注
更新済み 2023 年 3 月 20 日 - 可用性セクション
概要
分散コンポーネント オブジェクト モデル (DCOM) リモート プロトコルは、リモート プロシージャ コール (RPC) を使用してアプリケーション オブジェクトを公開するためのプロトコルです。 DCOM は、ネットワーク接続されたデバイスのソフトウェア コンポーネント間の通信に使用されます。 CVE-2021-26414 に対しては DCOM の強化変更が必要でした。 そのため、DCOM または RPC を使用する環境内のクライアントまたはサーバー アプリケーションが、強化された変更を有効にして期待通り動作するかどうかを確認することをお勧めします。
注釈 利用可能な最新のセキュリティ更新プログラムをインストールすることを強くお勧めします。 これらは、最新のセキュリティ脅威からの高度な保護を提供します。 また、移行をサポートするために追加された機能も提供します。 DCOM のセキュリティ強化に関する詳細とコンテキストについては、「 DCOM 認証の強化: 知っておくべきこと」を参照してください。
DCOM 更新プログラムの第 1 フェーズは、2021 年 6 月 8 日にリリースされました。 この更新プログラムでは、DCOM の強化が既定で無効になっていました。 以下の「強化された変更を有効または無効にするレジストリ設定」セクションで説明するように、レジストリを変更することによって、これらを有効にすることができます。 DCOM 更新プログラムの第 2 フェーズは、2022 年 6 月 14 日にリリースされました。 これにより、セキュリティ強化機能は既定で有効に変更されましたが、レジストリ キー設定を使用して変更を無効にする機能は残されています。 DCOM 更新プログラムの最終フェーズは、2023 年 3 月にリリースされる予定です。 これにより、DCOM のセキュリティ強化機能が有効なままになり、無効にする機能が削除されます。
タイムライン
| 更新プログラムのリリース | 動作変更 |
|---|---|
| 2021 年 6 月 9 日: | フェーズ 1 リリース - 強化変更は既定で無効になっていますが、レジストリ キーを使用して有効にできます。 |
| 2022 年 6 月 14 日 | フェーズ 2 リリース - 強化変更は既定で有効になっていますが、レジストリ キーを使用して無効にすることができます。 |
| 2023 年 3 月 14 日 | フェーズ 3 リリース - 既定で有効になっている変更の強化 (無効にすることはできない)。 この時点で、環境内の強化の変更およびアプリケーションとの互換性の問題を解決する必要があります。 |
DCOM の強化互換性のテスト
新しい DCOM エラー イベント
DCOM のセキュリティ強化の変更を有効にした後に互換性の問題が発生する可能性があるアプリケーションを特定するために、システム ログに新しい DCOM エラー イベントを追加しました。 以下の表を参照してください。 DCOM クライアント アプリケーションが RPC_C_AUTHN_LEVEL_PKT_INTEGRITY 未満の認証レベルを使用して DCOM サーバーをアクティブ化しようとしていることが検出されると、システムはこれらのイベントをログに記録します。 サーバー側のイベント ログからクライアント デバイスまでトレースし、クライアント側のイベント ログを使用してアプリケーションを見つけることができます。
サーバー イベント - サーバーが低レベルの要求を受信していることを示す
| イベント ID | メッセージ |
|---|---|
| 10036 | 「サーバー側認証レベル ポリシーでは、アドレス %4 のユーザー %1\%2 SID (%3) が DCOM サーバーをアクティブ化することを許可していません。 少なくともクライアント アプリケーションでRPC_C_AUTHN_LEVEL_PKT_INTEGRITYするまで、ライセンス認証レベルを上げてください。" (%1 – ドメイン、%2 – ユーザー名、%3 – ユーザー SID、%4 – クライアント IP アドレス) |
クライアント イベント – どのアプリケーションが低レベルの要求を送信しているかを示します
| イベント ID | メッセージ |
|---|---|
| 10037 | 「PID %2 のアプリケーション %1 は、明示的に認証レベルを %5 に設定して、コンピューター %4 の CLSID %3 のアクティブ化を要求しています。 DCOM で要求されるライセンス認証の最低レベルは 5 (RPC_C_AUTHN_LEVEL_PKT_INTEGRITY) です。 ライセンス認証レベルを上げるには、アプリケーション ベンダーにお問い合わせください。" |
| 10038 | 「PID %2 のアプリケーション %1 は、既定のライセンス認証レベルが %5 であるコンピューター %4 の CLSID %3 をアクティブ化するように要求しています。 DCOM で要求されるライセンス認証の最低レベルは 5 (RPC_C_AUTHN_LEVEL_PKT_INTEGRITY) です。 ライセンス認証レベルを上げるには、アプリケーション ベンダーにお問い合わせください。" (%1 – アプリケーション パス、%2 – アプリケーション PID、%3 – アプリケーションがアクティブ化を要求している COM クラスの CLSID、%4 – コンピューター名、%5 – 認証レベルの値) |
利用できる地域
これらのエラー イベントは、Windows バージョンのサブセットでのみ使用できます。次の表を参照してください。
| Windows バージョン | これらの日付以降に利用可能 |
|---|---|
| Windows Server 2022 | 2021 年 9 月 27 日 KB5005619 |
| Windows 10 バージョン 2004、Windows 10 バージョン 20H2、Windows 10 バージョン 21H1 | 2021 年 9 月 1 日 KB5005101 |
| Windows 10、バージョン 1909 | 2021 年 8 月 26 日 KB5005103 |
| Windows Server 2019、Windows 10 Version 1809 | 2021 年 8 月 26 日 KB5005102 |
| Windows Server 2016、Windows 10 バージョン 1607 | 2021 年 9 月 14 日 KB5005573 |
| Windows Server 2012 R2 および Windows 8.1 | 2021 年 10 月 12 日 KB5006714 |
| Windows 11、 バージョン 22H2 | 2022 年 9 月 30 日 KB5017389 |
クライアント側の要求の自動昇格パッチ
すべての非匿名アクティブ化要求の認証レベル
アプリの互換性の問題を減らすために、Windows ベースの DCOM クライアントからのすべての非匿名アクティブ化要求の認証レベルが最低限RPC_C_AUTHN_LEVEL_PKT_INTEGRITYに自動的に上げられました。 この変更により、ほとんどの Windows ベースの DCOM クライアント要求は、DCOM クライアントを変更しなくても、サーバー側で DCOM の強化変更を有効にした状態で自動的に受け入れられるようになります。 さらに、ほとんどの Windows DCOM クライアントは、DCOM クライアントを変更しなくても、サーバー側で DCOM の強化変更を自動的に処理します。
注釈 このパッチは、引き続き累積的な更新プログラムに含まれます。
パッチ更新タイムライン
2022 年 11 月の最初のリリース以来、自動昇格パッチにはいくつかの更新が加えられました。
2022 年 11 月の更新プログラム
- この更新プログラムにより、アクティベーション認証レベルが自動的にパケット整合性に上昇しました。 この変更は、Windows Server 2016 および Windows Server 2019 では既定で無効になっていました。
2022 年 12 月の更新プログラム
- 11 月の変更は、Windows Server 2016 および Windows Server 2019 で既定で有効になっています。
- この更新プログラムは、Windows Server 2016 および Windows Server 2019 での匿名ライセンス認証に影響する問題にも対処しました。
2023 年 1 月の更新プログラム
- この更新プログラムは、Windows Server 2008 から Windows 10 (2015 年 7 月にリリースされた初期バージョン) のプラットフォームでの匿名ライセンス認証に影響する問題を修正しました。
2023 年 1 月の時点で累積的なセキュリティ更新プログラムをクライアントとサーバーにインストールしている場合は、最新の自動昇格パッチが完全に有効になります。
強化された変更を有効または無効にするレジストリ設定
CVE-2021-26414 の強化機能強化の変更を有効または無効にできるタイムライン フェーズでは、次のレジストリ キーを使用できます。
- パス: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\AppCompat
- 値の名前: "RequireIntegrityActivationAuthenticationLevel"
- 型: dword
- 値のデータ: default= 無効0x00000000を意味します。 0x00000001有効という意味です。 この値が定義されていない場合は、既定で有効になります。
注釈 値データは 16 進数形式で入力する必要があります。
重要 デバイスを有効にするには、このレジストリ キーを設定した後にデバイスを再起動する必要があります。
注釈 上記のレジストリ キーを有効にすると、DCOM サーバーはライセンス認証に RPC_C_AUTHN_LEVEL_PKT_INTEGRITY 以上の Authentication-Level を適用します。 これは、匿名ライセンス認証 (認証レベル RPC_C_AUTHN_LEVEL_NONE を使用したライセンス認証) には影響しません。 DCOM サーバーが匿名アクティベーションを許可している場合は、DCOM の強化機能強化の変更が有効になっていても許可されます。
注釈 このレジストリ値は既定では存在しません。これを作成する必要があります。 存在する場合は、Windows が読み取り、上書きしません。
注釈 それ以降の更新プログラムをインストールしても、既存のレジストリ エントリと設定は変更または削除されません。