マイクロソフト セキュリティ情報 MS08-017 - 緊急

Web ベースの攻撃のシナリオでは、この脆弱性を悪用しようとする Web ページを含む Web サイトをホストすることが攻撃者にとっての必要条件となります。さらに、侵害された Web サイトおよびユーザーに提供されたコンテンツを受け入れる、またはホストする Web サイトには、この脆弱性を悪用する可能性のある特別な細工のされたコンテンツが含まれている可能性があります。攻撃者は、特別な細工がされた Web サイトにユーザーを強制的に訪問させることはできません。その代わり、通常、ユーザーに電子メールまたはインスタント メッセンジャーのメッセージ内の攻撃者の Web サイトへのリンクをクリックさせ、その Web サイトにユーザーを誘導することが攻撃者にとっての必要条件となります。

この脆弱性が悪用された場合、攻撃者がローカル ユーザーと同じ権限を取得する可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

既定で、すべてのサポートされている Microsoft Outlook および Microsoft Outlook Express のリリースは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンは HTML 形式の電子メールの読み取り時に ActiveX コントロールが使用されないようにして、この脆弱性を悪用した攻撃を削減する手助けを行います。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。

既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」 と呼ばれる制限されたモードで実行されます。このモードはインターネット ゾーンのセキュリティ レベルを「高」に設定します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」です。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ情報に関する「よく寄せられる質問」をご覧ください。

Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐ

レジストリのコントロールに Kill Bit を設定することにより、Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐことができます。

警告: レジストリ エディタを不適切に使用すると、深刻な問題が生じ、オペレーティング システムの再インストールが必要となる場合があります。マイクロソフトは、レジストリ エディタの不正な使用による問題の解決を保証することはできません。レジストリ エディタは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディタ (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。

注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。

コントロールが Office Web コンポーネントで実行されないようにするためのステップの詳細は、サポート技術情報 240797 をご覧ください。このサポート技術情報に記載されているステップに従い、レジストリに "Compatibility Flags" の値を作成し、Office Web コンポーネント ライブラリが実行されることを防ぎます。

注: ライブラリ オブジェクトが含まれているクラス識別子および対応するファイルは、よく寄せられる質問の「この更新プログラムはどのように脆弱性を排除しますか?」に記載されています。

CLSID の Kill bit を {0002E510-0000-0000-C000-000000000046} および {0002E511-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E510-0000-0000-C000-000000000046}
"Compatibility Flags"=dword:00000400

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E511-0000-0000-C000-000000000046}
"Compatibility Flags"=dword:00000400

この .reg ファイルをダブルクリックすることにより、個々のコンピュータに適用することができます。グループ ポリシーを使用し、ドメインに適用することもできます。グループ ポリシーの詳細については、次のマイクロソフトの Web サイトを参照してください。

注: 変更を有効にするためには、Internet Explorer を再起動する必要があります。

回避策の影響: Office Web コンポーネントを無効にすると、Internet Explorer がコントロールを初期化しなくなります。この構成により、Office Web コンポーネント機能が必要となる場合、プログラムの互換性問題が起こります。

回避策の解除方法: 次のステップに従うことにより、上記で説明した回避策を解除することができます。

警告: レジストリ エディタを不適切に使用すると、深刻な問題が生じ、オペレーティング システムの再インストールが必要となる場合があります。マイクロソフトは、レジストリ エディタの不正な使用による問題の解決を保証することはできません。レジストリ エディタは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディタ (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。

注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。

CLSID の Kill bit を {0002E510-0000-0000-C000-000000000046} および {0002E511-0000-0000-C000-000000000046} の値で解除するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。

Windows Registry Editor Version 5.00

CLSID_OWC9_Spreadsheet, {0002E510-0000-0000-C000-000000000046}
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E510-0000-0000-C000-000000000046}]

CLSID_OWC9_Spreadsheet, {0002E511-0000-0000-C000-000000000046}
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E511-0000-0000-C000-000000000046}]

この .reg ファイルをダブルクリックすることにより、個々のコンピュータに適用することができます。グループ ポリシーを使用し、ドメインに適用することもできます。

Office Web コンポーネント 2000 ライブラリの登録を解除する

警告: レジストリ エディタを不適切に使用すると、深刻な問題が生じ、オペレーティング システムの再インストールが必要となる場合があります。マイクロソフトは、レジストリ エディタの不正な使用による問題の解決を保証することはできません。レジストリ エディタは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディタ (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。

注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。

Regsvr32.exe /u "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"
                     

Regsvr32.exe /u "C:\Program Files\Microsoft Office\Office10\MSOWC.DLL"
                     

回避策の影響: Office Web コンポーネント機能を必要とするアプリケーションが機能しなくなります。

回避策の解除方法: Office Web コンポーネント 2000 を再登録するためには、次のステップに従ってください。

Regsvr32.exe "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"
                     

Regsvr32.exe "C:\Program Files\Microsoft Office\Office10\MSOWC.DLL"
                     

Web ベースの攻撃のシナリオでは、この脆弱性を悪用しようとする Office ファイルが含まれている Web サイトをホストすることが攻撃者にとっての必要条件となります。さらに、侵害された Web サイトおよびユーザーに提供されたコンテンツを受け入れる、またはホストする Web サイトには、この脆弱性を悪用する可能性のある特別な細工のされたコンテンツが含まれている可能性があります。攻撃者は、特別な細工がされた Web サイトにユーザーを強制的に訪問させることはできません。その代わり、通常、ユーザーに電子メールまたはインスタント メッセンジャーのメッセージ内の攻撃者の Web サイトへのリンクをクリックさせ、その Web サイトにユーザーを誘導することが攻撃者にとっての必要条件となります。

この脆弱性が悪用された場合、攻撃者がローカル ユーザーと同じ権限を取得する可能性があります。コンピュータでユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

既定で、すべてのサポートされている Microsoft Outlook および Microsoft Outlook Express のリリースは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンは HTML 形式の電子メールの読み取り時に ActiveX コントロールが使用されないようにして、この脆弱性を悪用した攻撃を削減する手助けを行います。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。

既定で、Windows Server 2003 上の Internet Explorer は、「セキュリティ強化の構成」 と呼ばれる制限されたモードで実行されます。このモードはインターネット ゾーンのセキュリティ レベルを「高」に設定します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」です。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ情報に関する「よく寄せられる質問」をご覧ください。

Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐ

レジストリのコントロールに Kill Bit を設定することにより、Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐことができます。

警告: レジストリ エディタを不適切に使用すると、深刻な問題が生じ、オペレーティング システムの再インストールが必要となる場合があります。マイクロソフトは、レジストリ エディタの不正な使用による問題の解決を保証することはできません。レジストリ エディタは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディタ (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。

注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。

コントロールが Office Web コンポーネントで実行されないようにするためのステップの詳細は、サポート技術情報 240797 をご覧ください。このサポート技術情報に記載されているステップに従い、レジストリに "Compatibility Flags" の値を作成し、Office Web コンポーネント ライブラリが実行されることを防ぎます。

注: ライブラリ オブジェクトが含まれているクラス識別子および対応するファイルについては、よく寄せられる質問の「この更新プログラムはどのように脆弱性を排除しますか?」に記載されています。

CLSID の Kill bit を {0002E533-0000-0000-C000-000000000046} および {0002E530-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E533-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E530-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400

この .reg ファイルをダブルクリックすることにより、個々のコンピュータに適用することができます。グループ ポリシーを使用し、ドメインに適用することもできます。グループ ポリシーの詳細については、次のマイクロソフトの Web サイトを参照してください。

注: 変更を有効にするためには、Internet Explorer を再起動する必要があります。

回避策の影響: Office Web コンポーネント機能を必要とするアプリケーションが機能しなくなります。

回避策の解除方法: 次のステップに従うことにより、上記で説明した回避策を解除することができます。

警告: レジストリ エディタを不適切に使用すると、深刻な問題が生じ、オペレーティング システムの再インストールが必要となる場合があります。マイクロソフトは、レジストリ エディタの不正な使用による問題の解決を保証することはできません。レジストリ エディタは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディタ (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。

注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。

CLSID の Kill bit を {0002E533-0000-0000-C000-000000000046} および {0002E530-0000-0000-C000-000000000046} の値で解除するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。

Windows Registry Editor Version 5.00

CLSID_OWC9_Spreadsheet, {0002E533-0000-0000-C000-000000000046}
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E533-0000-0000-C000-000000000046}]

CLSID_OWC9_Spreadsheet, {0002E530-0000-0000-C000-000000000046}
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E530-0000-0000-C000-000000000046}]

この .reg ファイルをダブルクリックすることにより、個々のコンピュータに適用することができます。グループ ポリシーを使用し、ドメインに適用することもできます。

Office Web コンポーネント 2000 ライブラリの登録を解除する

警告: レジストリ エディタを不適切に使用すると、深刻な問題が生じ、オペレーティング システムの再インストールが必要となる場合があります。マイクロソフトは、レジストリ エディタの不正な使用による問題の解決を保証することはできません。レジストリ エディタは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディタ (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。

注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。

Regsvr32.exe /u "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"
                     

Regsvr32.exe /u "C:\Program Files\Microsoft Office\Office10\MSOWC.DLL"
                     

回避策の影響: Office Web コンポーネント機能を必要とするアプリケーションが機能しなくなります。

回避策の解除方法: Office Web コンポーネント 2000 を再登録するためには、次のステップに従ってください。

Regsvr32.exe "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"
                     

Regsvr32.exe "C:\Program Files\Microsoft Office\Office10\MSOWC.DLL"