Microsoft OLEに新たな脆弱性、マイクロソフトが回避策を提供

日本マイクロソフトは10月21日、セキュリティ アドバイザリ 3010060において、Microsoft OLEにリモートコードが実行されるおそれがある脆弱性が発見されたことを発表した。この脆弱性は、Windows Server 2003 を除く、サポートされるすべてのバージョンの Windowsに影響を及ぼすという。

具体的には、遠隔の第三者が、OLE オブジェクトが含まれている細工したMicrosoft Office ファイルをユーザーに開かせることで、任意のコードを実行させるおそれがある。

同社はすでに、この脆弱性を悪用したMicrosoft PowerPoint ファイルを介した標的型攻撃を確認しているという。

この脆弱性の対象となる製品とバージョンは以下のとおり。

Windows Vista Service Pack 2
Windows Vista x64 Edition Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for Itanium-based Systems Service Pack 2
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for Itanium-based Systems Service Pack 1
Windows 8 for 32-bit Systems
Windows 8 for x64-based Systems
Windows 8.1 for 32-bit Systems
Windows 8.1 for x64-based Systems
Windows Server 2012
Windows Server 2012 R2
Windows RT
Windows RT 8.1

10月22日時点で、セキュリティ更新プログラムは公開されていないが、回避策として「Microsoft Fix it」が公開されている。

「Microsoft Fix it」は米マイクロソフトのサポートページから実行できる。画面上の2つのボタンのうち、「Microsoft Fix it 51026」を押すと、「MicrosoftFixit51026.msi」というファイルがダウンロードされるので、それを実行すればよい。

別な回避策としては、Enhanced Mitigation Experience Toolkit (EMET) の Attack Surface Reduction (ASR) 機能を使用するよう設定を追加する方法もある。

同社はこの問題について調査中であり、詳細がわかり次第、適切な措置を実施する予定。適切な措置には、月例あるいは定例外セキュリティ更新プログラムの公開などを含み、これらが実施されるまでは、回避策の適用を検討してほしいとしている。