Microsoft Office製品に影響する18件の脆弱性について Sharepoint、Visual Basic、Visual Studio .NET、Project、FrontPageなど 2008年12月9日
Microsoft Office製品に影響する18件の脆弱性について
Sharepoint、Visual Basic、Visual Studio .NET、Project、FrontPageなど
危険度：高
2008年12月9日
【概要】
対象：
Word、Excel、SharePointなどOfficeシリーズ
攻撃方法：
細工したOfficeドキュメントをユーザに開かせたり、有害なウェブサイトに誘導するなど様々な攻撃方法がある
影響：
様々な結果があるが最悪の場合、攻撃者はコードを実行してユーザのコンピュータを完全に操作できるようになる
対策：
状況に適したパッチを至急インストールすること
【詳細】
米国時間の12月9日、マイクロソフトはOffice製品シリーズの一部のアプリケーションに見られる18件の脆弱性について説明したセキュリティ情報を公開した。脆弱性の中にはマイクロソフトの開発製品に影響するものもある。各脆弱性がもたらす影響は製品バージョンにより異なる。
影響を受けている製品一覧：
次に、危険度の高いものから順にセキュリティ情報の概要を説明する。
MS08-072
Wordメモリ破壊の脆弱性（複数）
このセキュリティ情報は、細工されたドキュメントをWordが解析する方法に関与する8つの脆弱性について説明している。欠陥はそれぞれ技術的には異なるが、その行動範囲と影響は同じである。有害なドキュメントをユーザにダウンロードさせ、それを開かせることで攻撃者は欠陥のいづれかを悪用しコードを実行、ユーザのコンピュータを完全に操作できるようになる。こうした欠陥の主な違いは、攻撃者がそれらを悪用する際に利用するドキュメントの種類のみである。マイクロソフトのセキュリティ情報は、Word(.doc) とRich Text Format (.rtf) ドキュメントがこのような欠陥を誘発すると指定している。
マイクロソフトによる評価：緊急
MS08-074
Excelの脆弱性（複数）
この脆弱性はExcelが細工されたスプレッドシートを解析する方法に関与する3つの脆弱性について説明している。先に説明したWordの脆弱性と同様に、こうしたExcel欠陥も技術的には異なるがその行動範囲と影響はどれも同じである。有害なExcelスプレッドシートをユーザにダウンロードさせ、それを開かせることで攻撃者は欠陥を悪用し、ユーザの権限を獲得した状態でユーザのコンピュータでコードを実行することができる。ユーザにローカル管理者の権限がある場合、攻撃者はユーザのコンピュータを完全に操作できるようになる。
マイクロソフトによる評価：緊急
MS08-070
Visual Basic 6.0 ランタイム拡張ファイルの脆弱性（複数）
マイクロソフトによると、Visual Basic 6.0ランタイム拡張ファイルには、ActiveX コントロール、ライブラリ、ツールなどが含まれているという。これらはアプリケーションの開発者達に様々な種類の機能を提供することができる。Visual Basic 6.0ランタイム拡張ファイルは、ProjectやFrontPage、Visual Basic、Visual Studio .NET、Visual FoxProなど様々なマイクロソフト製品に搭載されている。マイクロソフトは影響を受けているランタイム拡張ファイルを第三者の開発者が独自のアプリケーションと共に再配布することを許可しているため、マイクロソフト・アプリケーション以外の製品にも脆弱性がある可能性もある。マイクロソフトのセキュリティ情報は、Visual Basic 6.0ランタイム拡張ファイルに含まれている様々なActiveXコントロールに関与する6つの脆弱性について説明している。そうした6つの欠陥は技術的に異なるが、その行動範囲と影響は同様である。攻撃者は悪質に細工されたウェブページにユーザを誘導することで欠陥を悪用し、ユーザの権限を獲得した状態でそのコンピュータでコードを実行できる。また、ユーザにローカル管理者の権限がある場合は、攻撃者がユーザのPCを完全に操作できるようになる。
マイクロソフトによる評価：緊急
MS08-077
SharePoint の権限昇格の脆弱性
このセキュリティ情報はマイクロソフトのSharePoint ServerとSearch Serverに見られる権限昇格の脆弱性について説明している。質の悪いデザインのウェブベース管理ページにより、未認証ユーザがSharePointやSearch Serverの管理機能の一部にアクセスできるようになる。勿論、攻撃者がこの攻撃を行うにはユーザのサーバ管理ページにアクセスできることを条件とするが、通常、管理者はインターネットベースのユーザが管理ページへアクセスできるように許可しないため、この脆弱性は主に内部脅威対象となる。
マイクロソフトによる評価：重要
【対策】
マイクロソフトはこうした脆弱性を修正するOffice（その他関連のプログラムも含む）パッチをリリースしている。状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に適用することをすすめる。
日本語版をダウンロードする場合は、「Change Language」のドロップダウン・メニューから「Japanese」を選択すること：
MS08-072
Wordアップデートのダウンロード先：
Office 2000 w/SP3
Office XP w/SP3
Office 2003 w/SP3
Word Viewer 2003
2007 Microsoft Office System
Office 2004 Mac
Office 2008 Mac
Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats
Open XML File Format Converter Mac
Microsoft Works 8
MS08-074
Excelアップデート・ダウンロード先：
Office 2000 w/SP3
Excel Viewer
Office XP w/SP3
Office 2003 w/SP3
Excel Viewer 2003
2007 Microsoft Office System
Office 2004 Mac（MS08-072 Word updateと同様）
Office 2008 Mac（MS08-072 Word updateと同様）
Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats
Open XML File Format Converter Mac（MS08-072 Word updateと同様）
MS08-070
Visual Basic 6.0 Runtime Extended Files
Office FrontPage 2002
Office Project 2003
Office Project 2007
Visual Studio .NET 2002
Visual Studio .NET 2003
Visual FoxPro 8.0
Visual FoxPro 9.0 w/SP1
Visual FoxPro 9.0 w/SP2
注意：第三者の開発者も、独自のアプリケーションと影響を受けているVisual Basic 6.0ランタイム拡張ファイルを再配布している可能性がある。その場合においては、マイクロソフトはアプリケーションのランタイム拡張ファイルのアップデートを第三者の開発者に任せている。
MS08-077
Office SharePoint Server 2007 or Search Server 2008 32ビット版
Office SharePoint Server 2007 or Search Server 2008 64ビット版
ウォッチガード・ユーザ：
攻撃者は様々なOfficeドキュメントをユーザにダウロードさせ、それを閲覧させることでこれら脆弱性のいくつかを悪用する。ウォッチガードのFirebox製品でOfficeドキュメントやファイル・タイプを阻止することができるが、大方の組織はビジネス上、Officeドキュメントを許可しておく必要があるため、それらを遮断することでビジネスを中断させてしまう可能性がある。さらに、このような攻撃は、ユーザがインターネットへアクセスできるようにするには許可しておかなければならない通常のHTTPトラフィックに見せかけた状態で移動するため、先に説明したパッチをインストールすることが主な対策となる。
【ステータス】
マイクロソフトは問題を修正するパッチをリリースしている。
【参考資料】
日本語版：
マイクロソフト・セキュリティ情報：MS08-070
マイクロソフト・セキュリティ情報：MS08-072
マイクロソフト・セキュリティ情報：MS08-074
マイクロソフト・セキュリティ情報：MS08-077
この記事はコーリー・ナクライナー（Corey Nachreiner, CISSP)によって調査されかかれた記事です。
Sharepoint、Visual Basic、Visual Studio .NET、Project、FrontPageなど
危険度：高
2008年12月9日
【概要】
対象：
Word、Excel、SharePointなどOfficeシリーズ
攻撃方法：
細工したOfficeドキュメントをユーザに開かせたり、有害なウェブサイトに誘導するなど様々な攻撃方法がある
影響：
様々な結果があるが最悪の場合、攻撃者はコードを実行してユーザのコンピュータを完全に操作できるようになる
対策：
状況に適したパッチを至急インストールすること
【詳細】
米国時間の12月9日、マイクロソフトはOffice製品シリーズの一部のアプリケーションに見られる18件の脆弱性について説明したセキュリティ情報を公開した。脆弱性の中にはマイクロソフトの開発製品に影響するものもある。各脆弱性がもたらす影響は製品バージョンにより異なる。
影響を受けている製品一覧：
- Windows、Mac 用のMicrosoft Word（Microsoft Officeの一部）
- Word Viewer
- Office Compatibility Pack for 2007形式
- Mac 用のオープンXMLファイル形式変換
- Windows/Mac用のマイクロソフトExcel（Microsoft Officeの一部）
- Excel Viewer
- Office Compatibility Pack for 2007形式
- Mac 用のオープンXMLファイル形式変換
- Microsoft Works
- Microsoft SharePoint Server
- Microsoft Search Server
- Microsoft Visual Basic
- Microsoft Visual Studio .NET
- Microsoft Visual FoxPro
- Microsoft Office Project
- Microsoft Office FrontPage
次に、危険度の高いものから順にセキュリティ情報の概要を説明する。
MS08-072
Wordメモリ破壊の脆弱性（複数）
このセキュリティ情報は、細工されたドキュメントをWordが解析する方法に関与する8つの脆弱性について説明している。欠陥はそれぞれ技術的には異なるが、その行動範囲と影響は同じである。有害なドキュメントをユーザにダウンロードさせ、それを開かせることで攻撃者は欠陥のいづれかを悪用しコードを実行、ユーザのコンピュータを完全に操作できるようになる。こうした欠陥の主な違いは、攻撃者がそれらを悪用する際に利用するドキュメントの種類のみである。マイクロソフトのセキュリティ情報は、Word(.doc) とRich Text Format (.rtf) ドキュメントがこのような欠陥を誘発すると指定している。
マイクロソフトによる評価：緊急
MS08-074
Excelの脆弱性（複数）
この脆弱性はExcelが細工されたスプレッドシートを解析する方法に関与する3つの脆弱性について説明している。先に説明したWordの脆弱性と同様に、こうしたExcel欠陥も技術的には異なるがその行動範囲と影響はどれも同じである。有害なExcelスプレッドシートをユーザにダウンロードさせ、それを開かせることで攻撃者は欠陥を悪用し、ユーザの権限を獲得した状態でユーザのコンピュータでコードを実行することができる。ユーザにローカル管理者の権限がある場合、攻撃者はユーザのコンピュータを完全に操作できるようになる。
マイクロソフトによる評価：緊急
MS08-070
Visual Basic 6.0 ランタイム拡張ファイルの脆弱性（複数）
マイクロソフトによると、Visual Basic 6.0ランタイム拡張ファイルには、ActiveX コントロール、ライブラリ、ツールなどが含まれているという。これらはアプリケーションの開発者達に様々な種類の機能を提供することができる。Visual Basic 6.0ランタイム拡張ファイルは、ProjectやFrontPage、Visual Basic、Visual Studio .NET、Visual FoxProなど様々なマイクロソフト製品に搭載されている。マイクロソフトは影響を受けているランタイム拡張ファイルを第三者の開発者が独自のアプリケーションと共に再配布することを許可しているため、マイクロソフト・アプリケーション以外の製品にも脆弱性がある可能性もある。マイクロソフトのセキュリティ情報は、Visual Basic 6.0ランタイム拡張ファイルに含まれている様々なActiveXコントロールに関与する6つの脆弱性について説明している。そうした6つの欠陥は技術的に異なるが、その行動範囲と影響は同様である。攻撃者は悪質に細工されたウェブページにユーザを誘導することで欠陥を悪用し、ユーザの権限を獲得した状態でそのコンピュータでコードを実行できる。また、ユーザにローカル管理者の権限がある場合は、攻撃者がユーザのPCを完全に操作できるようになる。
マイクロソフトによる評価：緊急
MS08-077
SharePoint の権限昇格の脆弱性
このセキュリティ情報はマイクロソフトのSharePoint ServerとSearch Serverに見られる権限昇格の脆弱性について説明している。質の悪いデザインのウェブベース管理ページにより、未認証ユーザがSharePointやSearch Serverの管理機能の一部にアクセスできるようになる。勿論、攻撃者がこの攻撃を行うにはユーザのサーバ管理ページにアクセスできることを条件とするが、通常、管理者はインターネットベースのユーザが管理ページへアクセスできるように許可しないため、この脆弱性は主に内部脅威対象となる。
マイクロソフトによる評価：重要
【対策】
マイクロソフトはこうした脆弱性を修正するOffice（その他関連のプログラムも含む）パッチをリリースしている。状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体に適用することをすすめる。
日本語版をダウンロードする場合は、「Change Language」のドロップダウン・メニューから「Japanese」を選択すること：
MS08-072
Wordアップデートのダウンロード先：
Office 2000 w/SP3
Office XP w/SP3
Office 2003 w/SP3
Word Viewer 2003
2007 Microsoft Office System
Office 2004 Mac
Office 2008 Mac
Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats
Open XML File Format Converter Mac
Microsoft Works 8
MS08-074
Excelアップデート・ダウンロード先：
Office 2000 w/SP3
Excel Viewer
Office XP w/SP3
Office 2003 w/SP3
Excel Viewer 2003
2007 Microsoft Office System
Office 2004 Mac（MS08-072 Word updateと同様）
Office 2008 Mac（MS08-072 Word updateと同様）
Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats
Open XML File Format Converter Mac（MS08-072 Word updateと同様）
MS08-070
Visual Basic 6.0 Runtime Extended Files
Office FrontPage 2002
Office Project 2003
Office Project 2007
Visual Studio .NET 2002
Visual Studio .NET 2003
Visual FoxPro 8.0
Visual FoxPro 9.0 w/SP1
Visual FoxPro 9.0 w/SP2
注意：第三者の開発者も、独自のアプリケーションと影響を受けているVisual Basic 6.0ランタイム拡張ファイルを再配布している可能性がある。その場合においては、マイクロソフトはアプリケーションのランタイム拡張ファイルのアップデートを第三者の開発者に任せている。
MS08-077
Office SharePoint Server 2007 or Search Server 2008 32ビット版
Office SharePoint Server 2007 or Search Server 2008 64ビット版
ウォッチガード・ユーザ：
攻撃者は様々なOfficeドキュメントをユーザにダウロードさせ、それを閲覧させることでこれら脆弱性のいくつかを悪用する。ウォッチガードのFirebox製品でOfficeドキュメントやファイル・タイプを阻止することができるが、大方の組織はビジネス上、Officeドキュメントを許可しておく必要があるため、それらを遮断することでビジネスを中断させてしまう可能性がある。さらに、このような攻撃は、ユーザがインターネットへアクセスできるようにするには許可しておかなければならない通常のHTTPトラフィックに見せかけた状態で移動するため、先に説明したパッチをインストールすることが主な対策となる。
【ステータス】
マイクロソフトは問題を修正するパッチをリリースしている。
【参考資料】
日本語版：
マイクロソフト・セキュリティ情報：MS08-070
マイクロソフト・セキュリティ情報：MS08-072
マイクロソフト・セキュリティ情報：MS08-074
マイクロソフト・セキュリティ情報：MS08-077
この記事はコーリー・ナクライナー（Corey Nachreiner, CISSP)によって調査されかかれた記事です。