このアドバイザリの目的は何ですか?
マイクロソフトは、Microsoft Exchange Server の Outlook Web Access (OWA) に影響を与える、新たな脆弱性の報告を確認しました。これは「概要」の欄に記載されているソフトウェアに影響を及ぼします。
Exchange Outlook Web Access (OWA) とは何ですか?
Outlook Web Access (OWA) とは、Microsoft Exchange Server 5.0 およびそれ以降のバージョンの Web メール サービスです。Outlook Web Access の Web インターフェイスは Microsoft Outlook のインターフェイスに類似しています。Outlook Web Access は Microsoft Exchange Server の一部です。
この脅威は何が原因で起こりますか?
特定の状況で、攻撃者が認証済みの OWA セッションをハイジャックして、ユーザーが気づかないうちに、ユーザーの代わりに動作を実行する可能性があります。
攻撃者は、この脆弱性を悪用して何を行う可能性がありますか?
攻撃者がこの脆弱性を悪用した場合、有効な OWA セッションのセキュリティ コンテキストで認証済みユーザーの代わりに動作を実行し、電子メール メッセージを読む、新しい受信トレイ ルールを追加する、または OWA のユーザー設定を変更したりする可能性があります。
攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
攻撃者はこの脆弱性を悪用して、有効な OWA のセッション中に、標的の Exchange のドメイン用に特別に細工した悪質な Web ページに、標的のユーザーを訪問させる可能性があります。
どうしてこの脆弱性を解決するセキュリティ更新プログラムがないのですか？
この脆弱性を解決するには、OWA の新しい http リクエストの検証のフレームワークを実装して、攻撃者がユーザーの OWA セッションをハイジャックできないようにするためのデザイン変更が必要になるため、セキュリティ更新プログラムは利用できません。マイクロソフトは、デザイン変更による影響を受けるバージョンの Microsoft Exchange Server への影響が、お客様の環境を不安定にし、破壊するリスクがあまりにも高いと考え、今回の判断を下しました。
更新プログラムが利用できない製品のバージョンを使用している場合は、どうすればよいですか？
影響を受けるエディションの Microsoft Exchange Server を実行中の管理者は、影響を受けないバージョンの Microsoft Exchange Server にアップグレードする必要があります。Microsoft Exchange Server 2007 Service Pack 3 および Microsoft Exchange Server 2010 はこの脆弱性の影響を受けません。
現時点で、アップグレードができないお客様は、「回避策」のセクションで、攻撃者によるこの脆弱性の悪用を制限する方法に関するオプションを確認できます。
このセキュリティアドバイザリで説明しているソフトウェアの旧バージョンを使用しています。どうすればよいですか?
このアドバイザリに記載されている影響を受けるソフトウェアのテストを行い、影響を受けるリリースを確認しました。その他のリリースは、サポート ライフサイクルが終了しました。製品のライフサイクルに関する詳細情報は、マイクロソフト サポート ライフサイクルの Web サイトをご覧ください。
今後、脆弱性の影響を受けないようにするため、旧リリースのソフトウェアを使用しているお客様は、サポート対象のリリースに移行することを強く推奨します。使用しているソフトウェアのリリースのサポート ライフサイクルを確認するためには、プロダクト サポート ライフサイクル - 製品一覧をご覧ください。これらのソフトウェアのリリースのサービス パックの詳細情報は、サポート対象サービス パックをご覧ください。
以前のソフトウェアに関するカスタムサポートが必要なお客様は、担当営業、またはマイクロソフト アカウント チームの担当者、担当テクニカル アカウント マネージャ (TAM)、またはカスタム サポート オプションのマイクロソフト パートナー担当者までご連絡ください。プレミア契約をお持ちでないお客様は、マイクロソフトサポート契約センター （営業時間 9:30-12:00 13:00-19:00 土日祝祭日を除く TEL:0120-17-0196 FAX:03-5388-8253） までお問い合わせください。連絡先の情報は、Microsoft Worldwide Information Web サイト の Contact Information のプルダウン リストから、国を選択し、[Go] ボタンをクリックすると、連絡先の電話番号が表示されます。お問い合わせの際、お住まいの地域のプレミア サポート営業担当にご連絡ください。詳細情報は、マイクロソフト ライフサイクル ポリシー FAQ をご覧ください。