マイクロソフト セキュリティ アドバイザリ (945713)
Web プロキシ自動発見 (WPAD) の脆弱性により情報漏えいが起こる
マイクロソフトは、Windows が完全修飾ドメイン名 (FQDN) 以外のホスト名を解決する方法に存在する脆弱性について、新たに一般に公開された報告を調査中です。影響を受ける技術は、Web プロキシ自動発見 (WPAD) です。マイクロソフトは現時点で、この脆弱性が一般で悪用され、お客様が攻撃または影響を受けたという情報は得ていません。マイクロソフトは、この一般で報告された脆弱性を継続して積極的に調査中です。ドメイン名が第 3 レベルまたはより深い階層で始まる場合 (例: contoso.co.us)、または緩和策を適用していない場合、この脆弱性の影響を受ける可能性があります。この調査の完了時に、マイクロソフトはお客様を保護する手助けとなる適切なアクションを行う予定です。これには、マイクロソフトの月例のリリース プロセスによるセキュリティ更新プログラムの提供またはお客様のニーズにより、月例のリリース プロセス外でのセキュリティ更新プログラムの提供が含まれる場合があります。
問題を緩和する要素:
| • | コンピュータにプライマリ DNS サフィックスを構成していないお客様は、この脆弱性の影響を受けません。ほとんどの場合、ドメインのメンバではないホーム ユーザーはプライマリ DNS サフィックスを構成していません。インターネット サービス プロバイダ (ISP) から接続専用の DNS サフィックスが提供されている可能性はありますが、これらの構成の場合、この脆弱性による影響を受けることはありません。 |
| • | トップ レベル ドメイン (TLD) の下に第 2 レベル ドメイン (SLD) に DNS ドメイン名を登録しているお客様は、この脆弱性の影響を受けません。お客様の DNS サフィックスがこのような登録の場合は、この脆弱性の影響を受けません。例えば、contoso.com または fabrikam.gov などは、それぞれ “.com” および “.gov” の TLD の下にお客様登録の SLD “contoso” および “fabrikam” があるので、影響を受けません。 |
| • | DHCP サーバーの構成でプロキシ サーバーを指定しているお客様はこの脆弱性の影響を受けません。 |
| • | お客様の組織で信頼済み WPAD サーバーをご使用の場合は、この脆弱性の影響を受けません。(WPAD サーバー上に WPAD.DAT ファイルを作成する手順は、「回避策」のセクションをご覧ください。) |
| • | Internet Explorer のプロキシ サーバーを手動で指定しているお客様が Internet Explorer をご利用の場合、危険にさらされることはありません。 |
| • | Internet Explorer の「設定を自動的に検出する」を無効にしているお客様が Internet Explorer をご利用の場合、危険にさらされることはありません。 |
詳細
概要 |
よく寄せられる質問 |
推奨するアクション |
謝辞:
この問題を連絡し、顧客の保護に協力してくださった下記の方に対し、マイクロソフトは深い謝意 を表します。
| • | Web プロキシ自動発見 (WPAD) の脆弱性を報告し、マイクロソフトに協力してくださった Beau Butler 氏 |
リソース:
| • | US マイクロソフト セキュリティ アドバイザリ (945713) |
| • | テクニカル サポートならびに利用可能なサポート オプションに関する詳細はマイクロソフト サポート オンラインをご覧ください。 |
| • | セキュリティ関連、およびセキュリティ更新プログラムに関するご質問や、ご不明な点などありましたら、マイクロソフト セキュリティ 情報センターまでご連絡ください。利用可能なサポート オプションに関する詳細はマイクロソフト サポート オンラインをご覧ください。 |
| • | その他、製品に関するご質問は、マイクロソフト プロダクト サポートへの連絡方法はこちらをご覧ください。 |
| • | Microsoft Technet セキュリティ センターでは、製品に関するセキュリティ情報を提供しています。 |
免責:
この文書に含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行ないません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社 及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社 またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。
更新履歴:
| • | 2007/12/04: アドバイザリを公開しました。 |
| • | 2007/12/11: このアドバイザリを更新し、回避策の [ドメイン サフィックス検索リストを構成する] にてレジストリに設定するキーの名前を "Search" から "SearchList" に変更しました。 |