Microsoft セキュリティ情報 MS14-082 - 重要
Microsoft Office の脆弱性により、リモートでコードが実行される (3017349)
公開日: 2014 年 12 月 9 日 |更新日: 2014 年 12 月 19 日
バージョン: 1.0
概要
このセキュリティ更新プログラムは、Microsoft Office で非公開で報告された 1 つの脆弱性を解決します。 この脆弱性により、影響を受けるエディションの Microsoft Office で特別に細工されたファイルが開かれた場合に、リモートでコードが実行される可能性があります。 攻撃者がこの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。 システムに対するユーザー権限が少ないほどアカウントが構成されているお客様は、管理者権限を使用して操作するユーザーよりも影響を受けにくい可能性があります。
このセキュリティ更新プログラムは、Microsoft Office 2007、Microsoft Office 2010、Microsoft Office 2013、および Microsoft Office 2013 RT でサポートされているすべてのエディションについて、重要**と評価されています。 詳細については、「影響を受けるソフトウェア」セクションを参照してください。
このセキュリティ更新プログラムは、Microsoft Office が特別に細工されたファイルを解析する方法を修正することで、この脆弱性を解決します。 この脆弱性の詳細については、特定の脆弱性に関する 脆弱性情報 セクションを参照してください。
この更新プログラムの詳細については、マイクロソフト サポート技術情報の記事3017349を参照してください。
影響を受けるソフトウェア
次のソフトウェア バージョンまたはエディションが影響を受ける。 一覧にないバージョンまたはエディションは、サポート ライフサイクルを過ぎたか、影響を受けません。 ソフトウェアのバージョンまたはエディションのサポート ライフサイクルを確認するには、「Microsoft サポート ライフサイクル」を参照してください。
| Microsoft Office Suite とその他のソフトウェア | コンポーネント | セキュリティへの影響の最大値 | 重大度の評価の集計 | 更新置換済み |
|---|---|---|---|---|
| Microsoft Office スイートとコンポーネント | ||||
| Microsoft Office 2007 | ||||
| Microsoft Office 2007 Service Pack 3 (2596927) | 適用なし | リモート コードの実行 | 重要 | MS09-060 の 974234 |
| Microsoft Office 2010 | ||||
| Microsoft Office 2010 Service Pack 2 (32 ビット エディション) (2553154) | 適用なし | リモート コードの実行 | 重要 | なし |
| Microsoft Office 2010 Service Pack 2 (64 ビット エディション) (2553154) | 適用なし | リモート コードの実行 | 重要 | なし |
| Microsoft Office 2013 および Microsoft Office 2013 RT | ||||
| Microsoft Office 2013 (32 ビット エディション) (2726958) | 適用なし | リモート コードの実行 | 重要 | なし |
| Microsoft Office 2013 Service Pack 1 (32 ビット エディション) (2726958) | 適用なし | リモート コードの実行 | 重要 | なし |
| Microsoft Office 2013 (64 ビット エディション) (2726958) | 適用なし | リモート コードの実行 | 重要 | なし |
| Microsoft Office 2013 Service Pack 1 (64 ビット エディション) (2726958) | 適用なし | リモート コードの実行 | 重要 | なし |
| Microsoft Office 2013 RT [1](2726958) | 適用なし | リモート コードの実行 | 重要 | なし |
| Microsoft Office 2013 RT Service Pack 1 [1](2726958) | 適用なし | リモート コードの実行 | 重要 | なし |
[1]この更新プログラムは、Windows Update から入手できます。
重大度の評価と脆弱性識別子
次の重大度評価は、脆弱性の潜在的な最大影響を想定しています。 このセキュリティ情報のリリースから 30 日以内に、脆弱性の重大度評価とセキュリティへの影響に関連する脆弱性の悪用可能性の可能性については、12 月のセキュリティ情報の概要にある Exploitability Index を参照してください。
| 脆弱性の重大度評価と影響を受けるソフトウェアによる最大のセキュリティ影響 | ||
|---|---|---|
| 影響を受けるソフトウェア | Microsoft Office コンポーネントの無料使用の脆弱性 - CVE-2014-6364 | 重大度の評価の集計 |
| Microsoft Office 2007 | ||
| Microsoft Office 2007 Service Pack 3 | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2010 | ||
| Microsoft Office 2010 Service Pack 2 (32 ビット エディション) | 重要\ リモート コード実行 | 重要 |
| Microsoft Office 2010 Service Pack 2 (64 ビット エディション) | 重要\ リモート コード実行 | 重要 |
| Microsoft Office 2013 および Microsoft Office 2013 RT | ||
| Microsoft Office 2013 (32 ビット エディション) | 重要\ リモート コード実行 | 重要 |
| Microsoft Office 2013 Service Pack 1 (32 ビット エディション) | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2013 Service Pack 1 (64 ビット エディション) | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2013 Service Pack 2 (64 ビット エディション) | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2013 RT | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2013 RT Service Pack 1 | 重要 \ リモート コード実行 | 重要 |
脆弱性情報
Microsoft Office コンポーネントの無料使用の脆弱性 - CVE-2014-6364
特別に細工された Office ファイルの解析中に、Microsoft Office がメモリ内のオブジェクトを適切に処理しない場合に発生する、現在のユーザーのコンテキストに、リモートでコードが実行される脆弱性が存在します。 攻撃者がこの脆弱性を悪用した場合、現在のユーザーのコンテキストで任意のコードを実行する可能性があります。 現在のユーザーが管理者権限でログオンしている場合、攻撃者はプログラムをインストールする可能性があります。データを表示、変更、または削除する。または、完全なユーザー権限を持つ新しいアカウントを作成します。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。
影響を受ける Microsoft Office ソフトウェア (ワークステーションやターミナル サーバーなど) が使用されているシステムは、主に危険にさらされます。 管理者がユーザーにサーバーへのログオンとプログラムの実行を許可すると、サーバーのリスクが高くなります。 ただし、ベスト プラクティスではこれを許可しないことを強くお勧めします。 この脆弱性を悪用するには、ユーザーが影響を受けるバージョンの Microsoft Office ソフトウェアで特別に細工されたファイルを開く必要があります。 電子メール攻撃のシナリオでは、攻撃者は特別に細工されたファイルをユーザーに送信し、影響を受けるバージョンの Microsoft Office ソフトウェアでファイルを開くようユーザーに誘導することにより、この脆弱性を悪用する可能性があります。 Web ベースの攻撃シナリオでは、攻撃者は脆弱性の悪用を試みるために使用されるファイルを含む Web サイトをホストする可能性があります。 さらに、侵害された Web サイトや、ユーザーが提供するコンテンツを受け入れる、またはホストする Web サイトには、この脆弱性を悪用する可能性がある特別に細工されたコンテンツが含まれている可能性があります。 攻撃者は、特別に細工された Web サイトをユーザーに強制的に訪問させる方法はありません。 代わりに、攻撃者は、通常、電子メール メッセージまたはインスタント メッセンジャー メッセージ内のリンクをクリックして攻撃者のサイトに誘導し、影響を受けるバージョンの Microsoft Office ソフトウェアで特別に細工されたファイルを開くよう誘導することで、Web サイトにアクセスするように誘導する必要があります。
Microsoft は、調整された脆弱性の開示を通じて、脆弱性に関する情報を受け取りました。 このセキュリティ情報が発行されたとき、Microsoft は、この脆弱性が顧客を攻撃するために一般に使用されたことを示す情報を受け取っていませんでした。 このセキュリティ更新プログラムは、Microsoft Office が特別に細工されたファイルを解析する方法を修正することで、この脆弱性を解決します。
軽減要因
次 の軽減要因 は、状況に役立つ場合があります。
- この脆弱性は、電子メールを介して自動的に悪用されることはできません。 攻撃を成功させるには、ユーザーが電子メール メッセージで送信された添付ファイルを開くかプレビューするか、メール メッセージ内のリンクをクリックする必要があります。
- Web ベースの攻撃シナリオでは、攻撃者がこの脆弱性を悪用するために使用される Web サイトをホストする可能性があります。 さらに、侵害された Web サイトや、ユーザーが提供するコンテンツまたは広告を受け入れる、またはホストする Web サイトには、この脆弱性を悪用する可能性がある特別に細工されたコンテンツが含まれている可能性があります。 ただし、いずれの場合も、攻撃者は、攻撃者が制御するコンテンツをユーザーに強制的に表示させる方法はありません。 代わりに、攻撃者は、通常、ユーザーを攻撃者の Web サイトに誘導する電子メール メッセージまたはインスタント メッセンジャー メッセージ内のリンクをクリックするようにユーザーに誘導する必要があります。
- 攻撃者がこの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。 システムに対するユーザー権限が少ないほどアカウントが構成されているお客様は、管理者権限を使用して操作するユーザーよりも影響を受けにくい可能性があります。
対処方法
Microsoft は、この脆弱性の 回避策を 特定していません。
セキュリティ更新プログラムの展開
セキュリティ更新プログラムの展開情報については、「エグゼクティブの概要」で参照されている Microsoft サポート技術情報の記事を参照してください。
謝辞
Microsoft は、連携した脆弱性の開示を通じてお客様を保護するのに役立つセキュリティ コミュニティの人々の取り組みを認識しています。 詳細については、「 受信確認 」を参照してください。
免責情報
Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。
リビジョン
- V1.0 (2014 年 12 月 9 日): セキュリティ情報が公開されました。
Page generated 2015-01-14 12:19Z-08:00.