Microsoft Officeの非常に危険なバグ、17年の時を経てついにパッチ公開

毎月の「パッチ チューズデー」アップデートの一環として、マイクロソフトは昨日、Windows、Office、Internet Explorer、Microsoft Edge、ASP.NET Core、.NET Core、およびChackra Core ブラウザ エンジン。今回修正されたゼロデイ脆弱性はありませんでしたが、話題になっていると思われる 1 つのパッチは、Microsoft Equation Editor と呼ばれる Office 実行可能ファイルで見つかった 17 年前のリモート コード実行バグ ( CVE-2017-11882 ) です。 このバグは 、Windows 10 Creators Update を含むすべての Windows バージョン 上 の過去 17 年間 の Microsoft Office のすべてのバージョンに影響します 。

このバグは最近、Embedi のサイバーセキュリティ専門家チームによって発見され、昨日リリースされた レポートで詳しく説明 されました。研究者らはこれを 「非常に危険」 だと述べたが、マイクロソフトはそれを軽視し、このアップデートを「重要」とだけ説明したようだ。長年のバグを抱えていた Microsoft 数式エディタ は 2000 年に初めてリリースされ、Office 2000 および Office 2003 にデフォルトでインストールされました。このアプリケーションは、複雑な数式を OLE (Object Linking and Embedding) アイテムとして挿入および編集するために使用されます。 Microsoft Word文書内。 これは、後のバージョンの Office では新しいソフトウェアに置き換えられ ましたが、OLE ベース (EQNEDT32.EXE) の方程式を使用する古いファイルとの下位互換性のために、コードの一部を残す必要がありました。

研究者らは、システムに MS Office がインストールされているすべての人に 、直ちにアップデートをインストールし、将来の問題を防ぐために Windows レジストリの EQNEDT32.EXE を無効にするよう アドバイスしています。 彼らによると、「記載された脆弱性を悪用した複数の OLE を挿入することにより、任意の一連のコマンドを実行することが可能でした (例: インターネットから任意のファイルをダウンロードして実行するなど)。コンポーネントには多数のセキュリティ上の問題と脆弱性があったためです。」これに含まれるコンポーネントは簡単に悪用される可能性があるため、ユーザーがセキュリティを確保するための最良の選択肢は、Windows レジストリへのコンポーネントの登録を無効にすることです。」