Microsoft Office の数式エディタにおけるバッファオーバーフローの脆弱性(Scan Tech Report) | ScanNetSecurity
2024.06.19(水)

Microsoft Office の数式エディタにおけるバッファオーバーフローの脆弱性(Scan Tech Report)

Microsoft Office の数式エディタに、スタックベースのバッファオーバーフローの脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
◆概要

Microsoft Office の数式エディタに、スタックベースのバッファオーバーフローの脆弱性が報告されています。脆弱性を悪用する文書を、脆弱性が存在する Microsoft Office で開いた場合、悪意のあるコードが実行されてしまう可能性があります。セキュリティ更新プログラムの適用によって対策してください。

◆分析者コメント

Microsoft Office の幅広いバージョンが影響を受ける脆弱性であるため、攻撃者によるキャンペーン活動に悪用される可能性が高い脆弱性であると考えられます。本記事執筆時点に近い時期に、メールを用いた攻撃を効果的に行うためのツールである Mailsploit が公開されており、今後は今までよりもメールを用いた攻撃が活発化することが見込まれます。Microsoft Office を日頃から利用している場合は、セキュリティ更新プログラムの適用により、早急に対策することを推奨します。

◆深刻度(CVSS)

[CVSS v2]
9.3
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2017-11882&vector=(AV:N/AC:M/Au:N/C:C/I:C/A:C)

[CVSS v3]
7.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2017-11882&vector=AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

◆影響を受けるソフトウェア

以下のバージョンの Microsoft Office が、当該脆弱性の影響を受けると報告
されています。

  - Microsoft Office 2007 Service Pack 3 
  - Microsoft Office 2010 Service Pack 2 (32-bit editions)
  - Microsoft Office 2010 Service Pack 2 (64-bit editions)
  - Microsoft Office 2013 Service Pack 1 (32-bit editions)
  - Microsoft Office 2013 Service Pack 1 (64-bit editions)
  - Microsoft Office 2016 (32-bit editions)
  - Microsoft Office 2016 (64-bit editions)


◆解説

Microsoft Office に、遠隔から任意のコードを実行させることが可能となる脆弱性が報告されています。

《株式会社ラック デジタルペンテスト部》

関連記事

特集

PageTop

アクセスランキング

  1. グリコの基幹システム障害、一部商品出荷を 6 / 25 以降再開

    グリコの基幹システム障害、一部商品出荷を 6 / 25 以降再開

  2. 約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

    約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

  3. イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

    イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

  4. 役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

    役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

  5. オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

    オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

  6. 「プレミアムバンダイ」会員情報漏えいの可能性、委託先従業員が私物ハードディスクを使用

    「プレミアムバンダイ」会員情報漏えいの可能性、委託先従業員が私物ハードディスクを使用

  7. 米政府、病院 IT システムの自動パッチ適用ツールに 80 億円投入

    米政府、病院 IT システムの自動パッチ適用ツールに 80 億円投入

  8. KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

    KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

  9. ニデックインスツルメンツにランサムウェア攻撃、複数のサーバ内ファイルが暗号化被害

    ニデックインスツルメンツにランサムウェア攻撃、複数のサーバ内ファイルが暗号化被害

  10. セキュリティ企業の セキュリティ企業による セキュリティ企業のための投資ファンド ~ GSX 青柳史郎が語る「日本サイバーセキュリティファンド」設立趣旨

    セキュリティ企業の セキュリティ企業による セキュリティ企業のための投資ファンド ~ GSX 青柳史郎が語る「日本サイバーセキュリティファンド」設立趣旨PR

ランキングをもっと見る