マイクロソフト セキュリティ情報 MS15-046 - 重要

• 10/11/2017
• • 

Microsoft Office の脆弱性により、リモートでコードが実行される (3057181)

公開日:2015 年 5 月 13 日 | 最終更新日: 2015 年 10 月 14 日

バージョン: 4.0

概要

このセキュリティ更新プログラムは、Microsoft Office の脆弱性を解決します。これらの脆弱性では、特別に細工された Microsoft Office ファイルをユーザーが開いた場合にリモートでコードが実行される可能性があります。これらの脆弱性の悪用に成功した攻撃者が、現在のユーザーのコンテキストで任意のコードを実行する可能性があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

このセキュリティ更新プログラムは、すべてのサポートされているエディションの以下のソフトウェアについて、深刻度が「重要」と評価されています。

• Microsoft Office 2007
• Microsoft Office 2010、Microsoft Excel 2010、Microsoft PowerPoint 2010、Microsoft Word 2010
• Microsoft Office 2013、Microsoft Excel 2013、Microsoft PowerPoint 2013、Microsoft Word 2013
• Microsoft Office 2013 RT, Microsoft Excel 2013 RT, Microsoft PowerPoint 2013 RT, Microsoft Word 2013 RT
• Microsoft Office for Mac 2011、Microsoft Excel for Mac 2011、Microsoft PowerPoint for Mac 2011、Microsoft Word for Mac 2011
• Microsoft PowerPoint Viewer
• Microsoft SharePoint Server 2010 の Word Automation Services、Microsoft SharePoint Server 2010 の Excel Services
• Microsoft SharePoint Server 2013 の Word Automation Services、Microsoft SharePoint Server 2013 の Excel Services
• Microsoft Office Web Apps 2010、Microsoft Excel Web App 2010
• Microsoft Office Web Apps Server 2013
• Microsoft SharePoint Foundation 2010
• Microsoft SharePoint Server 2013

詳細については、「影響を受けるソフトウェア」のセクションを参照してください。

このセキュリティ更新プログラムは、Microsoft Office で特別に細工されたファイルを解析する方法を修正して、Office がメモリでファイルを処理する方法を修正し、SharePoint Server にユーザー入力を正しくサニタイズさせることにより、この脆弱性に対処しています。脆弱性の詳細については、「脆弱性の情報」を参照してください。

この更新プログラムの詳細については、サポート技術情報 3057181 を参照してください。

影響を受けるソフトウェア

次のソフトウェア バージョンまたはエディションが影響を受けます。一覧にないバージョンまたはエディションは、サポート ライフサイクルが終了しているか、この脆弱性の影響を受けません。ご使用中のソフトウェアのバージョンまたはエディションのサポート ライフ サイクルを確認するには、Microsoft サポート ライフサイクルの Web サイトを参照してください。

Microsoft Office ソフトウェア

Microsoft Office Services および Web Apps

Microsoft サーバー ソフトウェア

更新プログラムに関する FAQ

このセキュリティ情報でリストアップされた更新ファイルの一部が 5 月にリリースされる別のセキュリティ情報でも示されているのはなぜですか。
このセキュリティ情報でリストアップされたいくつかの更新ファイルは、影響を受けるソフトウェアが重複するため、5 月にリリースされる別のセキュリティ情報でも表示されます。異なるセキュリティ情報は別のセキュリティ脆弱性を解決するものですが、セキュリティ更新プログラムは可能で適切である限り統合されています。よって、いくつかの同じ更新ファイルが複数のセキュリティ情報で示されることになります。

複数のセキュリティ更新プログラムでリリースされる同じ更新ファイルは複数回インストールする必要はありません。

この更新プログラムには、機能に対する追加のセキュリティ関連の変更が含まれていますか?
はい。このセキュリティ情報で説明されている脆弱性について記載されている変更のほか、この更新プログラムにはセキュリティを強化する Microsoft Office の多層防御の更新が含まれています。

Microsoft Word 2010 をインストールしています。なぜ、3054841 更新プログラムが提供されないのですか?
更新プログラム 3054841 は、特定の構成の Microsoft Office 2010 を実行しているシステムにのみ適用されます。一部の構成にはこの更新プログラムは提供されません。

一部の影響を受けるソフトウェアについて、複数の更新プログラム パッケージがあります。「影響を受けるソフトウェア」の表に記載されているすべての更新プログラムをソフトウェアにインストールする必要がありますか?
はい。お客様は、各システムにインストールされているソフトウェア向けに提供されている、すべての更新プログラムを適用する必要があります。

「影響を受けるソフトウェア」の表に特に記載されていないソフトウェアに対して、この更新プログラムが提供されます。なぜ、この更新プログラムが提供されるのですか?
更新プログラムが、複数の Microsoft Office 製品間で共有されているか同じ Microsoft Office 製品の複数のバージョン間で共有されているコンポーネントに存在する、脆弱性の影響を受けるコードに対応する場合、その更新プログラムは、脆弱性の影響を受けるコンポーネントが含まれるすべてのサポートされる製品およびバージョンに適用可能であると見なされます。

たとえば、更新プログラムが Microsoft Office 2007 製品にのみ適用される場合は、Microsoft Office 2007 が「影響を受けるソフトウェア」の表に明示されている可能性があります。しかしその更新プログラムは、「影響を受けるソフトウェア」の表に特に記載されていない Microsoft Word 2007、Microsoft Excel 2007、Microsoft Visio 2007、Microsoft 互換機能パック、Microsoft Excel Viewer、その他の Microsoft Office 2007 製品に適用される可能性があります。

たとえば、更新プログラムが Microsoft Office 2010 製品にのみ適用される場合は、Microsoft Office 2010 が「影響を受けるソフトウェア」の表に明示されている可能性があります。しかしその更新プログラムは、「影響を受けるソフトウェア」の表に特に記載されていない Microsoft Word 2010、Microsoft Excel 2010、Microsoft Visio 2010、Microsoft Visio Viewer、その他の Microsoft Office 2010 製品に適用される可能性があります。

たとえば、更新プログラムが Microsoft Office 2013 製品にのみ適用される場合は、Microsoft Office 2013 が「影響を受けるソフトウェア」の表に明示されている可能性があります。しかしその更新プログラムは、「影響を受けるソフトウェア」の表に特に記載されていない Microsoft Word 2013、Microsoft Excel 2013、Microsoft Visio 2013、その他の Microsoft Office 2013 製品に適用される可能性があります。

深刻度および脆弱性識別番号

次の深刻度の評価は、脆弱性の影響が最も深刻な場合を想定しています。深刻度の評価およびセキュリティ上の影響に関連して、このセキュリティ情報の公開から 30 日以内にこの脆弱性が悪用される可能性に関する情報については、5 月のセキュリティ情報の概要の Exploitability Index (悪用可能性指標) を参照してください。  

Microsoft Office ソフトウェア

Microsoft Office Services および Web Apps

Microsoft サーバー ソフトウェア

脆弱性の情報

複数の Microsoft Office のメモリ破損の脆弱性

Microsoft Office ソフトウェアでメモリ内のオブジェクトが適切に処理されない場合に、リモートでコードが実行される脆弱性が存在します。

これらの脆弱性が悪用されるには、ユーザーが Microsoft Office ソフトウェアの影響を受けるバージョンで、特別に細工されたファイルを開くことが攻撃者にとっての必要条件となります。電子メールの攻撃シナリオでは、攻撃者は特別に細工したファイルをユーザーに送信し、ユーザーにそのファイルを開くよう誘導することにより、この脆弱性を悪用する可能性があります。Web ベースの攻撃のシナリオでは、攻撃者は、この脆弱性の悪用を意図したファイルを含む Web サイトをホストする (またはユーザーが提供するコンテンツを受け入れるかホストする侵害された Web サイト利用する) 可能性があります。しかし、いかなるケースでも、攻撃者はユーザーに Web サイトを見るよう強制することはできません。その代わり、通常は電子メールまたはインスタント メッセンジャーのメッセージの誘導により、ユーザーにリンクをクリックさせることが攻撃者にとっての必要条件となります。

攻撃者がこれらの脆弱性を悪用した場合、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。現在のユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるコンピューターを完全に制御する可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除などを行ったり、完全なユーザー権限を持つ新たなアカウントを作成したりする可能性があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者特権で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

このセキュリティ更新プログラムは Microsoft Office が特別に細工されたファイルを解析する方法を修正することにより、この脆弱性を解決します。

マイクロソフトは協調的な脆弱性の公開を通して、これらの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受け取っていませんでした。

次の表には、Common Vulnerabilities and Exposures リストの各脆弱性の標準のエントリへのリンクが含まれています。