Easy management - our secret sauce. Watch the video tour.
HOME　>　セキュリティ情報　>　Officeのセキュリティ問題14件について 2008年8月12日

Officeのセキュリティ問題14件について 2008年8月12日

Officeのセキュリティ問題14件について

危険度：高

2008年8月12日


【概要】

対象：
最新バージョンのMicrosoft Office（Windows版）、場合によってはMac版への影響もあり。
（他のOffice関連プログラムで影響を受けているものもある）

攻撃方法：
細工したOfficeドキュメントをユーザーに開かせたり悪性のウェブサイトにユーザーを誘導するなど、様々な攻撃方法がある。

影響：
攻撃者はユーザーのコンピューターでコードを実行し、そのコンピューターを完全に操作できるようになる可能性がある。

対策：
状況に適したOffice関連のパッチを至急インストールすること。


【詳細】

米国時間の8月12日、マイクロソフトはWindows版の[Microsoft Office]に搭載されているコンポーネントやプログラムで発見された脆弱性（14件）について、5件のセキュリティ情報をリリースした（場合によってはMac版Officeへの影響もある）。セキュリティ問題の中には[Microsoft Works]や[Project]、[SharePoint Server]などに影響を与える脆弱性もあり、各セキュリティ問題は異なるバージョンのOfficeに対し、それぞれの範囲で影響を及ぼしている。

こうしたセキュリティ欠陥はOfficeのコンポーネントやアプリケーションにおいてそれぞれ影響を与えるが、それがもたらす結果は常に同じである。攻撃者は、細工したOfficeドキュメントをユーザーにダウンロードさせたり、悪性のウェブサイトにユーザーを誘導したりすることでセキュリティ問題を悪用し、被害者のコンピューターでコードを実行する。そして大方の場合、攻撃者はユーザーが所有していたレベルの権限を受け継ぐようになる。また、ユーザーにローカル管理者の権限がある場合、攻撃者は被害者のコンピューターを完全に操作することができるようになる。

攻撃者はあらゆる種類のOfficeドキュメントでこうした欠陥の多くを悪用することができる。マイクロソフトがリリースしたセキュリティ情報のうち3件はExcel（.xls、xlsx）やWord（.doc）、PowerPoint（.ppt）ファイルについて特に説明しているが、その他のセキュリティ情報では、攻撃者が電子メールやウェブサイトを含む様々なタイプのOfficeドキュメントに挿入することができる悪性のイメージについても触れている。このため、リクエストした覚えのないOfficeドキュメントには注意すること。

各セキュリティ欠陥の詳細について知りたい場合は、セキュリティ情報の詳細欄を参考にすることをすすめる。
る。場合によっては攻撃者がユーザーのコンピューターを完全に操作することができるようになる。
  • MS08-041:
    Access のスナップショット・ビューア、 ActiveX コントロールの問題

    Snapshot Viewer(スナップショット・ビューア）のActiveX コントロールは、Officeに搭載されているAccess（アクセス）のコンポーネントで、Accessのメイン・プログラムをインストールせずにレポート・スナップショットを閲覧できるようにする。しかし、ActiveXコントロールはファイルを保存する際の同期問題に関与する未特定の脆弱性の影響を受けている。攻撃者は欠陥のあるActiveXコントロールを利用する悪性のウェブサイトにユーザーを誘導することでセキュリティ問題を悪用し、ユーザーのコンピューターでコードを実行する。場合によっては攻撃者がそのコンピューターを完全に操作できるようになる可能性もある。

    マイクロソフトの評価：緊急


  • MS08-042:
    Wordの記録解析問題

    このセキュリティ情報は、細工されたドキュメントをWordが解析する方法に関与するセキュリティ問題について説明している。攻撃者は悪性のWordドキュメントをユーザーにダウンロードさせ、それを開くように誘導し、この欠陥を悪用してコードを実行する。場合によっては攻撃者がユーザーのコンピューターを完全に操作することができるようになる。

    マイクロソフトの評価：重要


  • MS08-043:
    Excelのセキュリティ問題（複数）

    このセキュリティ情報は、細工されたExcelドキュメントをExcelが扱う方法に関与するセキュリティ問題4件について説明している。Excelドキュメントをユーザーがダウンロードし、それを開くように誘導すると、攻撃者は大方の欠陥を悪用してコードを実行する。場合によってはユーザーのコンピューターを完全に操作することもできる。

    マイクロソフトの評価：緊急


  • MS08-044:
    Officeフィルターの問題（複数）

    このセキュリティ情報は、OfficeフィルターがBMPやWPG、PICT、EPSなどを含む様々な画像ファイルを処理する方法に関与するセキュリティ問題5件について説明している。攻撃者は、悪性の画像をユーザーにダウンロードさせ、それをOfficeで開かせることにより、こうした欠陥のいずれかを悪用する。場合によっては攻撃者がユーザーのコンピューターを完全に操作することができるようになる。攻撃者はこうした悪性の画像をウェブサイトに載せたり、Officeドキュメントに挿入したりすることもできる。

    マイクロソフトの評価：緊急


  • MS08-051:
    PowerPointの問題（複数）

    このセキュリティ情報は、PowerPointが細工されたPowerPointドキュメントを扱う方法に関与しているセキュリティ問題3件について説明している。攻撃者は、細工されたPowerPointプレゼンテーションをユーザーにダウンロードさせ、それを開かせることで欠陥を悪用しコードを実行する。場合によっては攻撃者がユーザーのコンピューターを完全に操作することも可能になる。

    マイクロソフトの評価：緊急

【対策】

マイクロソフトはOffice（及びその他の関連プログラムも含む）を対象に、こうしたセキュリティ問題を修正するパッチをリリースしている。状況に適したパッチを至急ダウンロードし、テストしてからネットワーク全体にインストールすること。


ウォッチガード・ユーザー対象：

攻撃者はユーザーに様々なOfficeドキュメントをダウンロードさせ、それらを閲覧させることでこうしたセキュリティ問題を悪用する。ウォッチガードのFireboxを使ってOfficeドキュメントを全てブロックするように設定することが可能だが、大方の企業や組織ではビジネス上、Officeドキュメントを許可しておく必要があるため、全てブロックすると仕事を中断させてしまうことになるだろう。また、その他の攻撃は通常のHTTPトラフィックに見せかけた状態で移動するが、ネットワーク・ユーザーがウェブにアクセスできるようにしておくにはHTTPトラフィックを許可しておく必要があるため、上記のパッチを導入することが主な対策となる。


【ステータス】

マイクロソフトはこの問題を修正するパッチをリリースしている。


【参考資料】

マイクロソフトのセキュリティ情報：一覧


この記事はコーリー・ナクライナー（Corey Nachreiner, CISSP）によって調査され書かれた記事です。
ご感想・リクエストは日本語でyour.opinion.matters@watchguard.comまでご連絡下さい。