Microsoft Windows のリモートコード実行の脆弱性（CVE-2014-6332）

何が起きた

Microsoft Windows の OLE（ソフト同士でデータを埋め込んだり操作したりする仕組み）に含まれる OleAut32.dll に、配列の大きさの扱いを誤るメモリの弱点が見つかりました。利用者が細工された Web サイトを開くと、任意のプログラム（攻撃者が好きに選べるプログラム）を実行される可能性があります。NVD に登録された CISA の評価では、離れた場所からログインなしで攻撃できますが、利用者がそのページを開く操作が必要です。実際の攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Windows Server 2003 SP2、Windows Vista SP2、Windows Server 2008 SP2 と R2 SP1、Windows 7 SP1、Windows 8、Windows 8.1、Windows Server 2012 と R2、Windows RT を使っている人や組織が対象です。Microsoft のセキュリティ情報 MS14-064 では、Internet Explorer で細工された Web ページを見ると悪用される可能性があると説明しています。

何をすればいい

Microsoft は 2014年11月 にセキュリティ情報 MS14-064 を出し、この弱点を更新プログラム KB3006226 で直しています。Microsoft は回避策を示していないため、更新プログラムを当てることが対策になります。なお、Microsoft のライフサイクルのページでは、Windows 8.1 は 2023年1月 に、Windows Server 2012 R2 は 2023年10月 に延長サポートが終わっているため、サポートが終わった Windows は使い続けず、サポート中の版に移ってください。あわせてメーカーの公式の案内を確認してください。

やることチェックリスト

• 更新プログラム KB3006226 を適用する
• 知らない相手から届いたリンクは開かないようにする
• サポートが終わった Windows を新しい版へ移行する

用語メモ

OLE 用語集で見る

Windows で、ある文書の中に別のソフトのデータを埋め込んだり、プログラムから操作したりするための仕組みです。

セキュリティ情報

メーカーが弱点の内容と、それを直す更新プログラムをまとめて知らせる文書です。

Internet Explorer

Microsoft が以前 Windows に付けていた Web ブラウザーです。