Microsoft Word の情報漏えいの脆弱性（CVE-2023-36761）

何が起きた

Microsoft Word に、情報が漏れてしまう弱点が見つかりました。Microsoft によると、悪用されると NTLM ハッシュ（Windows のログインに使う、パスワードから作った値）が漏れるおそれがあります。攻撃者はネットワーク経由で、ログイン不要で狙えますが、利用者が細工したファイルを開く必要があるとされ、実際に悪用が確認されています。Microsoft は、プレビューウィンドウでファイルを表示するだけでも攻撃の入口になるとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Word 2013 Service Pack 1、Microsoft Word 2016、Microsoft Office 2019、Microsoft Office LTSC 2021、Microsoft 365 Apps for Enterprise を使っている人や組織が対象です。

何をすればいい

Microsoft の公式の案内を確認し、2023年9月のセキュリティ更新プログラムを適用してください。Word 2013 Service Pack 1 は KB5002483、Word 2016 は KB5002497 が対象の更新です。Office 2019、Office LTSC 2021、Microsoft 365 Apps は、クイック実行（Click to Run）の更新で最新版にしてください。知らない相手から届いたファイルは開かないようにしてください。

やることチェックリスト

• Word 2016 に KB5002497 を適用する
• Microsoft 365 Apps を最新版に更新する
• 知らない相手からのファイルを開かない

用語メモ

NTLM ハッシュ

Windows の認証で使われる、パスワードをもとに作った値です。盗まれると、なりすましなどに使われることがあります。

プレビューウィンドウ

ファイルを開かずに、中身を小さく表示して確かめる機能です。