Microsoft Graphics Component のコードインジェクションの脆弱性（CVE-2013-3906）

何が起きた

Microsoft の画像を表示する部品（GDI+）に、細工した TIFF 画像を読み込ませると、攻撃者が任意のプログラムを動かせる弱点が見つかりました。NVD の説明によると、Word の文書に入れた画像を使った攻撃が実際に確認されており、CISA も悪用が確認された脆弱性の一覧に載せています。NVD の評価では、攻撃者に特別な権限は要りませんが、利用者が細工したファイルを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Windows Vista SP2、Windows Server 2008 SP2、Office 2003 SP3、Office 2007 SP3、Office 2010 SP1 と SP2、Office Compatibility Pack SP3、Lync 2010、Lync 2010 Attendee、Lync 2013、Lync Basic 2013 が対象です。Microsoft のセキュリティ情報 MS13-096 でも、Windows、Office、Lync の対象の製品が一覧になっています。

何をすればいい

Microsoft のセキュリティ情報 MS13-096 の更新プログラムを入れて、公式の案内を確認してください。すぐに更新できない場合の回避策として、Microsoft は TIFF コーデックを無効にする方法（サポート技術情報 2908005 の Fix it）を案内しています。ただし、この回避策は Windows 8 や Windows 8.1 などには当てはまりません。知らない相手から届いた Office の文書は開かないようにしてください。

やることチェックリスト

• MS13-096 の更新プログラムを入れる
• 更新できない間は TIFF コーデックを無効にする
• 知らない相手からの Office 文書を開かないようにする

用語メモ

GDI+

Windows で画像や図形を表示するための部品です。いろいろなアプリが画像を表示するときに使います。

TIFF

画像を保存するファイル形式の一つです。文書の中に画像として入れることもできます。

コーデック

画像や音声などのデータを読み書き（変換）するための部品です。