|
マイクロソフト セキュリティ情報 MS09-043 - 緊急Microsoft Office Web コンポーネントの脆弱性により、リモートでコードが実行される (957638)公開日: 2009年8月12日 | 最終更新日: 2009年8月12日  
要点このセキュリティ更新プログラムは、特別な細工がされた Web ページをユーザーが表示した場合、リモートでコードが実行される可能性がある Microsoft Office Web コンポーネントに存在する非公開で報告されたいくつかの脆弱性を解決します。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 すべてのサポートされているエディションの Microsoft Office XP、Microsoft Office 2003、Microsoft Office 2000 Web Components、Microsoft Office XP Web Components、Microsoft Office 2003 Web Components、2007 Microsoft Office system 用の Microsoft Office 2003 Web Components、Microsoft Internet Security and Acceleration Server 2004 Standard Edition、Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition、Microsoft Internet Security and Acceleration Server 2006、Microsoft BizTalk Server 2002、Microsoft Visual Studio .NET 2003 および Microsoft Office Small Business Accounting 2006 について、このセキュリティ更新プログラムの深刻度は「緊急」と評価されています。 詳細情報は、このセクションの「影響を受けるソフトウェアおよび影響を受けないソフトウェア」のサブセクションをご覧ください。 このセキュリティ更新プログラムは、ActiveX コントロールが Internet Explorer で使用される時にメモリの割り当ての処理を修正し、Office Web コンポーネント Active X コントロールのメソッドの確認の論理を修正し、追加のパラメーター確認を行うことにより、これらの脆弱性を解決します。この脆弱性に関する詳細情報は、次の「脆弱性の情報」のセクションの下の特定の脆弱性のエントリに関するサブセクション「よく寄せられる質問 (FAQ)」をご覧ください。 このセキュリティ更新プログラムは、最初にマイクロソフト セキュリティ アドバイザリ 973472 で説明した脆弱性も解決します。このセキュリティ情報で提供しているセキュリティ更新プログラムは、マイクロソフト セキュリティ アドバイザリ 973882 で説明した脆弱性とは関連ありません。
推奨する対応策: 自動更新を有効にしている場合、このセキュリティ更新プログラムが自動的にダウンロードされインストールされるため、特別な操作を行う必要はありません。自動更新を有効にしていない場合、この更新プログラムを手動で確認し、インストールする必要があります。自動更新の具体的な構成オプションに関する情報は、サポート技術情報 294781 をご覧ください。 既知の問題: マイクロソフト サポート技術情報 957638 には、このセキュリティ更新プログラムをインストールする際に起こる可能性のある既知の問題に関して説明されています。 US マイクロソフトセキュリティ情報: http://www.microsoft.com/technet/security/bulletin/MS09-043.mspx 影響を受けるソフトウェアおよび影響を受けないソフトウェア次の影響を受けるソフトウェアおよび影響を受けないソフトウェアの表では、サポート ライフサイクルが終了したソフトウェア バージョンは含んでいません。ご使用中の製品およびバージョンのサポートライフ サイクルを確認するためには、マイクロソフト サポート ライフサイクルの Web サイトをご覧ください。 影響を受けるソフトウェアおよびそのダウンロード先:  このマークをクリックして、PC/AT 互換機用または NEC PC-9800 シリーズ用の更新プログラムをダウンロードしてください。
更新プログラムをダウンロードおよびインストールする方法は、更新プログラムのダウンロード方法および更新プログラムのインストール方法をご覧ください。
Microsoft Office XP Service Pack 3
(KB947320) |
| リモートでコードが実行される | 緊急 | MS08-017 |
Microsoft Office 2003 Service Pack 3
(KB947319) |
| リモートでコードが実行される | 緊急 | なし |
Microsoft Office 2000 Web Components Service Pack 3
(KB947320) |
| リモートでコードが実行される | 緊急 | MS08-017 |
Microsoft Office XP Web Components Service Pack 3
(KB947320) |
| リモートでコードが実行される | 緊急 | MS08-017 |
Microsoft Office 2003 Web Components Service Pack 3
(KB947319) |
| リモートでコードが実行される | 緊急 | なし |
2007 Microsoft Office system 用 Microsoft Office 2003 Web Components Service Pack 1
**
(KB947318) |
| リモートでコードが実行される | 緊急 | なし |
Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3*
(KB947826) |
| リモートでコードが実行される | 緊急 | なし |
Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3
(KB947826) |
| リモートでコードが実行される | 緊急 | なし |
Microsoft Internet Security and Acceleration Server 2006 Standard Edition Service Pack 1
(KB947826) |
| リモートでコードが実行される | 緊急 | なし |
Microsoft Internet Security and Acceleration Server Enterprise Edition 2006 Service Pack 1
(KB947826) |
| リモートでコードが実行される | 緊急 | なし |
Microsoft BizTalk Server 2002
(KB971388) |
| リモートでコードが実行される | 緊急 | MS08-017 |
Microsoft Visual Studio .NET 2003 Service Pack 1
(KB969172) |
| リモートでコードが実行される | 緊急 | MS08-017 |
Microsoft Office Small Business Accounting 2006
(KB968377) |
| リモートでコードが実行される | 緊急 | なし |
*Microsoft ISA Server 2004 Standard Edition はスタンドアロン製品として出荷されています。また、Microsoft ISA Server 2004 Standard Edition は Windows Small Business Server Premium Edition Service Pack 1 および Windows Small Business Server 2003 R2 Premium Edition のコンポーネントとしても提供されています。 ** SQL Server 2008 および Microsoft Forefront Threat Management Gateway Medium Business Edition は影響を受けるコンポーネントである 2007 Microsoft Office System 用の Office 2003 Web Components を再配布します。2007 Microsoft Office System コンポーネント用のOffice 2003 Web Components の更新プログラムは SQL Server 2008 および Microsoft Forefront Threat Management Gateway Medium Business Edition を検出し、お客様に更新プログラムを提供します。
影響を受けないソフトウェア 2007 Microsoft Office Suite Service Pack 1 および 2007 Microsoft Office Suite Service Pack 2 | Microsoft Office 2004 for Mac | Microsoft Office 2008 for Mac | Microsoft Office PowerPoint Viewer 2003 | Microsoft Office Word Viewer 2003 | Microsoft Office Word Viewer 2003 Service Pack 3 | Microsoft Office Excel Viewer 2003 | Microsoft Office Excel Viewer 2003 Service Pack 3 | Microsoft Office Excel Viewer | Microsoft Office PowerPoint 2007 Viewer | Microsoft Office PowerPoint Viewer 2007 Service Pack 1 | Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック Service Pack 1 および Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック Service Pack 2 | Microsoft Internet Security and Acceleration Server 2000 Service Pack 2* | Microsoft BizTalk Server 2004 | Microsoft BizTalk Server 2006 | Microsoft BizTalk Server 2009 | Microsoft Visual Studio 2005 | Microsoft Visual Studio 2005 Service Pack 1 | Microsoft Visual Studio 2008 | Microsoft Visual Studio 2008 Service Pack 1 | Microsoft Visual Studio 2010 |
*Microsoft Internet Security and Acceleration Server 2000 Service Pack 2 は、以前公開した OWC 用の更新プログラム MS08-017 で、この脆弱性の悪用を阻止するために必要な Kill Bit を設定しているため、影響を受けません。 | このセキュリティ更新プログラムに関するよく寄せられる質問 (FAQ) |
サポートされている OWC のバージョン、およびそれらに同梱されている Office のバージョンはどのように確認するのですか?
Office Web コンポーネントには 3 つのバージョンがあります。 | • | Office 2000 Web Components | | • | Office XP Web Components | | • | Office 2003 Web Components |
各バージョンは Web ダウンロードとして、また Microsoft Office の対応するバージョンの CD でリリースされました。さらに、各バージョンは次のバージョンの Office とともに再リリースされました。このため、Office XP CD 上の Office 2000 Web Components のバージョンと Office 2003 CD 上の Office XP Web Components のバージョンがあります。Office 2003 Web Components は Office 2007 CD でリリースされていません。しかし、Web サイトにリリースされ、Microsoft Office Project Server 2007 に含まれていました。これらの再リリースは最初のリリースと同じ名前および機能を持ちますが、技術的な理由から、修正目的では別の製品と考えられています。OWC の各バージョンおよびこれは再リリースを含み、同梱している Office のバージョンに従ってサポートされます。このため、Office 2000 を同梱していた Office 2000 Web Components は Office 2000 が 2009 年 7 月 14 日に延長サポートが終了するまで、延長サポートされていました。
しかし、Office XP を同梱していた Office 2000 Web Components のバージョンは Office XP が 2011 年 7 月 12 日に延長サポートが終了するまで、延長サポートされます。これと同じ規則がその他のバージョンの OWC に適用されます。次の表に、すべての異なるバージョンの OWC についてのサポートの節目となる日付を記載します。
OWC 2000 (Office 2000 バージョン) | Office 2000 CD、Web | メインストリーム サポート終了 | 延長サポート終了 | OWC 2000 (Office XP バージョン) | Office XP CD | メインストリーム サポート終了 | 2011 年 7 月 12 日 | OWC XP (Office XP バージョン) | Office XP CD、Web | メインストリーム サポート終了 | 2011 年 7 月 12 日 | OWC XP (Office 2003 バージョン) | Office 2003 CD | メインストリーム サポート終了 | 2014 年 4 月 8 日 | OWC 2003 (Office 2003 バージョン) | Office 2003 CD、Web (バージョン 1-3) | メインストリーム サポート終了 | 2014 年 4 月 8 日 | OWC 2003 (2007 Office system バージョン) | Project Server 2007 CD、Web (バージョン 4) | 2012 年 4 月 10 日 | 2017 年 4 月 11 日 |
Microsoft Office 製品のサポート ライフ サイクルに関する詳細情報は、Microsoft サポート オンラインの Office Products Web サイトをご覧ください。
ファイル情報の詳細はどこにありますか?
ファイル情報の詳細の場所については、「セキュリティ更新プログラムの適用」の参照表をご覧ください。 なぜこの更新プログラムはいくつかの報告されたセキュリティ上の脆弱性を解決するのですか?
これらの問題を解決するために必要な変更が関連するファイルに存在するため、この更新プログラムはいくつかの脆弱性を解決します。ユーザーは、ほぼ同一のファイルを含むいくつもの更新プログラムをインストールする代わりに、この更新プログラムのみをインストールすることができます。 この更新プログラムには、そのほかのセキュリティ関連の変更が含まれますか?
ISA Server の影響を受けるバージョンについて、この更新プログラムはすべての OWC CLSID の kill bit を設定し、Internet Explorer を使用した既知の攻撃の方法を防ぎます。 このセキュリティ情報で説明されているソフトウェアの旧バージョンを使用していますが、どうしたらよいですか?
このセキュリティ情報に記載されている影響を受けるソフトウェアのテストを行い、この脆弱性による影響を評価しました。そのほかのバージョンについてはサポート ライフサイクルが終了しています。ご使用中の製品およびバージョンのサポート ライフサイクルを確認するためには、マイクロソフト サポート ライフサイクルの Web サイトをご覧ください。 今後の脆弱性の影響を受ける可能性を防ぐため、旧バージョンのソフトウェアを使用しているお客様は、サポート対象のバージョンに移行することを強く推奨します。Windows 製品のサポート ライフサイクルに関する詳細情報は、マイクロソフト サポート ライフサイクルをご覧ください。これらのオペレーティング システムのサポート対象サービス パックに関する情報は、こちらをご覧ください。 旧バージョンのソフトウェアに関するカスタムサポートが必要なお客様は、担当営業、またはマイクロソフト アカウント チームの担当者、担当テクニカル アカウント マネージャー (TAM)、またはカスタム サポート オプションのマイクロソフト パートナー担当者までご連絡ください。プレミア契約をお持ちでないお客様は、マイクロソフトサポート契約センター （営業時間 9:30-12:00 13:00-19:00 土日祝祭日を除く TEL:0120-17-0196 FAX:03-5388-8253） までお問い合わせください。連絡先の情報は、Microsoft Worldwide Information Web サイトの Contact Information のプルダウン リストから、国を選択し、[Go] ボタンをクリックすると、連絡先の電話番号が表示されます。お問い合わせの際、現地プレミア サポート営業担当にご連絡ください。詳細情報は、Windows オペレーティング システム FAQ をご覧ください。 次の深刻度の評価は脆弱性による影響が最大であった場合を前提としています。このセキュリティ情報のリリース後 30 日以内に、深刻度の評価およびセキュリティ上の影響に関連する脆弱性が悪用される可能性に関する情報は、8 月 のセキュリティ情報の「Exploitability Index (悪用可能性指標)」のセクションをご覧ください。詳細については、Microsoft Exploitability Index (悪用可能性指標)をご覧ください。 |
Microsoft Office XP Service Pack 3 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急 | Microsoft Office 2003 Service Pack 3 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 対象外 | 緊急 | Microsoft Office 2000 Web Components Service Pack 3 | 対象外 | 対象外 | 対象外 | 緊急
リモートでコードが実行される | 緊急 | Microsoft Office XP Web Components Service Pack 3 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急 | Microsoft Office 2003 Web Components Service Pack 3 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 対象外 | 緊急 | 2007 Microsoft Office system 用 Microsoft Office 2003 Web Components Service Pack 1 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 対象外 | 緊急 | Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 対象外 | 緊急 | Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 対象外 | 緊急 | Microsoft Internet Security and Acceleration Server 2006 Standard Edition Service Pack 1 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 対象外 | 緊急 | Microsoft Internet Security and Acceleration Server 2006 Enterprise Edition Service Pack 1 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 対象外 | 緊急 | Microsoft BizTalk Server 2002 | 対象外 | 対象外 | 対象外 | 緊急
リモートでコードが実行される | 緊急 | Microsoft Visual Studio .NET 2003 Service Pack 1 | 対象外 | 対象外 | 対象外 | 緊急
リモートでコードが実行される | 緊急 | Microsoft Office Small Business Accounting 2006 | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 緊急
リモートでコードが実行される | 対象外 | 緊急 |
| Office Web コンポーネントのメモリの割り当ての脆弱性 - CVE-2009-0562 |
リモートでコードが実行される脆弱性が Office Web コンポーネントの ActiveX コントロールに存在します。攻撃者は特別に細工した Web ページを作成し、この脆弱性を悪用する可能性があります。この脆弱性では、ユーザーが Web ページを表示すると、リモートでコードが実行される可能性があります。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。 Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2009-0562 をご覧ください。 | 「Office Web コンポーネントのメモリの割り当ての脆弱性」の問題を緩和する要素 - CVE-2009-0562: |
「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。 | • | 既定で、Windows Server 2003 および Windows Servers 2008 上の Internet Explorer は、「セキュリティ強化の構成」という制限されたモードで実行されます。 このモードにより、この脆弱性の影響が緩和されます。 Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。
| | • | 既定で、Microsoft Outlook Express 6、Outlook 2002 および Outlook 2003 は、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。また、Outlook 2000 は、Outlook 電子メール セキュリティ更新プログラム がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。Outlook Express 5.5 Service Pack 2 は、MS04-018 がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。 制限付きサイト ゾーンは HTML 形式の電子メール メッセージの読み取り時に ActiveX コントロールが使用されないようにして、この脆弱性を悪用した攻撃を削減する手助けを行います。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。
| | • | Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザーが提供したコンテンツまたは広告を受け入れる、またはホストしている Web サイトに特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャーのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。 | | • | 攻撃者がこの脆弱性を悪用した場合、ローカルのユーザーと同じユーザー権限を取得する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 |
| 「Office Web コンポーネントのメモリの割り当ての脆弱性」の回避策 - CVE-2009-0562: |
回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。 | • | Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐ レジストリのコントロールに Kill Bit を設定することにより、Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐことができます。 警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。 注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。 注: これは ISA Server の更新プログラム パッケージにより行われる操作です。この更新プログラムには ISA Server 用のバイナリは含まれていません。
コントロールが Office Web コンポーネントで実行されないようにするためのステップの詳細は、サポート技術情報 240797 をご覧ください。このサポート技術情報に記載されているステップにしたがい、レジストリに互換フラグの値を作成し、Office Web コンポーネント ライブラリが実行されることを防ぎます。
注: クラス識別子およびライブラリ オブジェクトが含まれている対応するファイルについて、よく寄せられる質問の「この更新プログラムはどのように脆弱性を排除しますか?」に記載されています。
| • | CLSID の Kill Bit を {0002E543-0000-0000-C000-000000000046} および {0002E55B-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E543-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E55B-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400
|
この .reg ファイルをダブルクリックすると、個々のコンピューターに適用できます。グループ ポリシーを使用し、ドメインに適用することもできます。グループ ポリシーの詳細については、次のマイクロソフトの Web サイトを参照してください。
注: 変更を有効にするには、Internet Explorer を再起動する必要があります。
回避策の影響 : Office Web コンポーネントを無効にすると、Internet Explorer がコントロールを初期化しなくなります。この構成により、Office Web コンポーネント機能が必要となる場合、プログラムの互換性問題が起こります。 回避策の解除方法: 次のステップにしたがうことにより、上記で説明した回避策を解除することができます。
警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。
注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。
| • | CLSID の Kill Bit を {0002E543-0000-0000-C000-000000000046} および {0002E55B-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。
Windows Registry Editor Version 5.00
CLSID_OWC10_Spreadsheet, {0002E541-0000-0000-C000-000000000046}[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E543-0000-0000-C000-000000000046}]
CLSID_OWC11_Spreadsheet, {0002E559-0000-0000-C000-000000000046}[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E55B-0000-0000-C000-000000000046}]
|
| | • | Office Web コンポーネント ライブラリの登録を解除する 注: この操作は次の理由のため、ISA Server コンピューターでは機能しません。
| • | Office Web コンポーネントは ISA Server プログラム ディレクトリ (既定で "%ProgramFiles%\Microsoft ISA Server") にインストールされます。
| | • | Office Web コンポーネントは、レポート ジョブが実行されるごとに ISA Server レポート ジョブ メカニズムにより再登録されます。
|
警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。 注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。
| • | OWC 10 について、コマンド プロンプトで次を入力し、実行します。 Regsvr32.exe /u "C:\Program Files\Common Files\Microsoft Shared\Web Components\10\owc10.dll"
| | • | OWC 11 について、コマンド プロンプトで次を入力し、実行します。 Regsvr32.exe /u "C:\Program Files\Common Files\Microsoft Shared\Web Components\11\owc11.dll"
|
回避策の影響 : Office Web コンポーネント機能を必要とするアプリケーションが機能しなくなります。 回避策の解除方法: Office Web コンポーネントを再登録するためには、次のステップにしたがってください。
| • | OWC 10 について、コマンド プロンプトで次を入力し、実行します。
Regsvr32.exe "C:\Program Files\Common Files\Microsoft Shared\Web Components\10\owc10.dll"
| | • | OWC 11 について、コマンド プロンプトで次を入力し、実行します。
Regsvr32.exe "C:\Program Files\Common Files\Microsoft Shared\Web Components\11\owc11.dll"
|
| | • | Web サイトを信頼される Web サイトのみに制限する インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。 これを行うために、次のステップに従ってください。
1. | Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。 | 2. | [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。 | 3. | 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。 | 4. | [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。 | 5. | ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。 | 6. | [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。 |
注: 悪意のある動作がコンピュータ上で行われないと信頼するサイトをすべて追加します。なお、特に追加すべき Web サイトは "*.windowsupdate.microsoft.com” です。(二重引用符は必要ありません。) これらの Web サイトはセキュリティ更新プログラムを提供する Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。
| | • | インターネットおよびローカル イントラネットのゾーンのセキュリティの設定を「高」に設定し、これらのゾーンで ActiveX コントロールを実行する前にダイアログを表示する インターネットのセキュリティ ゾーンの設定を変更し、ActiveX コントロールが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。これは、ブラウザーのセキュリティ設定を「高」に設定して実行します。 Microsoft Internet Explorer のブラウザのセキュリティ レベルを上げるには、以下のステップに従ってください。
1. | Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。 | 2. | [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。 | 3. | [このゾーンのセキュリティのレベル] の下のスライダのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。 |
注: スライダが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダを「高」に移動させます。
注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、そのサイトは、セキュリティが「高」に設定されていても、適切に実行されるようになります。
|
| 「Office Web コンポーネントのメモリの割り当ての脆弱性」のよく寄せられる質問 - CVE-2009-0562: |
どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用して、影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 何が原因で起こりますか?
Internet Explorer で ActiveX コントロールが使用されている場合、そのコントロールがシステム状態を破損させ、攻撃者が任意のコードを実行する可能性があります。 Office Web コンポーネントとは何ですか?
Microsoft Office Web コンポーネントとは、スプレッドシート、グラフ、データベースを Web に公開する、および Web に公開されたコンポーネントを表示するための Component Object Model (COM) コントロールの集合体です。 この脆弱性により、攻撃者は何を行う可能性がありますか?
ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者はこの脆弱性を悪用し、特別に細工した Web サイトをホストし、Internet Explorer を介して ActiveX コントロールを起動させる可能性があります。また、侵害された Web サイトまたはユーザーが提供したコンテンツまたは広告を受け入れるまたはホストする Web サイトが含まれる場合もあります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。 その代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせることにより攻撃者の Web サイトへ誘導します。また、バナー広告や、別の方法を悪用して影響を受けるコンピューターに特別に細工した Web コンテンツを提供し、それを表示する可能性もあります。
主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
ユーザーがログオンし、悪質な動作を起こす可能性がある Web サイトを訪問した場合、この脆弱性が悪用される可能性があります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。管理者がユーザーにサーバーへのログオンおよびプログラムの実行を許可している場合、サーバーが影響を受ける可能性が高くなります。しかし、セキュリティ上の最善策として、これを許可しないことを強く推奨しています。 Windows Server 2003 または Windows Server 2008 用の Internet Explorer を実行しています。これは、この脆弱性の影響を緩和しますか?
はい。既定で、Windows Server 2003 上の Internet Explorer および Windows Server 2008 上の Internet Explorer は、「セキュリティ強化の構成」 と呼ばれる制限されたモードで実行します。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」です。Managing Internet Explorer Enhanced Security Configuration (英語情報) もあわせてご覧ください。 Windows Internet Explorer 7 の ActiveX のオプトインの機能とは何ですか?
Windows Internet Explorer 7 には ActiveX のオプトインの機能が含まれており、ほぼすべてのプリインストールされた ActiveX コントロールが既定で無効にされています。インターネット上でまだ使用されていない、以前インストールされた ActiveX コントロールのインスタンス化を行う前に、情報バーでメッセージが表示されます。これにより、ユーザーは各 ActiveX コントロールへのアクセス許可または拒否を決めることができます。この詳細情報および別の新しい機能については、Internet Explorer 7 の機能をご覧ください。 この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Internet Explorer で ActiveX コントロールが使用された場合のメモリの割り当ての処理を修正することにより、この脆弱性を排除します。 ISA Server の影響を受けるバージョンについて、この更新プログラムはすべての OWC CLSID の kill bit を設定し、Internet Explorerを使用した既知の攻撃の方法を防ぎます。この操作を行っても ISA Server の機能には影響はありません。 このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般に知られていたという情報は受けていませんでした。 このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。 | Office Web コンポーネントのヒープの破損の脆弱性 - CVE-2009-2496 |
リモートでコードが実行される脆弱性が Office Web コンポーネントの ActiveX コントロールに存在します。攻撃者は特別に細工した Web ページを作成し、この脆弱性を悪用する可能性があります。この脆弱性では、ユーザーが Web ページを表示すると、リモートでコードが実行される可能性があります。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。 Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2009-2496 をご覧ください。 | 「Office Web コンポーネントのヒープの破損の脆弱性」の問題を緩和する要素 - CVE-2009-2496: |
「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。 | • | 既定で、Windows Server 2003 上の Internet Explorer および Windows Server 2008 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードにより、この脆弱性の影響が緩和されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。
| | • | 既定で、Microsoft Outlook Express 6、Outlook 2002 および Outlook 2003 は、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。また、Outlook 98 および Outlook 2000 は、Outlook 電子メール セキュリティ更新プログラム がインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開かれます。Outlook Express 5.5 Service Pack 2 は、MS04-018 がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。 制限付きサイト ゾーンは HTML 形式の電子メール メッセージの読み取り時に ActiveX コントロールが使用されないようにして、この脆弱性を悪用した攻撃を削減する手助けを行います。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。
| | • | Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザーが提供したコンテンツまたは広告を受け入れる、またはホストしている Web サイトに特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャーのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。 | | • | 攻撃者がこの脆弱性を悪用した場合、ローカルのユーザーと同じユーザー権限を取得する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 |
| 「Office Web コンポーネントのヒープの破損の脆弱性」の回避策 - CVE-2009-2496: |
回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。 | • | Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐ レジストリのコントロールに Kill Bit を設定することにより、Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐことができます。 警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。 注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。 注: これは ISA Server の更新プログラム パッケージにより行われる操作です。この更新プログラムには ISA Server 用のバイナリは含まれていません。
コントロールが Office Web コンポーネントで実行されないようにするためのステップの詳細は、サポート技術情報 240797 をご覧ください。このサポート技術情報に記載されているステップにしたがい、レジストリに互換フラグの値を作成し、Office Web コンポーネント ライブラリが実行されることを防ぎます。
注: クラス識別子およびライブラリ オブジェクトが含まれている対応するファイルについて、よく寄せられる質問の「この更新プログラムはどのように脆弱性を排除しますか?」に記載されています。
| • | CLSID の Kill Bit を {0002E543-0000-0000-C000-000000000046} および {0002E55B-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E543-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E55B-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400
|
この .reg ファイルをダブルクリックすると、個々のコンピューターに適用できます。グループ ポリシーを使用し、ドメインに適用することもできます。グループ ポリシーの詳細については、次のマイクロソフトの Web サイトを参照してください。
注: 変更を有効にするには、Internet Explorer を再起動する必要があります。
回避策の影響 : Office Web コンポーネントを無効にすると、Internet Explorer がコントロールを初期化しなくなります。この構成により、Office Web コンポーネント機能が必要となる場合、プログラムの互換性問題が起こります。 回避策の解除方法: 次のステップにしたがうことにより、上記で説明した回避策を解除することができます。
警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。
注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。
| • | CLSID の Kill Bit を {0002E543-0000-0000-C000-000000000046} および {0002E55B-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。
Windows Registry Editor Version 5.00
CLSID_OWC10_Spreadsheet, {0002E541-0000-0000-C000-000000000046}[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E543-0000-0000-C000-000000000046}]
CLSID_OWC11_Spreadsheet, {0002E559-0000-0000-C000-000000000046}[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E55B-0000-0000-C000-000000000046}]
|
| | • | Office Web コンポーネント ライブラリの登録を解除する 注: この操作は次の理由のため、ISA Server コンピューターでは機能しません。
| • | Office Web コンポーネントは ISA Server プログラム ディレクトリ (既定で "%ProgramFiles%\Microsoft ISA Server") にインストールされます。
| | • | Office Web コンポーネントは、レポート ジョブが実行されるごとに ISA Server レポート ジョブ メカニズムにより再登録されます。
|
警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。 注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。
| • | OWC 10 について、コマンド プロンプトで次を入力し、実行します。 Regsvr32.exe /u "C:\Program Files\Common Files\Microsoft Shared\Web Components\10\owc10.dll"
| | • | OWC 11 について、コマンド プロンプトで次を入力し、実行します。 Regsvr32.exe /u "C:\Program Files\Common Files\Microsoft Shared\Web Components\11\owc11.dll"
|
回避策の影響 : Office Web コンポーネント機能を必要とするアプリケーションが機能しなくなります。 回避策の解除方法: Office Web コンポーネントを再登録するためには、次のステップにしたがってください。
| • | OWC 10 について、コマンド プロンプトで次を入力し、実行します。
Regsvr32.exe "C:\Program Files\Common Files\Microsoft Shared\Web Components\10\owc10.dll"
| | • | OWC 11 について、コマンド プロンプトで次を入力し、実行します。
Regsvr32.exe "C:\Program Files\Common Files\Microsoft Shared\Web Components\11\owc11.dll"
|
| | • | Web サイトを信頼される Web サイトのみに制限する インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。 これを行うために、次のステップに従ってください。
1. | Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。 | 2. | [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。 | 3. | 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。 | 4. | [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。 | 5. | ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。 | 6. | [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。 |
注: 悪意のある動作がコンピュータ上で行われないと信頼するサイトをすべて追加します。なお、特に追加すべき Web サイトは "*.windowsupdate.microsoft.com” です。(二重引用符は必要ありません。) これらの Web サイトはセキュリティ更新プログラムを提供する Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。
| | • | インターネットおよびローカル イントラネットのゾーンのセキュリティの設定を「高」に設定し、これらのゾーンで ActiveX コントロールを実行する前にダイアログを表示する インターネットのセキュリティ ゾーンの設定を変更し、ActiveX コントロールが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。これは、ブラウザーのセキュリティ設定を「高」に設定して実行します。 Microsoft Internet Explorer のブラウザのセキュリティ レベルを上げるには、以下のステップに従ってください。
1. | Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。 | 2. | [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。 | 3. | [このゾーンのセキュリティのレベル] の下のスライダのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。 |
注: スライダが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダを「高」に移動させます。
注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、そのサイトは、セキュリティが「高」に設定されていても、適切に実行されるようになります。
|
| 「Office Web コンポーネントのヒープの破損の脆弱性」のよく寄せられる質問 - CVE-2009-2496: |
どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用して、影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 何が原因で起こりますか?
ActiveX コントロールが Internet Explorer で使用されている場合、コントロールのメソッドが十分なパラメーターの確認を行わない為、ヒープ オーバーフローが起こり、攻撃者が任意のコードを実行する可能性があります。 Office Web コンポーネントとは何ですか?
Microsoft Office Web コンポーネントとは、スプレッドシート、グラフ、データベースを Web に公開する、および Web に公開されたコンポーネントを表示するための Component Object Model (COM) コントロールの集合体です。 この脆弱性により、攻撃者は何を行う可能性がありますか?
ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者はこの脆弱性を悪用し、特別に細工した Web サイトをホストし、Internet Explorer を介して ActiveX コントロールを起動させる可能性があります。また、侵害された Web サイトまたはユーザーが提供したコンテンツまたは広告を受け入れるまたはホストする Web サイトが含まれる場合もあります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。その代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせることにより攻撃者の Web サイトへ誘導します。また、バナー広告や、別の方法を悪用して影響を受けるコンピューターに特別に細工した Web コンテンツを提供し、それを表示する可能性もあります。 主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
ユーザーがログオンし、悪質な動作を起こす可能性がある Web サイトを訪問した場合、この脆弱性が悪用される可能性があります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。管理者がユーザーにサーバーへのログオンおよびプログラムの実行を許可している場合、サーバーが影響を受ける可能性が高くなります。しかし、セキュリティ上の最善策として、これを許可しないことを強く推奨しています。 Windows Server 2003 または Windows Server 2008 用の Internet Explorer を実行しています。これは、この脆弱性の影響を緩和しますか?
はい。既定で、Windows Server 2003 上の Internet Explorer および Windows Server 2008 上の Internet Explorer は、「セキュリティ強化の構成」 と呼ばれる制限されたモードで実行します。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」です。Managing Internet Explorer Enhanced Security Configuration (英語情報) もあわせてご覧ください。 Windows Internet Explorer 7 の ActiveX のオプトインの機能とは何ですか?
Windows Internet Explorer 7 には ActiveX のオプトインの機能が含まれており、ほぼすべてのプリインストールされた ActiveX コントロールが既定で無効にされています。インターネット上でまだ使用されていない、以前インストールされた ActiveX コントロールのインスタンス化を行う前に、情報バーでメッセージが表示されます。これにより、ユーザーは各 ActiveX コントロールへのアクセス許可または拒否を決めることができます。この詳細情報および別の新しい機能については、Internet Explorer 7 の機能をご覧ください。 この更新プログラムはどのように問題を修正しますか?
このセキュリティ更新プログラムは Office Web コンポーネントの ActiveX コントロールのメソッドの確認の論理を修正することにより、この脆弱性を削除します。 ISA Server の影響を受けるバージョンについて、この更新プログラムはすべての OWC CLSID の kill bit を設定し、Internet Explorer を使用した既知の攻撃の方法を防ぎます。
このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般に知られていたという情報は受けていませんでした。 このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。 | Office Web コンポーネントの HTML スクリプトの脆弱性 - CVE-2009-1136 |
リモートでコードが実行される脆弱性が Office Web コンポーネントの ActiveX コントロールに存在します。攻撃者は特別に細工した Web ページを作成し、この脆弱性を悪用する可能性があります。この脆弱性では、ユーザーが Web ページを表示すると、リモートでコードが実行される可能性があります。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。 Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2009-1136 をご覧ください。 | 「Office Web コンポーネントの HTML スクリプトの脆弱性」の問題を緩和する要素 - CVE-2009-1136: |
「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。 | • | 既定で、Windows Server 2003 上の Internet Explorer および Windows Server 2008 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードにより、この脆弱性の影響が緩和されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。
| | • | 既定で、Microsoft Outlook Express 6、Outlook 2002 および Outlook 2003 は、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。また、Outlook 98 および Outlook 2000 は、Outlook 電子メール セキュリティ更新プログラム がインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開かれます。Outlook Express 5.5 Service Pack 2 は、MS04-018 がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。 制限付きサイト ゾーンは HTML 形式の電子メール メッセージの読み取り時に ActiveX コントロールが使用されないようにして、この脆弱性を悪用した攻撃を削減する手助けを行います。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。
| | • | Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザーが提供したコンテンツまたは広告を受け入れる、またはホストしている Web サイトに特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャーのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。 | | • | 攻撃者がこの脆弱性を悪用した場合、ローカルのユーザーと同じユーザー権限を取得する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 |
| 「Office Web コンポーネントの HTML スクリプトの脆弱性」の回避策 - CVE-2009-1136: |
回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。 | • | Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐ レジストリのコントロールに Kill Bit を設定することにより、Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐことができます。 警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。 注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。 注: これは ISA Server の更新プログラム パッケージにより行われる操作です。この更新プログラムには ISA Server 用のバイナリは含まれていません。
コントロールが Office Web コンポーネントで実行されないようにするためのステップの詳細は、サポート技術情報 240797 をご覧ください。このサポート技術情報に記載されているステップにしたがい、レジストリに互換フラグの値を作成し、Office Web コンポーネント ライブラリが実行されることを防ぎます。
注: クラス識別子およびライブラリ オブジェクトが含まれている対応するファイルについて、よく寄せられる質問の「この更新プログラムはどのように脆弱性を排除しますか?」に記載されています。
| • | CLSID の Kill Bit を {0002E543-0000-0000-C000-000000000046} および {0002E55B-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E543-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E55B-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400
|
この .reg ファイルをダブルクリックすると、個々のコンピューターに適用できます。グループ ポリシーを使用し、ドメインに適用することもできます。グループ ポリシーの詳細については、次のマイクロソフトの Web サイトを参照してください。
注: 変更を有効にするには、Internet Explorer を再起動する必要があります。
回避策の影響 : Office Web コンポーネントを無効にすると、Internet Explorer がコントロールを初期化しなくなります。この構成により、Office Web コンポーネント機能が必要となる場合、プログラムの互換性問題が起こります。 回避策の解除方法: 次のステップにしたがうことにより、上記で説明した回避策を解除することができます。
警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。
注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。
| • | CLSID の Kill Bit を {0002E543-0000-0000-C000-000000000046} および {0002E55B-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。
Windows Registry Editor Version 5.00
CLSID_OWC10_Spreadsheet, {0002E541-0000-0000-C000-000000000046}[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E543-0000-0000-C000-000000000046}]
CLSID_OWC11_Spreadsheet, {0002E559-0000-0000-C000-000000000046}[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E55B-0000-0000-C000-000000000046}]
|
| | • | Office Web コンポーネント ライブラリの登録を解除する 注: この操作は次の理由のため、ISA Server コンピューターでは機能しません。
| • | Office Web コンポーネントは ISA Server プログラム ディレクトリ (既定で "%ProgramFiles%\Microsoft ISA Server") にインストールされます。
| | • | Office Web コンポーネントは、レポート ジョブが実行されるごとに ISA Server レポート ジョブ メカニズムにより再登録されます。
|
警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。 注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。
| • | OWC 10 について、コマンド プロンプトで次を入力し、実行します。 Regsvr32.exe /u "C:\Program Files\Common Files\Microsoft Shared\Web Components\10\owc10.dll"
| | • | OWC 11 について、コマンド プロンプトで次を入力し、実行します。 Regsvr32.exe /u "C:\Program Files\Common Files\Microsoft Shared\Web Components\11\owc11.dll"
|
回避策の影響 : Office Web コンポーネント機能を必要とするアプリケーションが機能しなくなります。 回避策の解除方法: Office Web コンポーネントを再登録するためには、次のステップにしたがってください。
| • | OWC 10 について、コマンド プロンプトで次を入力し、実行します。
Regsvr32.exe "C:\Program Files\Common Files\Microsoft Shared\Web Components\10\owc10.dll"
| | • | OWC 11 について、コマンド プロンプトで次を入力し、実行します。
Regsvr32.exe "C:\Program Files\Common Files\Microsoft Shared\Web Components\11\owc11.dll"
|
| | • | Web サイトを信頼される Web サイトのみに制限する インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。 これを行うために、次のステップに従ってください。
1. | Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。 | 2. | [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。 | 3. | 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。 | 4. | [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。 | 5. | ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。 | 6. | [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。 |
注: 悪意のある動作がコンピュータ上で行われないと信頼するサイトをすべて追加します。なお、特に追加すべき Web サイトは "*.windowsupdate.microsoft.com” です。(二重引用符は必要ありません。) これらの Web サイトはセキュリティ更新プログラムを提供する Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。
| | • | インターネットおよびローカル イントラネットのゾーンのセキュリティの設定を「高」に設定し、これらのゾーンで ActiveX コントロールを実行する前にダイアログを表示する インターネットのセキュリティ ゾーンの設定を変更し、ActiveX コントロールが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。これは、ブラウザーのセキュリティ設定を「高」に設定して実行します。 Microsoft Internet Explorer のブラウザのセキュリティ レベルを上げるには、以下のステップに従ってください。
1. | Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。 | 2. | [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。 | 3. | [このゾーンのセキュリティのレベル] の下のスライダのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。 |
注: スライダが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダを「高」に移動させます。
注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、そのサイトは、セキュリティが「高」に設定されていても、適切に実行されるようになります。
|
| 「Office Web コンポーネントの HTML スクリプトの脆弱性」のよく寄せられる質問 - CVE-2009-1136: |
どのようなことが起こる可能性がありますか?
これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用して、影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 何が原因で起こりますか?
Internet Explorer で ActiveX コントロールが使用されている場合、そのコントロールがシステム状態を破損させ、攻撃者が任意のコードを実行する可能性があります。 Office Web コンポーネントとは何ですか?
Microsoft Office Web コンポーネントとは、スプレッドシート、グラフ、データベースを Web に公開する、および Web に公開されたコンポーネントを表示するための Component Object Model (COM) コントロールの集合体です。 この脆弱性により、攻撃者は何を行う可能性がありますか?
ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者はこの脆弱性を悪用し、特別に細工した Web サイトをホストし、Internet Explorer を介して ActiveX コントロールを起動させる可能性があります。また、侵害された Web サイトまたはユーザーが提供したコンテンツまたは広告を受け入れるまたはホストする Web サイトが含まれる場合もあります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。その代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせることにより攻撃者の Web サイトへ誘導します。また、バナー広告や、別の方法を悪用して影響を受けるコンピューターに特別に細工した Web コンテンツを提供し、それを表示する可能性もあります。 主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
ユーザーがログオンし、悪質な動作を起こす可能性がある Web サイトを訪問した場合、この脆弱性が悪用される可能性があります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。管理者がユーザーにサーバーへのログオンおよびプログラムの実行を許可している場合、サーバーが影響を受ける可能性が高くなります。しかし、セキュリティ上の最善策として、これを許可しないことを強く推奨しています。 Windows Server 2003 または Windows Server 2008 用の Internet Explorer を実行しています。これは、この脆弱性の影響を緩和しますか?
はい。既定で、Windows Server 2003 上の Internet Explorer および Windows Server 2008 上の Internet Explorer は、「セキュリティ強化の構成」 と呼ばれる制限されたモードで実行します。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」です。Managing Internet Explorer Enhanced Security Configuration (英語情報) もあわせてご覧ください。 Windows Internet Explorer 7 の ActiveX のオプトインの機能とは何ですか?
Windows Internet Explorer 7 には ActiveX のオプトインの機能が含まれており、ほぼすべてのプリインストールされた ActiveX コントロールが既定で無効にされています。インターネット上でまだ使用されていない、以前インストールされた ActiveX コントロールのインスタンス化を行う前に、情報バーでメッセージが表示されます。これにより、ユーザーは各 ActiveX コントロールへのアクセス許可または拒否を決めることができます。この詳細情報および別の新しい機能については、Internet Explorer 7 の機能をご覧ください。 この更新プログラムはどのように問題を修正しますか?
このセキュリティ更新プログラムは他のパラメーターの確認も行うことにより、この脆弱性を解決します。 ISA Server 影響を受けるバージョンについて、この更新プログラムはすべての OWC CLSID の kill bit を設定し、Internet Explorer を使用した既知の攻撃の方法を防ぎます。この操作を行っても ISA Server の機能には影響はありません。
このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
責任のある開示を通じて最初の報告が提供され、その後、脆弱性が別のソースから一般に公開されました。このセキュリティ情報は、一般に公開された脆弱性を解決するとともに内部調査で新たに確認された問題にも対処します。この脆弱性はマイクロソフト セキュリティ アドバイザリ 973472 で最初に説明されました。 このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
はい。このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていました。 | Office Web コンポーネントのバッファー オーバーフローの脆弱性 - CVE-2009-1534 |
リモートでコードが実行される脆弱性が Office Web コンポーネントの ActiveX コントロールに存在します。攻撃者は特別に細工した Web ページを作成し、この脆弱性を悪用する可能性があります。この脆弱性では、ユーザーが Web ページを表示すると、リモートでコードが実行される可能性があります。攻撃者がこの脆弱性を悪用した場合、ログオンしたユーザーと同じユーザー権限を取得する可能性があります。 Common Vulnerabilities and Exposures のリストの標準のエントリとしてこの脆弱性をご覧になるためには、CVE-2009-1534 をご覧ください。 | 「Office Web コンポーネントのバッファー オーバーフローの脆弱性」の問題を緩和する要素 - CVE-2009-1534: |
「問題を緩和する要素」とは、設定、一般的な構成または一般的な最善策、既定の状態により、脆弱性の悪用の深刻度が低くなる可能性がある要素を指します。次の「問題を緩和する要素」は、お客様の環境で役立つ場合があります。 | • | 既定で、Windows Server 2003 上の Internet Explorer および Windows Server 2008 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードにより、この脆弱性の影響が緩和されます。Internet Explorer のセキュリティ強化の構成に関する詳細情報については、このセキュリティ更新プログラムに関する「よく寄せられる質問」をご覧ください。
| | • | 既定で、Microsoft Outlook Express 6、Outlook 2002 および Outlook 2003 は、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。また、Outlook 98 および Outlook 2000 は、Outlook 電子メール セキュリティ更新プログラム がインストールされている場合、HTML 形式の電子メール メッセージが制限付きサイト ゾーンで開かれます。Outlook Express 5.5 Service Pack 2 は、MS04-018 がインストールされている場合、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。 制限付きサイト ゾーンは HTML 形式の電子メール メッセージの読み取り時に ActiveX コントロールが使用されないようにして、この脆弱性を悪用した攻撃を削減する手助けを行います。しかし、ユーザーが電子メール メッセージ内のリンクをクリックする場合、Web ベースの攻撃のシナリオによるこの問題の影響を依然として受ける可能性があります。
| | • | Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザーが提供したコンテンツまたは広告を受け入れる、またはホストしている Web サイトに特別に細工されたコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャーのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。 | | • | 攻撃者がこの脆弱性を悪用した場合、ローカルのユーザーと同じユーザー権限を取得する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 |
| 「Office Web コンポーネントのバッファー オーバーフローの脆弱性」の回避策 - CVE-2009-1534: |
回避策は、設定または構成の変更を示しており、基本的な脆弱性を正すものではありませんが、更新プログラムを適用する前に既知の攻撃方法を阻止するのに役立ちます。マイクロソフトは、以下の回避策を検証し、この回避策が機能性を低下させるかどうかについて、説明の部分で述べています。 | • | Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐ レジストリのコントロールに Kill Bit を設定することにより、Office Web コンポーネント ライブラリが Internet Explorer で実行されるのを防ぐことができます。 警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。 注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。 注: これは ISA Server の更新プログラム パッケージにより行われる操作です。この更新プログラムには ISA Server 用のバイナリは含まれていません。
コントロールが Office Web コンポーネントで実行されないようにするためのステップの詳細は、サポート技術情報 240797 をご覧ください。このサポート技術情報に記載されているステップにしたがい、レジストリに互換フラグの値を作成し、Office Web コンポーネント ライブラリが実行されることを防ぎます。
注: クラス識別子およびライブラリ オブジェクトが含まれている対応するファイルについて、よく寄せられる質問の「この更新プログラムはどのように脆弱性を排除しますか?」に記載されています。
| • | CLSID の Kill Bit を {0002E543-0000-0000-C000-000000000046} および {0002E55B-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E543-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E55B-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400
|
この .reg ファイルをダブルクリックすると、個々のコンピューターに適用できます。グループ ポリシーを使用し、ドメインに適用することもできます。グループ ポリシーの詳細については、次のマイクロソフトの Web サイトを参照してください。
注: 変更を有効にするには、Internet Explorer を再起動する必要があります。
回避策の影響 : Office Web コンポーネントを無効にすると、Internet Explorer がコントロールを初期化しなくなります。この構成により、Office Web コンポーネント機能が必要となる場合、プログラムの互換性問題が起こります。 回避策の解除方法: 次のステップにしたがうことにより、上記で説明した回避策を解除することができます。
警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。
注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。
| • | CLSID の Kill Bit を {0002E543-0000-0000-C000-000000000046} および {0002E55B-0000-0000-C000-000000000046} の値で設定するには、以下のテキストをメモ帳の様なテキスト エディタに貼り付けてください。次に、.reg ファイル名拡張子を使用してファイルを保存します。
Windows Registry Editor Version 5.00
CLSID_OWC10_Spreadsheet, {0002E541-0000-0000-C000-000000000046}[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E543-0000-0000-C000-000000000046}]
CLSID_OWC11_Spreadsheet, {0002E559-0000-0000-C000-000000000046}[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E55B-0000-0000-C000-000000000046}]
|
| | • | Office Web コンポーネント ライブラリの登録を解除する 注: この操作は次の理由のため、ISA Server コンピューターでは機能しません。
| • | Office Web コンポーネントは ISA Server プログラム ディレクトリ (既定で "%ProgramFiles%\Microsoft ISA Server") にインストールされます。
| | • | Office Web コンポーネントは、レポート ジョブが実行されるごとに ISA Server レポート ジョブ メカニズムにより再登録されます。
|
警告: レジストリ エディターを正しく使用しないと、深刻な問題が生じ、オペレーティング システムの再インストールが必要になる場合があります。マイクロソフトは、レジストリ エディターを正しく使用しない場合に起こる問題の解決について、保証はできません。レジストリ エディターは、お客様各自の責任において使用してください。レジストリの編集方法に関する情報は、レジストリ エディター (Regedit.exe) の "キーおよび値を変更する" ヘルプ トピックをご覧ください。または Regedt32.exe の "レジストリ情報の追加と削除" および "レジストリ情報の編集" ヘルプ トピックをご覧ください。 注: マイクロソフトはレジストリの編集を行う前に、そのバックアップを行うことを推奨します。
| • | OWC 10 について、コマンド プロンプトで次を入力し、実行します。 Regsvr32.exe /u "C:\Program Files\Common Files\Microsoft Shared\Web Components\10\owc10.dll"
| | • | OWC 11 について、コマンド プロンプトで次を入力し、実行します。 Regsvr32.exe /u "C:\Program Files\Common Files\Microsoft Shared\Web Components\11\owc11.dll"
|
回避策の影響 : Office Web コンポーネント機能を必要とするアプリケーションが機能しなくなります。 回避策の解除方法: Office Web コンポーネントを再登録するためには、次のステップにしたがってください。
| • | OWC 10 について、コマンド プロンプトで次を入力し、実行します。
Regsvr32.exe "C:\Program Files\Common Files\Microsoft Shared\Web Components\10\owc10.dll"
| | • | OWC 11 について、コマンド プロンプトで次を入力し、実行します。
Regsvr32.exe "C:\Program Files\Common Files\Microsoft Shared\Web Components\11\owc11.dll"
|
| | • | Web サイトを信頼される Web サイトのみに制限する インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトが実行される前にダイアログが表示されるように設定した後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加することができます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。 これを行うために、次のステップに従ってください。
1. | Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。 | 2. | [Web コンテンツのゾーンを選択してセキュリティのレベルを設定する] で、[信頼済みサイト] をクリックし、次に [サイト] をクリックします。 | 3. | 暗号化されたチャネルを必要としない Web サイトを追加したい場合、[このゾーンのサイトにはすべてサーバーの確認 (https:) を必要とする] のチェック ボックスをクリックし、チェックを外します。 | 4. | [次の Web サイトをゾーンに追加する] で、信頼する Web サイトの URL を入力し、次に [追加] ボタンをクリックします。 | 5. | ゾーンに追加したい各 Web サイトについて、これらのステップを繰り返します。 | 6. | [OK] を 2 回クリックし、変更を許可し、Internet Explorer に戻ります。 |
注: 悪意のある動作がコンピュータ上で行われないと信頼するサイトをすべて追加します。なお、特に追加すべき Web サイトは "*.windowsupdate.microsoft.com” です。(二重引用符は必要ありません。) これらの Web サイトはセキュリティ更新プログラムを提供する Web サイトで、セキュリティ更新プログラムをインストールするためには ActiveX コントロールを必要とします。
| | • | インターネットおよびローカル イントラネットのゾーンのセキュリティの設定を「高」に設定し、これらのゾーンで ActiveX コントロールを実行する前にダイアログを表示する インターネットのセキュリティ ゾーンの設定を変更し、ActiveX コントロールが実行される前にダイアログが表示されるようにすると、この脆弱性に対する保護の手助けとなります。これは、ブラウザーのセキュリティ設定を「高」に設定して実行します。 Microsoft Internet Explorer のブラウザのセキュリティ レベルを上げるには、以下のステップに従ってください。
1. | Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。 | 2. | [インターネット オプション] ダイアログ ボックスで、[セキュリティ] タブをクリックし、次に [インターネット] アイコンをクリックします。 | 3. | [このゾーンのセキュリティのレベル] の下のスライダのつまみを「高」まで移動させます。これにより、訪問するすべての Web サイトのセキュリティ レベルが「高」に設定されます。 |
注: スライダが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダを「高」に移動させます。
注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、そのサイトは、セキュリティが「高」に設定されていても、適切に実行されるようになります。
|
| 「Office Web コンポーネントのバッファー オーバーフローの脆弱性」のよく寄せられる質問 - CVE-2009-1534: |
どのようなことが起こる可能性がありますか?
>これはリモートでコードが実行される脆弱性です。攻撃者はこの脆弱性を悪用して、影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 何が原因で起こりますか?
Internet Explorer で ActiveX コントロールが使用されている場合、そのコントロールがシステム状態を破損させ、攻撃者が任意のコードを実行する可能性があります。 Office Web コンポーネントとは何ですか?
Microsoft Office Web コンポーネントとは、スプレッドシート、グラフ、データベースを Web に公開する、および Web に公開されたコンポーネントを表示するための Component Object Model (COM) コントロールの集合体です。 この脆弱性により、攻撃者は何を行う可能性がありますか?
ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるコンピューターを完全に制御する可能性があります。その後、攻撃者はプログラムのインストール、データの表示、変更、削除、または完全なユーザー権限を持つ新たなアカウントを作成する可能性があります。システムで、アカウントのユーザー権限を低く設定している場合、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性の影響が少なくなると考えられます。 攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者はこの脆弱性を悪用し、特別に細工した Web サイトをホストし、Internet Explorer を介して ActiveX コントロールを起動させる可能性があります。また、侵害された Web サイトまたはユーザーが提供したコンテンツまたは広告を受け入れるまたはホストする Web サイトが含まれる場合もあります。これらの Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれている場合があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。その代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとします。一般的には、ユーザーに電子メール メッセージまたはインスタント メッセンジャーのメッセージのリンクをクリックさせることにより攻撃者の Web サイトへ誘導します。また、バナー広告や、別の方法を悪用して影響を受けるコンピューターに特別に細工した Web コンテンツを提供し、それを表示する可能性もあります。 主にどのようなコンピューターがこの脆弱性による危険にさらされますか?
ユーザーがログオンし、悪質な動作を起こす可能性がある Web サイトを訪問した場合、この脆弱性が悪用される可能性があります。このため、ワークステーションまたはターミナル サーバーなど、Internet Explorer を頻繁に使用するコンピューターが、最もこの脆弱性の危険にさらされる可能性があります。管理者がユーザーにサーバーへのログオンおよびプログラムの実行を許可している場合、サーバーが影響を受ける可能性が高くなります。しかし、セキュリティ上の最善策として、これを許可しないことを強く推奨しています。 Windows Server 2003 または Windows Server 2008 用の Internet Explorer を実行しています。これは、この脆弱性の影響を緩和しますか?
はい。既定で、Windows Server 2003 上の Internet Explorer および Windows Server 2008 上の Internet Explorer は、「セキュリティ強化の構成」 と呼ばれる制限されたモードで実行します。セキュリティ強化の構成は、Internet Explorer で事前に設定され、ユーザーまたは管理者が特別に細工された Web コンテンツをサーバーにダウンロードし、実行する危険性を低減します。これは、Internet Explorer の信頼済みサイト ゾーンに追加していない Web サイトに対する「緩和する要素」です。Managing Internet Explorer Enhanced Security Configuration (英語情報) もあわせてご覧ください。 Windows Internet Explorer 7 の ActiveX のオプトインの機能とは何ですか?
Windows Internet Explorer 7 には ActiveX のオプトインの機能が含まれており、ほぼすべてのプリインストールされた ActiveX コントロールが既定で無効にされています。インターネット上でまだ使用されていない、以前インストールされた ActiveX コントロールのインスタンス化を行う前に、情報バーでメッセージが表示されます。これにより、ユーザーは各 ActiveX コントロールへのアクセス許可または拒否を決めることができます。この詳細情報および別の新しい機能については、Internet Explorer 7 の機能をご覧ください。 この更新プログラムはどのように問題を修正しますか?
この更新プログラムは、Internet Explorer で ActiveX コントロールを使用した場合に、境界を確認してプロパティの値を検証することで、脆弱性を排除します。 このセキュリティ情報のリリース時に、この脆弱性は一般に公開されていましたか?
いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般に知られていたという情報は受けていませんでした。 このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?
いいえ。このセキュリティ情報が最初に公開された段階で、マイクロソフトはこの脆弱性が悪用され、お客様が攻撃されたということを示す情報は受けておらず、また、公開された検証用コードのいかなる実例の存在も確認しておりません。 組織のサーバー、デスクトップ、モバイル コンピューターに適用する必要があるソフトウェアおよびセキュリティ更新プログラムを管理してください。詳細情報は、TechNet 更新プログラム管理センターをご覧ください。Microsoft セキュリティ TechCenter では、製品に関するセキュリティ情報を提供しています。 セキュリティ更新プログラムは Microsoft Update、Windows Update および Office Update から利用可能です。セキュリティ更新プログラムはマイクロソフト ダウンロード センターからダウンロードすることができます。「セキュリティ更新プログラム」のキーワード探索によって容易に見つけることができます。 最後に、セキュリティ更新プログラムは Microsoft Update カタログ は、セキュリティ更新プログラム、ドライバーおよびサービスパックなどを含むコンテンツを検索可能なカタログで、Windows Update および Microsoft Update でご利用になれます。セキュリティ番号 (例えば “MS07-036” など) を使用して検索することにより、バスケットに適用可能な更新プログラムをすべて追加することができ (異なる言語の更新プログラムを含む)、選択しているフォルダーにダウンロードできます。「Microsoft Update カタログ」の関連情報を参照するには、Microsoft Update カタログ よく寄せられる質問をご覧ください。 注: 2009 年 8 月 1 日より、マイクロソフトは Office Update および Office Update インベントリ ツールのサポートを終了しました。Microsoft Office 製品用の最新の更新プログラムを引き続き入手するためには、Microsoft Update をご利用ください。詳細情報は、Microsoft Office Update に関するよく寄せられる質問をご覧ください。
検出および展開のガイダンス マイクロソフトは今月のセキュリティ更新プログラム向けの検出および適用のガイダンスを提供しました。このガイダンスは、IT Pro がセキュリティ更新プログラムを適用する際に役立つ、Windows Update、Microsoft Update、Office Update、Microsoft Baseline Security Analyzer (MBSA)、Office 検出ツール、 Microsoft Systems Management Server (SMS)、Extended Security Update Inventory Tool および Enterprise Update Scan Tool (EST) など、様々なツールの使用方法を理解するのに役立ちます。詳細情報は、サポート技術情報 961747 をご覧ください。 Microsoft Baseline Security Analyzer Microsoft Baseline Security Analyzer (MBSA) により、管理者は一般的なセキュリティの誤構成だけでなく、不足しているセキュリティ更新プログラムについても、ローカルおよびリモートのコンピューターをスキャンできます。MBSA の詳細情報については、 Microsoft Baseline Security Analyzer (MBSA) Web サイト をご覧ください。以下の表では、このセキュリティ更新プログラム用の MBSA が検出する概要を提供しています。 Microsoft Office XP Service Pack 3 | 可 | Microsoft Office 2003 Service Pack 3 | 可 | Microsoft Office 2000 Web Components Service Pack 3 | 不可 | Microsoft Office XP Web Components Service Pack 3 | 可 | Microsoft Office 2003 Web Components Service Pack 3 | 可 | 2007 Microsoft Office system 用 Microsoft Office 2003 Web Components Service Pack 1 | 可 | Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3 | 可 | Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3 | 可 | Microsoft Internet Security and Acceleration Server 2006 Standard Edition Service Pack 1 | 可 | Microsoft Internet Security and Acceleration Server 2006 Enterprise Edition Service Pack 1 | 可 | Microsoft BizTalk Server 2002 | 可 | Microsoft Visual Studio .NET 2003 Service Pack 1 | 不可 | Microsoft Office Small Business Accounting 2006 | 可 |
MBSA 2.1 の詳細情報は、MBSA 2.1 よく寄せられる質問をご覧ください。 Windows Server Update Services Windows Server Update Services (WSUS) を使用することにより、管理者は Windows 2000 オペレーティング システムおよびそれ以降、Office XP およびそれ以降、Windows 2000 およびそれ以降のオペレーティング システムに対する Exchange Server 2003 およびそれ以降のバージョン、SQL Server 2000 およびそれ以降のバージョン用の最新の重要な更新プログラムおよびセキュリティ更新プログラムを迅速に、かつ確実に適用することができます。Windows Server Update Services でこのセキュリティ更新プログラムを適用する方法に関する情報は、次のマイクロソフトの Web サイト をご覧ください。Windows Server Update Services 製品概要 Systems Management Server 次の表に、このセキュリティ更新プログラムについての SMS の検出および展開のまとめを記載します。 Microsoft Office XP Service Pack 3 | 可 | 可 | 可 | 可 | Microsoft Office 2003 Service Pack 3 | 可 | 可 | 可 | 可 | Microsoft Office 2000 Web Components Service Pack 3 | 可 | 可 | 不可 | 不可 | Microsoft Office XP Web Components Service Pack 3 | 可 | 可 | 可 | 可 | Microsoft Office 2003 Web Components Service Pack 3 | 可 | 可 | 可 | 可 | 2007 Microsoft Office system 用 Microsoft Office 2003 Web Components Service Pack 1 | 不可 | 不可 | 可 | 可 | Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3 | 不可 | 不可 | 可 | 可 | Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3 | 不可 | 不可 | 可 | 可 | Microsoft Internet Security and Acceleration Server 2006 Standard Edition Service Pack 1 | 不可 | 不可 | 可 | 可 | Microsoft Internet Security and Acceleration Server 2006 Enterprise Edition Service Pack 1 | 不可 | 不可 | 可 | 可 | Microsoft BizTalk Server 2002 | 可 | 可 | 不可 | 不可 | Microsoft Visual Studio .NET 2003 Service Pack 1 | 可 | 可 | 不可 | 不可 | Microsoft Office Small Business Accounting 2006 | 不可 | 不可 | 可 | 可 |
SMS 2.0 および SMS 2003 について、Security Update Inventory Tool (SUIT) は、セキュリティ更新プログラムを検出するために SMS により使用可能です。詳細は、Systems Management Server 2.0 のダウンロードをご覧ください。 SMS 2003 について、SMS 2003 Inventory Tool for Microsoft Updates (ITMU) は、Microsoft Update により提供されるセキュリティ更新プログラムおよび Windows Server Update Services よりサポートされるセキュリティ更新プログラムを検出するために、SMS により使用されます。Office Inventory Tool および別のスキャンニング ツールに関する詳細情報は、 SMS 2003 Software Update Scanning Tools (英語情報) をご覧ください。SMS のスキャンニング ツールに関する詳細情報は、Systems Management Server 2003 (SP1) Software Update Scanning Toolsをご覧ください。詳細は Downloads for Systems Management Server 2003 (英語情報) もご覧ください。 System Center Configuration Manager 2007 は更新プログラムの検出に WSUS 3.0 を使用します。Configuration Manager 2007 Software Update Management に関する詳細情報は、System Center Configuration Manager 2007 (英語情報) をご覧ください。 Windows Vista および Windows Server 2008 についての注意: Microsoft Systems Management Server 2003 Service Pack 3 は、Windows Vista および Windows Server 2008の 管理をサポートしています。 SMS に関する詳細情報は、次の SMS Web サイトをご覧ください。 詳細は、マイクロソフト サポート技術情報 961747「毎月リリースされる検出と展開の手引きの一覧」をご覧ください。 Update Compatibility Evaluator および Application Compatibility Toolkit 更新プログラムはアプリケーションを実行するにあたり必要となる同じファイルやレジストリ設定に頻繁に書き込みを行います。これにより、非互換性の原因となったり、セキュリティ更新プログラムの適用にかかる時間が長くなる可能性があります。Application Compatibility Toolkit 5.0 (英語情報) に含まれている Update Compatibility Evaluator (英語情報) コンポーネントでインストールされているアプリケーションに対し、Windows の更新プログラムのテストおよび確認を効率化することができます。
Application Compatibility Toolkit (ACT) には、お客様の環境に Microsoft Windows Vista、Windows Update、Microsoft Security Update または Windows Internet Explorer の新しいバージョンを適用する前に、アプリケーションの互換性問題を評価するために必要なツールやドキュメントが含まれています。 影響を受けるソフトウェア 影響を受けるソフトウェアに関する特定のセキュリティ更新プログラムについての情報は、該当のリンクをご覧ください。 | Office XP, Office XP Web Components および Office 2000 Web Components (すべてのエディション) |
参照表 次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。 |
| 今後のこのソフトウェア向けのサービス パックは計画されていません。この問題に対する修正は今後リリースされる更新プログラムのロールアップに含まれる可能性があります。 | ユーザーによる操作を必要としないインストール | officeXP-KB947320-fullfile-jpn /q:a | | | 再起動しないインストール | officeXP-KB947320-fullfile-jpn /r:n | | | ログファイル | 対象外 | | | 詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。機能を選択してインストールする機能については、このセクションのサブセクション「管理者インストール用の Office の機能」をご覧ください。 | 再起動の必要性 | 再起動が必要になる可能性を低減する手助けとするために、このセキュリティ更新プログラムをインストールする前に、すべての影響を受けるサービスを停止し、影響を受けるファイルを使用している可能性のあるすべてのアプリケーションを閉じてください。再起動が必要となる理由に関する詳細情報は、サポート技術情報 887012 をご覧ください。 | | | ホットパッチ | 対象外 | | この更新プログラムのインストール後、削除はできません。更新プログラムのインストール前の状態に戻すには、アプリケーションを削除し、それを元の媒体から再度インストールする必要があります。 | | | | このセクション内のサブセクション「ファイル情報」をご覧ください。 | | 対象外 | | |
このセキュリティ更新プログラムの日本語版のファイル属性は次のとおりです。 Office XP, Office XP Web Components および Office 2000 Web Componentsのサポートされているすべてのバージョン MSOWC.DLL | 9.0.0.8977 | 2009/7/20 | 0:10 | 3,045,248 | OWC10.DLL | 10.0.6854.0 | 2009/7/20 | 0:13 | 7,255,872 |
注: サポートされているバージョンおよびエディションの完全な一覧は、サポート ライフサイクル - 製品名一覧をご覧ください。サービスパックの完全な一覧は、ライフサイクル サポート対象サービスパックをご覧ください。サポート ライフサイクル ポリシーに関する詳細については、マイクロソフト サポート ライフサイクルをご覧ください。 Windows Installer Documentation (英語情報) をご利用のサーバー管理者は、サーバーの場所を更新する必要があります。 管理者インストール ポイントに関する詳細情報は、「検出および適用のツールおよびガイダンス」のサブセクションの「Office の管理者用インストールポイント」の情報をご覧ください。 次の表には、更新プログラムのために再インストールが必要な機能名の一覧が含まれています (大文字、小文字区別)。すべての機能をインストールするためには、REINSTALL=ALL、または次の機能を使用することができます。 ACCESS, PROPLUS, PRO | OfficeWebComponents,ACCESSNonBootFiles,OfficeWebComponents10 | FP, PIPC1, SBE, STD, STDEDU, EXCEL | OfficeWebComponents,OfficeWebComponents10 | OWC10, OWC10SE | ProductFiles | ACCESSRT | OfficeWebComponents,ACCESSNonBootFiles | PRJPRO, PRJSTD | OfficeWebComponents10 | 6626.0_o10pro_cexs_bgr_PRO, 6626.0_o10pro_CEXS_ETI_PRO, 6626.0_o10pro_CEXS_LTH_PRO, 6626.0_o10pro_CEXS_LVI_PRO, 6626.0_o10pro_crxs_bgr_PRORET, 6626.0_o10pro_CRXS_ETI_PRORET, 6626.0_o10pro_CRXS_LTH_PRORET, 6626.0_o10pro_CRXS_LVI_PRORET | OfficeWebComponents,ACCESSNonBootFiles,OfficeWebComponents10_1033 | 6626.0_O10PRO_CEXS_HRV_PRO, 6626.0_O10PRO_CRXS_HRV_PRORET | OfficeWebComponents,OfficeWebComponents10_1033,ACCESSNonBootFiles | 6626.0_o10sbe_COXS_BGR_SBERET, 6626.0_o10sbe_COXS_ETI_SBERET, 6626.0_o10sbe_COXS_LTH_SBERET, 6626.0_o10sbe_COXS_LVI_SBERET, 6626.0_O10SBE_CRXS_HRV_SBERET, 6626.0_o10std_cexs_bgr_STD, 6626.0_o10std_crxs_bgr_STDRET | OfficeWebComponents,OfficeWebComponents10_1033 |
注: 組織内で Office 用更新プログラムを適用するための完全なリソースについて、管理された環境での管理者は Microsoft Office Desktop Applications TechCenter をご覧ください。Windows Installer Documentation (英語情報) もまた、Windows インストーラによりサポートされるパラメータに関する追加情報を提供しています。 更新プログラムのインストール 更新プログラムは、「影響を受けるソフトウェアおよび影響を受けないソフトウェア」のセクションの適切なダウンロード リンクからインストールできます。 アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。管理者インストール ポイントに関する詳細情報は、「検出および展開ツールとガイダンス」のサブセクションの「Office の管理者用インストールポイント」の情報を参考にしてください。 このセキュリティ更新プログラムでは、コンピュータに Windows Installer 2.0 またはそれ以降のバージョンがインストールされている必要があります。すべてのサポートされている Windows には、Windows Installer 2.0 またはそれ以降のバージョンが含まれています。 Windows インストーラの最新バージョンをインストールするためには、次の Web サイトをご覧ください。 このセキュリティ情報で使用されている用語 (修正プログラムなど) に関しては、サポート技術情報 824684 をご覧ください。 このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。 |
/q | パッケージ処理の状況を一部表示しないモード | /q:u | ユーザー Quiet モードを指定します。このモードでは、いくつかのダイアログ ボックスが表示されます | /q:a | 管理者 Quiet モードを指定します。このモードでは、ダイアログ ボックスは表示されません | /t:<完全なパス> | 一時フォルダを指定 | /c | インストールせずに、ファイルを解凍します。/t:<完全なパス> が指定されていない場合、ターゲット フォルダについて確認メッセージが表示されます | /c:< 完全なパス> | 作成者により定義されたインストール コマンドを上書きします。Setup.inf ファイルまたは .exe ファイルのパスおよび名前を指定します | /r:n | インストール後にコンピュータを再起動しません | /r:i | 必要な場合再起動 - インストールを完了するために必要な場合はコンピュータを自動的に再起動します。(このスイッチが /q:a スイッチと使用される場合を除く) | /r:a | インストール後、常にコンピュータを再起動します | /r:s | インストール後、ユーザーにプロンプトを表示せずにコンピュータを再起動します | /n:v | バージョン チェックなし - 以前のバージョン上にプログラムをインストールします |
注: これらのスイッチはすべての更新プログラムで動作するわけではありません。スイッチが動作しない場合は、そのパッケージに対応した機能が必要です。また、/n:v スイッチの使用はサポートされておらず、コンピュータが起動しなくなる原因となる場合があります。インストールが正常に完了しない場合、その理由をお客様のサポート プロフェッショナルにお問い合わせください。 サポートされるインストール スイッチに関する詳細は、サポート技術情報 197147 をご覧ください。 更新プログラムの削除 この更新プログラムを削除するためには、[コントロール パネル] の [プログラムの追加と削除] を使用してください。 注: この更新プログラムを削除する場合、CD ドライブに Microsoft Office XP の CD を挿入するようメッセージが表示される場合があります。 さらに、[コントロール パネル] の [アプリケーションの追加と削除] から更新プログラムをアンインストールするオプションがない場合もあります。 この問題について、いくつかの考えられる原因があります。 削除に関する詳細情報は、サポート技術情報 903771 をご覧ください。 更新プログラムが適用されたかどうかを確認する方法 | • | Microsoft Baseline Security Analyzer 影響を受けるコンピュータにセキュリティ更新プログラムがインストールされていることを確認するために、Microsoft Baseline Security Analyzer (MBSA) ツールを使用できます。「検出および展開ツールとガイダンス」の下の “Microsoft Baseline Security Analyzer” をご覧ください。 | | • | ファイルバージョンの確認 Microsoft Windows にはいくつかのバージョンがあるため、次のステップは使用中のコンピュータにより異なる場合があります。その場合、製品の説明書をご覧ください。 1. | [スタート] をクリックし、次に [検索] をクリックします。 | 2. | [検索結果] のウィンドウの [検索コンパニオン] の下の [ファイルとフォルダすべて] をクリックします。 | 3. | [ファイル名のすべてまたは一部] のボックスで、適切なファイル情報の表からファイル名を入力し、次に [検索] をクリックします。 | 4. | ファイルの一覧で、適切なファイル情報の表からファイル名を右クリックし、次に [プロパティ] をクリックします。 注: インストールされているオペレーティングシステムまたはプログラムのバージョンにより、ファイル情報の表に記載されているファイルで、インストールされないものがある場合もあります。 | 5. | [バージョン情報] タブで、適切なファイル情報の表に記載されているバージョンと比較し、コンピュータにインストールされているファイルのバージョンを確認します。 注: ファイルのバージョン以外の属性はインストール中に変更される場合があります。そのほかのファイルの属性をファイル情報の表の情報と比較することは、更新プログラムが正しくインストールされたことを確認する方法としてサポートされていません。また、ファイル名がインストール中に変更される場合があります。ファイルまたはバージョンの情報が存在しない場合、その他の方法によって更新プログラムが正しくインストールされたことを確認してください。 |
|
| Office 2003、Office 2003 Web Componentsおよび the 2007 Microsoft Office system 用の Office 2003 Web Components (すべてのエディション) |
参照表 次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。 |
| 今後のこのソフトウェア向けのサービス パックは計画されていません。この問題に対する修正は今後リリースされる更新プログラムのロールアップに含まれる可能性があります。 | ユーザーによる操作を必要としないインストール | Microsoft Office 2003 Service Pack 3 および Microsoft Office 2003 Web Components:
office2003-KB947319-fullfile-jpn /q:a the 2007 Microsoft Office system 用 Microsoft Office 2003 Web Components Service Pack 1:
office2007-kb947318-fullfile-x86-glb /q:a | | | 再起動しないインストール | Microsoft Office 2003 Service Pack 3 および Microsoft Office 2003 Web Components:
office2003-KB947319-fullfile-jpn /r:n the 2007 Microsoft Office system 用 Microsoft Office 2003 Web Components Service Pack 1:
office2007-kb947318-fullfile-x86-glb /r:n | | | ログファイル | 対象外 | | | 詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。機能を選択してインストールする機能については、このセクションのサブセクション「管理者インストール用の Office の機能」をご覧ください。 | 再起動の必要性 | この更新プログラムは再起動の必要がない場合もあります。必要なファイルを使用中の場合、この更新プログラムは再起動が必要です。この動作が起きた場合、再起動のメッセージが表示されます。
再起動が必要になる可能性を低減する手助けとするために、このセキュリティ更新プログラムをインストールする前に、すべての影響を受けるサービスを停止し、影響を受けるファイルを使用している可能性のあるすべてのアプリケーションを閉じてください。再起動が必要となる理由に関する詳細情報は、サポート技術情報 887012 をご覧ください。 | | | ホットパッチ | 対象外 | | Office 2003、Office 2003 Web Components:
この更新プログラムのインストール後、削除はできません。更新プログラムのインストール前の状態に戻すには、アプリケーションを削除し、それを元の媒体から再度インストールする必要があります。
the 2007 Microsoft Office system 用 Microsoft Office 2003 Web Components Service Pack 1:
[コントロール パネル] の [プログラムの追加と削除] を使用してください。
| | | | このセクション内のサブセクション「ファイル情報」をご覧ください。 | | 対象外 | | |
このセキュリティ更新プログラムの日本語版のファイル属性は次のとおりです。 Office 2003、Office 2003 Web Componentsのサポートされているすべてのバージョン ATP.DLL | 11.0.8164.0 | 2007/4/19 | 13:55 | 148,312 | OWC11msp_EXT | OWC11.DLL | 11.0.8304.0 | 2009/3/24 | 17:47 | 8,058,192 | OWC11msp_EXT | OWC11PIA.DLL | 11.0.8305.0 | 2009/3/29 | 11:46 | 477,056 | OWC11msp_EXT |
the 2007 Microsoft Office system 用 Microsoft Office 2003 Web Components Service Pack 1のサポートされているすべてのバージョン OWC11.DLL | 12.0.6502.5000 | 2009/3/26 | 14:14 | 7,049,096 | OWC11PIA.DLL | 12.0.6502.5000 | 2009/3/26 | 14:14 | 477,032 |
注: サポートされているバージョンおよびエディションの完全な一覧は、サポート ライフサイクル - 製品名一覧をご覧ください。サービスパックの完全な一覧は、ライフサイクル サポート対象サービスパックをご覧ください。サポート ライフサイクル ポリシーに関する詳細については、マイクロソフト サポート ライフサイクルをご覧ください。 Windows Installer Documentation (英語情報) をご利用のサーバー管理者は、サーバーの場所を更新する必要があります。 管理者インストール ポイントに関する詳細情報は、「検出および適用のツールおよびガイダンス」のサブセクションの「Office の管理者用インストールポイント」の情報をご覧ください。 次の表には、更新プログラムのために再インストールが必要な機能名の一覧が含まれています (大文字、小文字区別)。すべての機能をインストールするためには、REINSTALL=ALL、または次の機能を使用することができます。 ACCESSRT, ACC11 | ACCESSNonBootFiles,ProductFiles | OUTLS11, VISVEA, PPT11, FP11, ONOTE11, OUTL11, OUTLSM11, PUB11, INF11, PRJPROE, PRJPRO, PRJSTDE, PRJSTD, VISPRO, VISPROR, VISSTD, VISSTDR | ProductFiles | XLVIEW | ExcelViewer | WORDVIEW | WORDVIEWFiles | RMS | RMSFiles,ProductFiles | BASIC11, PERS11, STDP11, STD11 | WORDNonBootFiles,EXCELNonBootFiles,ProductFiles | PRO11SB, PROI11, PRO11 | WORDNonBootFiles,ACCESSNonBootFiles,EXCELNonBootFiles,ProductFiles | WORD11 | WORDNonBootFiles,ProductFiles | EXCEL11 | EXCELNonBootFiles,ProductFiles |
注: 組織内で Office 用更新プログラムを適用するための完全なリソースについて、管理された環境での管理者は Microsoft Office Desktop Applications TechCenter をご覧ください。Windows Installer Documentation (英語情報) もまた、Windows インストーラによりサポートされるパラメータに関する追加情報を提供しています。 更新プログラムのインストール 更新プログラムは、「影響を受けるソフトウェアおよび影響を受けないソフトウェア」のセクションの適切なダウンロード リンクからインストールできます。 アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。管理者インストール ポイントに関する詳細情報は、「検出および展開ツールとガイダンス」のサブセクションの「Office の管理者用インストールポイント」の情報を参考にしてください。 このセキュリティ更新プログラムでは、コンピュータに Windows Installer 2.0 またはそれ以降のバージョンがインストールされている必要があります。すべてのサポートされている Windows には、Windows Installer 2.0 またはそれ以降のバージョンが含まれています。 Windows インストーラの最新バージョンをインストールするためには、次の Web サイトをご覧ください。 このセキュリティ情報で使用されている用語 (修正プログラムなど) に関しては、サポート技術情報 824684 をご覧ください。 このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。 |
/q | パッケージ処理の状況を一部表示しないモード | /q:u | ユーザー Quiet モードを指定します。このモードでは、いくつかのダイアログ ボックスが表示されます | /q:a | 管理者 Quiet モードを指定します。このモードでは、ダイアログ ボックスは表示されません | /t:<完全なパス> | 一時フォルダを指定 | /c | インストールせずに、ファイルを解凍します。/t:<完全なパス> が指定されていない場合、ターゲット フォルダについて確認メッセージが表示されます | /c:< 完全なパス> | 作成者により定義されたインストール コマンドを上書きします。Setup.inf ファイルまたは .exe ファイルのパスおよび名前を指定します | /r:n | インストール後にコンピュータを再起動しません | /r:i | 必要な場合再起動 - インストールを完了するために必要な場合はコンピュータを自動的に再起動します。(このスイッチが /q:a スイッチと使用される場合を除く) | /r:a | インストール後、常にコンピュータを再起動します | /r:s | インストール後、ユーザーにプロンプトを表示せずにコンピュータを再起動します | /n:v | バージョン チェックなし - 以前のバージョン上にプログラムをインストールします |
注: これらのスイッチはすべての更新プログラムで動作するわけではありません。スイッチが動作しない場合は、そのパッケージに対応した機能が必要です。また、/n:v スイッチの使用はサポートされておらず、コンピュータが起動しなくなる原因となる場合があります。インストールが正常に完了しない場合、その理由をお客様のサポート プロフェッショナルにお問い合わせください。 サポートされるインストール スイッチに関する詳細は、サポート技術情報 197147 をご覧ください。 更新プログラムが適用されたかどうかを確認する方法 | • | Microsoft Baseline Security Analyzer 影響を受けるコンピュータにセキュリティ更新プログラムがインストールされていることを確認するために、Microsoft Baseline Security Analyzer (MBSA) ツールを使用できます。「検出および展開ツールとガイダンス」の下の “Microsoft Baseline Security Analyzer” をご覧ください。 | | • | ファイルバージョンの確認 Microsoft Windows にはいくつかのバージョンがあるため、次のステップは使用中のコンピュータにより異なる場合があります。その場合、製品の説明書をご覧ください。 1. | [スタート] をクリックし、次に [検索] をクリックします。 | 2. | [検索結果] のウィンドウの [検索コンパニオン] の下の [ファイルとフォルダすべて] をクリックします。 | 3. | [ファイル名のすべてまたは一部] のボックスで、適切なファイル情報の表からファイル名を入力し、次に [検索] をクリックします。 | 4. | ファイルの一覧で、適切なファイル情報の表からファイル名を右クリックし、次に [プロパティ] をクリックします。 注: インストールされているオペレーティングシステムまたはプログラムのバージョンにより、ファイル情報の表に記載されているファイルで、インストールされないものがある場合もあります。 | 5. | [バージョン情報] タブで、適切なファイル情報の表に記載されているバージョンと比較し、コンピュータにインストールされているファイルのバージョンを確認します。 注: ファイルのバージョン以外の属性はインストール中に変更される場合があります。そのほかのファイルの属性をファイル情報の表の情報と比較することは、更新プログラムが正しくインストールされたことを確認する方法としてサポートされていません。また、ファイル名がインストール中に変更される場合があります。ファイルまたはバージョンの情報が存在しない場合、その他の方法によって更新プログラムが正しくインストールされたことを確認してください。 |
|
| Internet Security and Acceleration Server 2004 および Internet Security and Acceleration Server 2006 (すべてのエディション) |
参照表 次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。 |
| この問題に対する更新プログラムは今後リリースされるサービス パックまたは更新プログラムのロールアップに含まれる予定です。 | ユーザーによる操作を必要としないインストール | ISAServer-KB947826-fullfile-x86-glb /q:a | | | 再起動しないインストール | ISAServer-KB947826-fullfile-x86-glb /r:n | | | ログファイル | 対象外 | | | 詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。 | 再起動の必要性 | 必要なし | | | ホットパッチ | 対象外 | | この更新プログラムは [コントロール パネル] の [プログラムの追加と削除] からアンインストールできません。Killbit を元に戻すためには、回避策のセクションのこの操作を手動で行う方法をご覧ください。 | | | | このセクション内のサブセクション「ファイル情報」をご覧ください。 | | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Self-Extractor\Package\{0002E55B-0000-0000-C000-000000000046} | | |
注: この更新プログラムは Internet Security and Acceleration (ISA) Server には変更は行いません。 その代わり、このセキュリティ更新プログラムは Microsoft Office 2003 Web Componentsのコントロールのレジストリに Kill Bit を設定します。
注: サポートされているバージョンおよびエディションの完全な一覧は、サポート ライフサイクル - 製品名一覧をご覧ください。サービスパックの完全な一覧は、ライフサイクル サポート対象サービスパックをご覧ください。サポート ライフサイクル ポリシーに関する詳細については、マイクロソフト サポート ライフサイクルをご覧ください。 更新プログラムのインストール 更新プログラムは、「影響を受けるおよび影響を受けないソフトウェア」のセクションの適切なダウンロード リンクからインストールできます。 アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。管理者インストール ポイントに関する詳細情報は、「検出および展開ツールとガイダンス」のサブセクションの「Office の管理者用インストールポイント」の情報を参考にしてください。 このセキュリティ更新プログラムでは、コンピュータに Windows Installer 2.0 またはそれ以降のバージョンがインストールされている必要があります。すべてのサポートされている Windows には、Windows Installer 2.0 またはそれ以降のバージョンが含まれています。 Windows インストーラの最新バージョンをインストールするためには、次の Web サイトをご覧ください。 このセキュリティ情報で使用されている用語 (修正プログラムなど) に関しては、サポート技術情報 824684 をご覧ください。 このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。 |
/q | パッケージ処理の状況を一部表示しないモード | /q:u | ユーザー Quiet モードを指定します。このモードでは、いくつかのダイアログ ボックスが表示されます | /q:a | 管理者 Quiet モードを指定します。このモードでは、ダイアログ ボックスは表示されません | /c:< 完全なパス> | 作成者により定義されたインストール コマンドを上書きします。Setup.inf ファイルまたは .exe ファイルのパスおよび名前を指定します | /r:n | インストール後にコンピュータを再起動しません | /r:i | 必要な場合再起動 - インストールを完了するために必要な場合はコンピュータを自動的に再起動します。(このスイッチが /q:a スイッチと使用される場合を除く) | /r:a | インストール後、常にコンピュータを再起動します | /r:s | インストール後、ユーザーにプロンプトを表示せずにコンピュータを再起動します | /n:v | バージョン チェックなし - 以前のバージョン上にプログラムをインストールします |
注: これらのスイッチを 1 つのコマンドに組み込むことができます。旧バージョンとの互換性のため、このセキュリティ更新プログラムは、セットアップ プログラムの以前のバージョンによって使用されるセットアップ スイッチもサポートしています。サポートされるインストール スイッチに関する詳細は、サポート技術情報 912203 をご覧ください。 更新プログラムが適用されたかどうかを確認する方法 | • | Microsoft Baseline Security Analyzer 影響を受けるコンピュータにセキュリティ更新プログラムがインストールされていることを確認するために、Microsoft Baseline Security Analyzer (MBSA) ツールを使用できます。「検出および展開ツールとガイダンス」の下の “Microsoft Baseline Security Analyzer” をご覧ください。 | | • | 更新プログラムのインストールの確認 この更新プログラムにはファイルが含まれていないため、インストールが正常に行われたかを確認するためには、次のレジストリ キーおよび dword 値が設定されていることを確認してください。 Windows Registry Editor Version 5.00:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Self-Extractor\Package\{0002E55B-0000-0000-C000-000000000046}
"Compatibility Flags"=dword:00000400
|
| Microsoft BizTalk Server (すべてのエディション) |
参照表 次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。 |
| この問題に対する更新プログラムは今後リリースされるサービス パックまたは更新プログラムのロールアップに含まれる予定です。 | ユーザーによる操作を必要としないインストール | MicrosoftBizTalkServer2002-KB971388-JA /q:a | | | 再起動しないインストール | MicrosoftBizTalkServer2002-KB971388-JA /r:n | | | ログファイル | 対象外 | | | 詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。 | 再起動の必要性 | 再起動が必要になる可能性を低減する手助けとするために、このセキュリティ更新プログラムをインストールする前に、すべての影響を受けるサービスを停止し、影響を受けるファイルを使用している可能性のあるすべてのアプリケーションを閉じてください。再起動が必要となる理由に関する詳細情報は、サポート技術情報 887012 をご覧ください。 | | | ホットパッチ | 対象外 | | [コントロール パネル] の [プログラムの追加と削除] を使用します。 | | | | このセクション内のサブセクション「ファイル情報」をご覧ください。 | | 対象外 | | |
このセキュリティ更新プログラムの日本語版のファイル属性は次のとおりです。 BizTalk Server 2002 のすべてのサポートされているエディション MSOWC.dll | 9.0.0.8977 | 2009/6/12 | 16:14 | 3,045,248 | MSOWC.dll | 9.0.0.8977 | 2009/6/12 | 16:08 | 3,045,248 |
注: サポートされているバージョンおよびエディションの完全な一覧は、サポート ライフサイクル - 製品名一覧をご覧ください。サービスパックの完全な一覧は、ライフサイクル サポート対象サービスパックをご覧ください。サポート ライフサイクル ポリシーに関する詳細については、マイクロソフト サポート ライフサイクルをご覧ください。 更新プログラムのインストール 更新プログラムは、「影響を受けるおよび影響を受けないソフトウェア」のセクションの適切なダウンロード リンクからインストールできます。 アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。管理者インストール ポイントに関する詳細情報は、「検出および展開ツールとガイダンス」のサブセクションの「Office の管理者用インストールポイント」の情報を参考にしてください。 このセキュリティ更新プログラムでは、コンピュータに Windows Installer 2.0 またはそれ以降のバージョンがインストールされている必要があります。すべてのサポートされている Windows には、Windows Installer 2.0 またはそれ以降のバージョンが含まれています。 Windows インストーラの最新バージョンをインストールするためには、次の Web サイトをご覧ください。 このセキュリティ情報で使用されている用語 (修正プログラムなど) に関しては、サポート技術情報 824684 をご覧ください。 このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。 |
/q | パッケージ処理の状況を一部表示しないモード | /q:u | ユーザー Quiet モードを指定します。このモードでは、いくつかのダイアログ ボックスが表示されます | /q:a | 管理者 Quiet モードを指定します。このモードでは、ダイアログ ボックスは表示されません | /t:<完全なパス> | 一時フォルダを指定 | /c | インストールせずに、ファイルを解凍します。/t:<完全なパス> が指定されていない場合、ターゲット フォルダについて確認メッセージが表示されます | /c:< 完全なパス> | 作成者により定義されたインストール コマンドを上書きします。Setup.inf ファイルまたは .exe ファイルのパスおよび名前を指定します | /r:n | インストール後にコンピュータを再起動しません | /r:i | 必要な場合再起動 - インストールを完了するために必要な場合はコンピュータを自動的に再起動します。(このスイッチが /q:a スイッチと使用される場合を除く) | /r:a | インストール後、常にコンピュータを再起動します | /r:s | インストール後、ユーザーにプロンプトを表示せずにコンピュータを再起動します | /n:v | バージョン チェックなし - 以前のバージョン上にプログラムをインストールします |
注: これらのスイッチを 1 つのコマンドに組み込むことができます。旧バージョンとの互換性のため、このセキュリティ更新プログラムは、セットアップ プログラムの以前のバージョンによって使用されるセットアップ スイッチもサポートしています。サポートされるインストール スイッチに関する詳細は、サポート技術情報 912203 をご覧ください。 更新プログラムが適用されたかどうかを確認する方法 | • | Microsoft Baseline Security Analyzer 影響を受けるコンピュータにセキュリティ更新プログラムがインストールされていることを確認するために、Microsoft Baseline Security Analyzer (MBSA) ツールを使用できます。「検出および展開ツールとガイダンス」の下の “Microsoft Baseline Security Analyzer” をご覧ください。 | | • | ファイルバージョンの確認 Microsoft Windows にはいくつかのバージョンがあるため、次のステップは使用中のコンピュータにより異なる場合があります。その場合、製品の説明書をご覧ください。 1. | [スタート] をクリックし、次に [検索] をクリックします。 | 2. | [検索結果] のウィンドウの [検索コンパニオン] の下の [ファイルとフォルダすべて] をクリックします。 | 3. | [ファイル名のすべてまたは一部] のボックスで、適切なファイル情報の表からファイル名を入力し、次に [検索] をクリックします。 | 4. | ファイルの一覧で、適切なファイル情報の表からファイル名を右クリックし、次に [プロパティ] をクリックします。 注: インストールされているオペレーティングシステムまたはプログラムのバージョンにより、ファイル情報の表に記載されているファイルで、インストールされないものがある場合もあります。 | 5. | [バージョン情報] タブで、適切なファイル情報の表に記載されているバージョンと比較し、コンピュータにインストールされているファイルのバージョンを確認します。 注: ファイルのバージョン以外の属性はインストール中に変更される場合があります。そのほかのファイルの属性をファイル情報の表の情報と比較することは、更新プログラムが正しくインストールされたことを確認する方法としてサポートされていません。また、ファイル名がインストール中に変更される場合があります。ファイルまたはバージョンの情報が存在しない場合、その他の方法によって更新プログラムが正しくインストールされたことを確認してください。 |
|
| Visual Studio .NET 2003 (すべてのエディション) |
参照表 次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。 |
| この問題に対する更新プログラムは今後リリースされるサービス パックまたは更新プログラムのロールアップに含まれる予定です。 | ユーザーによる操作を必要としないインストール | VS7.1sp1-KB969172-X86-INTL /q | | | 再起動しないインストール | VS7.1sp1-KB969172-X86-INTL /norestart | | | ログファイル | VS7.1SP1-KB969172-X86-intl-msi.0.log
VS7.1SP1-KB969172-X86-intl-wrapper.log | | | 詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。 | 再起動の必要性 | あり。セキュリティ更新プログラムを適用してから、コンピューターを再起動する必要があります。 | | | ホットパッチ | 対象外 | | [コントロール パネル] の [プログラムの追加と削除] を使用します。 | | | | このセクション内のサブセクション「ファイル情報」をご覧ください。 | | HKEY_LOCAL_MACHINE\Software\Microsoft\Updates\Visual Studio\7.1\M969172
"Installed" = dword:1 | | |
このセキュリティ更新プログラムの日本語版のファイル属性は次のとおりです。 Visual Studio .NET 2003 のすべてのサポートされているエディション Msowc.dll | 9.0.0.8977 | 3,045,248 | 2009/3/7 | 8:13 | Msowcf.dll | 9.0.0.2526 | 253,952 | 2004/4/23 | 4:42 |
注: サポートされているバージョンおよびエディションの完全な一覧は、サポート ライフサイクル - 製品名一覧をご覧ください。サービスパックの完全な一覧は、ライフサイクル サポート対象サービスパックをご覧ください。サポート ライフサイクル ポリシーに関する詳細については、マイクロソフト サポート ライフサイクルをご覧ください。 更新プログラムのインストール 更新プログラムは、「影響を受けるおよび影響を受けないソフトウェア」のセクションの適切なダウンロード リンクからインストールできます。 アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。管理者インストール ポイントに関する詳細情報は、「検出および展開ツールとガイダンス」のサブセクションの「Office の管理者用インストールポイント」の情報を参考にしてください。 このセキュリティ更新プログラムでは、コンピュータに Windows Installer 2.0 またはそれ以降のバージョンがインストールされている必要があります。すべてのサポートされている Windows には、Windows Installer 2.0 またはそれ以降のバージョンが含まれています。 Windows インストーラの最新バージョンをインストールするためには、次の Web サイトをご覧ください。 このセキュリティ情報で使用されている用語 (修正プログラムなど) に関しては、サポート技術情報 824684 をご覧ください。 このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。 |
/? または /h または /help | 使用ダイアログを表示します。 | /q[n|b|r|f] | ユーザー インターフェイスのレベルを設定します。
n - ユーザー インターフェイスなし
b - 基本的なユーザー インターフェイス
r - 低減されたユーザー インターフェイス
f - 完全なユーザー インターフェイス | | | /quiet | /q と同じ | | | /passive | /qb と同じ | /extract [ディレクトリ] | 特定されたディレクトリに対してパッケージを抽出します。 | | | /uninstall または /u | この更新プログラムをアンインストールします。 | | | /addsource または /as | 製品の msi のソース パスを指定します。
このオプションは、更新プログラムをインストールした時に、製品のインストール ソース メディアを挿入するようメッセージが表示された場合に使用できます。
例: <更新プログラムの実行可能ファイル>/addsource "C:\Product MSI\Visual Studio\enu\vs_setup.msi" /addsource
"C:\Product MSI\Net\Netfx.msi" | /norestart | インストールの完了後、再起動しません。 | | | /promptrestart | 必要な場合、ユーザーに再起動のダイアログが出されます。 | | | /forcerestart | インストール後、常にコンピュータを再起動します。 | /l[i|w|e|a|r|u|c|m|o|p|v|x|+|!|*] <ログファイル> | i - ステータス メッセージ
w - 致命的でない警告
e - すべてのエラー メッセージ
a - 動作のスタート アップ
r - 特定のアクションの記録
u - ユーザー リクエスト
c - 初期の UI のパラメータ
m - メモリ以外または致命的な終了情報
o - ディスクのスペース範囲外のメッセージ
p - ターミナル プロパティ
v - 詳細なアウトプット
x - デバッグの追加情報
+ - 既存のログ ファイルへの追加
! - ログに各行をフラッシュする
* - すべての情報を記録 (v および x のオプションを除く) | | | /log <ログファイル> | /l* に等しい <ログファイル> | | | /sendreport | この更新プログラムのインストール データをマイクロソフトにワトソン レポートとして送信します。個人を特定できる情報は送信されません。 | | |
注: これらのスイッチを 1 つのコマンドに組み込むことができます。旧バージョンとの互換性のため、このセキュリティ更新プログラムは、セットアップ プログラムの以前のバージョンによって使用されるセットアップ スイッチもサポートしています。サポートされるインストール スイッチに関する詳細は、サポート技術情報 912203 をご覧ください。 更新プログラムが適用されたかどうかを確認する方法 | • | Microsoft Baseline Security Analyzer 影響を受けるコンピュータにセキュリティ更新プログラムがインストールされていることを確認するために、Microsoft Baseline Security Analyzer (MBSA) ツールを使用できます。「検出および展開ツールとガイダンス」の下の “Microsoft Baseline Security Analyzer” をご覧ください。 | | • | ファイルバージョンの確認 Microsoft Windows にはいくつかのバージョンがあるため、次のステップは使用中のコンピュータにより異なる場合があります。その場合、製品の説明書をご覧ください。 1. | [スタート] をクリックし、次に [検索] をクリックします。 | 2. | [検索結果] のウィンドウの [検索コンパニオン] の下の [ファイルとフォルダすべて] をクリックします。 | 3. | [ファイル名のすべてまたは一部] のボックスで、適切なファイル情報の表からファイル名を入力し、次に [検索] をクリックします。 | 4. | ファイルの一覧で、適切なファイル情報の表からファイル名を右クリックし、次に [プロパティ] をクリックします。 注: インストールされているオペレーティングシステムまたはプログラムのバージョンにより、ファイル情報の表に記載されているファイルで、インストールされないものがある場合もあります。 | 5. | [バージョン情報] タブで、適切なファイル情報の表に記載されているバージョンと比較し、コンピュータにインストールされているファイルのバージョンを確認します。 注: ファイルのバージョン以外の属性はインストール中に変更される場合があります。そのほかのファイルの属性をファイル情報の表の情報と比較することは、更新プログラムが正しくインストールされたことを確認する方法としてサポートされていません。また、ファイル名がインストール中に変更される場合があります。ファイルまたはバージョンの情報が存在しない場合、その他の方法によって更新プログラムが正しくインストールされたことを確認してください。 |
|
| Microsoft Office Small Business Accounting 2006 (すべてのエディション) |
参照表 次の表には、このソフトウェアのセキュリティ更新プログラムに関する情報が含まれています。追加情報については、このセクションのサブセクション「展開に関する情報」をご覧ください。 |
| この問題に対する更新プログラムは今後リリースされるサービス パックまたは更新プログラムのロールアップに含まれる予定です。 | ユーザーによる操作を必要としないインストール | OfficeSmallBusinessAccounting2006-KB968377-FullFile-enu /passive | | | 再起動しないインストール | OfficeSmallBusinessAccounting2006-KB968377-FullFile-enu /norestart | | | ログファイル | | 対象外 | | 詳細 | 「検出および展開ツールとガイダンス」のセクションをご覧ください。 | 再起動の必要性 | 再起動が必要になる可能性を低減する手助けとするために、このセキュリティ更新プログラムをインストールする前に、すべての影響を受けるサービスを停止し、影響を受けるファイルを使用している可能性のあるすべてのアプリケーションを閉じてください。再起動が必要となる理由に関する詳細情報は、サポート技術情報 887012 をご覧ください。 | | | ホットパッチ | 対象外 | | [コントロール パネル] の [プログラムの追加と削除] を使用します。 | | | | このセクション内のサブセクション「ファイル情報」をご覧ください。 | | 対象外 | | |
更新プログラムのインストール 更新プログラムは、「影響を受けるおよび影響を受けないソフトウェア」のセクションの適切なダウンロード リンクからインストールできます。 アプリケーションをサーバー ロケーションからインストールした場合、サーバー管理者は管理者アップデートでサーバー ロケーションを更新し、その更新をコンピュータに適用する必要があります。管理者インストール ポイントに関する詳細情報は、「検出および展開ツールとガイダンス」のサブセクションの「Office の管理者用インストールポイント」の情報を参考にしてください。 このセキュリティ更新プログラムでは、コンピュータに Windows Installer 2.0 またはそれ以降のバージョンがインストールされている必要があります。すべてのサポートされている Windows には、Windows Installer 2.0 またはそれ以降のバージョンが含まれています。 Windows インストーラの最新バージョンをインストールするためには、次の Web サイトをご覧ください。 このセキュリティ情報で使用されている用語 (修正プログラムなど) に関しては、サポート技術情報 824684 をご覧ください。 このセキュリティ更新プログラムは次のセットアップ スイッチをサポートします。 |
/? または /help | 使用ダイアログを表示します。 | /passive | 無人モードを指定します。ユーザーの操作を必要としません。ユーザーには基本的な進行ダイアログが表示されますがキャンセルはできません。 | /quiet | Quiet モードを指定します。パッケージ処理の状況を表示しません。 | /norestart | 更新プログラムが再起動を必要とする場合、再起動しません。 | /forcerestart | 再起動の必要性の有無にかかわらず、更新プログラムの適用後にコンピューターを自動的に再起動します。 | /extract | インストールせずに、ファイルを解凍します。ターゲット フォルダについてメッセージが表示されます。 | /extract:<完全なパス> | 作成者が定義したインストール コマンドを上書きします。Setup .inf ファイルまたは .exe ファイルのパスおよび名前を指定します | /lang:<LCID> | 更新プログラムのパッケージが特定の言語をサポートしている場合、その言語の使用を強制します。 | /log:<ログ ファイル> | 更新プログラムのインストール中、Vnox とインストーラーの両方によるログの記録を有効にします。 |
注: これらのスイッチを 1 つのコマンドに組み込むことができます。旧バージョンとの互換性のため、このセキュリティ更新プログラムは、セットアップ プログラムの以前のバージョンによって使用されるセットアップ スイッチもサポートしています。サポートされるインストール スイッチに関する詳細は、サポート技術情報 912203 をご覧ください。 更新プログラムが適用されたかどうかを確認する方法 | • | Microsoft Baseline Security Analyzer 影響を受けるコンピュータにセキュリティ更新プログラムがインストールされていることを確認するために、Microsoft Baseline Security Analyzer (MBSA) ツールを使用できます。「検出および展開ツールとガイダンス」の下の “Microsoft Baseline Security Analyzer” をご覧ください。 | | • | ファイルバージョンの確認 Microsoft Windows にはいくつかのバージョンがあるため、次のステップは使用中のコンピュータにより異なる場合があります。その場合、製品の説明書をご覧ください。 1. | [スタート] をクリックし、次に [検索] をクリックします。 | 2. | [検索結果] のウィンドウの [検索コンパニオン] の下の [ファイルとフォルダすべて] をクリックします。 | 3. | [ファイル名のすべてまたは一部] のボックスで、適切なファイル情報の表からファイル名を入力し、次に [検索] をクリックします。 | 4. | ファイルの一覧で、適切なファイル情報の表からファイル名を右クリックし、次に [プロパティ] をクリックします。 注: インストールされているオペレーティングシステムまたはプログラムのバージョンにより、ファイル情報の表に記載されているファイルで、インストールされないものがある場合もあります。 | 5. | [バージョン情報] タブで、適切なファイル情報の表に記載されているバージョンと比較し、コンピュータにインストールされているファイルのバージョンを確認します。 注: ファイルのバージョン以外の属性はインストール中に変更される場合があります。そのほかのファイルの属性をファイル情報の表の情報と比較することは、更新プログラムが正しくインストールされたことを確認する方法としてサポートされていません。また、ファイル名がインストール中に変更される場合があります。ファイルまたはバージョンの情報が存在しない場合、その他の方法によって更新プログラムが正しくインストールされたことを確認してください。 |
|
謝辞この問題を連絡し、顧客の保護に協力して下さった下記の方に対し、マイクロソフトは深い謝意を表します。 Microsoft Active Protections Program (MAPP)お客様のセキュリティ保護をより向上させるために、マイクロソフトは、月例のセキュリティ更新プログラムの公開に先立ち、脆弱性情報を主要なセキュリティ ソフトウェア プロバイダーに提供しています。セキュリティ ソフトウェア プロバイダーは、この脆弱性の情報を使用し、ウイルス対策、ネットワーク ベースの侵入検出システムまたはホスト ベースの侵入防止システムを介して、お客様に最新の保護環境を提供します。この様な保護環境を提供するセキュリティ ソフトウェア ベンダーの情報は、Microsoft Active Protections Program (MAPP) Partners (英語情報) に記載されている各社の Web サイトをご覧ください。 サポート免責条項本セキュリティ情報に含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation 及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation 及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行いません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。（Microsoft Corporation、その関連会社またはこれらの者の供給者がかかる損害の発生可能性を了知している場合を含みます。) 結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。 更新履歴| • | 2009/08/12: このセキュリティ情報ページを公開しました。 |
|