Officeなどにゼロデイ脆弱性、Word用いた標的型攻撃も観測：細工したTIFF画像を悪用、回避策適用を推奨

米マイクロソフトは2013年11月5日、Microsoft Officeなどに未修正の脆弱性（CVE-2013-3906）が存在することを明らかにし、注意を呼び掛けた。

[高橋睦美，＠IT]

　米マイクロソフトは2013年11月5日、Microsoft Officeなどに未修正の脆弱性（CVE-2013-3906）が存在することをセキュリティアドバイザリを通じて明らかにし、注意を呼び掛けた。すでに、この脆弱性を悪用した標的型攻撃も報告されているという。

　脆弱性が存在するのは、Windows Vista、Windows Server 2008、Microsoft Office 2003〜2010とMicrosoft Lync。Microsoft Graphics ComponentのTIFF形式の画像処理に問題があり、細工を施したTIFF画像を開くと、攻撃者に権限を奪取され、リモートからコードを実行されてしまう恐れがある。

　SANSやJPCERT/CCの情報によると、すでに、細工したTIFF画像を含むOffice形式の文書をメールで送り付ける標的型攻撃が、中東や南アジアの広い範囲で確認されたという。今後は、リンクを介して改ざんしたWebサイトに誘導し、脆弱性を突く手口も考えられるという。

　11月6日時点で、この脆弱性を修正するパッチは公開されていない。マイクロソフトでは、TIFF画像表示を無効化する「Microsoft Fix it 51004」の適用やEnhanced Mitigation Experience Toolkit（EMET）の使用といった回避策を推奨。並行して調査が完了次第、修正プログラムを提供する予定という。