最近の脆弱性 › CVE-2014-6332

Microsoft Windows のリモートコード実行の脆弱性（CVE-2014-6332）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2014-6332
製品	Microsoft Windows
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-03-25
米国政府機関の対応期限	2022-04-15
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-119

何が起きた

Microsoft Windows の OLE（ソフト同士でデータを埋め込んだり操作したりする仕組み）に含まれる OleAut32.dll に、配列の大きさの扱いを誤るメモリの弱点が見つかりました。利用者が細工された Web サイトを開くと、任意のプログラム（攻撃者が好きに選べるプログラム）を実行される可能性があります。NVD の評価では、離れた場所からログインなしで攻撃できますが、利用者がそのページを開く操作が必要です。実際の攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Windows Server 2003 SP2、Windows Vista SP2、Windows Server 2008 SP2 と R2 SP1、Windows 7 SP1、Windows 8、Windows 8.1、Windows Server 2012 と R2、Windows RT を使っている人や組織が対象です。Microsoft のセキュリティ情報 MS14-064 では、Internet Explorer で細工された Web ページを見ると悪用される可能性があると説明しています。

何をすればいい

Microsoft は 2014年11月にセキュリティ情報 MS14-064 を出し、この弱点を更新プログラム KB3006226 で直しています。Microsoft は回避策を示していないため、更新プログラムを当てることが対策になります。なお、Microsoft のライフサイクルのページでは、Windows 8.1 は 2023年1月に、Windows Server 2012 R2 は 2023年10月に延長サポートが終わっているため、サポートが終わった Windows は使い続けず、サポート中の版に移ってください。あわせてメーカーの公式の案内を確認してください。

やることチェックリスト

更新プログラム KB3006226 を適用する
知らない相手から届いたリンクは開かないようにする
サポートが終わった Windows を新しい版へ移行する

用語メモ

OLE: Windows で、ある文書の中に別のソフトのデータを埋め込んだり、プログラムから操作したりするための仕組みです。
セキュリティ情報: メーカーが弱点の内容と、それを直す更新プログラムをまとめて知らせる文書です。
Internet Explorer: Microsoft が以前 Windows に付けていた Web ブラウザーです。

元データ（英語・CISA KEV より）

Microsoft Windows Object Linking & Embedding (OLE) Automation Array Remote Code Execution Vulnerability

概要

OleAut32.dll in OLE in Microsoft Windows allows remote attackers to remotely execute code via a crafted web site.

推奨対応

Apply updates per vendor instructions.