Microsoft Office の脆弱性（CVE-2018-0802）

何が起きた

Microsoft Office の数式を書く機能（Equation Editor、数式エディター）に、メモリの扱いの誤りがあり、攻撃者がプログラムを実行できる弱点が見つかりました。実際に悪用が確認されています。Microsoft によると、利用者が細工したファイルを開く必要があり、メールで送りつけたり、Web サイトに置いたりする手口が考えられます。CISA によると、CVE-2018-0798 と組み合わせて悪用されることが知られており、ランサムウェアの攻撃での悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Microsoft Office 2007、Microsoft Office 2010、Microsoft Office 2013、Microsoft Office 2016 が影響を受けます。Microsoft の情報では、Word や Microsoft Office Compatibility Pack も対象です。Microsoft のライフサイクルのページによると、これらの Office はどれもサポートが終わっています。

何をすればいい

Microsoft は、この弱点を、数式エディターの機能を取り除く更新で直しました。サポートが終わった Office は新しい更新を受け取れないため、使い続けず、サポートが続いている版に置き換えてください。知らない相手から届いたファイルは開かないようにしてください。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

• 数式エディターを取り除く更新を適用する
• サポートが終わった Office を置き換える
• 知らない相手からのファイルは開かないようにする

用語メモ

数式エディター

Office で数式を入力するための古い部品です。Equation Editor とも呼ばれます。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。