Microsoft Outlook の脆弱性（CVE-2023-35311）

何が起きた

Microsoft Outlook に、本来表示されるセキュリティの警告（Microsoft Outlook Security Notice）を攻撃者がすり抜けられる弱点が見つかりました。Microsoft によると、利用者が細工された URL（リンク）をクリックする必要があります。プレビューウィンドウも攻撃の入口になりますが、その場合も利用者の追加の操作が必要です。警告が出ないため、利用者が危険に気づきにくくなります。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Outlook を使っている人や組織が対象です。Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office 2019、Outlook 2016、Outlook 2013 が影響を受けます。Outlook 2016 は 16.0.5404.1000 より前、Outlook 2013 は 15.0.5571.1000 より前が対象です。

何をすればいい

Microsoft の公式の案内（セキュリティ更新プログラムガイド）を確認し、Office を更新してください。Outlook 2016 は KB5002427、Outlook 2013 は KB5002432 が修正の更新プログラムです。Microsoft 365 Apps や Office 2019、Office LTSC 2021 は、クイック実行の自動更新で最新の状態にします。

やることチェックリスト

• Outlook 2016 に KB5002427 を適用する
• Outlook 2013 に KB5002432 を適用する
• Microsoft 365 Apps を最新の版に更新する

用語メモ

クイック実行

Microsoft 365 Apps などで使われる Office の配布と更新の方式です。インターネット経由で自動的に新しい版に更新されます。

セキュリティの警告

危険かもしれない操作の前に、利用者へ確認を求めるために表示される画面です。