Microsoft セキュリティ情報 MS15-118 - 重要

公開日: 2015 年 11 月 10 日 |更新日: 2016 年 2 月 9 日

バージョン: 2.0

このセキュリティ更新プログラムは、Microsoft .NET Framework の脆弱性を解決します。 最も深刻な脆弱性により、攻撃者がユーザーに侵害された Web サイトへの移動を誘導したり、ユーザーのブラウザーにクライアント側のコードを挿入するように設計された特別に細工された電子メールでリンクを開いたりすると、特権が昇格される可能性があります。

このセキュリティ更新プログラムは、影響を受ける Microsoft Windows のリリースで、Microsoft .NET Framework 2.0 Service Pack 2、Microsoft .NET Framework 3.5、Microsoft .NET Framework 3.5.1、Microsoft .NET Framework 4.5、Microsoft .NET Framework 4.5.1、Microsoft .NET Framework 4.5.2、および Microsoft .NET Framework 4.6 に対して重要と評価されます。 詳細については、「影響を受けるソフトウェア」セクションを参照してください。

このセキュリティ更新プログラムは、ASP.NET が HTTP 要求の値を検証する方法を変更し、.NET Framework が特定の特別に細工された XML ファイルを解析する方法を修正し、.NET コンポーネントが ASLR セキュリティ機能を適切に実装することを支援することで、この脆弱性に対処します。 この脆弱性の詳細については、特定の 脆弱性についてよく寄せられる質問 (FAQ) のサブセクションを参照してください。

この更新プログラムの詳細については、マイクロソフト サポート技術情報の記事3104507を参照してください。

次のソフトウェア バージョンまたはエディションが影響を受ける。 一覧にないバージョンまたはエディションは、サポート ライフサイクルを過ぎたか、影響を受けません。 ソフトウェアのバージョンまたはエディションのサポート ライフサイクルを確認するには、「Microsoft サポート ライフサイクル」を参照してください。

次の重大度評価は、脆弱性の潜在的な最大影響を想定しています。 このセキュリティ情報のリリースから 30 日以内に、重大度評価とセキュリティへの影響に関連する脆弱性の悪用可能性の可能性については、11 月のセキュリティ情報の概要の Exploitability Index を参照してください。

^[1]。影響を受ける NET Framework 4 および .NET Framework 4 クライアント プロファイル。

^[2]この更新プログラムは、Windows Update でのみ使用できます。

注 : Windows Server Technical Preview 3 が影響を受けます。 このオペレーティング システムを実行しているお客様は、Windows Update から入手できる更新プログラムを適用することをお勧めします。

インストールされている Microsoft .NET Framework のバージョンを確認操作方法。
.NET Framework の複数のバージョンをシステムにインストールして実行し、任意の順序でバージョンをインストールできます。 詳細については、マイクロソフト サポート技術情報の記事318785を参照してください。

.NET Framework 4 と .NET Framework 4 クライアント プロファイルの違いは何ですか?
.NET Framework バージョン 4 の再頒布可能パッケージは、.NET Framework 4 と .NET Framework 4 クライアント プロファイルの 2 つのプロファイルで使用できます。 .NET Framework 4 クライアント プロファイルは、クライアント アプリケーション用に最適化された .NET Framework 4 プロファイルのサブセットです。 Windows Presentation Foundation (WPF)、Windows フォーム、Windows Communication Foundation (WCF)、ClickOnce の機能など、ほとんどのクライアント アプリケーションに機能を提供します。 これにより、.NET Framework 4 クライアント プロファイルを対象とするアプリケーションの展開が高速化され、インストール パッケージが小さくなります。 詳細については、MSDN の記事 「.NET Framework クライアント プロファイル」を参照してください。 

影響を受ける一部のソフトウェアでは、複数の更新プログラム パッケージを使用できます。 ソフトウェアの影響を受けるソフトウェアの表に記載されているすべての更新プログラムをインストールする必要がありますか?
はい。 お客様は、システムにインストールされているソフトウェアに対して提供されるすべての更新プログラムを適用する必要があります。

これらのセキュリティ更新プログラムを特定の順序でインストールする必要がありますか?
いいえ。 特定のシステムに対して複数の更新プログラムを任意の順序で適用できます。

特定の特別に細工された XML ファイルの .NET Framework DTD 解析に、情報漏えいの脆弱性が存在します。 攻撃者がこの脆弱性を悪用した場合、ターゲット システム上のローカル ファイルへの読み取りアクセス権を取得する可能性があります。

この脆弱性を悪用するには、攻撃者は特別に細工されたアプリケーション ファイルをダウンロードして開くようユーザーを誘導する必要があります。 ただし、攻撃者はユーザーにファイルのダウンロードを強制する方法はありません。 この更新プログラムは、.NET Framework が特別に細工された特定の XML ファイルを解析する方法を修正することで、この脆弱性を解決します。

Microsoft は、調整された脆弱性の開示を通じて、脆弱性に関する情報を受け取りました。 このセキュリティ情報が最初に発行された時点では、Microsoft はこの脆弱性を悪用しようとする攻撃を認識していません。

Microsoft は、この脆弱性の 軽減要因 を特定していません。

Microsoft は、この脆弱性の 回避策を 特定していません。

ASP.NET が HTTP 要求の値を不適切に検証し、ユーザーにクロスサイト スクリプティング (XSS) 攻撃が発生する可能性がある場合、特権の昇格の脆弱性が存在します。 攻撃者がこの脆弱性を悪用した場合、脆弱な Web サイトを利用して、クライアント側のスクリプトをユーザーのブラウザーに挿入し、最終的にコンテンツの変更またはスプーフィング、フィッシングアクティビティの実施、情報の開示、または対象ユーザーが実行するアクセス許可を持つ脆弱な Web サイトに対して何らかのアクションを実行する可能性があります。

この脆弱性を悪用するには、ユーザーの操作が必要です。 Web 閲覧シナリオでは、ユーザーは侵害された Web サイトに移動する必要があります。 電子メール攻撃のシナリオでは、攻撃者は、脆弱なサーバーにログオンしているユーザーに、電子メール内の特別に細工されたリンクをクリックするよう誘導する必要があります。 この更新プログラムは、HTTP 要求の値 ASP.NET 検証する方法を変更することで、この脆弱性を解決します。

Microsoft は、調整された脆弱性の開示を通じて、脆弱性に関する情報を受け取りました。 このセキュリティ情報が最初に発行された時点では、Microsoft はこの脆弱性を悪用しようとする攻撃を認識していません。

Microsoft は、この脆弱性の 軽減要因 を特定していません。

Microsoft は、この脆弱性の 回避策を 特定していません。

状況によっては、次 の 回避策が役立つ場合があります。

• web.config から requestPathInvalidCharacters キーを削除する

  この問題を回避するために、管理者は web.config から httpRuntime requestPathInvalidCharacters="" /> 既定以外の設定を削除<するか、少なくとも requestPathInvalidCharacters 設定に ":" を含めることができます。

  回避策を元に戻す方法:

  以前に削除した <httpRuntime requestPathInvalidCharacters="" /> line を復元します。

セキュリティ機能バイパスは、アドレス空間レイアウトランダム化 (ASLR) セキュリティ機能を適切に実装していない .NET Framework コンポーネントに存在し、広範な脆弱性からユーザーを保護します。 ASLR バイパスにより、攻撃者はセキュリティ機能をバイパスし、別の脆弱性を悪用しようとして追加の悪意のあるコードを読み込むことができます。 セキュリティ機能のバイパス自体では、任意のコード実行は許可されません。 ただし、攻撃者は、この ASLR バイパスを別の脆弱性 (リモート コード実行の脆弱性など) と組み合わせて使用して、任意のコードを実行する可能性があります。

ASLR バイパスを悪用するには、攻撃者が特別に細工された Web サイトをホストする (または、侵害された可能性のあるユーザーが提供するコンテンツを受け入れる、またはホストする Web サイトを利用する) 可能性があります。 攻撃者は、特別に細工された Web サイトをユーザーに強制的に訪問させる方法はありません。 代わりに、攻撃者はユーザーにそうするよう誘導する必要があります。 たとえば、攻撃者はユーザーをだまして、侵害されたサイトにユーザーを誘導するリンクをクリックする可能性があります。 ユーザーがインターネット エクスプローラーなどの COM コンポーネントをインスタンス化できる Web ブラウザーを使用している場合は、影響を受ける .NET Framework コンポーネントを読み込んで ASLR セキュリティ機能をバイパスできます。 その後、攻撃者は ASLR バイパスを利用して、追加の脆弱性 (通常はリモートでコードが実行される脆弱性) を悪用する可能性があります。 たとえば、通常 ASLR によってブロックされるリモート コード実行の脆弱性は、ASLR バイパスが成功した後に悪用される可能性があります。 この更新プログラムは、.NET コンポーネントが ASLR セキュリティ機能を正しく実装できるように支援することで、ASLR バイパスに対処します。

Microsoft は、調整された脆弱性の開示を通じて、脆弱性に関する情報を受け取りました。 このセキュリティ情報が最初に発行された時点では、Microsoft はこの脆弱性を悪用しようとする攻撃を認識していません。

Microsoft は、この脆弱性の 軽減要因 を特定していません。

Microsoft は、この脆弱性の 回避策を 特定していません。

セキュリティ更新プログラムの展開情報については、「エグゼクティブの概要」で参照されている Microsoft サポート技術情報の記事を参照してください。

Microsoft は、連携した脆弱性の開示を通じてお客様を保護するのに役立つセキュリティ コミュニティの人々の取り組みを認識しています。 詳細については、「 受信確認 」を参照してください。  

Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

• V1.0 (2015 年 11 月 10 日): セキュリティ情報が公開されました。
• V2.0 (2 月 9 日、 2016): Windows 8.1 3118750、Windows RT、または Windows Server 2012 R2 を実行しているお客様が、.NET Framework 4.5.x の完全更新バージョンが既にインストールされているコンピューターに .NET Framework 4.6 をインストールした後に発生した可能性がある既知の問題に対処するために、更新プログラムの3098785の再リリースを発表するように改訂されたセキュリティ情報。 Microsoft では、お客様が新しい更新プログラムをスキャンしてダウンロードし、再リリースされた更新プログラムの3098785をインストールすることをお勧めします。 詳細については、マイクロソフト サポート技術情報の記事3118750を参照してください。

Page generated 2016-02-16 09:35-08:00.