マイクロソフト セキュリティ アドバイザリ 2953095

Microsoft Word の脆弱性により、リモートでコードが実行される

公開日: 2014年3月25日

バージョン: 1.0

概説

概要

マイクロソフトは、すべてのサポートされているバージョンの Microsoft Word に影響する脆弱性があることを確認しています。現時点で確認されているのは、Microsoft Word 2010 を標的とした限定的な攻撃です。特別に細工された RTF ファイルを、影響を受けるバージョンの Microsoft Word で開いた場合や、Microsoft Word を電子メール ビューアーとして使用していて、特別に細工された RTF の電子メール メッセージを Microsoft Outlook でプレビューするか開いた場合に、この脆弱性が原因でリモートでコードが実行される可能性があります。攻撃者によりこの脆弱性が悪用された場合、攻撃者が現在のユーザーと同じユーザー権限を取得する可能性があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。Microsoft Fix it ソリューション「Disable opening RTF content in Microsoft Word」(英語情報) を適用すると、Microsoft Word を使ったこの問題の悪用を防止することができます。詳細情報は、「推奨するアクション」を参照してください。

これは、リモートでコードが実行される脆弱性です。この問題は、Microsoft Word が特別に細工された RTF 形式データを解析したためにシステム メモリが破損し、攻撃者が任意のコードを実行できるようになった場合に発生します。Microsoft Outlook でこの脆弱性が悪用される可能性があるのは、Microsoft Word を電子メール ビューアーとして使用している場合のみです。Microsoft Outlook 2007、Microsoft Outlook 2010、Microsoft Outlook 2013 では Microsoft Word が既定の電子メール リーダーになっていることに注意してください。

この脆弱性に関する調査が完了次第、マイクロソフトは、お客様を保護するための適切な措置を講じる予定です。この措置としては、マイクロソフトのセキュリティ更新プログラムの月例リリース プロセスを通じてソリューションを提供することや、お客様のニーズに応じて定例外のセキュリティ更新プログラムを提供することなどがあります。

マイクロソフトは、パートナーがお客様にさらに幅広い保護を提供するために使用できる情報を提供すべく、Microsoft Active Protections Program (MAPP) (英語情報) で積極的にパートナーと連携しています。MAPP パートナーにより公開される保護策に関する情報は、MAPP Partners with Updated Protections (英語情報) を参照してください。

マイクロソフトは引き続き、Microsoft セーフティとセキュリティ センターのガイダンスに従い、ファイアウォールを有効にし、すべてのソフトウェアの更新プログラムを適用し、マルウェア対策ソフトウェアをインストールすることを推奨しています。

問題を緩和する要素:

  • この脆弱性が悪用された場合、攻撃者が現在のユーザーと同じユーザー権限を取得する可能性があります。コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者ユーザー権限で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。
  • Web ベースの攻撃のシナリオでは、攻撃者が Web サイトをホストして、この脆弱性の悪用を意図した特別に細工された RTF ファイルが含まれる Web ページをそのサイトに置く可能性があります。さらに、影響を受けた Web サイトおよびユーザー提供のコンテンツまたは広告を受け入れる、またはホストする Web サイトには、この脆弱性を悪用する可能性のある特別に細工されたコンテンツが含まれる可能性があります。しかし、すべての場合、攻撃者がこのような Web サイトにユーザーを強制的に訪問させる方法はないと考えられます。そのかわり、通常、ユーザーに攻撃者の Web サイトに接続させる電子メール メッセージまたはインスタント メッセンジャーのメッセージ内のリンクをクリックさせることにより、ユーザーを攻撃者の Web サイトに訪問させることが攻撃者にとっての必要条件となります。

推奨する対応策: 詳細情報は、このセキュリティアドバイザリの「推奨するアクション」の欄を参照してください。

アドバイザリの詳細

問題に関する参照情報

この問題に関する詳細情報は、次の参照情報をご確認ください。

参照情報ID
マイクロソフト サポート技術情報 2953095
CVE 参照情報 CVE-2014-1761

影響を受けるソフトウェア

このアドバイザリは次のソフトウェアについて説明しています。

影響を受けるソフトウェア
Microsoft Word 2003 Service Pack 3
Microsoft Word 2007 Service Pack 3
Microsoft Word 2010 Service Pack 1 (32 ビット版)
Microsoft Word 2010 Service Pack 2 (32 ビット版)
Microsoft Word 2010 Service Pack 1 (64 ビット版)
Microsoft Word 2010 Service Pack 2 (64 ビット版)
Microsoft Word 2013 (32 ビット版)
Microsoft Word 2013 (64 ビット版)
Microsoft Word 2013 RT
Microsoft Word Viewer
Microsoft Office 互換機能パック Service Pack 3
Microsoft Office for Mac 2011
Microsoft SharePoint Server 2010 Service Pack 1 上の Word Automation Services
Microsoft SharePoint Server 2010 Service Pack 2 上の Word Automation Services
Microsoft SharePoint Server 2013 上の Word Automation Services
Microsoft Office Web Apps 2010 Service Pack 1
Microsoft Office Web Apps 2010 Service Pack 2
Microsoft Office Web Apps Server 2013

このアドバイザリの目的は何ですか? 
マイクロソフトは、影響を受けるバージョンの Microsoft Word に存在する脆弱性についての報告を調査中です。

これは、マイクロソフトがセキュリティ更新プログラムをリリースする必要のあるセキュリティ上の脆弱性ですか? 
この調査が完了次第、マイクロソフトは、お客様を保護するための適切な措置を講じる予定です。これには、マイクロソフトの月例のセキュリティ更新プログラムのリリース プロセス、またはお客様のニーズにより、定例外のセキュリティ更新プログラムを提供する場合があります。

Microsoft Outlook はどのようにこの脆弱性の影響を受けますか?  
Microsoft Word に脆弱性が存在するために、Outlook は直接影響を受けません。しかし、Word が電子メールのリーダーとして選ばれた場合 (Microsoft Outlook 2007、Outlook 2010、Outlook 2013 では既定の選択肢です)、攻撃者は脆弱性を悪用する電子メール攻撃の方法として Outlook を利用して、特別に細工された RTF の電子メール メッセージを標的のユーザーに送信する可能性があります。

RTF とは何ですか? 
リッチ テキスト形式 (RTF) は、アプリケーションで使用およびアプリケーション同士で転送するために、書式設定されたテキストおよびグラフィックスをエンコードする方法です。ユーザーは特別な翻訳ソフトウェアに依存して、異なる企業が開発した多様なアプリケーション間で、ワード プロセッサ ドキュメントを移動させることがよくあります。RTF はワード プロセッサ ソフトウェアのデータ転送、ドキュメント書式設定の標準およびオペレーティング システムから別のオペレーティング システムへコンテンツを移行する方法として使用されます。

攻撃者は、この脆弱性を悪用して何を行う可能性がありますか? 
この脆弱性が悪用された場合、攻撃者が現在のユーザーと同じユーザー権限を取得する可能性があります。現在のユーザーが管理者ユーザー権限でログオンしている時に、攻撃者によりこの脆弱性が悪用された場合、影響を受けるコンピューターが完全に制御される可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除などを行ったり、完全なユーザー権限を持つ新たなアカウントを作成したりする可能性があります。

攻撃者はこの脆弱性をどのように悪用する可能性がありますか? 
この脆弱性を悪用する場合、ユーザーが Microsoft Office ソフトウェアの影響を受けるバージョンで、特別に細工された RTF 書式設定されたデータを開くか、プレビューすることが攻撃者にとっての必要条件となります。

電子メールの攻撃シナリオでは、攻撃者は電子メール メッセージのコンテンツの特別に細工した RTF 形式のデータを送信してこの脆弱性を悪用する可能性があります。この脆弱性は、特別に細工された RTF の電子メール メッセージがプレビューされる、または Microsoft Word を電子メール ビューアーとして使用して Outlook で開かれた場合に、悪用される可能性があります。攻撃者は、特別に細工した RTF ファイルを添付で送信し、ユーザーに表示させてこの脆弱性を悪用する可能性があります。Outlook 2007、Outlook 2010、Outlook 2013 では Microsoft Word が既定の電子メール リーダーになっていることに注意してください。

Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した特別に細工した RTF ファイルが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトやユーザー提供のコンテンツを受け入れたりホストしたりする Web サイトに、特別に細工したコンテンツが含まれていて、この脆弱性が悪用される可能性があります。しかしどのような場合でも、攻撃者は、攻撃者自身が制御するコンテンツをユーザーに強制的に閲覧させることはできません。その代わり、通常ユーザーに攻撃者の Web サイトへのリンクをクリックさせることにより何らかのアクションを実行させ、その後、ユーザーに特別に細工された RTF ファイルを表示させることが攻撃者にとっての必要条件となります。

EMET はこの脆弱性を悪用しようとする攻撃の緩和に役立ちますか? 
はい。Enhanced Mitigation Experience Toolkit (EMET) により、セキュリティの緩和技術を管理すれば、攻撃者は特定のソフトウェアの脆弱性を悪用することが困難になります。EMET は、EMET がインストールされ、Microsoft Office ソフトウェアと連携するように構成されているシステムで、Microsoft Office ソフトウェアのこの脆弱性を緩和できます。

EMET の詳細については、Enhanced Mitigation Experience Toolkit を参照してください。

回避策の適用

回避策は、根本的な問題を正すものではありませんが、セキュリティ更新プログラムを適用するまでの間、既知の攻撃方法の阻止に役立つ設定または構成の変更を示します。詳細は次の「回避策」を参照してください。

回避策

  • この問題の悪用を防止する Microsoft Fix it ソリューション「Disable opening RTF content in Microsoft Word」(英語情報) を適用する

    自動の Microsoft Fix it ソリューションを使用してこの回避策を有効または無効にする方法については、サポート技術情報 2953095 を参照してください。

    注: この Microsoft Fix it ソリューションは、サポートされているバージョンの Microsoft Word で RTF ファイルを開けないようにする Microsoft Office 向けファイル ブロックのポリシーを構成します。

  • 電子メールをテキスト形式で読みとる

    電子メールによる攻撃から自分自身を保護するためには、電子メールをテキスト形式で読み取ってください。

    Microsoft Outlook 2003、Microsoft Outlook 2007、Microsoft Outlook 2010、Microsoft Outlook 2013 には、テキスト形式で電子メール メッセージを読み取るオプションがあります。[すべての標準メールをテキスト形式で表示する]オプションの詳細については、サポート技術情報 831607 および「テキスト形式で電子メール メッセージを閲覧する」を参照してください。

    Office XP Service Pack 1、Office XP Service Pack 2、または Office XP Service Pack 3 を適用している Microsoft Office Outlook 2002 ユーザーは、この設定を有効にし、デジタル署名または暗号化されていない電子メール メッセージをテキスト形式のみで表示するよう設定できます。デジタル署名または暗号化されている電子メール メッセージは、設定による影響は受けず、元の形式で読み取ることができる場合があります。Outlook 2002 のこの設定を有効にする方法の詳細については、サポート技術情報 307594 を参照してください。

    回避策の影響: テキスト形式で表示される電子メール メッセージは、写真、特別なフォント、アニメーションまたはそのほかのリッチ形式のコンテンツを含むことはできません。さらに、次のような動作が発生する場合があります。

    • 変更はプレビュー ウィンドウおよび開いているメッセージに適用されます。
    • 画像は、失われないように添付ファイルとなります。
    • メッセージは保存場所では依然としてリッチ テキスト形式、または HTML 形式であるため、オブジェクト モデル (カスタムコード ソリューション) が予期しない動作をする場合があります。

  • Microsoft Office 向けファイル ブロックのポリシーを使用して、Microsoft Word 2007、Microsoft Word 2010、Microsoft Word 2013 で RTF ファイル を開けないようにする

    グループ ポリシーまたは Office カスタマイズ ツール (OCT) を使用して、Excel、PowerPoint、および Word で特定の種類のファイルを開くことや保存することをブロックできます。Microsoft Office でユーザーが特定の種類のファイルを開くことをブロックする方法の詳細については、「ファイル制限機能の設定を計画する」を参照してください。

    ファイルのブロックを使用して脆弱性の悪用から保護するには、影響を受けるバージョンの Microsoft Word に対して、RTF ファイルをブロックするファイル ブロックを構成します。

  • Microsoft Office 向けファイル ブロックのポリシーを使用して Microsoft Word 2003 で RTF ファイルを開けないようにする

    注: レジストリを正確に変更しないと、深刻な問題となり、オペレーティング システムの再インストールが必要になる可能性があります。マイクロソフトは正しくレジストリを変更しないことで起こる問題の解決を、保証することはできません。レジストリは、お客様各自の責任において変更してください。

    Office 2003

    次のレジストリ スクリプトを使用してファイル ブロックのポリシーを設定することができます。

    Windows Registry Editor Version 5.00
    [HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Word\Security\FileOpenBlock]
    "RtfFiles"=dword:00000001

    注: Microsoft Office 2003 で 'FileOpenBlock' を使用するためには、すべての最新の Microsoft Office 2003 用のセキュリティ更新プログラムを適用する必要があります。

    回避策の影響: Microsoft Office 2003 について、ファイル ブロックのポリシーを構成しており、特別な「除外されるディレクトリ」を構成していないか、またはファイルを信頼できる場所へ移動していないユーザーは、RTF ファイルを開けなくなります。Microsoft Office ソフトウェアのファイル ブロックの設定による影響については、サポート技術情報 922850 を参照してください。

    回避策の解除方法:

    Office 2003

    Windows Registry Editor Version 5.00
    [HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Word\Security\FileOpenBlock]
    "RtfFiles"=dword:00000000

  • Enhanced Mitigation Experience Toolkit を使用する

    Enhanced Mitigation Experience Toolkit (EMET) は、脆弱性の悪用を困難にする保護レイヤーを追加することによって、この脆弱性の悪用を防止するために役立ちます。マイクロソフトは、EMET 3.0 と EMET 4.1 を公式にサポートしています。現時点で、EMET は英語版のみで提供されています。詳細については、サポート技術情報 2458544 を参照してください。

    EMET を構成する、詳細情報は、EMET ユーザー ガイドをご参照ください。

    • 32 ビット版のシステムでは、EMET ユーザー ガイドは C:\Program Files\EMET\EMET User's Guide.pdf に保存されています。
    • 64 ビット版のシステムでは、EMET ユーザー ガイドは C:\Program Files (x86)\EMET\EMET User's Guide.pdf に保存されています。

    Microsoft Officeアプリケーションに対応するように EMET 4.1 を構成する

    EMET 4.1 は、推奨構成の場合、システムにインストールされた影響を受けるソフトウェアを保護できるように自動的に構成されます。追加の手順は不要です。

    EMET ユーザー インターフェイスから Microsoft Office アプリケーションに対応するように EMET 3.0 を構成する

    EMET 3.0 を使用するアプリケーションの一覧に Office アプリケーションを追加するには、次のステップを実行します。これらのステップは、次の各 Office アプリケーションの実行可能ファイルに対して実行する必要があります。

    - Word.exe
    - Outlook.exe
    - wordview.exe

    EMET を起動するには、[スタート]、[すべてのプログラム]、[Enhanced Mitigation Experience Toolkit]、[EMET 3.0]をクリックします。次に、影響のある各ソフトウェアについて次の操作を実行します。

    1. UAC のポップアップが出たら [Yes]をクリックし、[Configure Apps] をクリックして [Add] を選択します。EMET で構成するアプリケーションを参照します。
    2. [OK]をクリックし、EMET を終了します。

    64 ビット版の Windows オペレーティング システムで 32 ビット版の Microsoft Office ソフトウェアを実行している場合、ファイル パスは次のとおりです。

    Office 2003:%ProgramFiles(x86)%\Microsoft Office\Office11\
    Office 2007:%ProgramFiles(x86)%\Microsoft Office\Office12\
    Office 2010:%ProgramFiles(x86)%\Microsoft Office\Office14\
    Office 2013:%ProgramFiles(x86)%\Microsoft Office\Office15\

    32 ビット版の Windows オペレーティング システムで 32 ビット版の Microsoft Office ソフトウェアを実行している場合、ファイル パスは次のとおりです。

    Office 2003:%ProgramFiles%\Microsoft Office\Office11\
    Office 2007:%ProgramFiles%\Microsoft Office\Office12\
    Office 2010:%ProgramFiles%\Microsoft Office\Office14\
    Office 2013:%ProgramFiles%\Microsoft Office\Office15\

    64 ビット版の Microsoft Office ソフトウェアの場合、ファイル パスは次のとおりです。

    Office 2010:%ProgramFiles%\Microsoft Office\Office14\
    Office 2013:%ProgramFiles%\Microsoft Office\Office15\

    コマンド ラインから Microsoft Office アプリケーションに対応するように EMET 3.0 を構成する

    すべての EMET 3.0 緩和策に対して次の Office アプリケーションの実行可能ファイルを選択する:

    - Word.exe
    - Outlook.exe
    - wordview.exe

    • 昇格されたコマンド プロンプトから次のコマンドを実行します。32 ビット版の Microsoft Office ソフトウェアの場合:"C:\Program Files\EMET\EMET_Conf.exe" --set "*\Microsoft Office\Office1*\<Office アプリケーション ファイル名>.exe"または"C:\Program Files(x86)\EMET\EMET_Conf.exe" --set "*\Microsoft Office\Office1*\<Office アプリケーション ファイル名>.exe"64 ビット版の Microsoft Office ソフトウェアの場合:"C:\Program Files\EMET\EMET_Conf.exe" --set "*\Microsoft Office\Office1*\<Office アプリケーション ファイル名>.exe"
    • 正常に完了した場合、次のメッセージが表示されます。"The changes you have made may require restarting one or more applications"(追加された変更により、1 つ以上のアプリケーションの再起動が必要な可能性があります)

    グループ ポリシーを使用して Microsoft Office アプリケーションに対応するように EMET を構成する

    EMET はグループ ポリシーを利用して構成することが可能です。グループ ポリシーを利用して EMET を構成する詳細情報は、EMET ユーザー ガイドをご参照ください。

    EMET 4.1 の場合:

    • 32 ビット版のシステムでは、EMET ユーザー ガイドは C:\Program Files\EMET 4.1\EMET User's Guide.pdf にあります。
    • 64 ビット版のシステムでは、EMET ユーザー ガイドは C:\Program Files (x86)\EMET 4.1\EMET User's Guide.pdf にあります。

    EMET 3.0 の場合:

    • 32 ビット版のシステムでは、EMET ユーザー ガイドは C:\Program Files\EMET\EMET User's Guide.pdf に保存されています。
    • 64 ビット版のシステムでは、EMET ユーザー ガイドは C:\Program Files (x86)\EMET\EMET User's Guide.pdf に保存されています。

    注: グループ ポリシーに関する詳細情報は、「Group Policy collection」をご参照ください。

追加の推奨されるアクション

  • コンピューターを守る

    マイクロソフトは引き続き、「コンピューターを守る」のガイダンスに従い、ファイアウォールを有効にし、すべてのソフトウェアの更新を適用し、ウイルス対策ソフトウェアをインストールすることを推奨しています。詳細については、Microsoft セーフティとセキュリティ センターを参照してください。

  • マイクロソフトのソフトウェアを最新の状態に保つ

    マイクロソフトのソフトウェアをお使いのお客様は、最新のマイクロソフトのセキュリティ更新プログラムを適用してください。これは、お使いのコンピューターが可能な限り保護されることを手助けするものです。ご使用のソフトウェアが最新のものかどうか定かでない場合、Microsoft Update で、利用可能な更新プログラムがあるかどうかに関してコンピューターをスキャンし、提供されている優先度の高い更新プログラムをインストールしてください。自動更新が有効で、マイクロソフト製品用の更新プログラムが提供されるよう設定されている場合は、新しい更新プログラムがご利用可能になった時点で自動的に提供されます。しかし、更新プログラムが正しくインストールされているかどうかをご確認いただく必要があります。

関連情報

謝辞

この問題を連絡し、顧客の保護に協力してくださった下記の方に対し、マイクロソフトは深い謝意を表します。

  • Word RTF のメモリ破損の脆弱性 (CVE-2014-1761) について報告してくださった Google Security Team の Drew Hintz 氏、Shane Huntley 氏、Matty Pellegrino 氏

Microsoft Active Protections Program (MAPP)

お客様のセキュリティ保護をより向上させるために、マイクロソフトは、月例のセキュリティ更新プログラムの公開に先立ち、脆弱性情報を主要なセキュリティ ソフトウェア プロバイダーに提供しています。セキュリティ ソフトウェア プロバイダーは、この脆弱性の情報を使用し、ウイルス対策、ネットワーク ベースの侵入検出システムまたはホスト ベースの侵入防止システムを介して、お客様に最新の保護環境を提供します。このような保護環境を提供するセキュリティ ソフトウェア ベンダーの情報については、Microsoft Active Protections Program (MAPP) パートナーに記載されている各社の Web サイトを参照してください。

フィードバック

サポート

  • セキュリティ関連、およびセキュリティ更新プログラムに関するご質問や、ご不明な点などありましたら、マイクロソフト セキュリティ情報センターまでご連絡ください。詳細については、Microsoft サポートを参照してください。
  • その他、製品に関するご質問は、マイクロソフト プロダクト サポートまでご連絡ください。詳細については、Microsoft サポートを参照してください。
  • Microsoft TechNet セキュリティ センターでは、マイクロソフト製品に関するセキュリティ情報を提供しています。

免責

この文書に含まれている情報は、いかなる保証もない現状ベースで提供されるものです。Microsoft Corporation 及びその関連会社は、市場性および特定の目的への適合性を含めて、明示的にも黙示的にも、一切の保証をいたしません。さらに、Microsoft Corporation 及びその関連会社は、本文書に含まれている情報の使用及び使用結果につき、正確性、真実性等、いかなる表明・保証も行いません。Microsoft Corporation、その関連会社及びこれらの権限ある代理人による口頭または書面による一切の情報提供またはアドバイスは、保証を意味するものではなく、かつ上記免責条項の範囲を狭めるものではありません。Microsoft Corporation、その関連会社及びこれらの者の供給者は、直接的、間接的、偶発的、結果的損害、逸失利益、懲罰的損害、または特別損害を含む全ての損害に対して、状況のいかんを問わず一切責任を負いません。結果的損害または偶発的損害に対する責任の免除または制限を認めていない地域においては、上記制限が適用されない場合があります。

更新履歴

  • V1.0 (2014/03/25):アドバイザリを公開しました。

Built at 2014-04-18T13:49:36Z-07:00

表示: