September, 2013

2013 年 9 月 11 日にリリースしましたセキュリティ情報 MS13-072 Microsoft Office の脆弱性により、リモートでコードが実行される (2845537), MS13-073 Microsoft Excel の脆弱性により、リモートでコードが実行される (2858300) で提供されている一部のセキュリティ更新プログラムにおいて、セキュリティ更新プログラムをインストール後も、繰り返しインストールを求められる現象が報告されています。

現在、弊社では本問題を認識しており調査を進めています。インストールが必要なセキュリティ更新プログラムを検出するロジックに問題があることがわかっており、数日以内に修正を完了することを予定しています。 

<9/14 更新> 米国時間 9 月 13 日に、本問題の修正が完了しました。修正は、インストールが必要なセキュリティ更新プログラムを検出するロジックのみを修正しており、セキュリティ更新プログラム自体への変更はありません。 すでに一度セキュリティ更新プログラムをインストールしたお客様においては、追加で必要な作業はありません。詳細は、「お客様におけるアクション」 をご覧ください。 (補足: お客様の環境に修正の反映が行われていない場合は、反映に時間がかかっていることが考えられます。しばらくたってから改めて確認してください。）

なお、一度セキュリティ更新プログラムをインストールした場合は、正しくセキュリティ更新プログラムは適用されており、脆弱性より保護されている状態です。本問題により、再度、セキュリティ更新プログラムを適用するよう求められても、再度インストールを行う必要はありません。

現象

セキュリティ情報 MS13-072 Microsoft Office の脆弱性により、リモートでコードが実行される (2845537), MS13-073 Microsoft Excel の脆弱性により、リモートでコードが実行される (2858300) で提供されている一部のセキュリティ更新プログラムにおいて、セキュリティ更新プログラムをインストール後も、繰り返しインストールを求められる。

MS13-072

MS13-073

KB2760583

KB2760588

KB2760590

KB2810048

環境

Microsoft Office 2007 Service Pack 3

Microsoft Office 互換機能パック Service Pack 3

<9/13 追記>

Microsoft Office 2010 Service Pack 1

Microsoft Office 2010 Service Pack 2

Microsoft Excel Viewer 

Microsoft Office 2003 Service Pack 3

お客様におけるアクション <9/13 追記> <9/14 更新>

1. セキュリティ更新プログラムのインストールが成功していることをご確認ください。

更新プログラムが正しくインストールされたか確認する方法

2. セキュリティ更新プログラムのインストールが成功して場合は、脆弱性より保護されている状態です。本問題により、再度、セキュリティ更新プログラムをインストールするよう求められても、再度インストールを行う必要はありません。

再度、インストールを求められても、無視していただくか、あるいは、以下の手順で、非表示にしてください。非表示にするとインストールを求められなくなります。

Windows Vista のWindows Update で更新プログラムが検出された場合に、更新プログラムを非表示に設定することでインストール対象から除外する方法

ヒント: インストールしないWindows 7 の更新プログラムを非表示にする

Windows 8 更新プログラムのインストールに関する問題のトラブルシューティング

なお、Microsoft Update 上の設定を変更することで、当問題は解消する予定です。この作業は、数日以内に完了する予定です。

<9/14 更新>

米国時間 9 月 13 日に、本問題の修正が完了しました。これにより、お客様においては、セキュリティ更新プログラムを再度インストールするよう求められることはありません。修正は、インストールが必要なセキュリティ更新プログラムを検出するロジックのみを修正しており、セキュリティ更新プログラム自体への変更はありません。

すでに一度セキュリティ更新プログラムのインストールに成功したお客様においては、追加で必要な作業はありません。更新プログラムのインストールが成功しているかについては、手順 1 を参照してご確認ください。 (補足: お客様の環境に修正の反映が行われていない場合は、反映に時間がかかっていることが考えられます。しばらくたってから改めて確認してください。）

サポート技術情報

本問題については、既知の問題として、サポート技術情報に掲載を行っています。併せてご参照ください。

(現在英語版のみ更新されています。日本語版のサポート技術情報は、翻訳が行われ次第更新します)

MS13-072: Description of the security update for 2007 Office system (MSO): September 10, 2013

http://support.microsoft.com/kb/2760411

MS13-073: Description of the security update for Microsoft Office Excel 2007: September 10, 2013

http://support.microsoft.com/kb/2760583

MS13-073: Description of the security update for Microsoft Excel 2007 (xlconv-x-none.msp): September 10, 2013

http://support.microsoft.com/kb/2760588

<9/13 追記> 

MS13-072: Description of the security update for Microsoft Office 2010: September 10, 2013  

<2013/10/09 追記>

本セキュリティ アドバイザリで説明している脆弱性に対処するため、セキュリティ情報 MS13-080 を発行しました。利用可能なセキュリティ更新プログラムのダウンロード先など、この問題に関する詳細情報については、セキュリティ情報 MS13-080 を参照してください。 

 <2013/10/04 追記>

2013 年 10 月 9 日に公開を予定しているセキュリティ更新プログラムで、本セキュリティ アドバイザリで説明している脆弱性の問題を解決する予定です。

本日マイクロソフトは、セキュリティ アドバイザリ 2887505「Internet Explore の脆弱性により、リモートでコードが実行される」を公開しました。 

このアドバイザリは、サポートされているすべてのバージョンの Internet Explorerにおいて確認されている脆弱性の説明、および脆弱性から保護するための緩和策と回避策を提供しています。この脆弱性が悪用された場合、ユーザーが悪意のある WEB サイトを訪問した際に、リモートでコードが実行される可能性があります。 

この脆弱性の悪用報告は、現在のところInternet Explorer 8 および Internet Explorer 9を対象とした標的型攻撃であり限定的ですが、アドバイザリに記載の製品をご使用のお客様は、アドバイザリで説明している回避策を実施されることをお勧めします。

■ 影響を受ける環境

Internet Explorer 6

Internet Explorer 7

Internet Explorer 8

Internet Explorer 9

Internet Explorer 10

Internet Explorer 11

■ 回避策

セキュリティ更新プログラム公開までの間お客様の環境を保護するために、本脆弱性による攻撃を防ぐFix It ソリューションを提供開始しました。現在、本脆弱性を悪用した攻撃が限定的な範囲ですが報告されておりますので、早期に対応するために、Fix It ソリューションの適用をお願いします。また、その他の回避策もご案内していますので、併せてご検討をお願いします。

回避策Fix It 適用方法

1. サポート技術情報 2887505 にアクセスします。
2. 「有効にする」(Enable) に記載されている Fix It をクリックします (Fix It 51001)

3. ウィザードに従い実行します。(Fix Itのウィザードは英語版のみとなりますが、英語版以外の Windows でも機能します)

4. 完了後、Internet Explorer を再起動します。

注意事項

• この Fix it ソリューションを適用する前に、Internet Explorer に、最新のセキュリティ更新プログラムが適用されている必要されている必要があります。
  • MS13-069 Internet Explorer 用の累積的なセキュリティ更新プログラム (2870699)
• Fix It 適用後は、Internet Explorer を再起動する必要があります。(OS の再起動は必要ありません)
• Fix Itのウィザードは英語版のみとなりますが、英語版以外の Windows でも機能します。
• 64 ビット版のオペレーティング システムを搭載しているコンピューターの場合、次の Fix it ソリューションは、32 ビット版の Internet Explorer にのみ適用されます。
• 問題のあるコンピューターとは別のコンピューターを操作している場合、自動的な解決ツールをフラッシュ ドライブまたは CD に保存することで、問題のあるコンピューターで実行することができます。

補足事項

• Fix It ソリューションを無効にするには、サポート技術情報 2887505 にアクセスし、「無効にする」(Disable) のFix It (Fix It 51002) を実行します。

■ 問題を緩和する要素

• 既定で、Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、および Windows Server 2012 R2 上の Internet Explorer は、「セキュリティ強化の構成」と呼ばれる制限されたモードで実行されます。このモードは、この脆弱性の影響を緩和します。
• 既定で、すべてのサポートされているバージョンの Microsoft Outlook、Microsoft Outlook Express および Windows メールは、HTML 形式の電子メール メッセージを制限付きサイト ゾーンで開きます。制限付きサイト ゾーンはスクリプトおよび ActiveX コントロールを無効にし、この脆弱性を悪用して悪意のあるコードを実行しようとする攻撃のリスクを排除するのに役立ちます。しかし、ユーザーが電子メール メッセージのリンクをクリックすると、Web ベースの攻撃のシナリオで悪用された脆弱性の影響を受ける可能性があります。
• この脆弱性が悪用された場合、攻撃者が現在のユーザーと同じユーザー権限を取得する可能性があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者特権で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。
• Web ベースの攻撃のシナリオで、攻撃者はこの脆弱性の悪用を意図した Web ページを含む Web サイトをホストする可能性があります。さらに、影響を受けた Web サイトおよびユーザー提供のコンテンツまたは広告を受け入れる、またはホストする Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれる可能性があります。しかし、すべての場合、攻撃者がこのような Web サイトにユーザーを強制的に訪問させる方法はないと考えられます。そのかわり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャーのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。

■ 緩和策: EMET について

緩和策としてご案内している Enhanced Mitigation Experience Toolkit (EMET) というツールを利用することで、ユーザーが悪意のある WEB サイトを訪問した場合でも、この脆弱性の悪用 (コード実行) を防ぐことができます。EMET については、私たちのチームのブログでも解説をご用意しています。まだご存知のない方は、ぜひこの機会に導入をご検討ください。 

セキュリティ TechCenter「Enhanced Mitigation Experience Toolkit」

日本のセキュリティ チーム ブログ 「脆弱性緩和ツール EMET 4.0 リリース」

日本のセキュリティ チーム ブログ 「EMET 4 日本語版ユーザー ガイドを公開しました」

■ 参考リンク

Microsoft Security Response Center (MSRC) ブログ

Microsoft Releases Security Advisory 2887505

Security Research and Defense ブログ

CVE-2013-3893: Fix it workaround available

2013 年 9 月 11 日 (日本時間)、マイクロソフトは計 13 件 (緊急 4 件、重要 9 件) の新規セキュリティ情報を公開しました。また、既存のセキュリティ アドバイザリ 1 件 (2755801) を更新しています。また、今月の「悪意のあるソフトウェアの削除ツール」では、新たに確認した 1 種類のマルウェアに対応しています。

今月 6 日に公開した事前通知の内容から一部変更がありました。セキュリティ情報 13 としてご案内していたセキュリティ情報は、問題が確認されたため、公開を見合わせています。今後適切なタイミングで公開を行う予定です。

お客様はできるだけ早期に、今月公開のセキュリティ更新プログラムを適用されるようお願いします。企業のお客様で適用に優先付けが必要な場合は、いずれも緊急の次の 3 つのセキュリティ情報 MS13-067 (SharePoint), MS13-068 (Outlook), MS13-069 (Internet Explorer) のセキュリティ更新プログラムを優先的に適用するよう推奨しています。

■深刻度評価、影響を受ける/受けないソフトウェアの表の変更

開発完了に伴い、Windows 8.1, Windows RT 8.1, Windows Server 2012 R2, およびこれらの OS 上の Internet Explorer 11 については、今月より、深刻度評価の対象となり、影響を受けるソフトウェアまたは影響を受けないソフトウェアの一覧表に追加されました。

なお、Preview 版については、各セキュリティ情報の FAQ に、影響の有無およびセキュリティ更新プログラムの有無が記載されています。

■MBSA 2.3 Preview を検証ください

こちらのブログでご紹介した通り、8 月 30 日 (米国時間) に、Microsoft Baseline Security Analyzer (MBSA) の次期バージョン MBSA 2.3 の Preview 版が公開されています。MBSA 2.3 Preview においては、英語版のみですが、日本語 OS 上でも実行可能です。MBSA 2.3 正式版は、2013 年秋に公開を予定しており、日本語版もリリースする予定です。また、MBSA 2.3 では Windows 8、Windows 8.1、Windows Server 2012、およびWindows Server 2012 R2 のサポートが追加され、Windows 2000 のサポートは終了します。ぜひ、お手元の環境でテストしてみてください。

■2013 年 9 月のセキュリティ情報一覧
各セキュリティ情報の概要、各脆弱性の悪用可能性指標 (Exploitability Index)、更新プログラムのダウンロード先などがご覧いただけます。
http://technet.microsoft.com/ja-jp/security/bulletin/ms13-sep

マイクロソフトは新たに確認した脆弱性について、次の 13 件のセキュリティ情報を公開しました。

■最新のセキュリティ情報を動画と音声でまとめて確認
マイクロソフト セキュリティ レスポンス チームが IT プロの皆さまに向けて、短時間で最新のセキュリティ更新プログラムの知りたいポイントを動画と音声でご紹介する今月のマイクロソフト ワンポイント セキュリティ情報は本日午後公開予定です。ご視聴いただくことで、最新のセキュリティ更新プログラムの適用優先度や再起動・回避策の有無、確認している既知の問題などをまとめて入手できます。Web キャスト公開後に、こちらのブログでもお知らせします。

みなさん、こんにちは。村木ゆりかです。

Microsoft Baseline Security Analyzer (MBSA) の次期バージョン MBSA 2.3 の Preview 版が公開されました。Microsoft Connect から入手可能です。(入手には Microsoft アカウントが必要) [10/10 更新] MBSA 2.3 Previewの公開は終了しました。

MBSA 2.3 Preview においては、英語版のみですが、日本語 OS 上でも実行可能です。MBSA 2.3 正式版は、2013 年秋に公開を予定しており、日本語版もリリースする予定です。また、MBSA 2.3 では Windows 8、Windows 8.1、Windows Server 2012、およびWindows Server 2012 R2 のサポートが追加され、Windows 2000 のサポートは終了します。

ぜひ、お手元の環境でテストしてみてください。

MBSA とは？

MBSA は、セキュリティ更新プログラムと、マイクロソフトの推奨するセキュリティ設定を検査するツールです。ローカルおよびリモートの端末に対して実行することができます。

自身が利用している端末や、企業内で利用している端末にて、セキュリティ更新プログラムの適用状況をチェックしたり、よくあるセキュリティ上の構成ミスや、適用されていないセキュリティ更新プログラムをコンピューター システム内で検出することができ、セキュリティを保つのに役立ちます。  

MBSA 2.3 Preview 入手方法

[10/10 更新] MBSA 2.3 Previewの公開は終了しました。このため本内容の掲載も終了いたしました。

参考リンク

Microsoft Technet Microsoft Baseline Security Analyzer(MBSA)

本記事は、Trustworthy Computing のブログ “Designing reliable and secure cloud solutions” (2013 年 1 月 3 日公開) を翻訳した記事です。

デビッド・ビルズ、信頼できるコンピューティング、信頼性主任ストラテジスト

クラウド コンピューティングやクラウド サービスは、コストの削減と生産性の向上を摸索する多くの組織の新たな解決策として浮上しつつあります。 アプリケーションや IT サービスをクラウドに移行させる組織が増え続ける中、サービス業界にとっては刺激的な時期であると同時に困難な時期でもあります。

クラウド サービスについてお客様と話す際に決まって質問される事柄が、セキュリティ、プライバシー、信頼性の 3 点です。 業界全体を見渡した場合、多数の組織がセキュリティとプライバシーの向上に注力していますが、信頼性にはあまり重点を置いていません。 多くの組織は依然として信頼性の高いサービスの運用方法を探っているように思われます。

信頼性とは突き詰めれば顧客満足度に関わることであり、信頼性の管理は、単なる稼働時間では測定できない繊細な問題です。 たとえば、絶対に故障しないサービスなどは絵に描いた餅で、実在するとしても動作が遅かったり、日常的な使用には適さないものと思われます。 このようなサービスにプライバシーの原則が確実に適用され、セキュリティの手法が抜きん出ていたとしても、こうしたサービスの利用に満足する人はいないでしょう。 つまり、信頼性は他の 2 点と同じくらい重要で、サービス プロバイダーの技術的な投資が顧客のあらゆる要求を真に満たす適切なレベルであることを保証するものです。

高い顧客満足度の維持は多面的な課題ですが、信頼性は顧客満足の他の側面を構築する土台にもなります。 クラウド ベースのサービスは、始めから信頼性を念頭において設計する必要があります。

最近マイクロソフトが、「可用性が高く、セキュリティで保護されたクラウド ソリューションの展開」というホワイトペーパーを新たにリリースしました。 このペーパーでは、可用性が高く、セキュリティ保護されたクライアント接続を持続させる堅牢なクラウド ソリューションの展開例を挙げ、ユーザーの実例を示しながら拡張性の問題を検討しています。 私の経験上、基本的なレベルにおけるクラウド サービスの障害の主な原因には、次の 3 点が挙げられます。
1. デバイスやインフラストラクチャの障害
2. ソフトウェアの脆弱性
3. 人為的なミス

こうした障害は必ず起こるものと想定すれば (実際、上記の 3 つは恒常的な脅威です)、何らかの不具合が生じたときに、顧客への影響が回避される、または最小限に抑えられるクラウド サービスを設計する必要性が生じます。
高レベルのクラウド サービスでは、クラウド セッションが、社内外のエンティティによってホストされる組織のクラウドベースのサービスにコンピューティング デバイスを使用して接続する 1 人の顧客で構成されます。 可用性が高いクラウド サービスを計画する際に重要な点は、サービスに関わるすべての関係者の期待と責任を考慮することです。 組織は、計画時に、テクノロジの現実的な限界を受け入れ、障害は起こるものという認識を持つ必要があります。 プロバイダーがサービスの障害を隔離して速やかに修復するという設計上の必須原則を適用し、ユーザーのサービス可用性への影響を回避する、または最小限に抑えるようにすれば、顧客がセキュリティやプライバシーと同じぐらい重要と考えている信頼性という要素を、プロバイダーの側もクラウド コンピューティングの絶対不可欠な要素と考えていることが示されます。

クラウド サービスを設計または運用している方々には、ホワイトペーパーをダウンロードし、可用性が高く、セキュリティ保護されたクラウド サービスを展開して、顧客にどの面でも最適なユーザー エクスペリエンスをもたらす成功事例の手法に目を通すことを強くお勧めします。

本記事は、Security Research & Defense のブログ “Assessing risk for the September 2013 security updates” (2013 年 9 月 11 日公開) を翻訳した記事です。

本日、私たちは 47 件の CVE を解決する 13 件のセキュリティ情報をリリースしました。セキュリティ情報の内、4 件は最大深刻度が「緊急」、そして 9 件が「重要」でした。お客様の環境に最適な更新プログラムの適用優先順位の決定が行えるよう、以下の表をご活用ください。

ジョナサン・ネス、MSRC エンジニアリング

2013 年 9 月の月例セキュリティ リリースの事前通知を公開しました。
2013 年 9 月 11 日に公開を予定している新規月例セキュリティ情報は、合計 14 件 (緊急 4 件、重要 10 件) です。なお、最新のセキュリティ情報の概要を動画と音声でお伝えするストリーミング ビデオ (Web キャスト) の「今月のマイクロソフト ワンポイント セキュリティ」も同日午後に公開する予定です。

公開予定のセキュリティ情報の詳細は、以下の事前通知のサイトをご覧ください。
http://technet.microsoft.com/ja-jp/security/bulletin/ms13-sep

皆さん、こんにちは！
先ほど 9 月のマイクロソフト ワンポイント セキュリティ情報を公開しました。

本日 9 月 11 日に公開した新規 13 件 (緊急 4 件、重要 9 件) のセキュリティ更新プログラムの適用優先度、既知の問題、回避策や再起動の有無など、セキュリティ情報について知っておきたい情報を凝縮してお伝えしています。今月のセキュリティ更新プログラム適用前の概要把握のために是非ご視聴ください。

また内容に関するフィードバックも随時受け付けています。「今月のマイクロソフト ワンポイント セキュリティ情報」サイト右上のフィードバックボックスからご意見・ご感想をお寄せください。

ダウンロード用の Web キャストは以下のサイトから入手可能です。
http://technet.microsoft.com/ja-jp/security/dd251169.aspx

下の画像をクリックして動画を再生してください。

Format: wmv
Duration: