Microsoft Office のリモートコード実行の脆弱性（CVE-2012-1856）

何が起きた

Microsoft Office などに含まれる共通コントロール MSCOMCTL.OCX の、TabStrip という ActiveX コントロールに弱点が見つかりました。細工した文書を開いたり、細工した Web ページを見たりすると、攻撃者が任意のコード（攻撃者が好きに選べるプログラム）を実行できるおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、被害者がファイルを開くなどの操作をする必要があります。CISA は、この脆弱性が実際に悪用されたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft のセキュリティ情報 MS12-060 によると、Office 2003、Office 2007、Office 2010（x64 版を除く）のほか、SQL Server 2000、SQL Server 2005、SQL Server 2008、SQL Server 2008 R2、Commerce Server、Host Integration Server 2004 SP1、Visual FoxPro 8.0、Visual FoxPro 9.0、Visual Basic 6.0 Runtime も対象です。悪用されると、攻撃者はログオン中の利用者と同じ権限を得ます。

何をすればいい

Microsoft はセキュリティ情報 MS12-060 で、この弱点を直す更新プログラムを公開しています。この更新は、弱点のある共通コントロールを無効にし、弱点のない新しい版に置き換えます。すぐに更新できない場合の回避策として、信頼できない相手からの Office 文書や RTF ファイルを開かないことや、Internet Explorer で TabStrip の ActiveX コントロールが動かないように設定することが案内されています。あわせて、公式の案内を確認してください。

やることチェックリスト

• MS12-060 の更新プログラムを適用する
• 不審な Office 文書や RTF ファイルを開かないようにする
• IE で TabStrip が動かないよう設定する

用語メモ

ActiveX コントロール

Windows のアプリや Internet Explorer に機能を足すための部品の仕組みです。Web ページや文書から呼び出されることがあります。

RTF

Rich Text Format の略で、文字の飾りなどを含められる文書の形式です。Word などで開けます。