TOPSoftware > Windowsの「MSHTML」にゼロデイ脆弱性、Offic...

Software

Windowsの「MSHTML」にゼロデイ脆弱性、Officeファイルを使った攻撃を確認

2021/09/10

Mark Hachman PCWorld

 米Microsoftは9月6日、Windowsのレンダリングエンジン「MSHTML」でリモートコード実行のゼロデイ脆弱性が見つかったことを発表した。Officeのファイルを使った標的型攻撃も既に確認されている。本記事執筆時点でパッチはまだリリースされていない。ネットやメールで入手した出所不明のファイルは開かないという基本的な対策が重要だ。

Credit: Solarseven / Getty Images
Credit: Solarseven / Getty Images

 この脆弱性は、セキュリティ調査を手がけるEXPMONが9月5日にMicrosoftに報告し、翌日にMicrosoftがセキュリティ情報を公開した。Microsoftによるセキュリティ更新プログラムは、月例パッチか定例外パッチとして今後登場する見込み。

 この脆弱性が見つかったMSHTMLは、「Internet Explorer(IE)」のレンダリングエンジンとして使われてきた。IE自体は既にサポート終了が発表となったが、MSHTMLをコンポーネントとして利用する仕組みの攻撃は今後も起こり得る。

 Microsoftの説明によると、今回の脆弱性の攻撃方法としては、MSHTMLを利用する不正なActiveXコントロールをOfficeドキュメントに組み込み、それを標的のユーザーに開かせるという手法が考えられる。その際、管理者権限を持つユーザーよりも、権限が限られているユーザーの方が、少ない影響で済む可能性があるとのこと。

↑ページ先頭へ