントリとして表示するには、CVE-2014-1812 を参照してください。

軽減要因

Microsoft は、この脆弱性の軽減要因を特定していません。

対処方法

回避策とは、基になる脆弱性を修正しないが、更新プログラムを適用する前に既知の攻撃ベクトルをブロックするのに役立つ設定または構成の変更を指します。 Microsoft は、回避策によって機能が低下するかどうかを説明する中で、次の回避策と状態をテストしました。

回避策の情報については、マイクロソフトサポート技術情報の記事2962486を参照してください。

よく寄せられる質問

この脆弱性の範囲は何ですか?
これは特権の昇格の脆弱性です。

この脆弱性の原因は何ですか?
この脆弱性は、グループポリシーの基本設定を使用して構成されたパスワードを Active Directory が配布する方法が原因で発生します。

グループポリシーの基本設定とは
グループポリシーの基本設定には、グループポリシーオブジェクト (GPO) 内の構成可能な設定の範囲を拡張する 20 を超える新しいグループポリシー拡張機能が含まれています。これらの新しい拡張機能は、グループポリシー管理コンソール (GPMC) の [グループポリシー管理エディター] ウィンドウの新しい [基本設定] 項目の下に含まれます。新しいグループポリシー基本設定拡張機能の例としては、フォルダーオプション、マップされたドライブ、プリンター、スケジュールされたタスク、サービス、スタートメニュー設定などがあります。グループポリシーの基本設定の詳細については、「グループポリシーの基本設定の概要ガイド」を参照してください。

攻撃者はこの脆弱性を使用して何を行う可能性がありますか?
認証された攻撃者がこの脆弱性を悪用した場合、新しいローカル資格情報または管理者資格情報メイン取得し、それを使用して doメインの特権を昇格させる可能性があります。攻撃者はその後、プログラムをインストールする可能性があります。データを表示、変更、または削除する。または、完全な管理者権限を持つ新しいアカウントを作成します。

攻撃者がこの脆弱性を悪用する方法
この脆弱性を悪用するには、攻撃者はまず、doメインで認証されたユーザーアカウントにアクセスする必要があります。 GPO がグループポリシーの基本設定を使用してローカル管理パスワードを設定したり、ネットワークドライブをマップしたり、タスクをスケジュールしたり、サービスの実行中のコンテキストを構成したりするための資格情報を定義するように構成されている場合、攻撃者はグループポリシーの基本設定で保存されているパスワードを取得して復号化する可能性があります。

どのシステムが主に脆弱性のリスクにさらされていますか?
サーバーが動作している場合メインコントローラーは、この脆弱性による悪用のリスクが最も高い状態です。

更新プログラムは何を行いますか?
この更新プログラムでは、次のグループポリシー基本設定拡張機能を使用してパスワードを構成および配布する機能が削除されます。

マッピングドライブの構成
ローカルユーザーとグループの構成
スケジュールされたタスクの構成
サービスの構成
データソースの構成

追加のアクションが必要: このセキュリティ更新プログラムの適用前に構成された既存の GPO は更新プログラムによって削除されないことに注意してください。特定されたグループポリシーの基本設定を使用して構成された既存の GPO をお持ちのお客様は、doメイン環境からこのリスクを削除する必要があります。詳細については、サポート技術情報の記事2962486 を参照してください。

このセキュリティ情報が発行されたとき、この脆弱性は一般に公開されていましたか?
はい。この脆弱性は一般に公開されています。共通脆弱性と露出番号 CVE-2014-1812 が割り当てられます。

このセキュリティ情報が発行されたとき、Microsoft はこの脆弱性が悪用されたという報告を受け取りましたか?
はい。 Microsoft は、この脆弱性の悪用を試みる標的型攻撃を認識しています。

検出と展開のツールとガイダンス

組織内のサーバー、デスクトップ、モバイルシステムに展開するために必要なソフトウェアとセキュリティの更新プログラムを管理します。詳細については、TechNet Update Management Center を参照してください。 Microsoft TechNet セキュリティ Web サイトには、Microsoft 製品のセキュリティに関する追加情報が記載されています。

セキュリティ更新プログラムは、Microsoft ダウンロードセンターから入手できます。 "セキュリティ更新プログラム" のキーワード (keyword)検索を実行すると、最も簡単に見つけることができます。

最後に、セキュリティ更新プログラムは Microsoft Update カタログからダウンロードできます。 Microsoft Update カタログには、セキュリティ更新プログラム、ドライバー、サービスパックなど、Windows Update と Microsoft Update を通じて利用できるコンテンツの検索可能なカタログが用意されています。セキュリティ情報番号 ("MS14-001" など) を使用して検索すると、該当するすべての更新プログラムをバスケットに追加し (更新プログラムの異なる言語を含む)、選択したフォルダーにダウンロードできます。 Microsoft Update カタログの詳細については、Microsoft Update カタログに関する FAQ を参照してください。