Microsoft Office の脆弱性（CVE-2015-2545）

何が起きた

Microsoft Office が EPS という形式の画像を読み込むときの処理に弱点が見つかりました。細工した EPS 画像を含むファイルを開かせると、攻撃者が任意の（攻撃者が好きに選べる）プログラムを動かせるおそれがあります。NVD の評価では、攻撃者が利用者にファイルを開かせる必要がある（被害者の操作が必要）とされています。Microsoft によると、メールの添付ファイルとして送られることもあり、Word がメールの表示に使われる初期設定では、Outlook のプレビューウィンドウでメールを見るだけで悪用されるおそれがあります。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD によると、Microsoft Office 2007 SP3、2010 SP2、2013 SP1、2013 RT SP1 が対象です。Microsoft のライフサイクル情報では、Office 2007 の延長サポートは 2017年10月に、Office 2010 は 2020年10月に、Office 2013 は 2023年4月に終わっています。

何をすればいい

Microsoft はセキュリティ情報 MS15-099（3089664）でこの問題を直しています。まだ当てていなければ更新プログラムを適用してください。ただし対象の Office はどれもサポートが終わっているため、使い続けずにサポート中の製品へ置き換えてください。置き換えるまでの回避策として、Microsoft はすべての利用者について EPSIMP32.FLT へのアクセスを拒否する方法（KB 3092845）を示しています。公式の案内を確認し、知らない相手からのファイルは開かないようにしてください。

やることチェックリスト

• MS15-099 の更新プログラムを適用する
• サポートが終わった Office を新しい版に置き換える
• EPSIMP32.FLT へのアクセスを拒否する設定にする

用語メモ

EPS

印刷やデザインで使われる画像の保存形式のひとつです。

プレビューウィンドウ

メールを開かなくても、中身をメールソフトの画面の一部に表示する機能です。

延長サポート

メーカーがセキュリティの修正を出し続ける最後の期間です。終わると修正が届かなくなります。