Microsoft Office における数式エディタでのオブジェクト取り扱い不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2025.10.27(月)

Microsoft Office における数式エディタでのオブジェクト取り扱い不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

Microsoft Office の数式エディタに、遠隔から任意のコードが実行可能となる新たな脆弱性 (CVE-2018-0802) が報告されています。

脆弱性と脅威 エクスプロイト
◆概要

Microsoft Office の数式エディタに、遠隔から任意のコードが実行可能となる新たな脆弱性 (CVE-2018-0802) が報告されています。当該脆弱性を悪用する悪意のあるファイルを開いてしまった場合は、遠隔から任意のコードを実行され、攻撃者に端末の制御を奪われてしまう可能性があります。セキュリティ更新プログラムの適用により対策してください。

◆分析者コメント

クライアントサイドの脆弱性ですが、昨年に公開された数式エディタの脆弱性 (CVE-2017-11882) と併せて、攻撃者グループのキャンペーン活動に悪用される可能性が高い脆弱性であると考えられます。昨年から Microsoft Office での遠隔コード実行脆弱性と、それらの攻撃コードが相次いで公開されているため、可能な限りセキュリティ更新プログラムを適用するよう、運用を見直すことを推奨します。

◆深刻度(CVSS)

本記事執筆時点で CVSS 値の公開情報を確認していません。

◆影響を受けるソフトウェア

以下のバージョンの Microsoft Office が影響を受けると報告されています。

    - Microsoft Office 2007 Service Pack 3
    - Microsoft Office 2010 Service Pack 2 (32-bit editions)
    - Microsoft Office 2010 Service Pack 2 (64-bit editions)
    - Microsoft Office 2013 Service Pack 1 (32-bit editions)
    - Microsoft Office 2013 Service Pack 1 (64-bit editions)
    - Microsoft Office 2016 (32-bit edition)
    - Microsoft Office 2016 (64-bit edition)
    - Microsoft Office 2016 Click-to-Run (C2R) for 32-bit editions
    - Microsoft Office 2016 Click-to-Run (C2R) for 64-bit editions
    - Microsoft Office Compatibility Pack Service Pack 3
    - Microsoft Word 2007 Service Pack 3
    - Microsoft Word 2010 Service Pack 2 (32-bit editions)
    - Microsoft Word 2010 Service Pack 2 (64-bit editions)
    - Microsoft Word 2013 RT Service Pack 1
    - Microsoft Word 2013 Service Pack 1 (32-bit editions)
    - Microsoft Word 2013 Service Pack 1 (64-bit editions)
    - Microsoft Word 2016 (32-bit edition)
    - Microsoft Word 2016 (64-bit edition)


◆解説

Microsoft Office にて、数式エディタでの値検証不備により、遠隔から任意のコードが実行可能となる脆弱性が報告されています。

《株式会社ラック デジタルペンテスト部》

関連記事

特集

PageTop

アクセスランキング

  1. 野村総合研究所と NRIフィナンシャル・グラフィックスの再委託先が使用する入力補助ツール「Jijilla」に身代金要求を伴う不正アクセス

    野村総合研究所と NRIフィナンシャル・グラフィックスの再委託先が使用する入力補助ツール「Jijilla」に身代金要求を伴う不正アクセス

  2. 野村證券の委託先企業が利用するクラウドサービスに不正アクセス

    野村證券の委託先企業が利用するクラウドサービスに不正アクセス

  3. 関与していた元社員とは未だ連絡取れず ~ 京都市内で保険申込書写し 計 632 枚拾得

    関与していた元社員とは未だ連絡取れず ~ 京都市内で保険申込書写し 計 632 枚拾得

  4. AI-OCR サービス「Jijilla」サーバに不正アクセス、保管する個人情報の一部が外部に漏えいした可能性

    AI-OCR サービス「Jijilla」サーバに不正アクセス、保管する個人情報の一部が外部に漏えいした可能性

  5. アスクル Web サイトがランサムウェア感染、受注出荷業務が停止

    アスクル Web サイトがランサムウェア感染、受注出荷業務が停止

ランキングをもっと見る
PageTop