Microsoft セキュリティ情報 MS15-101 - 重要

公開日: 2015 年 9 月 8 日 |更新日: 2016 年 2 月 9 日

バージョン: 1.2

このセキュリティ更新プログラムは、Microsoft .NET Framework の脆弱性を解決します。 最も深刻な脆弱性により、ユーザーが特別に細工された .NET アプリケーションを実行すると、特権が昇格される可能性があります。 ただし、いずれの場合も、攻撃者はユーザーにアプリケーションの実行を強制する方法はありません。攻撃者はユーザーにそうするよう誘導する必要があります。

このセキュリティ更新プログラムは、影響を受ける Microsoft Windows のリリースで、Microsoft .NET Framework 2.0 Service Pack 2、Microsoft .NET Framework 3.5、Microsoft .NET Framework 3.5.1、Microsoft .NET Framework 4.5、Microsoft .NET Framework 4.5.1、および Microsoft .NET Framework 4.5.2 に対して重要と評価されます。 詳細については、「影響を受けるソフトウェア」セクションを参照してください。

このセキュリティ更新プログラムは、.NET Framework がメモリ内のオブジェクトをコピーする方法を修正し、特別に細工された要求を .NET Framework が処理する方法を修正することで、この脆弱性に対処します。 この脆弱性の詳細については、特定の 脆弱性についてよく寄せられる質問 (FAQ) のサブセクションを参照してください。

この更新プログラムの詳細については、マイクロソフト サポート技術情報の記事3089662を参照してください。

次のソフトウェア バージョンまたはエディションが影響を受ける。 一覧にないバージョンまたはエディションは、サポート ライフサイクルを過ぎたか、影響を受けません。 ソフトウェアのバージョンまたはエディションのサポート ライフサイクルを確認するには、「Microsoft サポート ライフサイクル」を参照してください。

次の重大度評価は、脆弱性の潜在的な最大影響を想定しています。 このセキュリティ情報のリリースから 30 日以内に、脆弱性の重大度評価とセキュリティへの影響に関する脆弱性の悪用可能性に関する情報については、9 月のセキュリティ情報の概要にある Exploitability Index を参照してください。

^[1]。影響を受ける NET Framework 4 および .NET Framework 4 クライアント プロファイル。

^[2]この更新プログラムは、Windows Update でのみ使用できます。

^[3]Windows 10 更新プログラムは累積的です。 セキュリティ以外の更新プログラムを含むだけでなく、今月のセキュリティ リリースに付属するすべての Windows 10 の影響を受ける脆弱性に対するすべてのセキュリティ修正プログラムも含まれています。 詳細とダウンロード リンクについては、 マイクロソフト サポート技術情報の記事3081455 を参照してください。

注 : Windows Server Technical Preview 2 が影響を受けます。 このオペレーティング システムを実行しているお客様は、Windows Update から入手できる更新プログラムを適用することをお勧めします。

インストールされている Microsoft .NET Framework のバージョンを確認操作方法。
.NET Framework の複数のバージョンをシステムにインストールして実行し、任意の順序でバージョンをインストールできます。 詳細については、マイクロソフト サポート技術情報の記事318785を参照してください。

.NET Framework 4 と .NET Framework 4 クライアント プロファイルの違いは何ですか?
.NET Framework バージョン 4 の再頒布可能パッケージは、.NET Framework 4 と .NET Framework 4 クライアント プロファイルの 2 つのプロファイルで使用できます。 .NET Framework 4 クライアント プロファイルは、クライアント アプリケーション用に最適化された .NET Framework 4 プロファイルのサブセットです。 Windows Presentation Foundation (WPF)、Windows フォーム、Windows Communication Foundation (WCF)、ClickOnce の機能など、ほとんどのクライアント アプリケーションに機能を提供します。 これにより、.NET Framework 4 クライアント プロファイルを対象とするアプリケーションの展開が高速化され、インストール パッケージが小さくなります。 詳細については、MSDN の記事 「.NET Framework クライアント プロファイル」を参照してください。 

影響を受ける一部のソフトウェアでは、複数の更新プログラム パッケージを使用できます。 ソフトウェアの影響を受けるソフトウェアの表に記載されているすべての更新プログラムをインストールする必要がありますか?
はい。 お客様は、システムにインストールされているソフトウェアに対して提供されるすべての更新プログラムを適用する必要があります。

これらのセキュリティ更新プログラムを特定の順序でインストールする必要がありますか?
いいえ。 特定のシステムに対して複数の更新プログラムを任意の順序で適用できます。

特権の昇格の脆弱性は、.NET Framework がメモリ内のオブジェクトの数を検証してから、それらのオブジェクトを配列にコピーする方法で存在します。 攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムを制御する可能性があります。 このような攻撃者はプログラムをインストールしたり、データの閲覧、変更、削除を行ったり、完全なユーザー権限を持つ新しいアカウントを作成したりできるようになります。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。

この脆弱性を悪用する可能性がある攻撃シナリオには、Web ブラウズ シナリオと、コード アクセス セキュリティ (CAS) 制限の Windows .NET アプリケーション バイパスの 2 つがあります。 これらのシナリオについては、次のように説明します。

• Web 閲覧攻撃のシナリオ 攻撃者は、この脆弱性を悪用する可能性がある特別に細工された XBAP (XAML ブラウザー アプリケーション) を含む特別に細工された Web サイトをホストし、ユーザーに Web サイトを表示するよう誘導する可能性があります。 攻撃者は、侵害された Web サイトや、ユーザーが提供するコンテンツや広告を受け入れる、またはホストする Web サイトを利用する可能性もあります。 ただし、いずれの場合も、攻撃者はユーザーにこれらの Web サイトへのアクセスを強制する方法はありません。 代わりに、攻撃者は、通常、ユーザーを攻撃者の Web サイトに誘導するインスタント メッセンジャーまたは電子メール メッセージ内のリンクをクリックするようにユーザーに誘導する必要があります。 また、バナー広告を使用するか、他の方法を使用して影響を受けるシステムに Web コンテンツを配信することで、特別に細工された Web コンテンツを表示することもできます。
• Windows .NET アプリケーション攻撃シナリオ この脆弱性は、コード アクセス セキュリティ (CAS) の制限をバイパスするために Windows .NET Framework アプリケーションによっても使用される可能性があります。

リスクがあるシステムには、次の 2 種類があります。

• Web 閲覧シナリオ この脆弱性が悪用された場合、ユーザーがログオンし、XBAP をインスタンス化できる Web ブラウザーを使用して Web サイトにアクセスする必要があります。 したがって、ワークステーションやターミナル サーバーなど、Web ブラウザーが頻繁に使用されるシステムは、この脆弱性の最も危険にさらされます。 管理者がユーザーがサーバー上の電子メールを参照および読み取ることを許可すると、サーバーのリスクが高くなります。 ただし、ベスト プラクティスではこれを許可しないことを強くお勧めします。
• 信頼されていない Windows .NET Framework アプリケーション を実行する Windows .NET アプリケーションワークステーションとサーバーも、この脆弱性の危険にさらされます。

この更新プログラムは、.NET Framework がメモリ内のオブジェクトをコピーする方法を修正することで、この脆弱性を解決します。 この脆弱性は一般に公開されています。 共通脆弱性と露出番号 CVE-2015-2504 が割り当てられます。 このセキュリティ情報が最初にリリースされたとき、Microsoft はこの脆弱性の悪用を試みる攻撃を認識していません。

Microsoft は、この脆弱性の 軽減要因 を特定していません。

Microsoft は、この脆弱性の 回避策を 特定していません。

.NET が特別に作成された特定の要求を適切に処理できない場合に発生するサービス拒否の脆弱性が存在します。 攻撃者がこの脆弱性を悪用した場合、少数の特別に細工された要求が ASP.NET サーバーに送信され、パフォーマンスが大幅に低下してサービス拒否状態が発生する可能性があります。

攻撃者はこの脆弱性を使用してサービス拒否攻撃を発生させ、ASP.NET を使用するサイトの可用性を妨害する可能性があります。 ASP.NET がインストールされたインターネットに接続されたシステムは、主にこの脆弱性の危険にさらされます。 この脆弱性により、ASP.NET を使用する内部 Web サイトも危険にさらされる可能性があります。 この更新プログラムは、.NET Framework が特別に細工された要求を処理する方法を修正することで、この脆弱性を解決します。

Microsoft は、調整された脆弱性の開示を通じて、この脆弱性に関する情報を受け取りました。 このセキュリティ情報が発行されたとき、Microsoft は、この脆弱性が顧客を攻撃するために一般に使用されたことを示す情報を受け取っていませんでした。

Microsoft は、この脆弱性の 軽減要因 を特定していません。

Microsoft は、この脆弱性の 回避策を 特定していません。

セキュリティ更新プログラムの展開情報については、「エグゼクティブの概要」で参照されている Microsoft サポート技術情報の記事を参照してください。

Microsoft は、連携した脆弱性の開示を通じてお客様を保護するのに役立つセキュリティ コミュニティの人々の取り組みを認識しています。 詳細については、「 受信確認 」を参照してください。  

Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

• V1.0 (2015 年 9 月 8 日): セキュリティ情報が公開されました。
• V1.1 (2015 年 9 月 25 日): このセキュリティ情報に記載されている脆弱性の影響を受けないため、影響を受けるソフトウェア テーブルの脚注から Windows Server Technical Preview 3 を削除しました。 これは情報の変更のみです。 システムを既に正常に更新しているお客様は、何も行う必要はありません。
• V1.2 (2016 年 2 月 9 日): .NET Framework 4.6 の3074554更新プログラムの検出の変更を発表するために、セキュリティ情報を改訂しました。 これは情報の変更のみです。 システムを既に正常に更新しているお客様は、何も行う必要はありません。

Page generated 2016-02-04 11:08-08:00.