|||||
Symantec.com > 企業・法人向け > セキュリティレスポンス > 詳細情報－脆弱性


Microsoft Active Template Library にオブジェクト型の不一致によりリモートでコードが実行される脆弱性


危険性

高

発見日

2009 年 8 月 11 日

解説

Microsoft Active Template Library (ATL) に、リモートでコードが実行される脆弱性が存在します。
メモ: この問題の影響を受けるのは、マイクロソフト社が内部で使用するプライベートバージョンの ATL です。他社が作成したコンポーネントは影響を受けない可能性があります。リモートの攻撃者がこの脆弱性を悪用すると、影響を受けるライブラリで構築されたアプリケーションを実行しているユーザーの権限で任意のコードを実行できる可能性があります。攻撃に失敗すると、サービス拒否の状態が引き起こされる可能性があります。

影響を受ける技術

  • Microsoft DHTML Editing Component ActiveX Control
  • Microsoft Microsoft MSWebDVD ActiveX Control
  • Microsoft Outlook Express 5.5
  • Microsoft Outlook Express 5.5 SP1
  • Microsoft Outlook Express 5.5 SP2
  • Microsoft Outlook Express 6.0
  • Microsoft Outlook Express 6.0 SP1
  • Microsoft Windows 2000 Advanced Server
  • Microsoft Windows 2000 Advanced Server SP1
  • Microsoft Windows 2000 Advanced Server SP2
  • Microsoft Windows 2000 Advanced Server SP3
  • Microsoft Windows 2000 Advanced Server SP4
  • Microsoft Windows 2000 Datacenter Server
  • Microsoft Windows 2000 Datacenter Server SP1
  • Microsoft Windows 2000 Datacenter Server SP2
  • Microsoft Windows 2000 Datacenter Server SP3
  • Microsoft Windows 2000 Datacenter Server SP4
  • Microsoft Windows 2000 Professional
  • Microsoft Windows 2000 Professional SP1
  • Microsoft Windows 2000 Professional SP2
  • Microsoft Windows 2000 Professional SP3
  • Microsoft Windows 2000 Professional SP4
  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 Server SP1
  • Microsoft Windows 2000 Server SP2
  • Microsoft Windows 2000 Server SP3
  • Microsoft Windows 2000 Server SP4
  • Microsoft Windows ATL Component
  • Microsoft Windows Media Player 10.0
  • Microsoft Windows Media Player 11
  • Microsoft Windows Media Player 9.0
  • Microsoft Windows Server 2003 Datacenter Edition
  • Microsoft Windows Server 2003 Datacenter Edition Itanium
  • Microsoft Windows Server 2003 Datacenter Edition Itanium SP1
  • Microsoft Windows Server 2003 Datacenter Edition SP1
  • Microsoft Windows Server 2003 Datacenter x64 Edition
  • Microsoft Windows Server 2003 Datacenter x64 Edition SP2
  • Microsoft Windows Server 2003 Enterprise Edition
  • Microsoft Windows Server 2003 Enterprise Edition Itanium
  • Microsoft Windows Server 2003 Enterprise Edition Itanium SP1
  • Microsoft Windows Server 2003 Enterprise Edition SP1
  • Microsoft Windows Server 2003 Enterprise x64 Edition
  • Microsoft Windows Server 2003 Enterprise x64 Edition SP2
  • Microsoft Windows Server 2003 Itanium
  • Microsoft Windows Server 2003 Itanium SP1
  • Microsoft Windows Server 2003 Itanium SP2
  • Microsoft Windows Server 2003 SP1
  • Microsoft Windows Server 2003 SP2
  • Microsoft Windows Server 2003 Standard Edition
  • Microsoft Windows Server 2003 Standard Edition SP1
  • Microsoft Windows Server 2003 Standard Edition SP2
  • Microsoft Windows Server 2003 Standard x64 Edition
  • Microsoft Windows Server 2003 Web Edition
  • Microsoft Windows Server 2003 Web Edition SP1
  • Microsoft Windows Server 2003 Web Edition SP2
  • Microsoft Windows Server 2003 x64 SP1
  • Microsoft Windows Server 2003 x64 SP2
  • Microsoft Windows Server 2008 Datacenter Edition
  • Microsoft Windows Server 2008 Datacenter Edition SP2
  • Microsoft Windows Server 2008 Enterprise Edition
  • Microsoft Windows Server 2008 Enterprise Edition SP2
  • Microsoft Windows Server 2008 Standard Edition
  • Microsoft Windows Server 2008 Standard Edition SP2
  • Microsoft Windows Server 2008 for 32-bit Systems
  • Microsoft Windows Server 2008 for 32-bit Systems SP2
  • Microsoft Windows Server 2008 for Itanium-based Systems
  • Microsoft Windows Server 2008 for Itanium-based Systems SP2
  • Microsoft Windows Server 2008 for x64-based Systems
  • Microsoft Windows Server 2008 for x64-based Systems SP2
  • Microsoft Windows Vista
  • Microsoft Windows Vista Business
  • Microsoft Windows Vista Business 64-bit edition
  • Microsoft Windows Vista Business 64-bit edition SP1
  • Microsoft Windows Vista Business 64-bit edition SP2
  • Microsoft Windows Vista Business SP1
  • Microsoft Windows Vista Business SP2
  • Microsoft Windows Vista Enterprise
  • Microsoft Windows Vista Enterprise 64-bit edition
  • Microsoft Windows Vista Enterprise 64-bit edition SP1
  • Microsoft Windows Vista Enterprise 64-bit edition SP2
  • Microsoft Windows Vista Enterprise SP1
  • Microsoft Windows Vista Enterprise SP2
  • Microsoft Windows Vista Home Basic
  • Microsoft Windows Vista Home Basic 64-bit edition
  • Microsoft Windows Vista Home Basic 64-bit edition SP1
  • Microsoft Windows Vista Home Basic 64-bit edition SP2
  • Microsoft Windows Vista Home Basic SP1
  • Microsoft Windows Vista Home Basic SP2
  • Microsoft Windows Vista Home Premium
  • Microsoft Windows Vista Home Premium 64-bit edition
  • Microsoft Windows Vista Home Premium 64-bit edition SP1
  • Microsoft Windows Vista Home Premium 64-bit edition SP2
  • Microsoft Windows Vista Home Premium SP1
  • Microsoft Windows Vista Home Premium SP2
  • Microsoft Windows Vista SP1
  • Microsoft Windows Vista SP2
  • Microsoft Windows Vista Ultimate
  • Microsoft Windows Vista Ultimate 64-bit edition
  • Microsoft Windows Vista Ultimate 64-bit edition SP1
  • Microsoft Windows Vista Ultimate 64-bit edition SP2
  • Microsoft Windows Vista Ultimate SP1
  • Microsoft Windows Vista Ultimate SP2
  • Microsoft Windows Vista x64 Edition
  • Microsoft Windows Vista x64 Edition SP1
  • Microsoft Windows Vista x64 Edition SP2
  • Microsoft Windows XP
  • Microsoft Windows XP Embedded
  • Microsoft Windows XP Embedded SP1
  • Microsoft Windows XP Embedded SP2
  • Microsoft Windows XP Embedded SP3
  • Microsoft Windows XP Home
  • Microsoft Windows XP Home SP1
  • Microsoft Windows XP Home SP2
  • Microsoft Windows XP Home SP3
  • Microsoft Windows XP Media Center Edition
  • Microsoft Windows XP Media Center Edition SP1
  • Microsoft Windows XP Media Center Edition SP2
  • Microsoft Windows XP Media Center Edition SP3
  • Microsoft Windows XP Professional
  • Microsoft Windows XP Professional SP1
  • Microsoft Windows XP Professional SP2
  • Microsoft Windows XP Professional SP3
  • Microsoft Windows XP Professional x64 Edition
  • Microsoft Windows XP Professional x64 Edition SP2
  • Microsoft Windows XP Professional x64 Edition SP3
  • Microsoft Windows XP Tablet PC Edition
  • Microsoft Windows XP Tablet PC Edition SP1
  • Microsoft Windows XP Tablet PC Edition SP2
  • Microsoft Windows XP Tablet PC Edition SP3
  • Nortel Networks CallPilot 1002rp
  • Nortel Networks CallPilot 1005r
  • Nortel Networks CallPilot 201i
  • Nortel Networks CallPilot 202i
  • Nortel Networks CallPilot 600r
  • Nortel Networks CallPilot 703t
  • Nortel Networks Communication Control Toolkit 5.0
  • Nortel Networks Communication Control Toolkit 6.0
  • Nortel Networks Communication Control Toolkit 7.0
  • Nortel Networks Communications Control Toolkit
  • Nortel Networks Contact Center - Symposium Agent
  • Nortel Networks Contact Center - TAPI Server
  • Nortel Networks Contact Center Administration CCMA 6.0
  • Nortel Networks Contact Center Administration CCMA 7.0
  • Nortel Networks Contact Center Manager Server
  • Nortel Networks Contact Center Manager Server 6.0
  • Nortel Networks Contact Center Manager Server 7.0
  • Nortel Networks Contact Center Multimedia & Outbound 6.0
  • Nortel Networks Contact Center Multimedia & Outbound 7.0
  • Nortel Networks LinkPlexer 6.0
  • Nortel Networks Self-Service - CCSS7
  • Nortel Networks Self-Service CCXML
  • Nortel Networks Self-Service MPS 100
  • Nortel Networks Self-Service MPS 1000
  • Nortel Networks Self-Service MPS 500
  • Nortel Networks Self-Service Peri Application
  • Nortel Networks Self-Service Peri Workstation
  • Nortel Networks Self-Service Speech Server
  • Nortel Networks Self-Service VoiceXML
  • Nortel Networks Self-Service WVADS
  • Nortel Networks Symposium Express Contact Center 4.2

推奨する対策

すべてのソフトウェアを最小のアクセス権限しか持たない非特権ユーザーとして実行してください。

潜在的な脆弱性の影響を緩和するため、管理目的以外のソフトウェアは、常に最小のアクセス権限しか持たない非特権ユーザーとして実行してください。

ネットワーク侵入検知システム (NIDS) を導入してネットワークトラフィックを常時監視させます。

ネットワーク侵入検知システム (NIDS) を導入し、ネットワークトラフィック上で異常な、または不審なアクティビティの兆候がないかどうかを監視します。このようなアクティビティは、NOP スレッドなどの要求や予期しない受信トラフィック、送信トラフィックだけではありません。このような状況は、脆弱性が悪用され、その結果不正アクセスが試みられたり実行されたりしたことを示している場合があります。

未知、または信頼できないソースから提供されているリンクをたどらないようにします。

この脆弱性が悪用される危険性を抑えるため、不審な Web サイトにアクセスしたり、見慣れないソースや信頼できないソースから提供されたリンクをたどらないようにしてください。

Web ブラウザのセキュリティ設定で、スクリプトコードやアクティブコンテンツの実行を無効にしてください。

本件の影響を緩和するには、クライアント側でスクリプトとアクティブコンテンツのサポートを無効にしてください。これは、特にインターネットゾーンの信頼できないサイトに対して賢明な措置となります。

多重的なセキュリティ強化対策を講じてください。

非実行のスタックやヒープの構成、メモリセグメントのランダムなマッピングなどのメモリ保護対策を講じることにより、この問題の悪用が難しくなります。
マイクロソフト社はセキュリティ情報と修正プログラムをリリースしました。詳しくは、次の参考情報をご参照ください。

参考情報

クレジット

本件の発見者は、VeriSign iDefense Labs の Ryan Smith 氏です。

Copyright (c) 2009 Symantec Corporation.

本サイトの記載情報の電子媒体による頒布は、Symantec Security Response の許可なく改ざんを行わない場合に限り認められています。本サイトに記載された情報の一部または全部を電子媒体以外の媒体へ複製または印刷する場合は、必ず事前にシマンテックの許可を得る必要があります。

免責事項

本サイトの記載情報は、公開時点で確認されていた情報を基に正確であると判断された内容で構成されています。本サイトの記載情報の使用は、現状のままとすることを条件に認められています。本サイトの記載内容について、シマンテックは一切保証しないものとします。また、本サイトの記載情報の使用あるいは信頼性に関連して生じる直接的、間接的、派生的な損失または損害に関して、本サイトの著者も発行者も一切責任を負わないものとします。 Symantec、Symantec Security Response、およびシマンテックの各製品名は、Symantec Corporation またはその関連会社の米国および各国における登録商標です。

その他の会社名、製品名は各社の商標または登録商標です。
©1995 - 2009 Symantec Corporation
サイトマップ|
利用規約|
プライバシーポリシー|
お問い合わせ|
各国サイト|
使用許諾契約