Microsoft Windows のリモートコード実行の脆弱性（CVE-2015-1671）

何が起きた

Windows の DirectWrite（文字を画面に描く仕組み）で TrueType フォントを正しく扱えない弱点があり、攻撃者が任意の（好きに選べる）プログラムを実行できるおそれがあります。この部品は Windows のほか、.NET Framework、Office、Lync、Silverlight などでも使われています。Microsoft の公開時点では攻撃に使われたという情報はありませんでしたが、その後、実際の攻撃に使われたことが確認されています。Microsoft は、細工された文書を開いたり、TrueType フォントを埋め込んだ信頼できないページを見たりすると悪用されるおそれがあると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft .NET Framework 3.0 SP2、3.5、3.5.1、4、4.5、4.5.1、4.5.2、Office 2007 SP3 と 2010 SP2、Live Meeting 2007 Console、Lync 2010、Lync 2010 Attendee、Lync 2013 SP1、Lync Basic 2013 SP1、5.1.40416.00 より前の Silverlight 5 と Silverlight 5 Developer Runtime を使っている人が影響を受けます。Microsoft のセキュリティ情報では、Windows 自体も対象とされています。このうち Silverlight 5 は、すでにサポートが終わっています。

何をすればいい

Microsoft はセキュリティ情報 MS15-044（KB 3057110）でこの弱点を修正しています。対象の製品に、この更新が入っているか確認してください。Silverlight はサポートが終わっているため、使い続けないでください。あわせて、メーカー（Microsoft）の公式の案内を確認してください。

やることチェックリスト

• 対象の製品に KB 3057110 などの更新を入れる
• サポートが終わった Silverlight の利用をやめる
• 知らない相手からの文書やリンクを開かない

用語メモ

TrueType フォント

パソコンで文字を表示・印刷するための、広く使われている文字の形のデータの形式です。

DirectWrite

Windows で、文字をきれいに画面へ描くための仕組み（部品）です。

.NET Framework

Microsoft が提供する、Windows 向けのアプリを動かすための土台となるソフトです。