Microsoft Office のコードインジェクションの脆弱性（CVE-2009-0557）

何が起きた

Microsoft Office の Excel に、ファイルの中の「レコード」と呼ばれるデータの読み取り方に問題があり、細工された Excel ファイルを開くと、攻撃者が選んだプログラムを動かされるおそれがある弱点が見つかりました。CISA は、この弱点が実際に悪用されたことを確認しています。攻撃者に権限は要りませんが、利用者がそのファイルを自分のパソコンで開く必要があります。Microsoft によると、メールで届いただけでは自動で悪用されず、添付ファイルを開いたときに悪用されます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD によると、Office 2000 SP3、Office XP SP3、Office 2003 SP3、2007 Microsoft Office System SP1 と SP2 の Excel、Mac 用の Office 2004 と 2008、Excel Viewer、互換機能パック（Compatibility Pack）などが対象です。Microsoft は、この弱点をセキュリティ情報 MS09-021 で修正しました。対象のうち Office 2007 は、Microsoft のライフサイクルのページで 2017 年にサポートが終わっていることが確認できます。

何をすればいい

MS09-021 の更新プログラムが適用されているか確認してください。サポートが終わった古い Office は使い続けず、サポート中の版へ置き換えることをおすすめします。Microsoft は回避策として、知らない相手から届いた Excel ファイルや、知っている相手からでも予期せず届いた Excel ファイルを開いたり保存したりしないよう案内しています。あわせて Microsoft の公式の案内も確認してください。

やることチェックリスト

• MS09-021 の更新が適用済みか確認する
• サポートの終わった Office をサポート中の版に置き換える
• 知らない相手からの Excel ファイルを開かないようにする

用語メモ

更新プログラム

ソフトウェアの不具合や弱点を直すために、メーカーが配る修正用のプログラムです。

ライフサイクル

製品の発売からサポート終了までの期間のことです。サポートが終わると、弱点が見つかっても修正が配られなくなります。

Excel Viewer

Excel がなくても Excel ファイルを見るために Microsoft が配っていた閲覧用のソフトです。