最近の脆弱性 › CVE-2016-7262

Microsoft Excel の脆弱性（CVE-2016-7262）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2016-7262
製品	Microsoft Excel
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-03-03
米国政府機関の対応期限	2022-03-24
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-20

何が起きた

Microsoft Office（Excel）が入力を正しく扱わないことで、セキュリティ機能を回避される弱点が見つかりました。Microsoft の説明では、攻撃者が細工した文書ファイルを用意し、利用者にそのファイルを開かせて特定のセルをクリックさせると、任意の（攻撃者が好きに選べる）命令を実行されるおそれがあります。NVD の評価では、ログインは不要ですが、利用者がファイルを開いて操作する必要があります。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Excel 2007 SP3、Excel 2010 SP2、Excel 2013 SP1、Excel 2013 RT SP1、Excel 2016、Office Compatibility Pack SP3、Excel Viewer を使っている人や組織が対象です。Microsoft のライフサイクルのページによると、Office 2007、Office 2010、Office 2013、Office 2016 はいずれもサポートが終わっています。

何をすればいい

Microsoft は、セキュリティ情報 MS16-148（KB 3204068）で修正の更新プログラムを出しています（たとえば Excel 2007 SP3 は KB 3128019）。Microsoft は、この弱点の回避策はないとしています。サポートが終わった Office は使い続けず、サポート中の版に置き換えてください。知らない相手から届いたファイルは開かないようにします。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

Excel に MS16-148 の更新プログラムを入れる
サポートが終わった Office をサポート中の版に置き換える
知らない相手から届いた Excel ファイルを開かない

用語メモ

セキュリティ機能を回避: ソフトウェアに備わった守りの仕組みを、すり抜けられてしまうことです。
セル: Excel の表の中の、一つ一つのマス目のことです。
回避策: 修正の更新を入れるまでの間、弱点を突かれにくくするための一時的な対策です。

元データ（英語・CISA KEV より）

Microsoft Office Security Feature Bypass Vulnerability

概要

A security feature bypass vulnerability exists when Microsoft Office improperly handles input. An attacker who successfully exploited the vulnerability could execute arbitrary commands.

推奨対応

Apply updates per vendor instructions.