Internet Explorer 用の累積的なセキュリティ更新プログラム (912812) (MS06-013)

公開日: 2006年4月12日 | 最終更新日: 2006年4月25日

概要 :

このセキュリティ情報の対象となるユーザー : Microsoft Windows をご使用のお客様

脆弱性の影響 : リモートでコードが実行される

最大深刻度 : 緊急

推奨する対応策 : お客様はこの更新プログラムを直ちにインストールしてください。

含まれる過去のセキュリティ更新プログラム : このセキュリティ情報で提供される更新プログラムは、以前提供された、いくつかの更新プログラムに置き換わるものです。置き換わる更新プログラムの一覧については、このセキュリティ情報の「よく寄せられる質問」をご覧ください。

警告 : サポート技術情報 912812 には、このセキュリティ更新プログラムのインストール時に発生する可能性がある既知の問題が説明されています。また、このサポート技術情報には、これらの問題に対する推奨される解決策の説明も記載されています。詳細情報は、サポート技術情報 912812 をご覧ください。

また、この更新プログラムは 2006 年 3 月 1 日 に Windows XP Service Pack 2、Windows Server 2003 Service Pack 1、Windows XP Professional x64 Edition、Windows Server 2003 x64 Edition ファミリ、および Windows Server 2003 with Service Pack 1 for Itanium-based Systems 用にリリースされた Internet Explorer 用の更新プログラムにも置き換わるものです。この更新プログラムについては マイクロソフト セキュリティ アドバイザリ (912945) Internet Explorer 用のセキュリティ以外の更新プログラム で説明されました。この更新プログラムに関する詳細情報は、サポート技術情報 912945 をご覧ください。

互換性修正プログラム - MS06-013 に含まれるサポート技術情報 912945 で説明されている ActiveX の変更に対応するためにさらに時間が必要であるエンタープライズ カスタマを支援するために、マイクロソフトは互換性修正プログラムを 2006 年 4 月 12 日にリリースしました。この互換性修正プログラムは ActiveX コントロールを処理するにあたり、一時的に Internet Explorer を元の機能性に戻します。この互換性修正プログラムは 6 月の更新プログラムのサイクルの一部としてリリースされる Internet Explorer 用のセキュリティ更新プログラムが公開されるまで機能し、公開された時点からは Internet Explorer の ActiveX コントロールを処理する方法は変更されない予定です。なお、この互換性修正プログラムが適用されたコンピュータは、追加の再起動が必要となる場合があります。詳細情報は、サポート技術情報 917425 をご覧ください。

テストしたソフトウェアおよび更新プログラムのダウンロード先 :

影響を受けるソフトウェア :

Microsoft Windows 2000 Service Pack 4

Microsoft Windows XP Service Pack 1 および Microsoft Windows XP Service Pack 2

Microsoft Windows XP Professional x64 Edition

Microsoft Windows Server 2003 および Microsoft Windows Server 2003 Service Pack 1

Microsoft Windows Server 2003 for Itanium-based Systems および Microsoft Windows Server 2003 with Service Pack 1 for Itanium-based Systems

Microsoft Windows Server 2003 x64 Edition ファミリ

Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE)、および Microsoft Windows Millennium Edition (ME) - これらのオペレーティング システムに関する詳細は、このセキュリティ情報の「よく寄せられる質問」をご覧ください。

注: Microsoft Windows Server 2003、Microsoft Windows Server 2003 Service Pack 1 および Microsoft Windows Server 2003 x64 Edition 用のセキュリティ更新プログラムは Microsoft Windows Server 2003 R2 にも適用してください。

テストした Microsoft Windows コンポーネント

影響を受けるコンポーネント :

PC/ATPC-9800MU

Microsoft Windows 2000 Service Pack 4 上の Internet Explorer 5.01 Service Pack 4

ダウンロード

ダウンロード

Microsoft Update

Microsoft Windows 2000 Service Pack 4 上の Internet Explorer 6 Service Pack 1 または Microsoft Windows XP Service Pack 1 上の Internet Explorer 6 Service Pack 1

ダウンロード

ダウンロード

Microsoft Update

Microsoft Windows XP Service Pack 2 用の Internet Explorer 6

ダウンロード

-

Microsoft Update

Microsoft Windows Server 2003 および Microsoft Windows Server 2003 Service Pack 1 用の Internet Explorer 6

ダウンロード

-

Microsoft Update

Microsoft Windows Server 2003 for Itanium-based Systems 用の Internet Explorer 6 および Service Pack 1 を適用した Microsoft Windows Server 2003 for Itanium-based Systems 用の Internet Explorer 6

ダウンロード

-

Microsoft Update

Microsoft Windows Server 2003 x64 Edition 用の Internet Explorer 6

ダウンロード

-

Microsoft Update

Microsoft Windows XP Professional x64 Edition 用の Internet Explorer 6

ダウンロード

-

Microsoft Update

Microsoft Windows 98、Microsoft Windows 98 Second Edition (SE)、Microsoft Windows Millennium Edition (ME) 上の Internet Explorer 6 Service Pack 1 - これらのプラットフォームに関する詳細は 「よく寄せられる質問」 をご覧ください。

ダウンロードこのマークをクリックして、PC/AT 互換機用または NEC PC-9800 シリーズ用の更新プログラムをダウンロードしてください。
更新プログラムをダウンロードおよびインストールする方法は、更新プログラムのダウンロード方法および更新プログラムのインストール方法をご覧ください。

Microsoft Updateこのマークの付いている更新プログラムは Microsoft Update からインストールすることもできます。
Microsoft Update の利用方法については以下のサイトを参照してください。

Microsoft Update 利用の手順
http://www.microsoft.com/japan/athome/security/update/j_musteps.mspx

上記のソフトウェアのテストを行い、この脆弱性による影響を評価しました。それより前のバージョンに関してはサポートの対象となっていないため、この脆弱性による影響は不明です。ご使用中の製品およびバージョンのサポートライフ サイクルを確認するためには、マイクロソフト サポート ライフサイクルの Web サイトをご覧ください。

詳細

要点

この更新プログラムは新たに確認され、一般に公開された脆弱性および非公開で報告されたいくつかの脆弱性を解決します。各脆弱性はこのセキュリティ情報の「脆弱性の詳細」欄に説明されています。

ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者によりこの脆弱性が悪用されると、影響を受けるコンピュータが完全に攻撃者に制御される可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

マイクロソフトは、お客様にこの更新プログラムを直ちに適用することを推奨します。

深刻度および脆弱性識別番号 :

脆弱性識別番号脆弱性の影響Internet Explorer 5.01 Service Pack 4Internet Explorer 6 Service Pack 1 (Windows Server 2003 以前のすべてのサポートされているオペレーティング システムのバージョン)Windows Server 2003 用 の Internet Explorer 6Windows Server 2003 Service Pack 1 用の Internet Explorer 6Windows XP Service Pack 2 用の Internet Explorer 6

DHTML メソッド コールのメモリの破損の脆弱性 - CVE-2006-1359

リモートでコードが実行される

緊急

緊急

警告

警告

緊急

マルチプル イベント ハンドラのメモリの破損の脆弱性 - CVE-2006-1245

リモートでコードが実行される

緊急

緊急

緊急

緊急

緊急

HTA の実行の脆弱性 - CVE-2006-1388

リモートでコードが実行される

緊急

緊急

警告

警告

緊急

HTML 解析の脆弱性 - CVE-2006-1185

リモートでコードが実行される

緊急

対象外

対象外

緊急

緊急

COM オブジェクトのインスタンス化のメモリ破損の脆弱性 - CAN-2006-1186

リモートでコードが実行される

緊急

緊急

警告

警告

緊急

HTML タグのメモリの破損の脆弱性 - CVE-2006-1188

リモートでコードが実行される

対象外

緊急

緊急

緊急

緊急

2 バイト文字の解析のメモリ破損の脆弱性 - CVE-2006-1189

リモートでコードが実行される

対象外

緊急

緊急

対象外

緊急

スクリプトの実行の脆弱性 - CVE-2006-1190

リモートでコードが実行される

対象外

緊急

警告

警告

重要

クロス ドメインの情報の漏えいの脆弱性 - CVE-2006-1191

情報の漏えい

対象外

対象外

対象外

警告

重要

アドレス バーの偽装の脆弱性 - CVE-2006-1192

なりすまし

警告

警告

警告

警告

警告

すべての脆弱性の総合的な深刻度

-

緊急

緊急

緊急

緊急

緊急

上記の評価はこの脆弱性の影響を受けるシステムの種類、システムの典型的な展開形式およびこの脆弱性がシステムに及ぼす影響に基づいています。

注: x86 以外のオペレーティング システムのバージョンについての深刻度は、次の x86 オペレーティング システムのバージョンと同じです。

Windows XP Professional x64 Edition 用の Internet Explorer 6 の深刻度は、Windows XP Service Pack 2 用 Internet Explorer 6 の深刻度と同じです。

Microsoft Windows Server 2003 for Itanium-based Systems および Windows Server 2003 x64 Edition 用の Internet Explorer 6 の深刻度は、Windows Server 2003 用の Internet Explorer 6 と同じです。

このセキュリティ更新プログラムに関するよく寄せられる質問

この更新プログラムにより何が置き換えられますか?

このセキュリティ更新プログラムにより、以前にリリースされたいくつかの更新プログラムが置き換えられます。最新のセキュリティ情報 2 件の ID 番号および影響を受けるオペレーティング システムのバージョンを次の表に記載します。

セキュリティ情報番号Internet Explorer 5.01 Service Pack 4Internet Explorer 6 Service Pack 1 (Windows Server 2003 以前のすべてのバージョン)Windows Server 2003 用の Internet Explorer 6Windows Server 2003 Service Pack 1 用の Internet Explorer 6Windows XP Service Pack 2 用の Internet Explorer 6

MS05-054

置き換わる

置き換わる

置き換わる

置き換わる

置き換わる

MS06-004

置き換わる

対象外

対象外

対象外

対象外

注: また、このセキュリティ更新プログラムは 2006 年 3 月 1 日 に Windows XP Service Pack 2 および Windows Server 2003 Service Pack 1 用にリリースされた Internet Explorer 用の累積的な更新プログラムにも置き換わるものです。

この更新プログラムについては、マイクロソフト セキュリティ アドバイザリ (912945) Internet Explorer 用のセキュリティ以外の更新プログラムで説明されました。この更新プログラムに関する詳細情報は、サポート技術情報 912945 をご覧ください。

このセキュリティ更新プログラムのインストール時に発生する可能性がある既知の問題とは何ですか?

サポート技術情報 912812 に、このセキュリティ更新プログラムのインストール時に発生する可能性がある既知の問題に関して説明されています。また、このサポート技術情報には、これらの問題に対する推奨される解決策に関する説明も記載されています。詳細情報は、サポート技術情報 912812 をご覧ください。

この更新プログラムはそのほかのセキュリティ関連の変更を含みますか?

はい。このセキュリティ情報の「脆弱性の詳細」の欄に記載されている変更および以前の Internet Explorer に関するセキュリティ情報で導入された変更のほかに、この累積的な更新プログラムは次の改善点を導入します。

この累積的なセキュリティ更新プログラムには、多層防御の向上が含まれており、ActiveX コントロールがどのようにインスタンス化されるかに関わらず、そのホスト環境に関する一貫した情報を得るようにします。

この累積的なセキュリティ更新プログラムは Danim.dll および Dxtmsft.dll に含まれる 2 つの ActiveX コントロールに Kill Bit も設定します。これらのコントロールにセキュリティ上の脆弱性が存在していることが判明しました。このコントロールをインストールしたお客様を保護するため、この更新プログラムを適用すると Internet Explorer でこれらのコントロールが実行されなくなります。これらのコントロールに Kill Bit を設定することで、コントロールの実行を防ぎます。この Kill Bit は、ActiveX コントロールの管理者の許可と共に設定されます。Kill Bit に関する詳細は、サポート技術情報 240797 をご覧ください。この ActiveX コントロールのクラス識別子 (CLSID) は以下の通りです。

42B07B28-2280-4937-B035-0293FB812781

542FB453-5003-11CF-92A2-00AA00B8A733

この更新プログラムにより、機能に何らかの変更が行われますか?

はい。このセキュリティ情報の「脆弱性の詳細」の欄に記載されている変更のほか、以前の Internet Explorer に関するセキュリティ情報で導入されたセキュリティ関連以外の変更も含まれます。

また、このセキュリティ更新プログラムは 2006 年 3 月 1 日 に Windows XP Service Pack 2 および Windows Server 2003 Service Pack 1 用にリリースされた Internet Explorer 用の累積的な更新プログラムにも置き換わるものです。

この更新プログラムについては、マイクロソフト セキュリティ アドバイザリ (912945) Internet Explorer 用のセキュリティ以外の更新プログラムで説明されました。この更新プログラムに関する詳細情報は、サポート技術情報 912945 をご覧ください。

この累積的な更新プログラムには「マイクロソフトセキュリティアドバイザリ 912945 Internet Explorer 用のセキュリティ以外の更新プログラム」で説明された変更が含まれていますか?

はい。このセキュリティ更新プログラムには、以前リリースされ、サポート技術情報 912945 で説明された Internet Explorer の ActiveX の更新プログラムが含まれています。サポート技術情報 912945 で説明されている ActiveX の更新プログラムに対応するためにさらに時間が必要であるエンタープライズ カスタマを支援するために、マイクロソフトは互換性修正プログラムをリリースします。この互換性修正プログラムは ActiveX コントロールを処理するにあたり、一時的に Internet Explorer を元の機能性に戻します。この互換性修正プログラムは 6 月の更新プログラムのサイクルの一部としてリリースされる Internet Explorer 用のセキュリティ更新プログラムが公開されるまで機能し、公開された時点からは Internet Explorer の ActiveX コントロールを処理する方法は変更されない予定です。なお、この互換性修正プログラムが適用されたコンピュータは、追加の再起動が必要となる場合があります。詳細情報は、サポート技術情報 917425 をご覧ください。

Internet Explorer のセキュリティ強化の構成とは何ですか?

Internet Explorer のセキュリティ強化の構成は、ユーザーまたは管理者が悪質な Web コンテンツをサーバーにダウンロードし、実行する危険性を低減する Internet Explorer のあらかじめ構成された設定の集合体です。Internet Explorer のセキュリティ強化の構成は、多くのセキュリティ設定を変更することにより、このような危険性を低減します。これには、[インターネット オプション] の [セキュリティ] タブの設定、[詳細設定] タブなどがあります。重要な変更には、以下のようなものがあります。

インターネットゾーンのセキュリティレベルを [高] に設定。この設定により、スクリプト、ActiveX コントロール、Microsoft Java 仮想マシン (MSJVM)、およびファイル ダウンロードが無効にされます。

イントラネットサイトの自動検出を無効に設定。この設定では、すべてのイントラネットの Web サイトおよびローカル イントラネット ゾーンに明示的にリストされていない汎用名前付け規則 (UNC) のすべてのパスがインターネット ゾーンに割り当てられます。

オンデマンドのインストールおよびマイクロソフト以外のブラウザ拡張を無効に設定。この設定は、Web ページが自動的にコンポーネントをインストールするのを防ぎ、マイクロソフト以外の拡張が実行されないようにします。

マルチメディア コンテンツを無効に設定。この設定により、音楽、アニメーション、ビデオ クリップが実行されなくなります。

Windows 98、Windows 98 Second Editionおよび Windows Millennium Edition のサポートの延長により、これらのオペレーティングシステム用のセキュリティ更新プログラムのリリースにどのような影響がありますか?

マイクロソフトは、これらのオペレーティングシステム上で、深刻度が「緊急」のセキュリティ問題がある場合にのみ、セキュリティ更新プログラムをリリースする予定です。このサポート期間中は、「緊急」 以外のセキュリティ問題のための更新プログラムは提供されません。これらのオペレーティングシステムについてのサポート ライフサイクルのより詳細な情報は、次の Web サイト をご覧ください。

深刻度評価システムに関する詳細情報は、次の Web サイト をご覧ください。

Windows 98、Windows 98 Second Edition または Windows Millennium Edition はこのセキュリティ情報で解決される脆弱性による深刻な影響を受けますか?

はい。Windows 98、Windows 98 Second Edition および Windows Millennium Edition は、このセキュリティ情報で解決される脆弱性による深刻な影響を受けます。これらのプラットフォーム用の深刻度が「緊急」のセキュリティ更新プログラムが利用可能で、このセキュリティ情報で提供されています。この更新プログラムは Windows Update からダウンロードすることができます。深刻度評価システムに関する詳細情報は、次のWeb サイト をご覧下さい。

Windows Millennium Edition 上の Internet Explorer 5.5 Service Pack 2 についてはどうですか?

Windows Millennium Edition 上の Internet Explorer 5.5 Service Pack 2 はライフサイクルが終了しました。今後の脆弱性の影響を受ける可能性を防ぐため、これらのオペレーティング システムを使用しているお客様は、Internet Explorer 6 Service Pack 1 に移行することを強く推奨します。
Windows Millennium Edition 上の Internet Explorer 5.5 Service Pack 2 のサポート終了日については、サポート対象サービス パックをご覧ください。製品のサポート ライフサイクルに関する詳細な情報は、次の プロダクト サポート ライフサイクル をご覧ください。

Microsoft Windows NT 4.0 Workstation Service Pack 6a および Windows 2000 Service Pack 2 の延長されたセキュリティ更新プログラムのサポートは 2004 年 6 月 30 日に終了しました。Microsoft Windows NT 4.0 Server Service Pack 6a の延長されたセキュリティ更新プログラムのサポートは 2004 年 12 月 31 日に終了しました。Microsoft Windows 2000 Service Pack 3 の延長されたセキュリティ更新プログラムのサポートは 2005 年 6 月 30 日に終了しました。これらのオペレーティングシステムのうちの 1 つを現在でも使用していますが、どうしたらよいですか?

Windows NT 4.0 Workstation Service Pack 6a、Windows NT 4.0 Server Service Pack 6a および Windows 2000 Service Pack 2 および Windows 2000 Service Pack 3 についてはライフ サイクルが終了しました。今後の脆弱性の影響を受ける可能性を防ぐため、これらのオペレーティングシステムを使用しているお客様は、サポート対象のバージョンに移行することを強く推奨します。Windows 製品のサポート ライフサイクルに関する詳細情報は、マイクロソフト サポート ライフサイクルをご覧下さい。これらのオペレーティングシステムのバージョンについて、延長されたセキュリティ更新プログラムのサポート期間に関する詳細情報は、マイクロソフト製品サポート サービス Web サイトをご覧下さい。

Windows NT SP6a および Windows 2000 Service Pack 3 の追加サポート (カスタムサポート) が必要なお客様は、担当営業、または マイクロソフト アカウント チームの担当者、担当テクニカル アカウント マネージャ (TAM)、またはカスタム サポート オプションのマイクロソフト パートナー担当者までご連絡ください。プレミア契約をお持ちでないお客様は、マイクロソフトサポート契約センター (営業時間 9:30-12:00 13:00-19:00 土日祝祭日を除く TEL:0120-17-0196 FAX:03-5388-8253) までお問い合わせください。詳細情報は、Windowsオペレーティング システム FAQ をご覧下さい。

Microsoft Windows XP 64-Bit Edition Service Pack 1 (Itanium) および Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium) のセキュリティ更新プログラムのサポートは 2005 年 6 月 30 日で終了しました。現在でもこのうち一つのオペレーティングシステムを使用していますが、どうすれば良いですか?

Windows XP Professional x64 Edition のリリースにより、Microsoft Windows XP 64-Bit Edition Service Pack 1 (Itanium) および Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium) のセキュリティ更新プログラムのサポートは終了しました。今後の脆弱性の影響を受ける可能性を防ぐため、これらのオペレーティングシステムを使用しているお客様は、サポート対象のバージョンに移行することを強く推奨します。マイクロソフトは Windows Server 2003 for Itanium-based systems、Windows XP Professional x64 Edition および 64-bit コンピューティング要件の Windows Server 2003 x64 Editions の完全なサポートを継続します。マイクロソフトは Windows Server 2003 Enterprise Edition for Itanium-based systems および Windows Server 2003 Datacenter Edition for Itanium-based systems および SQL Server 2000 Enterprise Edition の 64-bit バージョンのライセンスおよびサポートを継続します。将来的には、Visual Studio 2005、.NET Framework 2005 および SQL Server 2005 に対する Itanium のサポートまで拡大します。

この問題に関する追加のサポート (カスタムサポート) が必要なお客様は、担当営業、またはマイクロソフト アカウント チームの担当者、担当テクニカル アカウント マネージャ (TAM)、またはカスタム サポート オプションのマイクロソフト パートナー担当者までご連絡ください。プレミア契約をお持ちでないお客様は、マイクロソフトサポート契約センター (営業時間 9:30-12:00 13:00-19:00 土日祝祭日を除く TEL:0120-17-0196 FAX:03-5388-8253) までお問い合わせください。

Microsoft Baseline Security Analyzer (MBSA) 1.2.1 を使用して、この更新プログラムが必要であるかどうかを確認することはできますか?

はい。MBSA 1.2.1 によりこの更新プログラムが必要かどうかを確認することができます。MBSA は、Windows 2000 およびそれ以上のワークステーションクラスのオペレーティングシステムのみをサポートします。MBSA に関する詳細は、MBSA Web サイトをご覧ください。

Microsoft Baseline Security Analyzer (MBSA) 2.0 を使用して、この更新プログラムが必要であるかどうかを確認することはできますか?

はい。MBSA 2.0 により、この更新プログラムが必要かどうかを確認することができます。MBSA 2.0 は、Microsoft Update でサポートされる製品のセキュリティ更新を確認することが可能です。MBSA は、Windows 2000 およびそれ以上のワークステーションクラスのオペレーティングシステムのみをサポートします。MBSA に関する詳細は、MBSA Web サイト をご覧ください。

Systems Management Server (SMS) を使用して、この更新プログラムが必要であるかどうかを確認することはできますか?

はい。SMS は、このセキュリティ更新プログラムを検出し、展開する支援をします。SMS はセキュリティ更新プログラムを検出するために Security Update Inventory Tool (SUIT) が含まれている SMS Software Update Services (SUS) Feature Pack を使用することができます。SMS SUIT は検出のために MBSA 1.2.1 エンジンを使用します。このため、SMS SUIT は MBSA が検出しないプログラムに関し、このセキュリティ情報に記載されているものと同じ制限があります。

Security Update Inventory Tool に関する詳細情報は、次の Web サイト (英語情報) をご覧ください。Security Update Inventory Tool の制限に関する詳細情報は、サポート技術情報 306460 をご覧ください。また SMS SUS Feature Pack には Microsoft Office アプリケーションに必要な更新プログラムを検出するために、Microsoft Office Inventory Tool が含まれています。

SMS は、SMS 2003 Inventory Tool for Microsoft Updates を使用して、Microsoft Updates により提供されるセキュリティ更新プログラムおよび Windows Server Update Services より提供されるセキュリティ更新プログラムを検出することができます。SMS 2003 Inventory Tool for Microsoft Updates に関する詳細は、次の Web サイトをご覧ください。

なお、Inventory Tool for Microsoft Updates を使用していない SMS 2.0 または SMS 2003 のお客様は、この更新プログラムの完全な検出および適用を受けるために、Extended Security Update Inventory Tool の更新されたバージョンをダウンロードし適用する必要があります。SMS に関する詳細情報は、次の SMS Web サイトをご覧ください。

脆弱性の詳細

DHTML メソッド コールのメモリの破損の脆弱性 - CVE-2006-1359

Internet Explorer が HTML オブジェクトに対し特定の予期されないメソッド コールを含む Web ページを表示する方法にリモートでコードが実行される脆弱性が存在します。これにより、ユーザーが悪意のある Web ページを訪問した場合、攻撃者が任意のコードを実行できるような方法でシステム メモリが破損する可能性があります。攻撃者によりこの脆弱性が悪用され、影響を受けるコンピュータが完全に制御される可能性があります。

「DHTML メソッド コールのメモリの破損の脆弱性」の問題を緩和する要素 - CVE-2006-1359:

Web を悪用した攻撃のシナリオで、この脆弱性が悪用されるには、この脆弱性の悪用を意図した Web ページを含む Web サイトをホストすることが攻撃者にとっての必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、通常、ユーザーに自分の Web サイトへのリンクをクリックさせ、その Web サイトにユーザーを誘導することが攻撃者にとっての必要条件となります。それから、ユーザーは Web サイトで情報をやりとりすることにより、攻撃を受けることになります。

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

制限付きサイト ゾーンは、HTML 形式の電子メール メッセージの読み取りが行なわれる場合、アクティブ スクリプトが使用されないようにすることにより、この脆弱性を悪用しようとする攻撃を削減する手助けとなります。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。

既定で、Microsoft Outlook Express 6、Outlook 2002、および Outlook 2003 は、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。また、Outlook 2000 は、Outlook 電子メール セキュリティ更新プログラム がインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開かれます。Outlook Express 5.5 Service Pack 2 は、MS04-018 がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。

既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。電子メールが関連する場合、このモードはこの脆弱性を緩和します。この理由は、Outlook Express の既定の構成では、電子メール メッセージはテキスト形式で読みとられるためです。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。

「DHTML メソッド コールのメモリの破損の脆弱性」の回避策 - CVE-2006-1359:

マイクロソフトは次の回避策のテストを行ないました。これらの回避策は根本的な脆弱性を修正しませんが、既知の攻撃方法を阻止する手助けとなります。回避策が機能の低下の原因となる場合、下記に示します。

Internet Explorer をインターネットおよびイントラネットゾーンでアクティブ スクリプトが実行される前にダイアログを表示するように構成する、またはアクティブ スクリプトを無効にするよう構成する

インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性に対する保護の手助けを行うことができます。これを行うには、次のステップを実行します。

1.

Internet Explorer の [ツール] メニューの [インターネットオプション] をクリックします。

2.

[セキュリティ] タブをクリックします。

3.

[インターネット] のアイコンをクリックし、[レベルのカスタマイズ] をクリックします。

4.

[設定] の下 の [スクリプト] セクションの [アクティブ スクリプト][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

5.

[イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。

6.

[設定][スクリプト] セクションの [アクティブ スクリプト][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

7.

[OK] をクリックし、Internet Explorer に戻ります。

注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全であると確信できる場合、そのサイトを [信頼済みサイト] に追加することができます。これにより、その Web サイトは正しく動作するようになります。

回避策の影響 : アクティブ スクリプトを実行する前にダイアログを表示すると別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはバンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトのグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行なってください。

インターネットおよびローカルイントラネットゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトを実行する前にダイアログを表示する

インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。ブラウザのセキュリティ設定を 「高」に設定することによってこれを行うことができます。

Microsoft Internet Explorer のブラウザのセキュリティ レベルを上げるには、以下のステップにしたがってください。

1.

Internet Explorer の [ツール] メニューの [インターネットオプション] をクリックします。

2.

[インターネットオプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。

3.

[このゾーンのセキュリティのレベル] の下のスライダのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

注: スライダが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダを「高」に移動させます。

注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全であると確信できる場合は、そのサイトを [信頼済みサイト] に追加することができます。これにより、そのサイトは、セキュリティが「高」に設定されていても、適切に実行されるようになります。

4.

[レベルのカスタマイズ] をクリックします。

5.

[設定][スクリプト] セクションの [アクティブ スクリプト][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

6.

これらの設定を変更することを確認するためのダイアログが表示される場合、[はい] をクリックします。

7.

[OK] をクリックし、Internet Explorer に戻ります。

回避策の影響 : ActiveX コントロールおよびアクティブ スクリプトを実行する前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはバンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトに影響を及ぼすグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックして ActiveX コントロールまたはアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行なってください。

信頼する Web サイトを Internet Explorer の信頼済みサイトゾーンに追加する

インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

これを行うには、次のステップを実行します。

1.

Internet Explorer で [ツール] をクリックし、[インターネットオプション] をクリックします。次に [セキュリティ] タブをクリックします。

2.

[Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [既定のレベル] をクリックして、スライダ のつまみを移動して中レベルにし、サイト をクリックします。

注 : 中レベル に設定するのは、推奨された追加の予防策です。これにより、既定のレベルが「低」でなければならない「信頼済みサイト」のゾーンにあるサイトを表示した場合に、Web サイトによっては正しく動作しなくなる事があります。

3.

暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。

4.

[次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。

5.

ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。

6.

[OK] を 2 回クリックし、変更を受け入れ、Internet Explorer に戻ります。

悪意のある動作がコンピュータ上で行われないと信頼するサイトをすべて追加します。なお、特に追加すべき Web サイトは "*.windowsupdate.microsoft.com" および "*.update.microsoft.com" です。(二重引用符は必要ありません)この Web サイトはセキュリティ更新プログラムを提供する Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。

「DHTML メソッド コールのメモリの破損の脆弱性」のよく寄せられる質問 - CVE-2006-1359:

どのようなことが起こる可能性がありますか?

これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用し、影響を受けるコンピュータをリモートで完全に制御する可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

何が原因で起こりますか?

Internet Explorer が HTML のオブジェクトに対する特定の予期しないメソッド コールが含まれる Web ページを表示する場合、攻撃者により任意のコードが実行されるような方法でシステム メモリが破損する可能性があります。具体的には、公開された報告は HTML オブジェクトに対し予期されない createTextRange() メソッドを処理する方法について、Internet Explorer に存在する可能性のある動作について説明しています。この脆弱性の悪用を意図した特別な細工がされた Web ページにより Internet Explorer が異常終了します。この結果、システム メモリが攻撃者により任意のコードが実行される可能性のある方法で破損する可能性があります。

createTextRange() メソッドとは何ですか?

createTextRange() メソッドとは Dynamic HTML (DHTML) オブジェクト モデルにより公開される HTML (DHTML) メソッドです。DHTML メソッドに関する詳細は、MSDN Library Web サイト (英語情報) をご覧ください。

この脆弱性により、攻撃者は何を行う可能性がありますか?

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

どのように攻撃者はこの脆弱性を悪用する可能性がありますか?

攻撃者は、Internet Explorer を介してこの脆弱性の悪用を目的として設計された悪意のある Web サイトをホストし、ユーザーにその Web サイトを表示するよう誘導する可能性があります。これにはユーザーが提供したコンテンツまたは広告を受け入れる Web サイト、ユーザーが提供したコンテンツまたは広告をホストする Web サイトおよび侵害された Web サイトなどが含まれる可能性があります。これらの Web サイトには、この脆弱性を悪用しようとする悪意のあるコンテンツが含まれている場合があります。しかし、すべての場合において、攻撃者はユーザーを強制的にこれらの Web サイトに誘導する方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メールまたはインスタント メッセンジャのリクエスト内のリンクをクリックさせることにより、ユーザーを Web サイトに訪問させることが攻撃者にとっての必要条件となります。また、バナー広告またはそのほかの方法により、影響を受けるコンピュータに Web コンテンツを提供する特別な細工がされた Web コンテンツが表示される可能性もあります。

電子メールにより、この脆弱性が悪用される可能性はありますか?

この脆弱性は、電子メール メッセージを通じた自動的な攻撃または、Outlook または Outlook Express のプレビューを見るだけで悪用されることはありません。 この脆弱性が悪用されるには、ユーザーにリンクをクリックさせ悪意のある Web サイトに誘導するか、または脆弱性が悪用される可能性のある添付ファイルを表示させることが攻撃者にとっての必要条件となります。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?

この脆弱性が悪用され、悪意のある操作が行われるには、ユーザーがログオンし、Web サイトを訪問していることが攻撃者にとっての必要条件となります。このため、ユーザーのワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピュータが、この脆弱性による危険に最もさらされます。

Windows 98、Windows 98 Second Edition または Windows Millennium Edition はこのセキュリティ情報で解決される脆弱性による深刻な影響を受けますか?

はい。Windows 98、Windows 98 Second Edition および Windows Millennium Edition はこの脆弱性による深刻な影響を受けます。セキュリティ更新プログラムは Windows Update から利用可能です。深刻度評価システムに関する詳細情報は、次の Web サイトをご覧ください。

この更新プログラムはどのように問題を修正しますか?

この更新プログラムは Internet Explorer がメモリを使用する前に初期化する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?

はい。この脆弱性は一般に知られていました。これは Common Vulnerability and Exposure の CVE-2006-1359 にアサインされています。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?

はい。このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていました。

このセキュリティ更新プログラムを適用すると、既に公開されている検証用コードを悪用した攻撃からコンピュータを保護する手助けとなりますか?

はい。このセキュリティ更新プログラムは、現在悪用されている脆弱性を解決します。解決される脆弱性は Common Vulnerability and Exposure の番号 CVE-2006-1359 に割り当てられています。

マルチプル イベント ハンドラのメモリの破損の脆弱性 - CVE-2006-1245

Internet Explorer が HTML エレメントのマルチプル イベント ハンドラを処理する方法にリモートでコードが実行される脆弱性が存在します。攻撃者はこの脆弱性を悪用し、悪質な Web ページを作成し、ユーザーがそのような悪質な Web サイトを訪問した場合、リモートでコードを実行する可能性があります。攻撃者によりこの脆弱性が悪用され、影響を受けるコンピュータが完全に制御される可能性があります。

「マルチプル イベント ハンドラのメモリの破損の脆弱性」の問題を緩和する要素 - CVE-2006-1245:

Web を悪用した攻撃のシナリオで、この脆弱性が悪用されるには、この脆弱性の悪用を意図した Web ページを含む Web サイトをホストすることが攻撃者にとっての必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、通常、ユーザーに自分の Web サイトへのリンクをクリックさせ、その Web サイトにユーザーを誘導することが攻撃者にとっての必要条件となります。それから、ユーザーは Web サイトで情報をやりとりすることにより、攻撃を受けることになります。

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。電子メールが関連する場合、このモードはこの脆弱性を緩和します。この理由は、Outlook Express の既定の構成では、電子メール メッセージはテキスト形式で読みとられるためです。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。

「マルチプル イベント ハンドラのメモリの破損の脆弱性」の回避策 - CVE-2006-1245:

この脆弱性に対する回避策は現在確認されていません。

「マルチプル イベント ハンドラのメモリの破損の脆弱性」のよく寄せられる質問 - CVE-2006-1245:

どのようなことが起こる可能性がありますか?

これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用し、影響を受けるコンピュータをリモートで完全に制御する可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

何が原因で起こりますか?

Internet Explorer が HTML エレメントのマルチプル イベント ハンドラを処理する際に、システム メモリが破損し、攻撃者の任意のコードが実行できる可能性があります。例えば、Internet Explorer が HTML エレメントのマルチプル onLoad イベントを含む Web ページを表示する際、攻撃者によりシステム メモリが破損し、任意のコードが実行される可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

どのように攻撃者はこの脆弱性を悪用する可能性がありますか?

攻撃者は、Internet Explorer を介してこの脆弱性を悪用することを意図して設計された悪意のある Web サイトをホストし、ユーザーにその Web サイトを表示するよう誘導する可能性があります。これにはユーザーが提供したコンテンツまたは広告を受け入れる Web サイト、ユーザーが提供したコンテンツまたは広告をホストする Web サイトおよび侵害された Web サイトなどが含まれる可能性があります。これらの Web サイトには、この脆弱性を悪用しようとする悪意のあるコンテンツが含まれている場合があります。しかし、すべての場合において、攻撃者はユーザーを強制的にこれらの Web サイトに誘導する方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メールまたはインスタント メッセンジャのリクエスト内のリンクをクリックさせることにより、ユーザーを Web サイトに訪問させることが攻撃者にとっての必要条件となります。また、バナー広告またはそのほかの方法により、影響を受けるコンピュータに Web コンテンツを提供する特別な細工がされた Web コンテンツが表示される可能性もあります。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?

この脆弱性が悪用され、悪意のある操作が行われるには、ユーザーがログオンし、HTML 形式の電子メールの読み取りまたは Web サイトの表示を行っていることが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、HTML 形式の電子メール メッセージの読み取りが行われる、または Internet Explorer が頻繁に使用されるコンピュータが、この脆弱性による危険に最もさらされます。

注: 制限付きサイト ゾーンは、HTML 形式の電子メール メッセージの読み取りが行なわれる場合、アクティブ スクリプトが使用されないようにすることにより、この脆弱性を悪用しようとする攻撃を削減する手助けとなります。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。アクティブ スクリプトなしでこの脆弱性が悪用される可能性はありますが、マイクロソフトの調査では、アクティブ スクリプトなしでこの脆弱性が悪用されることはより困難であることが確認されています。

Windows 98、Windows 98 Second Edition または Windows Millennium Edition はこのセキュリティ情報で解決される脆弱性による深刻な影響を受けますか?

はい。Windows 98、Windows 98 Second Edition および Windows Millennium Edition はこの脆弱性による深刻な影響を受けます。セキュリティ更新プログラムは、Windows Update から利用可能です。深刻度評価システムに関する詳細情報は、次の Web サイトをご覧ください。

この更新プログラムはどのように問題を修正しますか?

この更新プログラムは Internet Explorer がマルチプル イベント ハンドラを処理する方法を変更し、Internet Explorer が悪用されるような状態でないようにすることによりこの脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?

はい。この脆弱性は一般に知られていました。これは Common Vulnerability and Exposure の CVE-2006-1245 にアサインされています。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?

いいえ。マイクロソフトは、このセキュリティ情報が最初に公開された時に、公開された検証用コード例の存在を確認していましたが、この脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けていませんでした。

このセキュリティ更新プログラムを適用すると、既に公開されている検証用コードを悪用した攻撃からコンピュータを保護する手助けとなりますか?

はい。このセキュリティ更新プログラムは公開された検証用コードにより悪用される可能性のある脆弱性を解決します。解決される脆弱性は Common Vulnerability and Exposure の番号 CVE-2006-1245 に割り当てられています。

HTA の実行の脆弱性 - CVE-2006-1388

Internet Explorer にリモートでコードが実行される脆弱性が存在します。HTML Application (HTA) が Internet Explorer のセキュリティ制御を無視するような方法で開始される可能性があります。これにより Internet Explorer が通常のセキュリティ ダイアログ ボックスを表示せずに HTA が実行されます。攻撃者はこの脆弱性を悪用し、悪質な Web ページを作成し、ユーザーがそのような悪質な Web サイトを訪問した場合、リモートでコードを実行する可能性があります。攻撃者によりこの脆弱性が悪用され、影響を受けるコンピュータが完全に制御される可能性があります。

「HTA の実行の脆弱性」の問題を緩和する要素 - CVE-2006-1388:

Web を悪用した攻撃のシナリオで、この脆弱性が悪用されるには、この脆弱性の悪用を意図した Web ページを含む Web サイトをホストすることが攻撃者にとっての必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、通常、ユーザーに自分の Web サイトへのリンクをクリックさせ、その Web サイトにユーザーを誘導することが攻撃者にとっての必要条件となります。それから、ユーザーは Web サイトで情報をやりとりすることにより、攻撃を受けることになります。

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

制限付きサイト ゾーンは、HTML 形式の電子メール メッセージの読み取りが行なわれる場合、アクティブ スクリプトが使用されないようにすることにより、この脆弱性を悪用しようとする攻撃を削減する手助けとなります。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。

既定で、Microsoft Outlook Express 6、Outlook 2002、および Outlook 2003 は、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。また、Outlook 2000 は、Outlook 電子メール セキュリティ更新プログラム がインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開かれます。Outlook Express 5.5 Service Pack 2 は、MS04-018 がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。

既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードはこの脆弱性を緩和します。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。

「HTA の実行の脆弱性」の回避策 - CVE-2006-1388:

マイクロソフトは次の回避策のテストを行ないました。これらの回避策は根本的な脆弱性を修正しませんが、既知の攻撃方法を阻止する手助けとなります。回避策が機能の低下の原因となる場合、下記に示します。

Mshta.exeファイルの登録を解除する

Mshta.exe ファイルの登録を解除するためには、次のコマンドを使用してください。

1.

[スタート] メニューの [ファイル名を指定して実行] に "%windir%\system32\mshta.exe /unregister" (二重引用符は必要ありません) と入力し、次に [OK] をクリックします。

回避策の影響: ユーザーに HTML Applications (.HTA ファイル) を開くソフトウェアを選択するようメッセージが表示されるようになります。この変更を取り消すためには、上のステップに従って Mshta.exe を再登録してください。ステップ 1 のテキストを ”%windir%\system32\mshta.exe /register” に変更してください (二重引用符は必要ありません)。

Mshta.exe ファイルのアクセス制御リストを変更する

Mshta.dll ファイルのアクセス制御リストを変更すると、この脆弱性に対する保護の手助けとなります。これを行うためには、次のステップにしたがってください。

1.

[スタート] メニューの [ファイル名を指定して実行] に "cmd" (二重引用符は必要ありません) と入力し、次に [OK] をクリックします。

2.

コマンド プロンプトで、次のコマンドを入力します。この変更を元に戻す時のため、ファイル (継承された設定を含む) 上の現在の ACL のメモをとってください。

cacls %windir%\system32\mshta.exe

3.

このファイルに対する 'everyone' グループのアクセスを拒否するために、コマンド プロンプトで次のコマンドを入力します。

cacls %windir%\system32\mshta.exe /d everyone

回避策の影響: HTML Applications (.HTA ファイル) が機能しなくなります。

Internet Explorer をインターネットおよびイントラネットゾーンでアクティブ スクリプトが実行される前にダイアログを表示するように構成する、またはアクティブ スクリプトを無効にするよう構成する

インターネットおよびローカルのイントラネット セキュリティ ゾーンでアクティブ スクリプトが実行される前にダイアログが表示されるように設定を変更、またはアクティブ スクリプトを無効にするよう設定を変更することにより、この脆弱性に対する保護の手助けを行うことができます。これを行うには、次のステップを実行します。

1.

Internet Explorer の [ツール] メニューの [インターネットオプション] をクリックします。

2.

[セキュリティ] タブをクリックします。

3.

[インターネット] のアイコンをクリックし、[レベルのカスタマイズ] をクリックします。

4.

[設定] の下 の [スクリプト] セクションの [アクティブ スクリプト][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

5.

[イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。

6.

[設定][スクリプト] セクションの [アクティブ スクリプト][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

7.

[OK] をクリックし、Internet Explorer に戻ります。

注: インターネットおよびイントラネットのセキュリティ ゾーンでアクティブ スクリプトを無効にすると、Web サイトが正しく動作しなくなる場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全であると確信できる場合、そのサイトを [信頼済みサイト] に追加することができます。これにより、その Web サイトは正しく動作するようになります。

回避策の影響 : アクティブ スクリプトを実行する前にダイアログを表示すると別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはアクティブ スクリプトを使用して、追加の機能を提供しています。たとえば、オンラインの電子商取引またはバンキング サイトにはアクティブ スクリプトを使用して、メニュー、注文書、計算書などを提供しているものもあります。アクティブ スクリプトを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトのグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックしてアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行なってください。

インターネットおよびローカルイントラネットゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトを実行する前にダイアログを表示する

インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。ブラウザのセキュリティ設定を 「高」に設定することによってこれを行うことができます。

Microsoft Internet Explorer のブラウザのセキュリティ レベルを上げるには、以下のステップにしたがってください。

1.

Internet Explorer の [ツール] メニューの [インターネットオプション] をクリックします。

2.

[インターネットオプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。

3.

[このゾーンのセキュリティのレベル] の下のスライダのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

注: スライダが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダを「高」に移動させます。

注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全であると確信できる場合は、そのサイトを [信頼済みサイト] に追加することができます。これにより、そのサイトは、セキュリティが「高」に設定されていても、適切に実行されるようになります。

4.

[レベルのカスタマイズ] をクリックします。

5.

[設定][スクリプト] セクションの [アクティブ スクリプト][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

6.

これらの設定を変更することを確認するためのダイアログが表示される場合、[はい] をクリックします。

7.

[OK] をクリックし、Internet Explorer に戻ります。

回避策の影響 : ActiveX コントロールおよびアクティブ スクリプトを実行する前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはバンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトに影響を及ぼすグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックして ActiveX コントロールまたはアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行なってください。

信頼する Web サイトを Internet Explorer の信頼済みサイトゾーンに追加する

インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

これを行うには、次のステップを実行します。

1.

Internet Explorer で [ツール] をクリックし、[インターネットオプション] をクリックします。次に [セキュリティ] タブをクリックします。

2.

[Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [既定のレベル] をクリックして、スライダ のつまみを移動して中レベルにし、サイト をクリックします。

注 : 中レベル に設定するのは、推奨された追加の予防策です。これにより、既定のレベルが「低」でなければならない「信頼済みサイト」のゾーンにあるサイトを表示した場合に、Web サイトによっては正しく動作しなくなる事があります。

3.

暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。

4.

[次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。

5.

ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。

6.

[OK] を 2 回クリックし、変更を受け入れ、Internet Explorer に戻ります。

悪意のある動作がコンピュータ上で行われないと信頼するサイトをすべて追加します。なお、特に追加すべき Web サイトは "*.windowsupdate.microsoft.com" および "*.update.microsoft.com" です。(二重引用符は必要ありません)この Web サイトはセキュリティ更新プログラムを提供する Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。

「HTA の実行の脆弱性」のよく寄せられる質問 - CVE-2006-1388:

どのようなことが起こる可能性がありますか?

これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用し、影響を受けるコンピュータをリモートで完全に制御する可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

何が原因で起こりますか?

HTML Application (HTA) が Internet Explorer のセキュリティ制御を無視するような方法で開始される可能性があります。これにより Internet Explorer が通常のセキュリティ ダイアログ ボックスを表示せずに HTA が実行されます。

この脆弱性により、攻撃者は何を行う可能性がありますか?

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

どのように攻撃者はこの脆弱性を悪用する可能性がありますか?

攻撃者は、Internet Explorer を介してこの脆弱性を悪用することを意図して設計された悪意のある Web サイトをホストし、ユーザーにその Web サイトを表示するよう誘導する可能性があります。これにはユーザーが提供したコンテンツまたは広告を受け入れる Web サイト、ユーザーが提供したコンテンツまたは広告をホストする Web サイトおよび侵害された Web サイトなどが含まれる可能性があります。これらの Web サイトには、この脆弱性を悪用しようとする悪意のあるコンテンツが含まれている場合があります。しかし、すべての場合において、攻撃者はユーザーを強制的にこれらの Web サイトに誘導する方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メールまたはインスタント メッセンジャのリクエスト内のリンクをクリックさせることにより、ユーザーを Web サイトに訪問させることが攻撃者にとっての必要条件となります。また、バナー広告またはそのほかの方法により、影響を受けるコンピュータに Web コンテンツを提供する特別な細工がされた Web コンテンツが表示される可能性もあります。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?

この脆弱性が悪用され、悪意のある操作が行われるには、ユーザーがログオンし、Web サイトを訪問していることが攻撃者にとっての必要条件となります。このため、ユーザーのワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピュータが、この脆弱性による危険に最もさらされます。

Windows 98、Windows 98 Second Edition または Windows Millennium Edition はこのセキュリティ情報で解決される脆弱性による深刻な影響を受けますか?

はい。Windows 98、Windows 98 Second Edition および Windows Millennium Edition はこの脆弱性による深刻な影響を受けます。セキュリティ更新プログラムは、Windows Update から利用可能です。深刻度評価システムに関する詳細情報は、次の Web サイトをご覧ください。

この更新プログラムはどのように問題を修正しますか?

この更新プログラムは適切なセキュリティ ダイアログが表示されるよう Internet Explorer を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?

いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?

いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。

HTML 解析の脆弱性 - CVE-2006-1185

Internet Explorer が特別な細工がされた無効な HTML を処理する方法にリモートでコードが実行される脆弱性が存在します。攻撃者はこの脆弱性を悪用し、悪質な Web ページを作成し、ユーザーがそのような悪質な Web サイトを訪問した場合、リモートでコードを実行する可能性があります。攻撃者によりこの脆弱性が悪用され、影響を受けるコンピュータが完全に制御される可能性があります。

「HTML 解析の脆弱性」の問題を緩和する要素 - CVE-2006-1185:

Web を悪用した攻撃のシナリオで、この脆弱性が悪用されるには、この脆弱性の悪用を意図した Web ページを含む Web サイトをホストすることが攻撃者にとっての必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、通常、ユーザーに自分の Web サイトへのリンクをクリックさせ、その Web サイトにユーザーを誘導することが攻撃者にとっての必要条件となります。それから、ユーザーは Web サイトで情報をやりとりすることにより、攻撃を受けることになります。

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。電子メールが関連する場合、このモードはこの脆弱性を緩和します。この理由は、Outlook Express の既定の構成では、電子メール メッセージはテキスト形式で読みとられるためです。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。

この脆弱性は Windows XP Service Pack 1、Windows 2000 Service Pack 4、Windows 98、Windows 98 Second Edition (SE) または Windows Millennium Edition (ME) 上の Internet Explorer 6 Service Pack 1 には影響を及ぼしません。

「HTML 解析の脆弱性」の回避策 - CVE-2006-1185:

この脆弱性に対する回避策は現在確認されていません。

「HTML 解析の脆弱性」のよく寄せられる質問 - CVE-2006-1185:

どのようなことが起こる可能性がありますか?

これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用し、影響を受けるコンピュータをリモートで完全に制御する可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

何が原因で起こりますか?

Internet Explorer が特別な細工がされた無効な HTML を処理する際にシステム メモリが破損し、攻撃者の任意のコードを実行する可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

どのように攻撃者はこの脆弱性を悪用する可能性がありますか?

攻撃者は、Internet Explorer を介してこの脆弱性を悪用することを意図して設計された悪意のある Web サイトをホストし、ユーザーにその Web サイトを表示するよう誘導する可能性があります。これにはユーザーが提供したコンテンツまたは広告を受け入れる Web サイト、ユーザーが提供したコンテンツまたは広告をホストする Web サイトおよび侵害された Web サイトなどが含まれる可能性があります。これらの Web サイトには、この脆弱性を悪用しようとする悪意のあるコンテンツが含まれている場合があります。しかし、すべての場合において、攻撃者はユーザーを強制的にこれらの Web サイトに誘導する方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メールまたはインスタント メッセンジャのリクエスト内のリンクをクリックさせることにより、ユーザーを Web サイトに訪問させることが攻撃者にとっての必要条件となります。また、バナー広告またはそのほかの方法により、影響を受けるコンピュータに Web コンテンツを提供する特別な細工がされた Web コンテンツが表示される可能性もあります。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?

この脆弱性が悪用され、悪意のある操作が行われるには、ユーザーがログオンし、HTML 形式の電子メールの読み取りまたは Web サイトの表示を行っていることが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、HTML 形式の電子メール メッセージの読み取りが行われる、または Internet Explorer が頻繁に使用されるコンピュータが、この脆弱性による危険に最もさらされます。

この更新プログラムはどのように問題を修正しますか?

この更新プログラムは、報告された特別な細工がされた無効な HTML を処理する方法を変更することにより、この脆弱性を排除します。

このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?

いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。

このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?

いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。

COM オブジェクトのインスタンス化のメモリ破損の脆弱性 - CAN-2005-1186

Internet Explorer が、Internet Explorer でのインスタンス化が意図されていない COM オブジェクトをインスタンス化する方法にリモートでコードが実行される脆弱性が存在します。攻撃者はこの脆弱性を悪用し、悪質な Web ページを作成し、ユーザーがそのような悪質な Web サイトを訪問した場合、リモートでコードを実行する可能性があります。攻撃者によりこの脆弱性が悪用され、影響を受けるコンピュータが完全に制御される可能性があります。

「COM オブジェクトのインスタンス化のメモリ破損の脆弱性」の問題を緩和する要素 - CAN-2005-1186:

マイクロソフト セキュリティ情報 MS05-052 に含まれているセキュリティ更新プログラムまたはそれ以降のセキュリティ情報で提供されている Internet Explorer 用のセキュリティ更新プログラムをインストールしているお客様は、インターネット ゾーンから発生する攻撃による危険にさらされません。

Web を悪用した攻撃のシナリオで、この脆弱性が悪用されるには、この脆弱性の悪用を意図した Web ページを含む Web サイトをホストすることが攻撃者にとっての必要条件となります。攻撃者は、悪質な Web サイトにユーザーを強制的に訪問させることはできません。その代わり、通常、ユーザーに自分の Web サイトへのリンクをクリックさせ、その Web サイトにユーザーを誘導することが攻撃者にとっての必要条件となります。それから、ユーザーは Web サイトで情報をやりとりすることにより、攻撃を受けることになります。

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

制限付きサイト ゾーンは、HTML 形式の電子メール メッセージの読み取りが行なわれる場合、アクティブ スクリプトが使用されないようにすることにより、この脆弱性を悪用しようとする攻撃を削減する手助けとなります。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。

既定で、Microsoft Outlook Express 6、Outlook 2002、および Outlook 2003 は、HTML 形式の電子メールを制限付きサイト ゾーンで開きます。また、Outlook 2000 は、Outlook 電子メール セキュリティ更新プログラム がインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開かれます。Outlook Express 5.5 Service Pack 2 は、MS04-018 がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。

既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードにより、この脆弱性の影響が緩和されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。

「COM オブジェクトのインスタンス化のメモリ破損の脆弱性」の回避策 - CAN-2005-1186:

マイクロソフトは次の回避策のテストを行ないました。これらの回避策は根本的な脆弱性を修正しませんが、既知の攻撃方法を阻止する手助けとなります。回避策が機能の低下の原因となる場合、下記に示します。

Internet Explorer をインターネットおよびイントラネットゾーンで ActiveX コントロールが実行される前にダイアログを表示するように構成する、またはActiveX コントロールを無効にするよう構成する

Internet Explorer の設定を変更し、ActiveX コントロールが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。これを行うためには、次のステップにしたがってください。

1.

Internet Explorer の [ツール] メニューの [インターネットオプション] をクリックします。

2.

[セキュリティ] タブをクリックします。

3.

[インターネット] のアイコンをクリックし、[レベルのカスタマイズ] をクリックします。

4.

[設定] の下 の [ActiveX コントロールとプラグイン][ActiveX コントロールとプラグインの実行][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

5.

[イントラネット] をクリックし、[レベルのカスタマイズ] をクリックします。

6.

[設定] の下 の [ActiveX コントロールとプラグイン][ActiveX コントロールとプラグインの実行][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

7.

[OK] をクリックし、Internet Explorer に戻ります。

回避策の影響 : ActiveX コントロールを実行する前にダイアログを表示することに対し、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトは ActiveX を使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはバンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトに影響を与えるグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックして ActiveX コントロールを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行なってください。

インターネットおよびローカルイントラネットゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトを実行する前にダイアログを表示する

インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。ブラウザのセキュリティ設定を 「高」に設定することによってこれを行うことができます。

Microsoft Internet Explorer のブラウザのセキュリティ レベルを上げるには、以下のステップにしたがってください。

1.

Internet Explorer の [ツール] メニューの [インターネットオプション] をクリックします。

2.

[インターネットオプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。

3.

[このゾーンのセキュリティのレベル] の下のスライダのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。

注: スライダが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダを「高」に移動させます。

注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全であると確信できる場合は、そのサイトを [信頼済みサイト] に追加することができます。これにより、そのサイトは、セキュリティが「高」に設定されていても、適切に実行されるようになります。

4.

[レベルのカスタマイズ] をクリックします。

5.

[設定][スクリプト] セクションの [アクティブ スクリプト][ダイアログを表示する] または [無効にする] をクリックします。次に [OK] をクリックします。

6.

これらの設定を変更することを確認するためのダイアログが表示される場合、[はい] をクリックします。

7.

[OK] をクリックし、Internet Explorer に戻ります。

回避策の影響 : ActiveX コントロールおよびアクティブ スクリプトを実行する前にダイアログを表示すると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトはActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはバンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトを実行する前にダイアログを表示する設定は、すべてのインターネットおよびイントラネット サイトに影響を及ぼすグローバル設定です。この回避策を行うと、ダイアログが頻繁に表示されます。各ダイアログ表示で、訪問している Web サイトを信頼できると考える場合、[はい] をクリックして ActiveX コントロールまたはアクティブ スクリプトを実行してください。これらのすべての Web サイトでダイアログを表示する必要がない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行なってください。

信頼する Web サイトを Internet Explorer の信頼済みサイトゾーンに追加する

インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからのこの攻撃から保護する手助けを行いながら、現在使用しているのとまったく同様に、信頼する Web サイトを引き続き使用することができます。マイクロソフトは信頼される Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。

これを行うには、次のステップを実行します。

1.

Internet Explorer で [ツール] をクリックし、[インターネットオプション] をクリックします。次に [セキュリティ] タブをクリックします。

2.

[Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [既定のレベル] をクリックして、スライダ のつまみを移動して中レベルにし、サイト をクリックします。

注 : 中レベル に設定するのは、推奨された追加の予防策です。これにより、既定のレベルが「低」でなければならない「信頼済みサイト」のゾーンにあるサイトを表示した場合に、Web サイトによっては正しく動作しなくなる事があります。

3.

暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。

4.

[次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。

5.

ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。

6.

[OK] を 2 回クリックし、変更を受け入れ、Internet Explorer に戻ります。

注: 悪意のある動作がコンピュータ上で行われないと信頼するサイトをすべて追加します。なお、特に追加すべき Web サイトは "*.windowsupdate.microsoft.com" および "*.update.microsoft.com" です。(二重引用符は必要ありません)この Web サイトはセキュリティ更新プログラムを提供する Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。

COM オブジェクトが Internet Explorer で実行されることを防ぐ

Kill Bit をレジストリのコントロールのために設定することにより、Internet Explorer で COM オブジェクトのインスタンス化の試行を無効にすることができます。

警告: レジストリ エディタを不適切に使用すると、深刻な問題が生じ、オペレーティング システムの再インストールが必要となる場合があります。マイクロソフトは、レジストリ エディタの不正な使用による問題の解決を保証することはできません。レジストリ エディタは、お客様各自の責任において使用してください。

コントロールが Internet Explorer で実行されないようにするためのステップの詳細は、サポート技術情報 240797 をご覧ください。このサポート技術情報に記載されているステップに従い、レジストリに互換性フラグの値を作成し、Internet Explorer で COM オブジェクトのインスタンスが作成されないようにしてください。

たとえば、このセキュリティ更新プログラムに含まれているファイルである Msdds.dll の CLSID に Kill Bit を設定するためには、メモ帳などのテキスト エディタに次のテキストを貼り付けます。次に、.reg ファイル名拡張子を使用してファイルを保存します。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{ 1F7DD4F2-CAC3-11D0-A35B-00AA00BDCDFD}]  
"Compatibility Flags"=dword:00000400

この .reg ファイルをダブルクリックすることにより、個々のコンピュータに適用することができます。グループ ポリシーを使用し、ドメインに適用することもできます。グループ ポリシーの詳細については、次のマイクロソフトの Web サイトを参照してください。

Group Policy collection (英語情報)

What Is Group Policy Object Editor? (英語情報)

Core Group Policy Tools and Settings (英語情報)

注: 変更を有効にするためには、Internet Explorer を再起動する必要があります。

回避策の影響: COM オブジェクトが Internet Explorer で使用が意図されていない限り、影響はありません。

「COM オブジェクトのインスタンス化のメモリ破損の脆弱性」のよく寄せられる質問 - CAN-2005-1186:

どのようなことが起こる可能性がありますか?

これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用し、影響を受けるコンピュータをリモートで完全に制御する可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。

何が原因で起こりますか?

Internet Explorer が特定の COM オブジェクトを ActiveX コントロールとしてインスタンス化しようとする時、その COM オブジェクトは攻撃者により任意のコードが実行されるような方法でシステムの状態を破損させる可能性があります。

この脆弱性により、攻撃者は何を行う可能性がありますか?

この脆弱性が悪用された場合、攻撃者によりローカル ユーザーと同じ権限が取得される可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

どのように攻撃者はこの脆弱性を悪用する可能性がありますか?

攻撃者は、Internet Explorer を介してこの脆弱性を悪用することを意図して設計された悪意のある Web サイトをホストし、ユーザーにその Web サイトを表示するよう誘導する可能性があります。これにはユーザーが提供したコンテンツまたは広告を受け入れる Web サイト、ユーザーが提供したコンテンツまたは広告をホストする Web サイトおよび侵害された Web サイトなどが含まれる可能性があります。これらの Web サイトには、この脆弱性を悪用しようとする悪意のあるコンテンツが含まれている場合があります。しかし、すべての場合において、攻撃者はユーザーを強制的にこれらの Web サイトに誘導する方法はありません。その代わり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メールまたはインスタント メッセンジャのリクエスト内のリンクをクリックさせることにより、ユーザーを Web サイトに訪問させることが攻撃者にとっての必要条件となります。また、バナー広告またはそのほかの方法により、影響を受けるコンピュータに Web コンテンツを提供する特別な細工がされた Web コンテンツが表示される可能性もあります。

主にどのようなコンピュータがこの脆弱性による危険にさらされますか?

この脆弱性が悪用され、悪意のある操作が行われるには、ユーザーがログオンし、Web サイトを訪問していることが攻撃者にとっての必要条件となります。このため、ワークステーションまたはターミナル サーバーなど、電子メール メッセージの読み取りが行われる、または Internet Explorer が頻繁に使用されるコンピュータが、この脆弱性による危険に最もさらされます。

注: マイクロソフト セキュリティ情報 MS05-052 に含まれているセキュリティ更新プログラムまたはそれ以降のセキュリティ情報で提供されている Internet Explorer 用のセキュリティ更新プログラムをインストールしているお客様は、インターネット ゾーンから発生する攻撃による危険にさらされません。

Windows 98、Windows 98 Second Edition または Windows Millennium Edition はこのセキュリティ情報で解決される脆弱性による深刻な影響を受けますか?

はい。Windows 98、Windows 98 Second Edition および Windows Millennium Edition はこの脆弱性による深刻な影響を受けます。セキュリティ更新プログラムは、Windows Update から利用可能です。深刻度評価システムに関する詳細情報は、次の Web サイトをご覧ください。

この更新プログラムはどのように問題を修正しますか?

すべ