2014/5/2 更新： 本Internet Explorer の脆弱性に対処するセキュリティ更新プログラムをセキュリティ情報 MS14-021 として公開しました。詳細は、こちらの投稿をご覧ください。

----------------------------------------------------------------------------

このブログでは、セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」で説明している脆弱性について、ユーザー別に推奨する回避策を記載しています。このブログでは、お客様環境に合わせて設定しやすい回避策を記載していますが、その他の回避策やすべての回避策を実施していただいても問題ありません。

■ 回避策

セキュリティ更新プログラム公開までの間、お客様の環境を保護するために、以下の回避策を実施してください。

個人のお客様

※はじめに、お使いの Windows のバージョンを確認する方法はこちら、またお使いの Windows が 32 ビットか 64 ビットかを確認する方法は「自分のパソコンが 32 ビット版か 64 ビット版かを確認したい」をご参照ください。

Windows Vista をお使いのお客様:

VML の無効化を実施してください。

32 ビット (x86) 版の Windows 7 以降のオペレーティング システムをお使いのお客様:

VML の無効化を実施してください。

64 ビット (x64) 版の Windows 7 以降のオペレーティング システムをお使いのお客様:

• Internet Explorer 10 以上を使用して拡張保護モードを有効にすることで、現在確認されている悪用を防ぐことを確認しています。可能な場合は、Internet Explorer 10 以上を使用し、拡張保護モードを有効にしてください。

• Internet Explorer 8 または Internet Explorer 9 を引き続きお使いのお客様は、VML の無効化を実施してください。

• 64 ビット版の Windows 8/8.1 をお使いのお客様で、新しい UI (Windows ストア アプリ) の Internet Explorer 10 および Internet Explorer 11 をご利用いただく場合、拡張保護モード同等の機能により、攻撃が回避されることを確認しています。デスクトップ版の Internet Explorer 10/11 を利用する場合は、拡張保護モードを有効にしてください。 

Windows RT/RT 8.1 をお使いのお客様:

新しい UI (Windows ストア アプリ) の Internet Explorer 10 および Internet Explorer 11 をご利用いただく場合、拡張保護モード同等の機能により、攻撃が回避されることを確認しています。デスクトップ版の Internet Explorer 10/11 を利用する場合は、拡張保護モードを有効にしてください。 

企業のお客様

Windows Vista / Windows Server 2003 / Windows Server 2008 をお使いのお客様:

EMET の導入を実施することが最も効果が高い対策となります。すでに検証済み、または過去に導入したことがある場合などは、EMET の導入による回避を検討してください。

EMET の導入が難しい場合は、VML の無効化を実施してください。

32 ビット版の Windows 7 以降のオペレーティング システムをお使いのお客様:

上記「Windows Vista / Windows Server 2003 / Windows Server 2008 をお使いのお客様」に記載の回避策を実施してください。

64 ビット版の Windows 7 / Windows Server 2008 R2 以降のオペレーティング システムをお使いのお客様:

• Internet Explorer 10 以上を使用して拡張保護モードを有効にすることで、現在確認されている悪用を防ぐことを確認しています。可能な場合は、Internet Explorer 10 以上を使用し、拡張保護モードを有効にしてください。

• Internet Explorer 8 または 9 を引き続きお使いのお客様は、上記「Windows Vista / Windows Server 2003 / Windows Server 2008 をお使いのお客様」に記載の回避策を実施してください。

• 64 ビット版の Windows 8/8.1 をお使いのお客様で、新しい UI の Internet Explorer 10 および Internet Explorer 11 をご利用いただく場合、拡張保護モード同等の機能により、攻撃が回避されることを確認しています。デスクトップ版の Internet Explorer 10/11 を利用する場合は、拡張保護モードを有効にしてください。

Windows RT/RT 8.1 をお使いのお客様:

新しい UI (Windows ストア アプリ) の Internet Explorer 10 および Internet Explorer 11 をご利用いただく場合、拡張保護モード同等の機能により、攻撃が回避されることを確認しています。デスクトップ版の Internet Explorer 10/11 を利用する場合は、拡張保護モードを有効にしてください。 

回避策: 拡張保護モードを有効にする

Windows RT/Windows RT 8.1 および、64 ビット版の Windows 7 / Windows Serve 2008 R2 以降のオペレーティング システム上の Internet Explorer 10 および Internet Explorer 11 では、拡張保護モードを有効にすることで、現在確認している攻撃を防ぐことができます。

設定方法

1. Internet Explorer を起動し、[ツール] ボタン (歯車マーク) から [インターネット オプション] を選択します。

2. [詳細設定] タブをクリックし、[設定] の [セキュリティ] セクションまでスクロールします。

3. Internet Explorer 10 の場合は、[拡張保護モードを有効にする] のチェックをオンにします。

4. Internet Explorer 11 の場合は、[拡張保護モードを有効にする] および [拡張保護モードで 64 ビット プロセッサを有効にする] (Windows 8 以降の x64 システムの場合) のチェックをオンにします。
   

5. [OK] をクリックして [インターネット オプション] を閉じます。

6. システムを再起動します。

回避策: EMET を導入する

Enhanced Mitigation Experience Toolkit (EMET) はマイクロソフトが無償で提供している、セキュリティ脆弱性緩和ツールです。以下の構成で、現在確認されている悪用を防ぐことを確認しています。

EMET 4.0: すべての緩和策、および、deephooks/antidetour を有効化

EMET 4.1: すべての緩和策、および、deephooks/antidetour を有効化

EMET 5.0 Technical Preview: ASR および EAF+ を含むすべての緩和策、および deephooks/antidetour を有効化

注意 : EMET 3 は緩和策として有効ではありません。

注意 : EMET を導入する際には、十分検証を行ってください。EMET により Windows 自体が強化され、脆弱性の悪用を防ぐことができますが、一部のプログラム (特に古いプログラム) との互換性に問題を生じる場合があります。ツールとともにダウンロードされるユーザーズガイド等を参照のうえ、十分に検証を行ってください。なお、EMET は今回の脆弱性だけでなく過去の脆弱性や今後の新規の脆弱性に対しても効果が期待できますので、導入されていない場合は今後の導入もご検討ください。

補足：EMETの回避策の設定について
アドバイザリの回避策においては、EMET の既定の構成にて、攻撃の緩和が可能と示されています。
これに対して、ブログでは、既定の構成に加え、Deep Hook を有効にするようご案内しています。

これは、既定の設定で有効になっている Heapspray 緩和策によって最低限の攻撃は緩和できるためです。
しかしながら、Deep Hook を有効にすることで有効となる緩和策を有効にするほうが、より強固な緩和策となり、Heapspray の緩和策を迂回する攻撃を緩和する効果もあります。
このため、より強固な緩和策を備えるために、既定では有効ではないDeep Hookの設定を有効にしていただくことをブログ上では推奨しています。

設定方法

EMET は Enhanced Mitigation Experience Toolkit (EMET) からダウンロードできます。ダウンロード後は、ユーザーガイドに従って設定を行ってください。

*EMET 4.0 は Windows 8.1 および Windows Server 2012 R2 には対応していません。EMET 4.1/5.0 は現在サポートしているすべての OS で対応しています。

参考情報

EMET については、私たちのチームのブログでも解説しています。まだご存知のない方は、ぜひご確認ください。

・セキュリティ TechCenter「Enhanced Mitigation Experience Toolkit」

・日本のセキュリティ チーム ブログ「EMET 4.1 を公開～構成ファイルや管理機能の強化」「EMET 5.0 Technical Preview 公開しました」

回避策: Vector Markup Language (VML) を無効化する

ベクター画像の描画に利用される VML を無効化することで、現在確認されている悪用を防ぐことを確認しています。なお、本回避策を有効にした場合、アプリケーションやウェブサイトで VML を利用しているものは表示できない、などの影響が想定されますが、VML は Web では一般的なテクノロジーではなく通常の Web サイトで利用されていることが少ないこと、また Internet Explorer 9 以降には同様のベクター グラフィックを表示する Web 標準テクノロジーである SVG が搭載されているため、無効にした場合の直接的な影響は少ないと考えられます。

VML無効化の手順

Windows Vista、Windows 7 の場合:

1. [スタートボタン] - [すべてのプログラム] をクリックします。
   
2. [アクセサリ] をクリックします。
   
3. [コマンドプロンプト] を右クリックし、「管理者として実行」をクリックします。
   
4. 入力するコマンドをコピーします。
   32 ビット版 Windows の場合:
   "%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
   
   64 ビット版 Windows の場合:
   "%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
   "%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles(x86)%\Microsoft Shared\VGX\vgx.dll"
5. [管理者: コマンド プロンプト] ダイアログボックスの左隅をクリックし、[編集] -[貼り付け] をクリックします。
   
6. Enter キーをクリックします。
   
7. ダイアログ ボックスが表示され、無効化が成功したことが表示されますので、[OK] をクリックしてダイアログ ボックスを閉じます。
   
8. [管理者: コマンド プロンプト] の右隅にある [X] をクリックして、ダイアログボックスを閉じます。
9. 設定を有効にするために、Internet Explorer を再起動します。

Windows 8、Windows 8.1 の場合:

1. Windows + X キーを押し、[コマンド プロンプト (管理者)] をクリックします。
   
2. 入力するコマンドをコピーします。
   32 ビット版 Windows の場合:
   "%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
   
   64 ビット版 Windows の場合:
   "%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
   "%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles(x86)%\Microsoft Shared\VGX\vgx.dll"
3. [管理者: コマンド プロンプト] ダイアログボックスの左隅をクリックし、[編集] -[貼り付け] をクリックします。
   
4. ダイアログ ボックスが表示され、無効化が成功したことが表示されますので、[OK] をクリックしてダイアログ ボックスを閉じます。
   
5. Enter キーを押します。ダイアログ ボックスが表示され、無効化が成功したことが表示されますので、[OK] をクリックしてダイアログ ボックスを閉じます。
   
6. [管理者: コマンド プロンプト] の右隅にある [X] をクリックして、ダイアログボックスを閉じます。
7. 設定を有効にするために、Internet Explorer を再起動します。

VML 有効化の手順

VML を有効に戻したい場合は、以下の手順を実行します。

1. コマンド プロンプトを管理者権限で開きます。

2. 以下を入力します。
   32 ビット版 Windows の場合:
   "%SystemRoot%\System32\regsvr32.exe" "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
   
   64 ビット版 Windows の場合:
   "%SystemRoot%\System32\regsvr32.exe" "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
   "%SystemRoot%\System32\regsvr32.exe" "%CommonProgramFiles(x86)%\Microsoft Shared\VGX\vgx.dll"

3. ダイアログ ボックスが表示され、登録が成功したことが表示されますので、[OK] をクリックしてダイアログ ボックスを閉じます。

4. 設定を有効にするために、Internet Explorer を再起動します。

■ 関連リンク

日本のセキュリティチームのブログ

セキュリティ アドバイザリ 2963983「Internet Explore の脆弱性により、リモートでコードが実行される」

[FAQ まとめ] セキュリティ アドバイザリ 2963983 – Internet Explorer の脆弱性により、リモートでコードが実行される

Microsoft Security Response Center (MSRC) 公式ブログ

Microsoft releases Security Advisory 2963983 (英語情報)

Security Research and Defense 公式ブログ

More Details about Security Advisory 2963983 IE 0day (英語情報)

■ 更新履歴

2014/4/30 20:15: 企業のお客様の回避策に、サーバー OS の記述を追加しました。

2014/5/1 14:35: 回避策をまとめた表を追加しました。「Windows RT/RT 8.1 をお使いのお客様の場合」を追加しました。VML 無効化の手順に画像を追加し、明確化しました。手順に変更はありません。EMET の回避策に補足を追加しました。

2014/5/2 更新： 本Internet Explorer の脆弱性に対処するセキュリティ更新プログラムをセキュリティ情報 MS14-021 として公開しました。詳細は、こちらの投稿をご覧ください。

----------------------------

本日マイクロソフトは、セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」を公開しました。 

このアドバイザリは、Internet Explorer において確認されている脆弱性の説明、および脆弱性から保護するための回避策を提供しています。ユーザーが、影響を受けるバージョンの Internet Explorer で特別に細工されたウェブサイトを閲覧した場合に、リモートでコードが実行される可能性があります。攻撃者によりこの脆弱性が悪用された場合、攻撃者が現在のユーザーと同じユーザー権限を取得する可能性があります。

この脆弱性の悪用状況は、現在のところ Internet Explorer 9, Internet Explorer 10, Internet Explorer 11 を対象とした限定的な標的型攻撃のみを確認しています。アドバイザリに記載の製品をご使用のお客様は、アドバイザリで説明している回避策を実施されることをお勧めします。

■ 影響を受ける環境

Internet Explorer 6

Internet Explorer 7

Internet Explorer 8

Internet Explorer 9

Internet Explorer 10

Internet Explorer 11

■ 回避策

セキュリティ更新プログラム公開までの間、お客様の環境を保護するために、以下のいずれかまたは併せて回避策を実施してください。

回避策 1: EMET を導入する

Enhanced Mitigation Experience Toolkit (EMET) の以下の構成で、現在確認されている悪用を防ぐことを確認しています。

(4/30 追記) EMET 4.0: すべての緩和策、および、deephooks/antidetour を有効化

EMET 4.1: すべての緩和策、および、deephooks/antidetour を有効化

EMET 5.0 Technical Preview: ASR および EAF+ を含むすべての緩和策、および deephooks/antidetour を有効化

　注意: EMET 3 は緩和策として有効ではありません。

EMET については、私たちのチームのブログでも解説をご用意しています。まだご存知のない方は、ぜひこの機会に導入をご検討ください。

・セキュリティ TechCenter「Enhanced Mitigation Experience Toolkit」

・日本のセキュリティ チーム ブログ「EMET 4.1 を公開～構成ファイルや管理機能の強化」「EMET 5.0 Technical Preview 公開しました」

回避策 2: Vector Markup Language (VML) を無効化する

ベクター画像の描画に利用される VML を無効化することで、現在確認されている悪用を防ぐことを確認しています。VML 無効化の設定方法は、セキュリティ アドバイザリの回避策を参照してください。なお、本回避策を有効にした場合、アプリケーションやウェブサイトで VML を利用しているものは表示できない、などの影響が想定されますのでご留意ください。

回避策 3: 拡張保護モードを有効にする

拡張保護モードを有効にすることで、現在確認されている悪用を防ぐことを確認しています。

インターネット オプションを開き、[拡張保護モードを有効にする] および [拡張保護モードで 64 ビット プロセッサを有効にする] (64 ビット システムの場合) にチェックを入れます。チェックを入れた後は、再起動が必要です。

その他の回避策については、セキュリティ アドバイザリをご覧ください。

■ 参考リンク

Microsoft Security Response Center (MSRC) 公式ブログ

Microsoft releases Security Advisory 2963983 (英語情報)

Security Research and Defense 公式ブログ

More Details about Security Advisory 2963983 IE 0day (英語情報)

[回避策まとめ] セキュリティ アドバイザリ 2963983 – Internet Explorer の脆弱性により、リモートでコードが実行される

[FAQ まとめ] セキュリティ アドバイザリ 2963983 – Internet Explorer の脆弱性により、リモートでコードが実行される

-----------------------------------------------

更新履歴

4 月 30 日　回避策に、EMET 4.0 を追記しました。

セキュリティ情報、セキュリティ アドバイザリ サイトをリニューアルしました。

ナビゲーション ウィンドウの導入により、各セキュリティ情報、セキュリティ アドバイザリ ページのアクセスが容易になりました。

リニューアルに伴い、以下のとおりに URL が変わっていますので、ご注意ください。お気に入りなどブックマークされている場合には、新 URL への変更をお願いいたします。なお、当面は旧 URL にアクセスいただいても自動的に新サイトに遷移いたします。 

セキュリティ情報

旧 URL: http://technet.microsoft.com/security/bulletin/MSNN-NNN

新 URL: https://technet.microsoft.com/library/security/MSNN-NNN

新サイト例: https://technet.microsoft.com/library/security/MS14-001

セキュリティ アドバイザリ

旧 URL: http://technet.microsoft.com/security/Advisory/XXXXXXX

新 URL: https://technet.microsoft.com/library/security/XXXXXXX

新サイト例: https://technet.microsoft.com/library/security/2953095

下記のセキュリティ情報およびセキュリティ アドバイザリのトップページにつきましては URL の変更はありません。

• セキュリティ情報トップページ
  https://technet.microsoft.com/security/bulletin/

• セキュリティ アドバイザリ トップページ
  https://technet.microsoft.com/security/advisory/

[2014/7/30 追記]

セキュリティ アドバイザリ 2915720 およびセキュリティ情報 MS13-098 を更新し、 MS13-098 に含まれる Windows Authenticode 署名検証の機能を 2014 年 8 月 12 日 (米国日付) に既定で有効化しないことをお知らせしました。ただし、この機能自体はなくなっておらず、お客様はご自身で必要に応じて有効化することができます (設定方法や詳細は MS13-098 をご覧ください)。今回の決定は、これまでお客様と検証を進める中、既定で有効にした場合の既存のソフトウェアへの影響が大きいと判断したためです。なお、将来リリースする Windows のバージョンではこの機能を既定で有効と設定する可能性もあります。

[2014/5/22 追記]

セキュリティ アドバイザリ 2915720 およびセキュリティ情報 MS13-098 を更新し、Windows Authenticode 署名検証の自動有効化の開始を 2014 年 6 月 10 日 (米国日付) から 2014 年 8 月 12 日 (米国日付) に変更したことをお知らせしました。これに伴い、本ブログ内の日付も変更いたしました。

こんにちは、村木ゆりかです。

2013 年 12 月に公開し、2014 年 2 月にも再告知を行った セキュリティ アドバイザリ 2915720「Windows Authenticode 署名検証の変更」は、これまでにお知らせしているとおり、Windows Authenticode 署名形式で署名したバイナリの署名の検証が、より厳格な検証を行うよう動作変更します。

この動作変更の更新プログラムは、セキュリティ情報 MS13-098「Windows の脆弱性により、リモートでコードが実行される」に含まれており、2014 年 8 月 12 日 (米国時間) に、厳格な検証を有効化するよう自動更新を開始する予定です。現在、お使いの環境でこの Authenticode 署名検証変更の動作テストを実行することを推奨しています。

本日は、自動更新による有効化が始まる 6 月まであと 2 か月弱となりましたので、本ブログでも、改めてご案内いたします。

■ 概要

Windows 上にて、Authenticode 署名形式で署名されたバイナリ (Windows Portable Executable 型式) の検証を行う際、より厳格な検証を行うように動作を変更します。

動作変更の更新プログラムは、セキュリティ情報 MS13-098「Windows の脆弱性により、リモートでコードが実行される」に含まれています。現在は、更新プログラムをインストールしても、この変更は既定では有効になりませんが、2014 年 8 月 12 日 (米国時間) に、厳格な検証を有効化するよう自動更新を開始する予定です。

現在、お使いの環境でこの Authenticode 署名検証変更の動作テストを実行することを推奨しています。

■ Authenticode 署名とは

Authenticode 署名とは、デジタル署名の形式のひとつで、Windows で利用するバイナリ (Windows Portable Executable 型式) を署名するために広く利用されています。署名を行うことで、バイナリの利用時に、作成者 (発行元) の確認や、バイナリに不正な改ざんが行われていないことを確認することができます。

たとえば、インターネットで配布しているアプリケーションのインストーラーに、署名を行っておきます。ダウンロードしたユーザー側では、署名を確認することで、インストーラーが信頼のおける開発者から発行されたものであり、また、ウイルスが仕込まれるなどの改ざんがされていないことを確認することができます。

Authenticode の概要については、「Introduction to Code Signing」(英語情報) を参照してください。

■ より厳格な Authenticode 署名検証とは

Authenticode 署名に関する情報は、Public-Key Cryptography Standards (PKCS) #7 の署名データおよび X.509 証明書を使用しており、署名対象のバイナリ (Windows Portable Executable) のデータの一部として保存されています。署名されたバイナリを利用する際は、Windows の WinVerifyTrust 機能を利用し、この保存されているデータを利用して、署名が正しいものであるか検証が行われます。

より厳格な署名の検証においては、この署名データや証明書を格納しておく部分に、無関係なデータが含まれているかをチェックするようになります。もし、無関係なデータが含まれている場合は、署名は非準拠とみなします。(署名がされていないバイナリとして判断します) 非準拠のバイナリを使用している場合は、例えばバイナリがアプリケーションの場合は警告が表示されたり実行不可となる、インストーラーの場合は、インストールが行えないなどが発生する可能性があります。

技術的な詳細については、以下の情報を参照してください。

・Microsoft Security and Research Blog "MS13-098: Update to enhance the security of Authenticode" (英語情報)

・Introduction to Code Signing (英語情報)  
・WinVerifyTrust function (英語情報)  
・Authenticode Portable Executable Signature Format (英語情報)

■ 動作テストをお願いします

2014 年 8 月 12 日 (米国時間) までに、開発者の方は署名しているバイナリが厳格な署名検証に準拠しているか、IT 管理者の方はお使いの環境で非準拠のバイナリがないか、動作検証することをお勧めしています。

動作変更の更新プログラムは、MS13-098 で公開されているセキュリティ更新プログラムに含まれています。現時点では更新プログラムをインストールするだけでは、厳格な署名の検証有効になりません。MS13-098 のセキュリティ更新プログラムをインストールし、レジストリ EnableCertPaddingCheck 値を追加することで、厳格な署名の検証が有効になります。

厳格な署名の検証を有効にした環境で、アプリケーションやサービスが正しく稼働するか、インストーラーが正しく動作するかなどをご確認ください。

詳細は、セキュリティ アドバイザリ 2915720「推奨するアクション」の項目を参照してください。

■ タイムライン (米国時間で表記)

2013 年 12 月 10 日:

・セキュリティ アドバイザリ 2915720「Windows Authenticode 署名検証の変更」を公開

・セキュリティ情報 MS13-098「Windows の脆弱性により、リモートでコードが実行される」を公開し、署名の検証方法を変更する修正を公開

注意: 現時点では更新プログラムをインストールしても、この変更は既定では有効になりません。

2014 年 2 月 11 日

・セキュリティ アドバイザリ 2915720 を再リリースし改めてお知らせ

2014 年 8 月 12 日 (予定)

・Authenticode 署名のより厳格な検証を有効化するための更新を、自動更新で配信予定

・より厳格な検証が有効化された端末においては、署名データや証明書を格納しておく部分に、無関係なデータが含まれているかをチェックするようになります。

・無関係なデータが含まれている場合は、署名は非準拠とみなします。(署名がされていないバイナリとして判断します)

・非準拠のバイナリを使用している場合は、例えばバイナリがアプリケーションの場合は警告が表示されたり実行不可となる、インストーラーの場合は、インストールが行えないなどが発生する可能性があります。

■ 参考情報

Microsoft Security and Research Blog "MS13-098: Update to enhance the security of Authenticode" (英語情報)

Introduction to Code Signing (英語情報)  
WinVerifyTrust function (英語情報)  
Authenticode Portable Executable Signature Format (英語情報)

本記事は、Microsoft Security のブログ “Microsoft Services unaffected by OpenSSL "Heartbleed" vulnerability" (2014 年 4 月 10 日公開) を翻訳した記事です。

信頼できるコンピューティング ディレクター トレーシー・プレトリウス

2014 年 4 月 8 日 (米国日付) に、セキュリティ研究者たちは、顧客データを保護するために多くの Web サイトで使用されている OpenSSL の暗号化ソフトウェア ライブラリに不具合があることを発表しました。この脆弱性は、「Heartbleed」という名称で知られており、サイバー攻撃者が通信用の暗号化キーを使用して Web サイトの顧客データへのアクセスを許可する可能性があります。

綿密な調査によって、マイクロソフトは、他のほとんどの Microsoft サービスと同様に、Microsoft アカウント、Microsoft Azure、Office 365、Yammer、および Skype が OpenSSL「Heartbleed」脆弱性の影響を受けないと判断しました。SSL/TLS を実装している Windows についても影響を受けません。(補足 1、補足 2) 他、数個のサービスについて、確認および、さらなる保護を更新し続けます。

マイクロソフトは、常に、オンライン アカウントのセキュリティに関して用心し、定期的なアカウント パスワードの変更と複雑なパスワードの使用をお客様に推奨しています。強力なパスワードを作成する方法の詳細は、セーフティとセキュリティ センターの「パスワードのチェック - パスワードは強力か?」を参照してください。

2014/4/22 追記

補足 1: 本情報を公開した 2014 年 4 月 14 日時点でサポートされているすべてのバージョンの Windows が対象です。

補足 2: Windows上で動作するマイクロソフト製品では、既定の設定では SSL/TLS の動作を行う場合 Windows OS の実装 (Schannel) を利用いたします。そのため、今回の脆弱性には該当いたしません。ご詳細は「Information about HeartBleed and IIS」(英語情報) をご参照ください。