Microsoft Windows のコードインジェクションの脆弱性（CVE-2014-6352）

何が起きた

Windows の OLE（ファイルの中にほかのデータを埋め込む仕組み）に、細工された OLE オブジェクトを含む Office ファイルを開くと、攻撃者が選んだ任意のプログラムが利用者と同じ権限で動く弱点が見つかりました。NVD の説明では、2014年10月に細工された PowerPoint の文書で実際に悪用されました。NVD の評価では、攻撃は対象のパソコン上で行われ、攻撃者に権限は要りませんが、利用者がファイルを開く操作が必要です。Microsoft によると、確認された攻撃では、ファイルが動く前にユーザーアカウント制御（UAC）の確認画面が出ます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Windows Vista SP2、Windows Server 2008 SP2 と R2 SP1、Windows 7 SP1、Windows 8、Windows 8.1、Windows Server 2012 と R2、Windows RT と RT 8.1 が対象です。Microsoft のライフサイクルの案内では、Windows Vista は2017年4月12日、Windows 7 と Windows Server 2008 は2020年1月15日に延長サポートが終わっています。

何をすればいい

Microsoft のセキュリティ情報 MS14-064 の更新プログラム（この弱点は KB3010788）が当たっているか、公式の案内を確認してください。更新までの回避策として、Microsoft は Fix it の「OLE packager Shim Workaround」（セキュリティアドバイザリ 3010060）、知らない相手からの PowerPoint ファイルを開かないこと、UAC を有効にしておくことを案内しています。サポートが終わった Windows は使い続けず、サポート中の版に置き換えてください。

やることチェックリスト

• MS14-064 の更新プログラムを適用する
• UAC を有効にしておく設定にする
• 知らない相手からの PowerPoint ファイルを開かない運用にする

用語メモ

OLE

文書の中に、表やグラフなどほかのソフトのデータを埋め込むための Windows の仕組みです。

ユーザーアカウント制御（UAC）

強い権限が必要な操作の前に、確認の画面を出す Windows の仕組みです。

Fix it

設定の変更などを自動で行う、Microsoft が配っていた小さな修正ツールです。