MS10-049: SChannel の脆弱性により、リモートでコードが実行される

モード

このセキュリティ更新プログラムは、以下の標準で構成されます。

IETF RFC5746
以前のバージョンとの互換性を提供するため、このセキュリティ更新プログラムは次のモードで動作します。

• 互換 (Compatible) モード

  • このセキュリティ更新プログラムをサーバーに適用し、そのサーバーが互換モードになっている場合、サーバーはすべてのクライアントが Transport Layer Security (TLS) セッションをセットアップして再ネゴシエートすることを許可します。これは、クライアントがこのセキュリティ更新プログラムを使用して更新されているかどうかにかかわらず行われます。

  • 同様に、このセキュリティ更新プログラムをクライアントに適用し、そのクライアントが互換モードになっている場合、クライアントは、このセキュリティ更新プログラムが適用されているかどうかに関係なく、すべてのサーバーと TLS セッションをセットアップして再ネゴシエートできます。

• 非互換 (Strict) モード

  • このセキュリティ更新プログラムをサーバーに適用し、そのサーバーが非互換モードになっている場合、サーバーは、このセキュリティ更新プログラムが適用されているクライアントに対してのみ、TLS セッションをセットアップして再ネゴシエートすることを許可します。サーバーは、このセキュリティ更新プログラムが適用されていないクライアントに対しては TLS セッションのセットアップを許可しません。この場合、サーバーはクライアントからのそのような要求を終了します。

  • 同様に、このセキュリティ更新プログラムをクライアントに適用し、そのクライアントが非互換モードになっている場合、クライアントは、このセキュリティ更新プログラムが適用されているすべてのサーバーと、TLS セッションをセットアップして再ネゴシエートできます。クライアントは、このセキュリティ更新プログラムが適用されていないサーバーとは TLS セッションをセットアップできません。クライアントは、そのようなサーバーとの TLS ネゴシエーションの試みを続けることができません。

既定では、このセキュリティ更新プログラムを適用すると、TLS または Secure Sockets Layer (SSL) のクライアントまたはサーバーは互換モードを持続できます。管理者は、次のレジストリ パスの AllowInsecureRenegoClients および AllowInsecureRenegoServers エントリの DWORD 値を使用して、クライアントまたはサーバーでの非互換モードを有効にできます。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL
次の表では、これらの DWORD 値の使用方法を示します。

Windows Server 2008、Windows Vista、Windows Server 2003、および Windows XP のみのシグナリング メカニズムの選択

Request for Comments (RFC) 5746 では、TLS "ClientHello" メッセージで Transport Layer Security (TLS) Renegotiation Indication Extension を送信することが推奨されています。ただし、場合によっては、TLS Client ClientHello メッセージで TLS 拡張を送信すると、TLS 拡張を正しく解析できないある種のサーバーでエラーの原因になる可能性があります。この種の相互運用性のエラーは、Windows Vista より前のマイクロソフトのオペレーティング システムでは発生していません。これは、これらの以前のオペレーティング システムを使用する場合、以前は ClientHello メッセージには拡張が含まれていなかったためです。この問題を回避するには、管理者はゼロ以外の値を持つ UseScsvForTls DWORD レジストリ エントリを使用することができます (この値はゼロ以外の任意の値にすることができます)。このレジストリ エントリを使用すると、クライアントは、TLS ClientHello メッセージの TLS 再ネゴシエーション拡張ではなく、暗号の値の一覧にある固定バイト パターン (00 FF) を送信してサーバーに信号を送信します。固定バイト パターン (00 FF) は、Signaling Cipher Suite Value (SCSV) と呼ばれます。

UseScsvForTls レジストリ エントリを構成するには、TLS クライアント コンピューターでレジストリの以下のサブキーに DWORD を追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL
以下の表で、DWORD の設定の動作を説明します。

再起動の情報

このセキュリティ更新プログラムをインストールした後は、コンピューターを再起動する必要があります。

アンインストール情報

このセキュリティ更新プログラムを削除するには、コントロール パネルの [プログラムの追加と削除] または [プログラムと機能] を使用します。

または、次のフォルダーにある Spuninst.exe ユーティリティを使用します。

%Windir%\$NTUninstallKB980436$\Spuninst