Microsoft セキュリティ情報 MS14-082 - 重要
Microsoft Office の脆弱性により、リモートでコードが実行される (3017349)
公開日: 2014 年 12 月 9 日 |更新日: 2014 年 12 月 19 日
バージョン: 1.0
概要
このセキュリティ更新プログラムは、Microsoft Office で非公開で報告された 1 つの脆弱性を解決します。 この脆弱性により、影響を受けるエディションの Microsoft Office で特別に細工されたファイルが開かれた場合に、リモートでコードが実行される可能性があります。 攻撃者がこの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。 システムに対するユーザー権限を少なくするようにアカウントが構成されているお客様は、管理ユーザー権限を使用して操作するユーザーよりも影響を受けにくい可能性があります。
このセキュリティ更新プログラムは、Microsoft Office 2007、Microsoft Office 2010、Microsoft Office 2013、Microsoft Office 2013 RT のすべてのサポート対象エディションについて、重要**と評価されています。 詳細については、「 影響を受けるソフトウェア 」セクションを参照してください。
このセキュリティ更新プログラムは、Microsoft Office が特別に細工されたファイルを解析する方法を修正することで、この脆弱性を解決します。 この脆弱性の詳細については、特定の脆弱性に関する「 脆弱性情報 」セクションを参照してください。
この更新プログラムの詳細については、「 Microsoft サポート技術情報の記事3017349」を参照してください。
影響を受けるソフトウェア
次のソフトウェア バージョンまたはエディションが影響を受ける。 一覧にないバージョンまたはエディションは、サポート ライフ サイクルを過ぎているか、影響を受けません。 ソフトウェアのバージョンまたはエディションのサポート ライフ サイクルを確認するには、「Microsoft サポート ライフサイクル」を参照してください。
| Microsoft Office Suite およびその他のソフトウェア | コンポーネント | セキュリティへの影響の最大値 | 重大度評価の集計 | 更新置換済み |
|---|---|---|---|---|
| Microsoft Office スイートとコンポーネント | ||||
| Microsoft Office 2007 | ||||
| Microsoft Office 2007 Service Pack 3 (2596927) | 該当なし | リモート コード実行 | 重要 | MS09-060 の974234 |
| Microsoft Office 2010 | ||||
| Microsoft Office 2010 Service Pack 2 (32 ビット エディション) (2553154) | 該当なし | リモート コード実行 | 重要 | なし |
| Microsoft Office 2010 Service Pack 2 (64 ビット エディション) (2553154) | 該当なし | リモート コード実行 | 重要 | なし |
| Microsoft Office 2013 と Microsoft Office 2013 RT | ||||
| Microsoft Office 2013 (32 ビット エディション) (2726958) | 該当なし | リモート コード実行 | 重要 | なし |
| Microsoft Office 2013 Service Pack 1 (32 ビット エディション) (2726958) | 該当なし | リモート コード実行 | 重要 | なし |
| Microsoft Office 2013 (64 ビット エディション) (2726958) | 該当なし | リモート コード実行 | 重要 | なし |
| Microsoft Office 2013 Service Pack 1 (64 ビット エディション) (2726958) | 該当なし | リモート コード実行 | 重要 | なし |
| Microsoft Office 2013 RT [1](2726958) | 該当なし | リモート コード実行 | 重要 | なし |
| Microsoft Office 2013 RT Service Pack 1 [1](2726958) | 該当なし | リモート コード実行 | 重要 | なし |
[1]この更新プログラムは、Windows Updateから入手できます。
重大度評価と脆弱性識別子
次の重大度評価は、脆弱性の潜在的な最大の影響を想定しています。 このセキュリティ情報のリリースから 30 日以内に、脆弱性の重大度評価とセキュリティへの影響に関する脆弱性の悪用可能性の可能性については、 12 月のセキュリティ情報の概要にある悪用可能性インデックスを参照してください。
| 脆弱性の重大度評価と影響を受けるソフトウェアによる最大のセキュリティ影響 | ||
|---|---|---|
| 影響を受けるソフトウェア | Microsoft Office コンポーネントの無料使用の脆弱性 - CVE-2014-6364 | 重大度評価の集計 |
| Microsoft Office 2007 | ||
| Microsoft Office 2007 Service Pack 3 | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2010 | ||
| Microsoft Office 2010 Service Pack 2 (32 ビット エディション) | 重要\ リモート コード実行 | 重要 |
| Microsoft Office 2010 Service Pack 2 (64 ビット エディション) | 重要\ リモート コード実行 | 重要 |
| Microsoft Office 2013 と Microsoft Office 2013 RT | ||
| Microsoft Office 2013 (32 ビット エディション) | 重要\ リモート コード実行 | 重要 |
| Microsoft Office 2013 Service Pack 1 (32 ビット エディション) | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2013 Service Pack 1 (64 ビット エディション) | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2013 Service Pack 2 (64 ビット エディション) | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2013 RT | 重要 \ リモート コード実行 | 重要 |
| Microsoft Office 2013 RT Service Pack 1 | 重要 \ リモート コード実行 | 重要 |
脆弱性情報
Microsoft Office コンポーネントの無料使用の脆弱性 - CVE-2014-6364
リモート コード実行の脆弱性は、Microsoft Office が特別に細工された Office ファイルの解析中にメモリ内のオブジェクトを適切に処理しない場合に発生する、現在のユーザーのコンテキストに存在します。 攻撃者がこの脆弱性を悪用した場合、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。 現在のユーザーが管理者権限でログオンしている場合、攻撃者はプログラムをインストールする可能性があります。データを表示、変更、または削除する。または、完全なユーザー権限を持つ新しいアカウントを作成します。 システム上でアカウントのユーザー権限が少なく構成されているユーザーは、管理ユーザー権限で作業するユーザーに比べて、受ける影響は少ない可能性があります。
影響を受ける Microsoft Office ソフトウェア (ワークステーションやターミナル サーバーを含む) が使用されているシステムは、主に危険にさらされます。 管理者がユーザーにサーバーへのログオンとプログラムの実行を許可すると、サーバーのリスクが高まる可能性があります。 ただし、ベスト プラクティスでは、これを許可しないことを強くお勧めします。 この脆弱性を悪用するには、ユーザーが影響を受けるバージョンの Microsoft Office ソフトウェアで特別に細工されたファイルを開く必要があります。 電子メール攻撃のシナリオでは、攻撃者は特別に細工されたファイルをユーザーに送信し、影響を受けるバージョンの Microsoft Office ソフトウェアでファイルを開くようユーザーに誘導することにより、この脆弱性を悪用する可能性があります。 Web ベースの攻撃シナリオでは、攻撃者は、脆弱性の悪用を試みるために使用されるファイルを含む Web サイトをホストする可能性があります。 さらに、侵害された Web サイトと、ユーザーが提供するコンテンツを受け入れるかホストする Web サイトには、この脆弱性を悪用する可能性がある特別に細工されたコンテンツが含まれている可能性があります。 攻撃者は、ユーザーに特別に細工された Web サイトを強制的に訪問させる方法はありません。 代わりに、攻撃者は通常、電子メール メッセージまたはインスタント メッセンジャーメッセージ内のリンクをクリックして攻撃者のサイトに誘導し、影響を受けるバージョンの Microsoft Office ソフトウェアで特別に細工されたファイルを開くようユーザーに誘導する必要があります。
Microsoft は、調整された脆弱性の開示を通じて、脆弱性に関する情報を受け取っています。 このセキュリティ情報が発行されたとき、Microsoft は、この脆弱性が顧客を攻撃するために一般に使用されたことを示す情報を受け取っていませんでした。 このセキュリティ更新プログラムは、Microsoft Office が特別に細工されたファイルを解析する方法を修正することで、この脆弱性を解決します。
軽減要因
状況によっては、次の 軽減要因 が役立つ場合があります。
- この脆弱性は、電子メールを介して自動的に悪用することはできません。 攻撃を成功させるには、ユーザーが電子メール メッセージで送信された添付ファイルを開くかプレビューするか、電子メール メッセージ内のリンクをクリックする必要があります。
- Web ベースの攻撃シナリオでは、攻撃者がこの脆弱性の悪用を試みるために使用される Web サイトをホストする可能性があります。 さらに、侵害された Web サイトと、ユーザーが提供するコンテンツまたは広告を受け入れる、またはホストする Web サイトには、この脆弱性を悪用する可能性がある特別に細工されたコンテンツが含まれる可能性があります。 ただし、いずれの場合も、攻撃者は、攻撃者が制御するコンテンツをユーザーに強制的に表示させる方法はありません。 代わりに、通常、ユーザーに電子メール メッセージまたはインスタント メッセンジャーメッセージ内のリンクをクリックさせ、ユーザーを攻撃者の Web サイトに誘導することで、ユーザーにアクションを実行させる必要があります。
- 攻撃者がこの脆弱性を悪用した場合、現在のユーザーと同じユーザー権限を取得する可能性があります。 システムに対するユーザー権限が少ないほどアカウントが構成されているお客様は、管理者権限を使用して操作するユーザーよりも影響を受けにくい可能性があります。
対処方法
Microsoft は、この脆弱性の 回避策を 特定していません。
セキュリティ更新プログラムの展開
セキュリティ更新プログラムの展開情報については、「エグゼクティブの概要」で参照されている Microsoft サポート技術情報の記事を参照してください。
謝辞
Microsoft は、Microsoft が連携した脆弱性の開示を通じてお客様を保護するのに役立つセキュリティ コミュニティの人々の取り組みを認識しています。 詳細については、「 受信確認 」を参照してください。
免責情報
Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく "現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を否認します。 Microsoft Corporation またはそのサプライヤーがこのような損害の可能性を通知された場合でも、直接的、間接的、付随的、派生的、事業利益の損失、特別な損害を含むいかなる損害についても、Microsoft Corporation またはそのサプライヤーは一切の責任を負いません。 一部の州では、派生的または付随的損害に対する責任の除外または制限が認められていないため、前述の制限が適用されない場合があります。
リビジョン
- V1.0 (2014 年 12 月 9 日): セキュリティ情報が公開されました。
Page generated 2015-01-14 12:19Z-08:00。