マイクロソフト セキュリティ アドバイザリ (971888)

アドバイザリの目的: お客様がコンピューターを保護された状態に保つ手助けとなるセキュリティ以外の更新プログラムが利用可能となったことをお知らせし、またこの更新プログラムの説明をすることです。

アドバイザリの状況: マイクロソフト サポート技術情報および関連の更新プログラムを公開しました。

推奨する対応策: 関連するサポート技術情報を確認し、適切な更新プログラムを適用してください。

このアドバイザリは次のソフトウェアについて説明しています。

このアドバイザリの目的は何ですか?
このアドバイザリの目的は、ドメインに参加していても、DNS サフィックス一覧を構成していないコンピューターについて、組織の境界を定義する手助けとなる更新プログラムが利用可能となったことをお知らせすることです。これは「概要」のセクションの一覧に記載されているソフトウェア用の更新プログラムです。

トップ レベル ドメイン (TLD) とは何ですか?
トップ レベル ドメイン (TLD) とは、インターネット ドメイン名の最後の部分です。すべてのドメイン名の最後のドット以降の文字です。例えば、ドメイン名が wpad.western.corp.contoso.co.us である場合、TLD は「.us」です。TLD は主に次の 2 種類に分かれます。国のコードおよび一般的なもの。TLD が国のコードである場合は、各国名を短縮した 2 文字です。つまり、.us は米国 (United States) です。一般的な TLD は、従来からよく目にする短縮された 3 文字 (またはそれ以上) である .com、.net、.org などです。利用可能な TLD の一覧については IANA をご覧ください。

プライマリ DNS サフィックス (PDS) とは何ですか?
これは、コンピューターの単一ラベルのホスト名の右側に付いているドメイン名です。完全修飾ドメイン名 (FQDN) は <ホスト名>.<プライマリ DNS サフィックス> と定義できます。既定で、コンピューターの FQDN のプライマリ DNS サフィックスの部分は、コンピューターが参加している Active Directory ドメインの名前と同じです。しかし、コンピューターの PDS は、[マイ コンピューター] から [プロパティ] ダイアログ ボックスを介し構成された場合、コンピューターが参加している DNS ドメインとは異なる可能性があります。

第 2 レベル ドメイン (SLD) とは何ですか?
第 2 レベル ドメイン (SLD) とは、TLD の「下位」または左側にあるドメインです。前述の例で、wpad.western.corp.contoso.co.us の SLD は「.co」です。SLD の登録で最も一般的なものは、国のコードの TLD の下にあるものです。たとえば、コロラド州については「.co.us」のように、米国は主に米国の州の登録に SLD を使用しています。米国以外の SLD では「.com.sg」のように一般的な TLD 名が頻繁に再使用されます。

DNS デボルブ機能は何を行いますか？
デボルブは Windows DNS クライアントの機能です。デボルブは Windows DNS クライアントが単一レベルの非修飾ホスト名についての DNS クエリを解決するプロセスです。クエリは、ホスト名に PDS を付け加えることにより構成されます。クエリは体系的に、ホスト名 ＋ 残りの PDS 解決となるまで、または削除された PDS で 2 つのラベルのみが残るまで、PDS のいちばん左のラベルを削除することにより、再試行されます。たとえば、western.corp.contoso.co.us ドメインの「Single-label」を見つけている Windows クライアントは、解決するコンピューターを見つけるまで、Single-label.western.corp.contoso.co.us、Single-label.corp.contoso.co.us、Single-label.contoso.co.us、Single-label.co.us と次々にクエリを実行します。このプロセスがデボルブと呼ばれます。DNS クライアント サービスおよびデボルブに関する追加情報は、TCP/IP Fundamentals for Windows, Chapter 9 - Windows Support for DNS (英語情報) の Name Resolution for Single-Label, Unqualified Domain Names のセクションをご覧ください。

何が原因でこの危険が生じますか?
悪意のあるユーザーが組織の境界外にある単一のラベル名を持つコンピューターをホストし、Windows DNS クライアントに DNS デボルブが組織の境界内にあるかのように接続させることができる可能性があるため、この危険が生じます。例えば、エンタープライズの DNS サフィックスが corp.contoso.co.us で、非修飾ホスト名の「Single-Label」を解決しようとする場合、DNS リゾルバーは Single-Label.corp.contoso.co.us を試行します。検出されない場合、DNS デボルブで Single-label.contoso.co.us を解決しようとしますが、それでも検出されない場合、contoso.co.us ドメイン外の Single-label.co.us を試行します。

組織の境界外にいってしまうクエリに対し、どのような影響がありますか?
組織の境界をすり抜けるクエリにより、その影響は異なります。

すべてのクエリが内部の IP アドレスを公開する可能性があります。ネットワーク クライアントは悪意のあるサーバーと資格情報を交換する可能性があります。クエリが WPAD サーバーについてのものである場合、悪意のあるプロキシがクライアント コンピューターに設定されている可能性があります。

この更新プログラムは現在の DNS デボルブの動作を変更しますか?
はい。この更新プログラムは Windows クライアントのドメインがどれであるかをチェックし、DNS クエリをそのドメイン内に制限します。DNS デボルブの動作における変更の詳細情報および例は、サポート技術情報 957579 をご覧ください。

この更新プログラムをインストール後、ユーザー エクスペリエンスに何か変更はありますか?
はい。この更新プログラムのインストール後、DNS リゾルバーは Windows クライアントのドメイン設定に基づくレベルに対してのみデボルブを実行するようになります。これにより、この動作に依存しているアプリケーションまたは構成が破損する可能性があります。DNS デボルブの動作における変更の詳細情報および例は、サポート技術情報 957579 をご覧ください。

これは、セキュリティ以外の更新プログラムに関するセキュリティ アドバイザリです。矛盾がありませんか?
セキュリティ アドバイザリは、セキュリティ情報が必要ないものの、お客様のセキュリティ全体に影響を与える可能性があるセキュリティの変更に対応するものです。セキュリティ アドバイザリは、脆弱性として分類されておらずセキュリティ情報の公開を必要としない問題、またはセキュリティ情報がリリースされていない問題について、マイクロソフトがお客様に提供するセキュリティ関連の情報です。今回の場合、マイクロソフトはセキュリティ更新プログラムを含む今後の更新プログラムの実行に影響する更新プログラムの提供を検討しています。従って、このアドバイザリは特定のセキュリティの脆弱性を解決するというよりはむしろ、お客様のセキュリティ全般に対応するものです。

この更新プログラムはどのように提供されますか?
このセキュリティ更新プログラムはマイクロソフト ダウンロード センターからダウンロードすることができます。「概要」のセクションの「影響を受けるソフトウェア」の表に特定の影響を受けるソフトウェア用の更新プログラムのダウンロード サイトへの直接のリンクを記載しています。この更新プログラムおよび動作への変更に関する詳細情報は、サポート技術情報 957579 をご覧ください。

この更新プログラムは自動更新により提供されますか?
いいえ。これらの更新プログラムは自動更新のメカニズムでは提供されません。このセキュリティ更新プログラムはマイクロソフト ダウンロード センターでのみダウンロードすることができます。「概要」のセクションの「影響を受けるソフトウェア」の表に特定の影響を受けるソフトウェア用の更新プログラムのダウンロード サイトへの直接のリンクを記載しています。

なぜこれはセキュリティ情報で公開されるセキュリティ更新プログラムではないのですか?
これは構成の問題です。DNS デボルブは意図されて動作しており、DNS デボルブに依存して組織の境界外の資産に正当にアクセスし、それらを内部の資産として扱っているお客様もいらっしゃる場合があります。

この更新プログラムはなぜセキュリティ アドバイザリで提供されるのですか?
お客様の環境で Windows クライアントがデボルブを使用していることをご存じでない場合もあります。デボルブにより、クライアントが境界外のコンピューターを内部の資産として扱うことができる可能性があり、このため、資格情報を提供する、またはクライアント自体を情報漏えいの類の脆弱性にさらす可能性があります。