マイクロソフト セキュリティ情報 MS15-046 - 重要

• 10/11/2017
• • 

Microsoft Office の脆弱性により、リモートでコードが実行される (3057181)

公開日:2015 年 5 月 13 日 | 最終更新日: 2015 年 10 月 14 日

バージョン: 4.0

概要

このセキュリティ更新プログラムは、Microsoft Office の脆弱性を解決します。これらの脆弱性では、特別に細工された Microsoft Office ファイルをユーザーが開いた場合にリモートでコードが実行される可能性があります。これらの脆弱性の悪用に成功した攻撃者が、現在のユーザーのコンテキストで任意のコードを実行する可能性があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

このセキュリティ更新プログラムは、すべてのサポートされているエディションの以下のソフトウェアについて、深刻度が「重要」と評価されています。

• Microsoft Office 2007
• Microsoft Office 2010、Microsoft Excel 2010、Microsoft PowerPoint 2010、Microsoft Word 2010
• Microsoft Office 2013、Microsoft Excel 2013、Microsoft PowerPoint 2013、Microsoft Word 2013
• Microsoft Office 2013 RT, Microsoft Excel 2013 RT, Microsoft PowerPoint 2013 RT, Microsoft Word 2013 RT
• Microsoft Office for Mac 2011、Microsoft Excel for Mac 2011、Microsoft PowerPoint for Mac 2011、Microsoft Word for Mac 2011
• Microsoft PowerPoint Viewer
• Microsoft SharePoint Server 2010 の Word Automation Services、Microsoft SharePoint Server 2010 の Excel Services
• Microsoft SharePoint Server 2013 の Word Automation Services、Microsoft SharePoint Server 2013 の Excel Services
• Microsoft Office Web Apps 2010、Microsoft Excel Web App 2010
• Microsoft Office Web Apps Server 2013
• Microsoft SharePoint Foundation 2010
• Microsoft SharePoint Server 2013

詳細については、「影響を受けるソフトウェア」のセクションを参照してください。

このセキュリティ更新プログラムは、Microsoft Office で特別に細工されたファイルを解析する方法を修正して、Office がメモリでファイルを処理する方法を修正し、SharePoint Server にユーザー入力を正しくサニタイズさせることにより、この脆弱性に対処しています。脆弱性の詳細については、「脆弱性の情報」を参照してください。

この更新プログラムの詳細については、サポート技術情報 3057181 を参照してください。

影響を受けるソフトウェア

次のソフトウェア バージョンまたはエディションが影響を受けます。一覧にないバージョンまたはエディションは、サポート ライフサイクルが終了しているか、この脆弱性の影響を受けません。ご使用中のソフトウェアのバージョンまたはエディションのサポート ライフ サイクルを確認するには、Microsoft サポート ライフサイクルの Web サイトを参照してください。

Microsoft Office ソフトウェア

^[1]この更新プログラムは、Windows Update を介して利用可能です。

Microsoft Office Services および Web Apps

^[2] Office Web Apps サーバーを自動更新を介して更新することはできません。Office Web Apps Server に更新プログラムを適用するために推奨される方法については、「Office Web Apps サーバーへのソフトウェアの更新プログラムの適用」を参照してください。

Microsoft サーバー ソフトウェア

更新プログラムに関する FAQ

このセキュリティ情報でリストアップされた更新ファイルの一部が 5 月にリリースされる別のセキュリティ情報でも示されているのはなぜですか。
このセキュリティ情報でリストアップされたいくつかの更新ファイルは、影響を受けるソフトウェアが重複するため、5 月にリリースされる別のセキュリティ情報でも表示されます。異なるセキュリティ情報は別のセキュリティ脆弱性を解決するものですが、セキュリティ更新プログラムは可能で適切である限り統合されています。よって、いくつかの同じ更新ファイルが複数のセキュリティ情報で示されることになります。

複数のセキュリティ更新プログラムでリリースされる同じ更新ファイルは複数回インストールする必要はありません。

この更新プログラムには、機能に対する追加のセキュリティ関連の変更が含まれていますか?
はい。このセキュリティ情報で説明されている脆弱性について記載されている変更のほか、この更新プログラムにはセキュリティを強化する Microsoft Office の多層防御の更新が含まれています。

Microsoft Word 2010 をインストールしています。なぜ、3054841 更新プログラムが提供されないのですか?
更新プログラム 3054841 は、特定の構成の Microsoft Office 2010 を実行しているシステムにのみ適用されます。一部の構成にはこの更新プログラムは提供されません。

一部の影響を受けるソフトウェアについて、複数の更新プログラム パッケージがあります。「影響を受けるソフトウェア」の表に記載されているすべての更新プログラムをソフトウェアにインストールする必要がありますか?
はい。お客様は、各システムにインストールされているソフトウェア向けに提供されている、すべての更新プログラムを適用する必要があります。

「影響を受けるソフトウェア」の表に特に記載されていないソフトウェアに対して、この更新プログラムが提供されます。なぜ、この更新プログラムが提供されるのですか?
更新プログラムが、複数の Microsoft Office 製品間で共有されているか同じ Microsoft Office 製品の複数のバージョン間で共有されているコンポーネントに存在する、脆弱性の影響を受けるコードに対応する場合、その更新プログラムは、脆弱性の影響を受けるコンポーネントが含まれるすべてのサポートされる製品およびバージョンに適用可能であると見なされます。

たとえば、更新プログラムが Microsoft Office 2007 製品にのみ適用される場合は、Microsoft Office 2007 が「影響を受けるソフトウェア」の表に明示されている可能性があります。しかしその更新プログラムは、「影響を受けるソフトウェア」の表に特に記載されていない Microsoft Word 2007、Microsoft Excel 2007、Microsoft Visio 2007、Microsoft 互換機能パック、Microsoft Excel Viewer、その他の Microsoft Office 2007 製品に適用される可能性があります。

たとえば、更新プログラムが Microsoft Office 2010 製品にのみ適用される場合は、Microsoft Office 2010 が「影響を受けるソフトウェア」の表に明示されている可能性があります。しかしその更新プログラムは、「影響を受けるソフトウェア」の表に特に記載されていない Microsoft Word 2010、Microsoft Excel 2010、Microsoft Visio 2010、Microsoft Visio Viewer、その他の Microsoft Office 2010 製品に適用される可能性があります。

たとえば、更新プログラムが Microsoft Office 2013 製品にのみ適用される場合は、Microsoft Office 2013 が「影響を受けるソフトウェア」の表に明示されている可能性があります。しかしその更新プログラムは、「影響を受けるソフトウェア」の表に特に記載されていない Microsoft Word 2013、Microsoft Excel 2013、Microsoft Visio 2013、その他の Microsoft Office 2013 製品に適用される可能性があります。

深刻度および脆弱性識別番号

次の深刻度の評価は、脆弱性の影響が最も深刻な場合を想定しています。深刻度の評価およびセキュリティ上の影響に関連して、このセキュリティ情報の公開から 30 日以内にこの脆弱性が悪用される可能性に関する情報については、5 月のセキュリティ情報の概要の Exploitability Index (悪用可能性指標) を参照してください。

Microsoft Office ソフトウェア

Microsoft Office Services および Web Apps

Microsoft サーバー ソフトウェア

脆弱性の情報

複数の Microsoft Office のメモリ破損の脆弱性

Microsoft Office ソフトウェアでメモリ内のオブジェクトが適切に処理されない場合に、リモートでコードが実行される脆弱性が存在します。

これらの脆弱性が悪用されるには、ユーザーが Microsoft Office ソフトウェアの影響を受けるバージョンで、特別に細工されたファイルを開くことが攻撃者にとっての必要条件となります。電子メールの攻撃シナリオでは、攻撃者は特別に細工したファイルをユーザーに送信し、ユーザーにそのファイルを開くよう誘導することにより、この脆弱性を悪用する可能性があります。Web ベースの攻撃のシナリオでは、攻撃者は、この脆弱性の悪用を意図したファイルを含む Web サイトをホストする (またはユーザーが提供するコンテンツを受け入れるかホストする侵害された Web サイト利用する) 可能性があります。しかし、いかなるケースでも、攻撃者はユーザーに Web サイトを見るよう強制することはできません。その代わり、通常は電子メールまたはインスタント メッセンジャーのメッセージの誘導により、ユーザーにリンクをクリックさせることが攻撃者にとっての必要条件となります。

攻撃者がこれらの脆弱性を悪用した場合、現在のユーザーのコンテキストで任意のコードが実行される可能性があります。現在のユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるコンピューターを完全に制御する可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除などを行ったり、完全なユーザー権限を持つ新たなアカウントを作成したりする可能性があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者特権で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

このセキュリティ更新プログラムは Microsoft Office が特別に細工されたファイルを解析する方法を修正することにより、この脆弱性を解決します。

マイクロソフトは協調的な脆弱性の公開を通して、これらの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が公開された際に、この脆弱性が一般で悪用され、お客様が攻撃されていたことを示す情報を受け取っていませんでした。

次の表には、Common Vulnerabilities and Exposures リストの各脆弱性の標準のエントリへのリンクが含まれています。

問題を緩和する要素

マイクロソフトは、これらの脆弱性の問題を緩和する要素を確認していません。

回避策

マイクロソフトは、これらの脆弱性の回避策を確認していません。

セキュリティ更新プログラムの展開

セキュリティ更新プログラムの展開については、「概要」のこちらで言及されているサポート技術情報を参照してください。

謝辞

マイクロソフトでは、協調的な脆弱性の公開によるお客様の保護に際して、セキュリティ コミュニティの方々からいただいたご助力に感謝いたします。詳細については、謝辞を参照してください。

免責

マイクロソフト サポート技術情報に含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation およびその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation およびその関連会社は、本文書に含まれている情報の使用および使用結果につき、正確性、真実性など、いかなる表明・保証も行いません。Microsoft Corporation、その関連会社およびこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社およびこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含むすべての損害に対して、状況のいかんを問わず一切責任を負いません。結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。

更新履歴

• V1.0 (2015/05/13):このセキュリティ情報ページを公開しました。
• V2.0 (2015/05/20): Microsoft Office for Mac 14.5.1 の更新プログラムを公開したことをお知らせするために、このセキュリティ情報ページを更新しました。このリリースは、Microsoft Office for Mac 14.5.0 の更新プログラムをインストールする際に Microsoft Outlook for Mac で発生する可能性のある問題を解決します。まだ 14.5.0 の更新プログラムをインストールされていないお客様は、この脆弱性から完全に保護するために、14.5.1 の更新プログラムをインストールしてください。今後、Microsoft Outlook for Mac で発生する可能性のある問題を防ぐため、マイクロソフトは、Office for Mac ソフトウェアを実行し 14.5.0 の更新プログラムを正常にインストールされたお客様で既にこの脆弱性から保護されている状態であっても、14.5.1 の更新プログラムを適用していただくことを推奨します。別の Microsoft Office ソフトウェアを実行しているお客様は、その他の対策を行う必要はありません。詳細については、サポート技術情報 3048688 を参照してください。
• V3.0 (2015/06/10): すべての影響を受ける Microsoft Office 2010 ソフトウェアのセキュリティ更新プログラムの問題を解決するために、マイクロソフトは CVE-2015-1682 に包括的に対処するための MS15-046 を再リリースしました。マイクロソフトは、影響を受ける Office 2010 ソフトウェアを実行しているお客様が、この脆弱性から完全に保護するために、この改訂でリリースされたセキュリティ更新プログラムをインストールすることをお勧めします。別の Microsoft Office ソフトウェアを実行しているお客様は、その他の対策を行う必要はありません。詳細とダウンロード リンクについては、サポート技術情報 3057181 を参照してください。
• V4.0 (2015/10/14): このセキュリティ情報を改訂し、以前にリリースされた更新プログラム (2965282) の問題を解決する Microsoft Office 2007 の新しい更新プログラム (3085544) が利用可能になったことをお知らせしました。Microsoft Office 2007 を実行しているお客様には、このセキュリティ情報で説明されている脆弱性から完全に保護するために、できるだけ早い段階で更新プログラム 3085544 をインストールすることをお勧めします。別の Microsoft Office ソフトウェアを実行しているお客様は、その他の対策を行う必要はありません。詳細とダウンロード リンクについては、サポート技術情報 3085544 を参照してください。

Page generated 06.10.2015 г. 15:28:00-07:00.