マイクロソフト セキュリティ情報 MS09-031 - 重要
Microsoft ISA Server 2006 の脆弱性により、特権が昇格される (970953)
概説
要点
このセキュリティ更新プログラムは非公開で報告された Microsoft Internet Security and Acceleration (ISA) Server 2006 に存在する脆弱性を解決します。この脆弱性で、攻撃者が Radius ワン タイム パスワード (OTP) 認証および Kerberos の制約付き委任での認証委任が構成されている ISA サーバーの管理者ユーザー アカウントの偽装 (Impersonate) に成功した場合、特権が昇格される可能性があります。
このセキュリティ更新プログラムは Microsoft Internet Security and Acceleration (ISA) Server 2006 について深刻度「重要」と評価されています。詳細情報は、このセクションの「影響を受けるソフトウェアおよび影響を受けないソフトウェア」のサブセクションをご覧ください｡
このセキュリティ更新プログラムは Radius OTP を使用して認証できないリクエストを拒否することにより、この脆弱性を解決します｡この脆弱性の詳細情報は、次の「脆弱性の情報」のセクションの特定の脆弱性に関するサブセクション「よく寄せられる質問 (FAQ)」をご覧ください｡
推奨する対応策: マイクロソフトはお客様に更新プログラム管理ソフトウェアを使用して、または Microsoft Update サービスで更新プログラムをチェックして、この更新プログラムを可能な限り早期に適用することを推奨します｡
既知の問題: サポート技術情報 970953 で、このセキュリティ更新プログラムのインストール時に発生する可能性がある既知の問題に関して説明しています。また、これらの問題に対する推奨される解決策についても説明しています。なお、既知の問題および推奨される解決策がこのソフトウェアの特定のリリースにのみ該当する場合は、サポート技術情報に関連のリンクを掲載します｡
US マイクロソフトセキュリティ情報: http://www.microsoft.com/technet/security/bulletin/MS09-031.mspx
影響を受けるソフトウェアおよび影響を受けないソフトウェア
次の影響を受けるソフトウェアおよび影響を受けないソフトウェアの表では、サポート ライフサイクルが終了したソフトウェア バージョンは含んでいません｡ご使用中の製品およびバージョンのサポートライフ サイクルを確認するためには、マイクロソフト サポート ライフサイクルの Web サイトをご覧ください｡
影響を受けるソフトウェアおよびそのダウンロード先:
このマークをクリックして、PC/AT 互換機用または NEC PC-9800 シリーズ用の更新プログラムをダウンロードしてください｡
更新プログラムをダウンロードおよびインストールする方法は、更新プログラムのダウンロード方法および更新プログラムのインストール方法をご覧ください｡
| ソフトウェア | 更新プログラム | 最も深刻な脆弱性の影響 | 総合的な深刻度 | この更新プログラムによって置き換えられるセキュリティ情報 |
Microsoft Internet Security and Acceleration Server 2006(KB970811) |
| 特権の昇格 | 重要 | なし |
Microsoft Internet Security and Acceleration Server 2006 Supportability Update(KB970811) |
| 特権の昇格 | 重要 | なし |
Microsoft Internet Security and Acceleration Server 2006 Service Pack 1(KB971143) |
| 特権の昇格 | 重要 | なし |
影響を受けないソフトウェア
| ソフトウェア |
Microsoft Forefront Threat Management Gateway, Medium Business Edition |
Microsoft Internet Security and Acceleration Server 2000 Enterprise Edition Service Pack 2 |
Microsoft Internet Security and Acceleration Server 2000 Standard Edition Service Pack 2 |
Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3 |
Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3 |
このセキュリティ更新プログラムに関するよく寄せられる質問 (FAQ) |
脆弱性の詳細
次の深刻度の評価は脆弱性による影響が最大であった場合を前提としています｡このセキュリティ情報のリリース後 30 日以内に、深刻度の評価およびセキュリティ上の影響に関連する脆弱性が悪用される可能性に関する情報は、7月 のセキュリティ情報の「Exploitability Index (悪用可能性指標)」のセクションをご覧ください。詳細については、Microsoft Exploitability Index (悪用可能性指標)をご覧ください｡
深刻度および脆弱性識別番号 |
Radius OTP バイパスの脆弱性 - CVE-2009-1135 |
Radius OTP が構成されている場合、ISA Server 2006 認証に特権の昇格の脆弱性が存在します。この脆弱性により、認証されていないユーザーが Web サイトで公開されているリソースにアクセスできる可能性があります｡攻撃者が管理者アカウントのユーザー名を知っており、この脆弱性を悪用した場合、認証についての ISA Server 2006 の Web 公開ルールに依存しているコンピューターを完全に制御する可能性があります｡その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります｡
Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2009-1135 をご覧ください｡
「Radius OTP バイパスの脆弱性」の問題を緩和する要素 - CVE-2009-1135: |
「Radius OTP バイパスの脆弱性」の回避策 - CVE-2009-1135: |
「Radius OTP バイパスの脆弱性」のよく寄せられる質問 - CVE-2009-1135: |
セキュリティ更新プログラムに関する情報
検出および展開ツールとガイダンス |
セキュリティ更新プログラムの展開 |
影響を受けるソフトウェア
影響を受けるソフトウェアに関する特定のセキュリティ更新プログラムについての情報は、該当のリンクをご覧ください｡
Internet Security and Acceleration Server 2006 (すべてのバージョン) |
参照表
次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています｡追加情報については、このセクション「展開に関する情報」のサブセクションをご覧ください｡
| 参照表 | |
| この修正を含む予定のサービスパック | |
この問題に対する修正は今後リリースされる更新プログラムのロールアップに含まれる可能性があります｡ | |
| 展開 | |
ユーザーによる操作を必要としないインストール | Internet Security and Acceleration Server 2006: |
Internet Security and Acceleration Server 2006 Supportability Update: | |
Internet Security and Acceleration Server 2006 Service Pack 1: | |
再起動しないインストール | Internet Security and Acceleration Server 2006: |
Internet Security and Acceleration Server 2006 Supportability Update: | |
Internet Security and Acceleration Server 2006 Service Pack 1: | |
ログファイル | 下記の表の一覧にある、[サポートされているセキュリティ更新プログラムのインストールスイッチ] をご覧ください。 |
詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください｡ |
| 再起動に関する情報 | |
再起動の必要性 | あり｡セキュリティ更新プログラムを適用してから、コンピューターを再起動する必要があります｡ |
ホットパッチ | 対象外です｡ |
| 削除に関する情報 | |
[コントロール パネル] の [プログラムの追加と削除] を使用してください｡ | |
| ファイル情報 | |
このセクション内の「ファイル情報」サブセクション、または、マイクロソフト サポート技術情報 970953 をご覧ください｡ | |
| レジストリキーの確認 | |
Internet Security and Acceleration Server 2006: Internet Security and Acceleration Server 2006 Supportability Update: Internet Security and Acceleration Server 2006 Service Pack 1: | |
ファイル情報 |
展開に関する情報 |
その他の情報
Microsoft Active Protections Program (MAPP)
お客様のセキュリティ保護をより向上させるために、マイクロソフトは、月例のセキュリティ更新プログラムの公開に先立ち、脆弱性情報を主要なセキュリティ ソフトウェア プロバイダーに提供しています｡セキュリティ ソフトウェア プロバイダーは、この脆弱性の情報を使用し、ウイルス対策、ネットワーク ベースの侵入検出システムまたはホスト ベースの侵入防止システムを介して、お客様に最新の保護環境を提供します｡この様な保護環境を提供するセキュリティ ソフトウェア ベンダーの情報は、Microsoft Active Protections Program (MAPP) Partners (英語情報) に記載されている各社の Web サイトをご覧ください｡
サポート
| • | セキュリティ関連、およびセキュリティ更新プログラムに関するご質問や、ご不明な点などありましたら、マイクロソフト セキュリティ情報センターまでご連絡ください｡ |
| • | その他、製品に関するご質問は、マイクロソフト プロダクト サポートまでご連絡ください｡マイクロソフトでは、お問い合わせの内容が弊社製品の不具合が原因である場合、無償またはインシデントの未消費にてサポートをご提供いたします｡ |
免責条項
本セキュリティ情報に含まれている情報は、いかなる保証もない現状ベースで提供されるものです｡Microsoft Corporation 及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません｡さらに、Microsoft Corporation 及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行いません｡Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません｡Microsoft Corporation、その関連会社及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません｡（Microsoft Corporation、その関連会社またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます｡) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります｡
更新履歴
| • | 2009/07/15: このセキュリティ情報ページを公開しました｡ |