Outlook は、2023 年 7 月 11 日にリリースされた Microsoft Outlook セキュリティ機能バイパスの脆弱性に対する保護をインストールした後、FQDN と IP アドレスのハイパーリンクを開くのをブロックします

最終更新日: 2023 年 12 月 11 日

問題

完全修飾ドメイン名 (FQDN) または IP アドレスへのパスが Outlook Desktop のメール内のリンクをクリックすると、次のように表示される場合があります。

• "この URL で予期しない問題が発生しました" というエラーが表示された Outlook の警告ダイアログ

  

• 信頼されていないファイルのサイレント エラー。

パスが FQDN または IP アドレスまたはホスト名のパスである Outlook Desktop のメールでリンクを開くと、このダイアログが表示されます。 これも予想されます。 

このダイアログを無効にする必要がある場合は、「Office プログラムでハイパーリンク警告メッセージを有効または無効にする」の記事の手順に従ってください。

HKEY_CURRENT_USER\software\policies\microsoft\office\16.0\common\security DWORD: DisableHyperlinkWarning
値: 1

この問題は、Outlook Desktop 7 月 11 日のセキュリティ更新プログラムをインストールした後に発生します。 詳細については、以下の各 CVEs を参照してください。

MSRC CVE-2023-33151: Microsoft Outlook のなりすましの脆弱性

MSRC CVE-2023-35311: Microsoft Outlook のセキュリティ機能バイパスの脆弱性 

KB 5002427: Outlook 2016のセキュリティ更新プログラムの説明: 2023 年 7 月 11 日 (KB5002427)

KB 5002432: Outlook 2013 のセキュリティ更新プログラムの説明: 2023 年 7 月 11 日 (KB5002432) 

状態: 解決

FQDN または IP アドレス パス上のファイルへの継続的なアクセスが Windows ガイダンスに従って信頼済みサイト ゾーンに追加されるようにするために、FQDN または IP アドレスを使用する場合、イントラネット サイトはインターネット サイトとして識別されます。

1. [Windows の設定] に移動します。

2. [インターネット オプション] を検索して開きます。

3. [ セキュリティ ] タブをクリックし、[信頼済みサイト] を選択します。

4. "この Web サイトをゾーンに追加する" に許可する URL、UNC、FQDN パスを追加します。
   たとえば、file://server.usa.corp.com
   
   を追加します

   注: 追加するエントリが明示的に 'https:' で始まらない場合は、保存する前に、最初に [このゾーン内のすべてのサイトのサーバー検証 (https) を必須にする] チェック ボックスをオフにする必要があります。

5. この回避策は、グループ ポリシーを使用して展開することもできます。

GPO: ユーザー構成 

ポリシー: \\Windows コンポーネント\インターネット エクスプローラー\インターネット コントロール パネル\セキュリティ ページ\Site to Zone Assignment List

注: FQDN または IP アドレス パス上のファイルの URL を GPO に追加するための構文は、インターネット オプションにファイル URL を手動で追加する場合とは異なります。 |セキュリティ |信頼済みサイト。 \\<ipaddress> の前に 3 つのスラッシュ /// を追加する必要があります。

次に例を示します。

• \\10.123.452.37 を手動で追加すると、信頼されたサイトの一覧に file://10.123.452.37 が入力され、これによりファイル リンクをブロックできなくなります。

• ただし、GPO の場合は、file:///\\10.123.452.37 という構文を使用する必要があります。
  これにより、信頼されたサイトの一覧に file://10.123.452.37 も入力され、ファイル リンクをブロックできません。

HTTPs で始まる URL がない場合は、GPO で展開する場合は、 このゾーン内のすべてのサイトの [サーバー検証 (https) を要求する] ボックスをオフにするように設定を構成する必要があります。

GPO を構成し、すべてのクライアントを 1 つずつ経由して [チェック] ボックスをオフにする必要がないため、これらのキーを使用できます:
HKU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\Flags: 0x00000143(323)

チェック ボックス:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000047

チェック ボックスがオフになっている:
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"Flags"=dword:00000043

GPO によってレジストリにファイル共有を追加するには、次の点を考慮してください。

ドメインの場合

上記の Contoso の例では、レジストリで次のように設定されています:Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\contoso.com

IP アドレスの場合は、レジストリで次のように設定されます:
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range1

また、IP アドレス共有ごとに、[範囲] の下に新しい Range キーを作成する必要があります。