Microsoft Office の脆弱性（CVE-2015-1770）

何が起きた

Microsoft Office が、メモリーの中のものを正しく扱えない弱点が見つかりました。細工した Office の文書を開くと、任意の（攻撃者が好きに選んだ）命令を、開いた利用者と同じ権限で実行されるおそれがあります。離れた場所から、ログイン不要で狙えますが、利用者が文書を開く必要があります。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Office 2013 SP1 と Office 2013 RT SP1 を使っている人・組織です。Microsoft のセキュリティ情報 MS15-059 の更新（3039782）を当てていないパソコンが対象です。Office 2013 は、すでにサポートが終わっています。

何をすればいい

MS15-059（3064949）の更新、具体的には 3039782 が当たっているか確認してください。すぐに更新できない場合、Microsoft は回避策として、Office の ActiveX コントロールを無効にする方法（トラスト センターの ActiveX の設定で、すべてのコントロールを無効にする）を案内しています。Office 2013 はサポートが終わっているので、サポートが続いている Office に移ってください。公式の案内も確認してください。

やることチェックリスト

• MS15-059 の更新が当たっているか確認する
• Office 2013 を新しい Office に移行する
• 知らない相手からの Office 文書を開かないようにする

用語メモ

ActiveX コントロール

文書や Web ページの中に組み込んで動かす、小さなプログラムの部品です。

トラスト センター

Office で、マクロや ActiveX などの安全に関わる設定をまとめて変える画面です。

回避策

弱点そのものは直さないものの、修正を当てるまで攻撃を防ぎやすくする設定の変更です。