Microsoft Office の脆弱性（CVE-2021-42292）

何が起きた

Microsoft の Excel に、安全のための仕組みをすり抜けられてしまう弱点（セキュリティ機能のバイパス）が見つかり、実際に悪用が確認されています。CISA によると、悪用されると攻撃者のプログラムを動かされるおそれがあります。NVD の評価では、攻撃は対象のコンピューターの上で行われ、利用者がファイルを開くなどの操作をする必要があります。Microsoft によると、プレビューウィンドウで表示するだけでは攻撃は成り立ちません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Excel 2013 Service Pack 1、Excel 2016、Office 2013 Service Pack 1、Office 2016、Office 2019、Office LTSC 2021、Microsoft 365 Apps for Enterprise、Mac 用の Office 2019 と Office LTSC for Mac 2021 が対象です。

何をすればいい

Microsoft は 2021年11月のセキュリティ更新で修正しています。Excel 2013 と Office 2013 では KB5002072 と KB5002035、Excel 2016 と Office 2016 では KB5002056 と KB4486670 のように、表に出ている更新をすべて入れてください。Microsoft 365 Apps や Office 2019 などはクイック実行（Click to Run）の更新、Mac 版は 16.55.21111400 以降になっているか確認してください。あわせて、Microsoft の公式の案内を確認してください。

やることチェックリスト

• Office や Excel の更新をすべて入れる
• Mac 版を 16.55.21111400 以降に更新する
• 知らない相手からの Excel ファイルを開かない

用語メモ

セキュリティ機能のバイパス

危険な操作を防ぐための仕組みを、すり抜けてしまうことです。

プレビューウィンドウ

ファイルを開かずに、中身を小さく表示して確かめられる画面です。

クイック実行

Microsoft 365 Apps などで使われる、インターネット経由で自動的に更新される配布方式です。