アップデート： PowerPointのゼロデイ脆弱性 2009年5月12日
アップデート： PowerPointのゼロデイ脆弱性
マイクロソフトがパッチをリリース
危険度： 高
2009年5月12日
【アップデート】
米国時間の2009年4月3日、PowerPointに見られるゼロデイ脆弱性についてLiveSecurityはアラート読者に警告した。攻撃者は、この脆弱性を悪用することでユーザのコンピュータでコードを実行し、場合によってはそれを完全に操作できるようになる。この問題を最初に報告した時点で、攻撃者達はインターネットでこの深刻な脆弱性の攻撃をすでに開始しており、LiveSecurityではマイクロソフトがこの問題に対応するパッチをリリース次第、アップデートで知らせると報告した。そして、今月の「パッチの日」でマイクロソフトはその修正プログラムをリリースした。
マイクロソフトのセキュリティ情報は、前回のPowerPointに関連するゼロデイ欠陥14件、またその他13件の問題についても説明している。14件の欠陥はそれぞれ技術的には異なるが、その行動範囲と影響は同じである。攻撃者は、悪質に細工したPowerPointドキュメント(.ppt)をユーザがダウンロードし、それを閲覧するように仕向けることで脆弱性を悪用、ユーザの権限を利用してそのコンピュータでコードを実行できるようになる。また、ユーザがローカル管理者であった場合、攻撃者はそのユーザのコンピュータを完全に操作できる。
この問題について取り上げた前回のアラートでLiveSecurityはMac対応のOfficeも、このPowerPointのゼロデイ脆弱性の影響を受けていると警告した。マイクロソフトはそれを認めているが、Macに対応するアップデートはまだ用意していない。それというのも、一般の環境下で発見された悪用方法はWindows対応のPowerPointのみであったため、マイクロソフトはMacバージョンに対するリスクは幾分低いものと見ているのであろう。しかしながら、Macユーザはマイクロソフトのセキュリティ情報サイトにアップデートが用意されているか今後もチェックし、入手可能になり次第、MacのOfficeパッチを取り入れることをすすめる。
マイクロソフトは、このゼロデイ欠陥に対応するパッチをリリースしている（新たな13件も含む）。攻撃者は一般環境下でこの欠陥をすでに悪用しているため、用意されているパッチを至急インストールすることをすすめる。 詳細については下記を参照。
【対策】
マイクロソフトは、OfficeやPowerPointのこうした脆弱性を修正するパッチをリリースしている。状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に導入することをすすめる。
日本語版をダウンロードするには「Change Language」のドロップダウン・メニューから「Japanese」を選択： こうした脆弱性からOffice ユーザやExcel 2007 ユーザを完全に保護するには、Microsoft Office Compatibility Pack for Word, Excel, PowerPoint 2007 ファイル形式もインストールする必要がある。
ウォッチガード・ユーザ：
パッチをインストールすることで、ユーザが正当なPowerPointも再びダウンロードできるようになる。このため、PowerPoint プレゼンテーション(.ppt)を一時的にブロックするためにFireboxのプロキシ・ポリシーをカスタマイズしたことがある場合は、マイクロソフトのパッチをインストールした後にその設定を解除することを検討してもいいだろう。
この脆弱性の詳細については、4月3日付けのセキュリティ・アラートを参照することをすすめる。同記事はこちらからも閲覧可能。
マイクロソフトがパッチをリリース
危険度： 高
2009年5月12日
【アップデート】
米国時間の2009年4月3日、PowerPointに見られるゼロデイ脆弱性についてLiveSecurityはアラート読者に警告した。攻撃者は、この脆弱性を悪用することでユーザのコンピュータでコードを実行し、場合によってはそれを完全に操作できるようになる。この問題を最初に報告した時点で、攻撃者達はインターネットでこの深刻な脆弱性の攻撃をすでに開始しており、LiveSecurityではマイクロソフトがこの問題に対応するパッチをリリース次第、アップデートで知らせると報告した。そして、今月の「パッチの日」でマイクロソフトはその修正プログラムをリリースした。
マイクロソフトのセキュリティ情報は、前回のPowerPointに関連するゼロデイ欠陥14件、またその他13件の問題についても説明している。14件の欠陥はそれぞれ技術的には異なるが、その行動範囲と影響は同じである。攻撃者は、悪質に細工したPowerPointドキュメント(.ppt)をユーザがダウンロードし、それを閲覧するように仕向けることで脆弱性を悪用、ユーザの権限を利用してそのコンピュータでコードを実行できるようになる。また、ユーザがローカル管理者であった場合、攻撃者はそのユーザのコンピュータを完全に操作できる。
この問題について取り上げた前回のアラートでLiveSecurityはMac対応のOfficeも、このPowerPointのゼロデイ脆弱性の影響を受けていると警告した。マイクロソフトはそれを認めているが、Macに対応するアップデートはまだ用意していない。それというのも、一般の環境下で発見された悪用方法はWindows対応のPowerPointのみであったため、マイクロソフトはMacバージョンに対するリスクは幾分低いものと見ているのであろう。しかしながら、Macユーザはマイクロソフトのセキュリティ情報サイトにアップデートが用意されているか今後もチェックし、入手可能になり次第、MacのOfficeパッチを取り入れることをすすめる。
マイクロソフトは、このゼロデイ欠陥に対応するパッチをリリースしている（新たな13件も含む）。攻撃者は一般環境下でこの欠陥をすでに悪用しているため、用意されているパッチを至急インストールすることをすすめる。 詳細については下記を参照。
【対策】
マイクロソフトは、OfficeやPowerPointのこうした脆弱性を修正するパッチをリリースしている。状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に導入することをすすめる。
日本語版をダウンロードするには「Change Language」のドロップダウン・メニューから「Japanese」を選択： こうした脆弱性からOffice ユーザやExcel 2007 ユーザを完全に保護するには、Microsoft Office Compatibility Pack for Word, Excel, PowerPoint 2007 ファイル形式もインストールする必要がある。
ウォッチガード・ユーザ：
パッチをインストールすることで、ユーザが正当なPowerPointも再びダウンロードできるようになる。このため、PowerPoint プレゼンテーション(.ppt)を一時的にブロックするためにFireboxのプロキシ・ポリシーをカスタマイズしたことがある場合は、マイクロソフトのパッチをインストールした後にその設定を解除することを検討してもいいだろう。
この脆弱性の詳細については、4月3日付けのセキュリティ・アラートを参照することをすすめる。同記事はこちらからも閲覧可能。