SharePoint Server サブスクリプション エディションのセキュリティ更新プログラムについて: 2024 年 3 月 12 日 (KB5002564)

要約

このセキュリティ更新プログラムは、Microsoft SharePoint Server のリモートでコードが実行される脆弱性を解決します。 この脆弱性の詳細については、「Microsoft 共通脆弱性と露出の問題 CVE-2024-21426」を参照してください。

機能強化および修正

このセキュリティ更新プログラムには、SharePoint Server サブスクリプション エディション バージョン 24H1 機能更新プログラムが導入されています。 この機能更新プログラムは、今後のすべての SharePoint Server サブスクリプション エディションのパブリック更新プログラムに含まれます。 この機能更新プログラムの詳細については、「SharePoint Server サブスクリプション エディション バージョン 24H1 の新機能と強化された機能」を参照してください。

このセキュリティ更新プログラムには、SharePoint Server サブスクリプション版の次のセキュリティ以外の問題についての機能強化と修正プログラムが含まれています。

• ユーザーが SharePoint ページで SharePoint のコンテンツ セキュリティ ポリシー (CSP) HTTP ヘッダーを無効にできるようにします。 SharePoint ページで SharePoint CSP HTTP ヘッダーを有効にしない場合は、PowerShell で次のコマンドレットを実行できます:
  
  Add-PSSnapin Microsoft.SharePoint.PowerShell
  $farm = Get-SPFarm
  $farm.EnableCSPHeaderForPage = $false
  $farm.Update()

• サイト URL にアポストロフィ (') 文字が含まれている場合に、グループ化されたビューの [すべて表示] のリンクを選択すると、モダン リスト Web パーツがフリーズする問題を修正します。

• 右から左 (RTL) の言語を使用する場合に、[編集] ボタンがリスト アイテム編集ウィンドウの複数行フィールド タイトルと重複する問題を修正します。

• コミュニケーション サイトの水平ナビゲーションが現在のサイトを正しく反映しない問題を修正します。

• SharePoint サイト テーマのカスタマイズにより、フォームの読み込み中にログイン フォームが 5 秒遅れる問題を修正します。

• クイック編集モードでプレーン テキストがハイパーリンクとして表示される問題を修正します。

• クラシック UI にサブサイトの正しい状態が表示されない問題を修正します。

この更新プログラムの既知の問題

• このセキュリティ更新プログラムをインストールすると、サーバーが既存の SharePoint ファームに参加できないという問題が発生することがあります。 詳細については、「ファームに証明書管理 (KB5037978) で管理されている証明書が含まれている場合は、SharePoint ファームにサーバーを追加できない」を参照してください。

• このセキュリティ更新プログラムでは、新しいバージョンの Microsoft.Owin コンポーネントも導入されます。 このコンポーネントのバージョンは SharePoint サーバーの web.config ファイルで参照されるため、これらの Web.config ファイル内の参照を更新するには、アップグレード操作を実行する必要があります。 アップグレード操作を実行せずにこのセキュリティ更新プログラムをインストールすると、SharePoint サイトを参照するときに次のエラー メッセージが表示されます:

  ファイルまたはアセンブリ 'Microsoft.Owin, Version=3.0.1.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35' あるいはそのいずれかの依存関係を読み込めませんでした。 指定されたファイルが見つかりません。

  このセキュリティ更新プログラムをインストールしたら、次のいずれかの方法を使用してアップグレード 操作を実行します:

  • SharePoint 製品とテクノロジ構成ウィザード (PSConfigUI.exe) を起動し、アップグレードします。

  • SharePoint 製品構成ウィザード (PSCONFIG.EXE) コマンド ライン ツールを実行します。
    
    PSCONFIG.EXE -cmd secureresources -cmd services -install -cmd installfeatures -cmd applicationcontent -install -cmd upgrade -inplace b2b -wait

  • 次の PowerShell コマンドを実行 します:
    
    Initialize-SPResourceSecurity
    Install-SPService
    Install-SPFeature -AllExistingFeatures
    Install-SPApplicationContent
    Upgrade-SPFarm

  このアップグレード操作を実行すると、エラー メッセージは表示されなくなります。

  新しいコンポーネント バージョンは、SharePoint Server の Web.config ファイルに登録する必要があるため、このビヘイビアーは仕様によるものです。

  この問題は、「SharePoint Server のゼロ ダウンタイム パッチの適用手順」で説明されているように、"ゼロ ダウンタイム パッチの適用" (ZDP) を実行するユーザーの機能に影響します。 これは、アップグレード操作が実行されるまで SharePoint サイトにアクセスできないためです。 ユーザーは、ダウンタイムが許容されるメンテナンス ウィンドウの間にアップデートをインストールする準備をしておく必要があります。

  または、特定のサーバーに更新プログラム パッケージがインストールされた直後で、サーバーが負荷分散ローテーションに戻る前に、各 Web アプリケーションの Web.config ファイルを手動で編集することで、ダウンタイムを回避できます。 これを行うには、次の手順を実行します。

  1. Web.config ファイルの [構成] > [ランタイム] > [assemblyBinding] セクションで、次の行を見つけます。

     <dependentAssembly>
          <assemblyIdentity name="Microsoft.Owin" publicKeyToken="31bf3856ad364e35" culture="neutral" />
          <bindingRedirect oldVersion="0.0.0.0-3.0.1.0" newVersion="3.0.1.0" />
     </dependentAssembly>

  2. 見つかったテキストを次の行に置き換えます:

     <dependentAssembly>
          <assemblyIdentity name="Microsoft.Owin" publicKeyToken="31bf3856ad364e35" culture="neutral" />
          <bindingRedirect oldVersion="0.0.0.0-4.2.2.0" newVersion="4.2.2.0" />
     </dependentAssembly>

  更新プログラム パッケージをすべてのサーバーにインストールした後、ユーザーはアップグレード操作を実行できます。 Web.config ファイルを手動で編集しても、アップグレード操作が妨げられることはありません。

更新プログラムの入手方法およびインストール方法

詳細情報

保護とセキュリティに関する情報

オンラインでの自分の保護: Windows セキュリティのサポート

サイバー脅威から保護する方法についての説明: Microsoft セキュリティ

変更履歴

次の表は、このトピックに対する最も重要な変更の一部をまとめたものです。