Microsoft Office の脆弱性（CVE-2016-3235）

何が起きた

Microsoft Office の部品が DLL（プログラムの部品ファイル）を読み込む前に、入力を正しく確かめない弱点が見つかりました。NVD の説明では、ローカルの利用者が細工したアプリで権限を高められるとされ、NVD の評価では、対象の機器上で、権限なしに、利用者の操作があると悪用できます。一方 Microsoft の説明では、利用者に細工した Office の文書を開かせると、攻撃者がパソコンを乗っ取れるおそれがあるとされています。CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Microsoft Visio 2007 SP3、Visio 2010 SP2、Visio 2013 SP1、Visio 2016、Visio Viewer 2007 SP3、Visio Viewer 2010 が対象です。Microsoft のライフサイクルのページによると、Visio 2007 と Visio 2010 はサポートが終わっています。

何をすればいい

Microsoft のセキュリティ情報 MS16-070 の更新プログラム（たとえば Visio 2016 は KB3115041、Visio 2013 SP1 は KB3115020）が当たっているか確認してください。Microsoft は、この弱点に回避策はないとしています。知らない相手からの文書は開かないでください。サポートが終わった Visio は使い続けず、置き換えてください。詳しくは Microsoft の公式の案内を確認してください。

やることチェックリスト

• MS16-070 の更新プログラムを当てる
• 知らない相手からの文書を開かないようにする
• サポートが終わった Visio を置き換える

用語メモ

DLL

複数のプログラムで共通して使う機能をまとめた、Windows の部品ファイルです。

Visio Viewer

Visio の図面ファイルを、編集はせずに見るためのソフトです。