Microsoft セキュリティ情報 MS14-025 - 重要

[アーティクル]
08/11/2023

グループポリシー設定の脆弱性により、特権が昇格される (2962486)

公開日: 2014 年 5 月 13 日

バージョン: 1.0

一般情報

概要

このセキュリティ更新プログラムは、Microsoft Windows で公開されている脆弱性を解決します。この脆弱性により、Active Directory グループポリシーの基本設定を使用してドメイン全体にパスワードを配布する場合に特権が昇格される可能性があります。攻撃者は、グループポリシー設定で保存されているパスワードを取得して復号化する可能性があります。

このセキュリティ更新プログラムは、Windows Vista、Windows 7、Windows 8、Windows 8.1の影響を受けるエディションにインストールされている場合に、リモートサーバー管理ツールの重要と評価されます。この更新プログラムは、影響を受けるすべてのエディションの Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、および Windows Server 2012 R2 についても重要と評価されています。詳細については、「 影響を受けるソフトウェア」および「影響を受けないもの」 セクションを参照してください。

このセキュリティ更新プログラムは、特定のグループポリシー設定拡張機能を使用するパスワードを構成および配布する機能を削除することで、この脆弱性を解決します。この脆弱性の詳細については、このセキュリティ情報の後半にある特定の脆弱性に関するよく寄せられる質問 (FAQ) サブセクションを参照してください。

追加のアクションが必要です。 このセキュリティ情報で対処されている脆弱性から完全に保護するために、グループポリシー設定を使用する既存のグループポリシーをお持ちのお客様は、これらのポリシーを削除するための追加のアクションを実行する必要があります。詳細については、このセキュリティ情報の脆弱性に関する FAQ を参照してください。

推薦。 Microsoft では、お客様ができるだけ早い機会に更新プログラムを適用し、上記および関連する FAQ で詳しく説明されている追加のアクションを実行することをお勧めします。

この更新プログラムは、 Microsoft ダウンロードセンターと Microsoft Update カタログからのみ入手できます。

このセキュリティ情報の後半の「 検出および展開ツールとガイダンス」のセクションも参照してください。

サポート技術情報の資料

サポート技術情報の記事: 2962486
ファイル情報: はい
SHA1/SHA2 ハッシュ: はい
既知の問題: なし

影響を受けるソフトウェアと影響を受けないもの

影響を受けるバージョンまたはエディションを特定するために、次のソフトウェアがテストされています。その他のバージョンまたはエディションは、サポートライフサイクルを過ぎているか、影響を受けません。ソフトウェアのバージョンまたはエディションのサポートライフサイクルを確認するには、「Microsoft サポートライフサイクル」を参照してください。

影響を受けるソフトウェア

オペレーティングシステム	コンポーネント	セキュリティへの影響の最大値	重大度評価の集計	更新置換済み
Windows Vista
Windows Vista Service Pack 2^[1]	リモートサーバー管理ツール (2928120)	特権の昇格	重要	なし
Windows Vista x64 Edition Service Pack 2^[1]	リモートサーバー管理ツール (2928120)	特権の昇格	重要	なし
Windows Server 2008
Windows Server 2008 for 32-bit Systems Service Pack 2^[2](2928120)	該当なし	特権の昇格	重要	なし
Windows Server 2008 for x64 ベースのシステム Service Pack 2^[2](2928120)	該当なし	特権の昇格	重要	なし
Windows Server 2008 for Itanium ベースのシステム Service Pack 2^[2](2928120)	該当なし	特権の昇格	重要	なし
Windows 7
Windows 7 for 32-bit Systems Service Pack 1^[1]	リモートサーバー管理ツール (2928120)	特権の昇格	重要	なし
Windows 7 for x64 ベースのシステム Service Pack 1^[1]	リモートサーバー管理ツール (2928120)	特権の昇格	重要	なし
Windows Server 2008 R2
Windows Server 2008 R2 for x64 ベースのシステム Service Pack 1^[2](2928120)	該当なし	特権の昇格	重要	なし
Windows Server 2008 R2 for Itanium ベースのシステム Service Pack 1^[2](2928120)	該当なし	特権の昇格	重要	なし
Windows 8 および Windows 8.1
32 ビットシステム用 Windows 8^[1]	リモートサーバー管理ツール (2928120)	特権の昇格	重要	なし
Windows 8 for x64 ベースのシステム ^[1]	リモートサーバー管理ツール (2928120)	特権の昇格	重要	なし
32 ビットシステムのWindows 8.1^[1]	リモートサーバー管理ツール^[3](2928120)	特権の昇格	重要	なし
32 ビットシステムのWindows 8.1^[1]	リモートサーバー管理ツール^[4] (2961899)	特権の昇格	重要	なし
x64 ベースのシステムのWindows 8.1^[1]	リモートサーバー管理ツール^[3](2928120)	特権の昇格	重要	なし
x64 ベースのシステムのWindows 8.1^[1]	リモートサーバー管理ツール^[4] (2961899)	特権の昇格	重要	なし
Windows Server 2012 および Windows Server 2012 R2
Windows Server 2012^[2](2928120)	該当なし	特権の昇格	重要	なし
Windows Server 2012 R2^[2]^[3](2928120)	該当なし	特権の昇格	重要	なし
Windows Server 2012 R2^[2]^[4] (2961899)	該当なし	特権の昇格	重要	なし

^[1]クライアントシステムは、リモートサーバー管理ツールがインストールされている場合にのみ影響を受けます。
^[2]サーバーシステムは、グループポリシー管理がサーバーで構成されている場合にのみ影響を受けます。
^[3]この更新プログラムは、2919355更新プログラムがインストールされているシステム用です。詳細については、 更新に 関する FAQ を参照してください。
^[4]この更新プログラムは、2919355更新プログラムがインストールされていないシステム用です。詳細については、 更新に 関する FAQ を参照してください。

影響を受けないもの

オペレーティングシステム
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 と SP2 for Itanium ベースのシステム
Windows RT
Windows RT 8.1
Server Core インストールオプション
Windows Server 2008 for 32 ビットシステム Service Pack 2 (Server Core インストール)
Windows Server 2008 for x64 ベースのシステム Service Pack 2 (Server Core インストール)
Windows Server 2008 R2 for x64 ベースのシステム Service Pack 1 (Server Core インストール)
Windows Server 2012 (Server Core のインストール)
Windows Server 2012 R2 (Server Core のインストール)

更新に関する FAQ

この更新プログラムによってグループポリシー環境設定にどのような動作が変更されますか?
更新プログラムの基本設定の動作グループポリシー変更する方法の詳細については、マイクロソフトサポート技術情報の記事2962486を参照してください。

Microsoft ダウンロードセンターと Microsoft Update カタログからのみ更新プログラムを利用できるのはなぜですか?
Microsoft は、お客様ができるだけ早くシステムの更新を開始できるように、Microsoft ダウンロードセンターと Microsoft Update Catalog にこれらの更新プログラムをリリースしています。

この更新プログラムには、機能に関するセキュリティ関連の変更が含まれていますか?
はい。この更新プログラムは、次のグループポリシー設定拡張機能を使用してパスワードを構成および配布する機能を削除することで、グループポリシー管理コンソール (GPMC) の [グループポリシー管理エディター] ウィンドウを変更します。

ローカルユーザーとグループ
マップされたドライブ
サービス
スケジュールされたタスク (アップレベル)
スケジュールされたタスク (Downlevel)
イミディエイトタスク (Uplevel)
イミディエイトタスク (Downlevel)
データソース

Windows 8.1 と Windows Server 2012 R2 には複数の更新プログラムが一覧表示されています。両方の更新プログラムをインストールする必要がありますか?
いいえ。更新プログラムを受信するようにシステムがどのように構成されているかに応じて、特定のエディションのWindows 8.1または Windows Server 2012 R2 の更新プログラムの 1 つだけが適用されます。

Windows 8.1または Windows Server 2012 R2 を実行しているシステムの場合:

2928120更新プログラムは、2919355更新プログラムが既にインストールされているシステム用です。
2961899更新プログラムは、2919355更新プログラムがインストールされていないシステム用です。

Windows 8.1または Windows Server 2012 R2 を実行しています。 2928120更新プログラムをインストールするための前提条件はありますか?
はい。 Windows 8.1または Windows Server 2012 R2 システムを実行しているお客様は、2928120更新プログラムをインストールする前に、2014 年 4 月にリリースされた2919355更新プログラムを最初にインストールする必要があります。前提条件の更新プログラムの詳細については、「 Microsoft サポート技術情報の記事 2919355」を参照してください。

Server Core のインストールは、このセキュリティ情報で対処されている脆弱性の影響を受けますか?
この更新プログラムによって解決される脆弱性は、Server Core インストールオプションを使用してインストールされている場合、影響を受けなかったソフトウェアテーブルに示されているように、サポートされているエディションの Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、または Windows Server 2012 R2 には影響しません。このインストールオプションの詳細については、「TechNet の記事、Server Core インストールの管理: 概要」、「Server Core インストールのサービス」、および「Server Core と完全なサーバー統合の概要」を参照してください。

このセキュリティ情報で説明されているソフトウェアの古いリリースを使用しています。どうすればよいですか。
このセキュリティ情報に記載されている影響を受けるソフトウェアは、影響を受けるリリースを特定するためにテストされています。その他のリリースはサポートライフサイクルを過ぎている。製品ライフサイクルの詳細については、「Microsoft サポートライフサイクル」Web サイトを参照してください。

ソフトウェアの古いリリースをお持ちのお客様は、脆弱性にさらされる可能性を防ぐために、サポートされているリリースに移行することが優先されます。ソフトウェアリリースのサポートライフサイクルを確認するには、「ライフサイクル情報の製品を選択する」を参照してください。これらのソフトウェアリリースのサービスパックの詳細については、「 Service Pack ライフサイクルサポートポリシー」を参照してください。

古いソフトウェアのカスタムサポートを必要とするお客様は、Microsoft アカウントチームの担当者、テクニカルアカウントマネージャー、またはカスタムサポートオプションに関する適切な Microsoft パートナー担当者にお問い合わせください。、Premier、または承認された契約を持たないお客様は、お住まいの地域の Microsoft 営業オフィスに連絡できます。連絡先情報については、 Microsoft Worldwide Information Web サイトを参照し、[連絡先情報] リストで国を選択し、[ 移動 ] をクリックして電話番号の一覧を表示します。お電話の際は、現地のプレミアサポートセールスマネージャーにお問い合わせください。詳細については、「Microsoft サポートライフサイクルポリシーに関する FAQ」を参照してください。

重大度評価と脆弱性識別子

次の重大度評価は、脆弱性の潜在的な最大の影響を想定しています。このセキュリティ情報のリリースから 30 日以内に、重大度の評価とセキュリティへの影響に関連する脆弱性の悪用可能性の可能性については、 5 月のセキュリティ情報の概要にある Exploitability Index を参照してください。詳細については、「 Microsoft Exploitability Index」を参照してください。

脆弱性の重大度評価と影響を受けるソフトウェアによる最大のセキュリティ影響
影響を受けるソフトウェア	グループポリシー設定のパスワードによる特権の昇格の脆弱性 - CVE-2014-1812	重大度評価の集計
Windows Vista
Windows Vista Service Pack 2 にインストールされている場合のリモートサーバー管理ツール (2928120)	大事な特権の昇格	重要
Windows Vista x64 Edition Service Pack 2 にインストールされている場合のリモートサーバー管理ツール (2928120)	大事な特権の昇格	重要
Windows Server 2008
Windows Server 2008 for 32 ビットシステム Service Pack 2 (2928120)	大事な特権の昇格	重要
Windows Server 2008 for x64 ベースのシステム Service Pack 2 (2928120)	大事な特権の昇格	重要
Windows Server 2008 for Itanium ベースのシステム Service Pack 2 (2928120)	大事な特権の昇格	重要
Windows 7
Windows 7 for 32 ビットシステム Service Pack 1 (2928120) にインストールされている場合のリモートサーバー管理ツール	大事な特権の昇格	重要
Windows 7 for x64 ベースのシステム Service Pack 1 (2928120) にインストールされている場合のリモートサーバー管理ツール	大事な特権の昇格	重要
Windows Server 2008 R2
Windows Server 2008 R2 for x64 ベースのシステム Service Pack 1 (2928120)	大事な特権の昇格	重要
Windows Server 2008 R2 for Itanium ベースのシステム Service Pack 1 (2928120)	大事な特権の昇格	重要
Windows 8 および Windows 8.1
32 ビットシステム用 Windows 8 にインストールされている場合のリモートサーバー管理ツール (2928120)	大事な特権の昇格	重要
Windows 8 for x64 ベースのシステム (2928120) にインストールされている場合のリモートサーバー管理ツール	大事な特権の昇格	重要
32 ビットシステムのWindows 8.1にインストールされている場合のリモートサーバー管理ツール (2928120)	大事な特権の昇格	重要
32 ビットシステムのWindows 8.1にインストールされている場合のリモートサーバー管理ツール (2961899)	大事な特権の昇格	重要
x64 ベースシステム用のWindows 8.1にインストールされている場合のリモートサーバー管理ツール (2928120)	大事な特権の昇格	重要
x64 ベースシステム用のWindows 8.1にインストールされている場合のリモートサーバー管理ツール (2961899)	大事な特権の昇格	重要
Windows Server 2012 および Windows Server 2012 R2
Windows Server 2012 (2928120)	大事な特権の昇格	重要
Windows Server 2012 R2 (2928120)	大事な特権の昇格	重要
Windows Server 2012 R2 (2961899)	大事な特権の昇格	重要

グループポリシー設定のパスワードによる特権の昇格の脆弱性 - CVE-2014-1812

特権の昇格の脆弱性は、グループポリシー設定を使用して構成されたパスワードを Active Directory が配布する方法で存在します。認証された攻撃者がこの脆弱性を悪用した場合、パスワードの暗号化を解除し、それらを使用してドメインの特権を昇格させる可能性があります。

一般的な脆弱性と公開の一覧の標準エントリとしてこの脆弱性を表示するには、 CVE-2014-1812 を参照してください。

軽減要因

Microsoft は、この脆弱性の軽減要因を特定していません。

対処方法

回避策とは、基になる脆弱性を修正しないが、更新プログラムを適用する前に既知の攻撃ベクトルをブロックするのに役立つ設定または構成の変更を指します。 Microsoft は、次の回避策をテストし、回避策が機能を低下させるかどうかを説明しています。

回避策の情報については、「 Microsoft サポート技術情報の記事 2962486」を参照してください。

よく寄せられる質問

脆弱性の範囲は何ですか?
これは特権の昇格の脆弱性です。

脆弱性の原因は何ですか?
この脆弱性は、グループポリシー設定を使用して構成されたパスワードを Active Directory が配布する方法が原因で発生します。

グループポリシー設定とは
グループポリシー設定には、グループポリシーオブジェクト (GPO) 内の構成可能な設定の範囲を拡張する 20 を超える新しいグループポリシー拡張機能が含まれています。これらの新しい拡張機能は、グループポリシー管理コンソール (GPMC) の [グループポリシー管理エディター] ウィンドウの新しい [基本設定] 項目に含まれます。新しいグループポリシー基本設定拡張機能の例としては、フォルダーオプション、マップされたドライブ、プリンター、スケジュールされたタスク、サービス、スタートメニューの設定などがあります。グループポリシー環境設定の詳細については、「グループポリシー環境設定はじめにガイド」を参照してください。

攻撃者がこの脆弱性を使用して何を行う可能性がありますか?
認証された攻撃者がこの脆弱性を悪用した場合、新しいローカルまたはドメイン管理者の資格情報を取得し、それらを使用してドメインの特権を昇格させる可能性があります。攻撃者はその後、プログラムをインストールする可能性があります。データを表示、変更、または削除する。または、完全な管理者権限を持つ新しいアカウントを作成します。

攻撃者がこの脆弱性をどのように悪用する可能性がありますか?
この脆弱性を悪用するには、攻撃者はまずドメイン上の認証されたユーザーアカウントにアクセスする必要があります。 GPO がグループポリシー設定を使用してローカル管理パスワードを設定したり、ネットワークドライブをマップしたり、タスクをスケジュールしたり、サービスの実行中のコンテキストを構成したりするための資格情報を定義している場合、攻撃者は、グループポリシー設定で保存されているパスワードを取得して復号化する可能性があります。

主に脆弱性の危険にさらされているシステムは何ですか?
ドメインコントローラーとして機能するサーバーは、この脆弱性による悪用のリスクが最も高くなります。

更新プログラムは何を行いますか?
この更新プログラムでは、次のグループポリシー設定拡張機能を使用してパスワードを構成および配布する機能が削除されます。

マッピングドライブの構成
ローカルユーザーとグループの構成
スケジュールされたタスクの構成
サービスの構成
データソースの構成

追加のアクションが必要です。 この更新プログラムでは、このセキュリティ更新プログラムの適用前に構成された既存の GPO は削除されないことに注意してください。特定されたグループポリシー設定を使用して構成された既存の GPO をお持ちのお客様は、ドメイン環境からこのリスクを取り除く必要があります。詳細については、「サポート技術情報の記事2962486 」を参照してください。

このセキュリティ情報が発行されたとき、この脆弱性は公開されていますか?
はい。この脆弱性は一般に公開されています。一般的な脆弱性と公開番号 CVE-2014-1812 が割り当てられます。

このセキュリティ情報が発行されたとき、Microsoft はこの脆弱性が悪用されたという報告を受けましたか?
はい。 Microsoft は、この脆弱性を悪用しようとする標的型攻撃を認識しています。

検出と展開のツールとガイダンス

organization内のサーバー、デスクトップ、モバイルシステムに展開するために必要なソフトウェアとセキュリティの更新プログラムを管理します。詳細については、 TechNet Update Management Center を参照してください。 Microsoft TechNet Security Web サイトには、Microsoft 製品のセキュリティに関する追加情報が用意されています。

セキュリティ更新プログラムは、 Microsoft ダウンロードセンターから入手できます。 "セキュリティ更新プログラム" をキーワード (keyword)検索することで、最も簡単に見つけることができます。

最後に、セキュリティ更新プログラムは Microsoft Update カタログからダウンロードできます。 Microsoft Update カタログには、セキュリティ更新プログラム、ドライバー、サービスパックなど、Windows Updateと Microsoft Update を通じて利用できるコンテンツの検索可能なカタログが用意されています。セキュリティ情報番号 ("MS14-001" など) を使用して検索すると、該当するすべての更新プログラムをバスケットに追加し (更新プログラムの異なる言語を含む)、選択したフォルダーにダウンロードできます。 Microsoft Update カタログの詳細については、「Microsoft Update カタログに関する FAQ」を参照してください。