• [アーティクル]

セキュリティ情報

Microsoft セキュリティ情報 MS01-050 - 重大

Excel または PowerPoint ドキュメントの形式が正しくないとマクロ のセキュリティがバイパスされる

公開日: 2001 年 10 月 4 日 |更新日: 2003 年 7 月 24 日

バージョン: 1.3

投稿日: 2001年10月04日
更新日: 2003 年 7 月 24 日

まとめ

このセキュリティ情報を読む必要があるユーザー:
Microsoft® Excel または PowerPoint for Windows® または Macintosh® を使用しているお客様

脆弱性の影響:
攻撃者が選択したコードを実行します。

推奨事項:
影響を受けるバージョンの Excel や PowerPoint を使用しているお客様は、直ちにパッチを適用する必要があります。

影響を受けるソフトウェア: Microsoft Excel 2000 for Windows

  • Microsoft Excel 2002 for Windows
  • Microsoft Excel 98 for Macintosh
  • Microsoft Excel 2001 for Macintosh
  • Microsoft PowerPoint 2000 for Windows
  • Microsoft PowerPoint 2002 for Windows
  • Microsoft PowerPoint 98 for Macintosh
  • Microsoft PowerPoint 2001 for Macintosh

一般情報

技術詳細

技術的な説明:

Excel と PowerPoint には、マクロの実行を制御し、マクロが自動的に実行されないようにするマクロ セキュリティ フレームワークがあります。 このフレームワークでは、ユーザーがドキュメントを開くと、マクロが存在するドキュメントがスキャンされます。 ドキュメントにマクロが含まれている場合、セキュリティ設定に応じて、マクロを実行するか、マクロを完全に無効にするかをユーザーに通知し、確認します。 マクロの検出方法に欠陥が存在し、悪意のあるユーザーがマクロチェックをバイパスする可能性があります。

悪意のある攻撃者は、ユーザーが開いたときに自動的に実行されるマクロ コードを使用して、特別な形式の Excel または PowerPoint ドキュメントを作成することにより、この脆弱性を悪用しようとする可能性があります。 攻撃者は、悪意のあるファイルを Web サイト、ファイル共有でホストするか、電子メールで送信することで、この攻撃を実行する可能性があります。

軽減要因:

  • ユーザーが最初にドキュメントを開かなければ、マクロ コードを実行できませんでした。

脆弱性識別子:CAN-2001-0718

テスト済みバージョン:

Microsoft は、次の製品をテストして、これらの脆弱性の影響を受けるかどうかを評価しました。 以前のバージョンはサポートされなくなり、これらの脆弱性の影響を受ける場合と影響されない場合があります。

  • Office 98 for Macintosh
  • Office 2001 for Macintosh
  • Office 2000 for Windows
  • Office 2002 for Windows

よく寄せられる質問

この脆弱性の範囲は何ですか?
この脆弱性により、悪意のあるユーザーは、マクロ セキュリティをバイパスし、ドキュメントを開いたときに自動的に実行される特別な形式の Excel または PowerPoint ファイルを作成できる可能性があります。 マクロはユーザーが実行できる任意のアクションを実行できるため、この脆弱性により、攻撃者はデータの変更や削除、Web サイトとの通信、マクロのセキュリティ設定の変更などのアクションを実行する可能性があります。 これにより、ユーザーが通常は実行できないアクションを実行することはできません。 そのため、ユーザーの能力を制限するアクセス制御では、悪意のあるドキュメントの機能も制限されます。 さらに、攻撃を成功させるには、ユーザーが悪意のあるドキュメントを開く必要があります。 ベスト プラクティスでは、ユーザーが不明または信頼されていないソースのドキュメントを開かないことをお勧めします。

この脆弱性の原因は何ですか?
マクロ検出フレームワークがマクロ プロセッサがマクロ コマンドを実行できるすべてのインスタンスを検出できない可能性があるため、この脆弱性が発生します。 有効なドキュメントが意図的にマクロの存在を難読化するように設計されている場合でも、これらのマルコスを実行することはできます。

マクロとは
マクロは、Excel や PowerPoint などのアプリケーション内の小さなプログラムです。 マクロを実行すると、ユーザーと同様に、アプリケーションまたはオペレーティング システム内でアクションを実行できます。 アプリケーションでマクロが実行する単純なアクションの例として、ドキュメント内のテキストを検索して置き換えることがあります。 より高度なマクロには、ドキュメントに対して自動書式設定を実行する機能、ローカル システムからネットワークにファイルをコピーする機能、レビュー コピーを電子メールで送信する機能が含まれる場合があります。 マクロは非常に小さなプログラムであるため、攻撃者は、ファイルの削除、電子メールによる不要なメッセージの送信、ドキュメント内のデータの変更など、望ましくないアクションを実行する悪意のあるマクロを作成する可能性があります。 Excel と PowerPoint には 、悪意のあるマクロから保護するために、警告なしでマクロが実行されないようにするセキュリティ モデル があります。

Excel と PowerPoint のマクロ保護の問題
悪意のあるユーザーが、マクロ保護をバイパスし、マクロを自動的に実行できるようにする、特別な形式の Excel または PowerPoint ドキュメントを作成する可能性があります。

このようなドキュメントを誤って作成することは可能ですか?
いいえ。 誤ってマクロ保護をバイパスするドキュメントを作成することはできません。 非常に具体的で詳細な知識が必要であり、そのようなドキュメントは悪意のある意図で具体的に構築する必要があります。

攻撃者はこの脆弱性を使用して何を行う可能性がありますか?
これにより、攻撃者は、ユーザーがドキュメントを開いたときに自動的に実行されるマクロ コードを使用して悪意のあるドキュメントを作成する可能性があります。

悪意のあるドキュメントが実行できるアクションは何ですか?
マクロはユーザーに代わってアクションを実行するため、実行されたマクロ ウイルスは、ファイルの変更や削除、外部 Web サイトへのデータの送信、ハード ドライブの再フォーマットなど、ユーザー自身が実行できるアクションを実行できます。 これは、マクロ ウイルスがユーザーのセキュリティ設定をリセットする可能性があることを意味することを強調することが重要です。 マクロ ウイルス攻撃が成功すると、セキュリティ設定を無効にすることで、システムが将来の攻撃に対して脆弱になる可能性があります。

攻撃者はこの脆弱性に対してどのように攻撃を実行しますか?
攻撃者は、複数の異なるルートによって攻撃を実行する可能性があります。 内部的またはインターネット上の Web サイトで悪意のあるドキュメントをホストする可能性があります。 彼女は、適切なアクセス許可を持っている任意のファイル サーバーに悪意のあるドキュメントを配置する可能性があります。 さらに、メールでコピーを送信することで、特定の個人を対象にすることもできます。 攻撃を実行するすべての試行では、潜在的な被害者がドキュメントを開く必要があることに注意することが重要です。 ユーザーの操作なしでこの脆弱性を悪用することはできません。 既知の信頼できるソースからのみドキュメントを開くと、悪意を持ってこの脆弱性を悪用しようとする試みから保護するのに役立ちます。

パッチは何をしますか?
この修正プログラムは、これらのドキュメントの種類のマクロの存在を検出するコードを改善することで、この脆弱性を排除します。

誰がパッチを適用する必要がありますか?
影響を受けるソフトウェア バージョンを実行しているシステムを使用または管理するユーザーは、パッチを適用する必要があります

Excel 97 または PowerPoint 97 を実行している場合、この問題は影響しますか?
まず、Excel と PowerPoint 97 には Excel および PowerPoint 2000 および 2002 と同じマクロ セキュリティ フレームワークがないことを理解しておくことが重要です。 Excel および PowerPoint 97 マクロ セキュリティ フレームワークには、信頼された署名付きマクロを信頼されていない署名付きマクロと区別できるようにするデジタル署名信頼モデルなど、2000 および 2002 マクロ セキュリティ フレームワークに含まれる多くの重要な機能がありません。 この古いフレームワークでは、マクロの信頼性に関する情報に基づいた意思決定をユーザーが行うのは困難です。 さらに、「テスト済みバージョン」で説明されているように、Excel と PowerPoint 97 はサポートされなくなりました。 これら 2 つの問題のため、マクロ セキュリティを懸念しているお客様は、より堅牢なマクロ セキュリティ モデルを使用してサポート バージョンにアップグレードすることをお勧めします。

Office Suite の他のメンバーは脆弱ですか?
いいえ。 Windows および Macintosh 用 Office スイートのすべてのメンバーがテストされました。 Office Suite の他の製品は脆弱であることが判明していません。

パッチの可用性

このパッチのダウンロード場所

このパッチに関する追加情報

インストール プラットフォーム:

これらのパッチは、Excel または PowerPoint 2000 SR-1 または SP2 for Windows を実行するシステム、および Excel または PowerPoint 98 または 2001 for Macintosh を実行しているシステムにインストールできます。

今後のサービス パックに含める:

この問題の修正プログラムは、Office XP Service Pack 1 に含まれます。

**再起動が必要:**いいえ

置き換えられた修正プログラム: なし。

修正プログラムのインストールの確認:

  • Microsoft Excel 2000 for Windows:
    excel.exeのバージョン番号が 9.0.0.5519 であることを確認します

  • Microsoft Excel 2002 for Windows:
    [ヘルプ] メニューを選択し、[バージョン情報] を選択し、ダイアログに表示されるバージョンが 10.3207.2625 であることを確認します。

  • Microsoft PowerPoint 2000 for Windows:
    [ヘルプ] メニューを選択し、[バージョン情報] を選択し、ダイアログに表示されるバージョンが 9.0.5519 であることを確認します。

  • Microsoft PowerPoint 2002 for Windows:
    [ヘルプ] メニューを選択し、[バージョン情報] を選択し、ダイアログに表示されるバージョンが 10.3207.2625 であることを確認します。

  • Microsoft Excel および PowerPoint 98 for Macintosh:
    Finder でファイルを選択し、[ファイル] メニューから [情報の取得] を選択し、表示されているバージョンが 9.0.1 (3618) であることを確認します。

  • Microsoft Excel と PowerPoint 2001 for Macintosh:
    Finder でファイルを選択し、[ファイル] メニューから [情報の取得] を選択し、表示される説明が "2001 セキュリティ更新プログラム" であることを確認します。

注意事項:

なし

ローカライズ:

上記のパッチは、任意の言語バージョンでの使用に適しています

その他のセキュリティ パッチの取得:

その他のセキュリティの問題に対する修正プログラムは、次の場所から入手できます。

  • セキュリティ パッチは Microsoft ダウンロード センターから入手でき、"security_patch" のキーワード (keyword)検索を行うことで最も簡単に見つけることができます。
  • コンシューマー プラットフォームのパッチは、WindowsUpdate Web サイトから入手できます。

その他の情報:

受信確認

Microsoft は、この問題を報告し、お客様を保護するために Microsoft と協力してくれた Symantec Security Response (https://securityresponse.symantec.com) の Peter Ferry に感謝します。

サポート:

  • microsoft サポート技術情報の記事 Q306603、Q306604、Q306605、Q306606 href="https://support.microsoft.com/directory/question.asp?sd=gn& について説明します。fr;=0">Microsoft これらの問題は、このセキュリティ情報のリリースから約 24 時間後に利用可能になります。 サポート技術情報の記事は、Microsoft Online サポート Web サイトにあります。
  • テクニカル サポートは次から入手できます。 セキュリティ パッチに関連付けられているサポート呼び出しに対する料金はかかりません。

セキュリティ リソース:Microsoft TechNet セキュリティ Web サイトは、Microsoft 製品のセキュリティに関する追加情報を提供します。

免責事項:

Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。

リビジョン：

  • V1.0 (2001 年 10 月 4 日): セキュリティ情報の作成
  • V1.1 (2001 年 10 月 9 日): 検証情報とローカライズ情報を修正するように更新されました。
  • V1.2 (2003 年 6 月 13 日): Windows Update へのダウンロード リンクを更新しました。
  • V1.3 (2003 年 7 月 24 日): Mac のダウンロード リンクを更新しました

2014-04-18T13:49:36Z-07:00</https にビルド:>