Microsoft Office のリモートコード実行の脆弱性（CVE-2021-38646）

何が起きた

Microsoft Office の Access Connectivity Engine という部品に、任意のコード（攻撃者が好きに選べるプログラム）を実行される弱点が見つかりました。NVD の評価では、攻撃は対象のパソコン上で行われ、攻撃者の権限は不要ですが、利用者の操作が必要とされています。実際に悪用が確認されており、ランサムウェアでの悪用も知られています。なお Microsoft の公開時点では、悪用は確認されていないとされていました。

誰が影響を受ける

Microsoft の情報では、Office 2013 Service Pack 1（Office 2013 RT Service Pack 1 を含む）、Office 2016、Office 2019、Microsoft 365 Apps for Enterprise を使っている人・組織が対象です。

何をすればいい

Microsoft の公式の案内を確認し、更新プログラムを適用してください。Office 2013 Service Pack 1 は KB5001958、Office 2016 は KB5001997 で修正されています。Office 2019 と Microsoft 365 Apps for Enterprise は、クイック実行（Click to Run）の更新で修正されるので、最新の状態になっているか確認してください。Microsoft によると、プレビューウィンドウは攻撃の経路ではありません。

やることチェックリスト

• Office 2016 に KB5001997 を適用する
• Office 2013 SP1 に KB5001958 を適用する
• Microsoft 365 Apps を最新に更新する

用語メモ

Access Connectivity Engine

Office がデータベースのファイルなどを読み書きするときに使う部品です。

ランサムウェア

ファイルを使えなくして、元に戻す代わりにお金を要求する悪いプログラムです。

クイック実行

Office をインターネット経由で自動的に新しい状態へ更新する配布の方式です。