OfficeXPのクロスアプリケーションスクリプティング脆弱性に関する続報

　4月1日号にて、マイクロソフトのOfficeXPに、クロスアプリケーションスクリプティングとも呼べる脆弱性が発見された件をお伝えした。
　その後、SecurePoint BUGTRAQにもこの問題に関する検証が行われ、新たな実行コードが発見されている。
　この問題は、OfficeXPに含

製品・サービス・業界動向業界動向

2002.4.4 Thu 12:00

　4月1日号にて、マイクロソフトのOfficeXPに、クロスアプリケーションスクリプティングとも呼べる脆弱性が発見された件をお伝えした。
　その後、SecurePoint BUGTRAQにもこの問題に関する検証が行われ、新たな実行コードが発見されている。
　この問題は、OfficeXPに含まれる二つの脆弱性を利用した物。一つ目はHTMLメールに含まれるオブジェクトとスクリプトが、メールへの返信、転送によって実行されてしまうという問題。二つ目は、スプレッドシートのコンポーネントにバグが存在し、一つ目の問題を併用することで、任意のファイルを作成できてしまう。
　この問題を利用することで、管理者権限を奪取できる*.htaファイルのような実行型ファイルを作成できるため、十分な注意が必要である。

SecurePoint
More Office XP problems (Version 2.0)
http://msgs.securepoint.com/cgi-bin/get/bugtraq0204/50.html

Georgi Guninski security advisory #53
More Office XP problems
http://www.guninski.com/m$oxp-2.html

（詳しくはScan　および　Scan Daily EXpress 本誌をご覧ください）
http://shop.vagabond.co.jp/m-ssw01.shtml
http://shop.vagabond.co.jp/m-sdx01.shtml

《ScanNetSecurity》