Microsoft Office の脆弱性（CVE-2017-11774）

何が起きた

Microsoft Outlook に、メモリ上のデータ（オブジェクト）の扱いを誤ることで、安全のための仕組みをすり抜けられる弱点が見つかりました。成功すると攻撃者は任意のコマンドを実行できるおそれがあり、実際の悪用が確認されています。NVD の評価では、攻撃は対象の機器上で（ローカル）行われ、攻撃者に権限は不要ですが、被害者の操作が必要です。Microsoft によると、細工した文書ファイルを渡し、利用者に開いて操作させる手口が想定されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Outlook 2010 SP2、Outlook 2013 SP1 と RT SP1、Outlook 2016 を使っている人や組織が対象です。Microsoft のライフサイクルの情報では、Office 2010、Office 2013、Office 2016 はいずれもサポートが終わっています。

何をすればいい

Microsoft の公式の案内を確認し、セキュリティ更新プログラム（Outlook 2016 は KB4011162、Outlook 2013 と RT は KB4011178、Outlook 2010 は KB4011196）が入っているか確かめてください。サポートの終わった版は新しい問題が直されないため、サポート中の版への置き換えを進めてください。知らない相手から届いた文書ファイルは開かないようにしましょう。

やることチェックリスト

• Outlook の更新（KB4011162 など）を適用する
• サポート中の Outlook に置き換える
• 知らない相手からの文書ファイルを開かないようにする

用語メモ

コマンド

コンピューターに特定の動作をさせるための命令のことです。

オブジェクト

プログラムが扱うデータのまとまりのことです。扱い方を誤ると、思わぬ動作の原因になります。

セキュリティ更新プログラム

見つかった弱点を直すために、メーカーが配る修正のことです。