Microsoft Office の認可の不備の脆弱性（CVE-2023-21715）

何が起きた

Microsoft Office の Publisher に、セキュリティの仕組みをすり抜けられる弱点が見つかりました。Microsoft によると、信頼できないファイルや悪意のあるファイルを止めるための Office のマクロの設定（ポリシー）をすり抜けられるおそれがあります。攻撃者は、利用者をだまして Web サイトから細工したファイルをダウンロードさせ、開かせる必要があります。この弱点は実際の攻撃で悪用されたことが確認されており、NVD の評価では、対象のパソコン上で、一般利用者程度の権限を持つ攻撃者が、利用者の操作を伴って悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft の情報では、Microsoft 365 Apps for Enterprise（32ビット版と64ビット版）を使っている組織が対象です。

何をすればいい

Microsoft 365 Apps for Enterprise は、クイック実行（Click to Run）の仕組みで、2023年2月以降の更新を適用してください。公式の案内を確認し、手順に従って更新してください。知らない相手から届いたファイルや、怪しい Web サイトからダウンロードしたファイルは開かないようにしてください。

やることチェックリスト

• Microsoft 365 Apps を最新の状態に更新する
• Click to Run の更新が止まっていないか確認する
• 知らない相手からのファイルを開かない

用語メモ

マクロ

Office の文書の中に入れておける、作業を自動で行う小さなプログラムです。悪意のあるマクロはウイルスの入り口になることがあります。

ポリシー

パソコンやアプリの動きを決める、管理者が設定するルールのことです。

Click to Run

Microsoft 365 の Office を配布・更新するための仕組みです。更新は基本的に自動で行われます。