Microsoft、長年潜伏していたMS Officeのセキュリティ脆弱性を修正するアップデートを公開

Microsoft Officeは、ワープロ・表計算・プレゼンテーションソフトウェアを1つに統合した、世界で最も広く使われているアプリケーションスイートです。登場当初から人気を博し、ユーザーが紙ベースのドキュメントからデジタル化へ移行する大きなきっかけとなった存在でもあります。しかし近年、サイバーセキュリティ企業Check Point Research（CPR）が、何年も前から潜み続けていたと疑われる重大なバグを発見しました。

Excel 95のレガシーコードに潜む脆弱性

この脆弱性はすぐにMicrosoftへ報告され、その後まもなく修正パッチを含むアップデートがリリースされました。アップデートはすべてのMicrosoftユーザーに速やかに配信され、MS Word、MS Excel、MS PowerPoint、MS Outlookを安全に利用できるようになりました。

CPRのレポートが「不具合」と呼ぶこの欠陥は、Excel 95ファイル形式のレガシー（旧式）コード内に存在するリスクでした。形式自体が非常に古いため、セキュリティ上の欠陥が長期間放置されていたことになります。原因はデータ解析（パース）処理のミスであり、悪意のある第三者がMicrosoft Officeがインストールされたシステムへ侵入できた可能性がありました。

Officeエコシステム全体に影響

CPRの報告によると、この脆弱性（現在はアップデートで修正済み）は、Outlook（.EML）、Word（.DOCX）、Excel（.XLS）などのファイルを介して、MS Officeアプリ上で任意のコードを実行されるおそれがありました。Check Point Softwareのサイバー調査部門責任者Yaniv Balmas氏の確認によれば、これらの脆弱性は新旧を問わずMicrosoft Officeエコシステム全体に影響を与えていました。同氏はさらに、レガシーコードこそがMicrosoft Officeのセキュリティチェーンにおける弱点であると指摘しています。

発見のきっかけは「ファジング」テスト

今回の脆弱性は、CPRが「Microsoft Graph」――ユーザーが図やグラフを作成できるMS Officeのモジュール――のテストを行っていた際に発見されました。CPRが使用した手法は「ファジング（Fuzzing）」と呼ばれ、アプリケーション内のソフトウェアバグを検出する自動テスト技術です。ファジングの考え方はシンプルで、テスターは無効なデータを入力し、アプリがそれにどう反応するかを観察しながら、コーディングエラーやセキュリティ上の欠陥を記録していきます。

脆弱性はExcel 95ファイル形式で見つかりました。この古い形式は現在ほとんど使用されていませんが、MS Officeの全アプリケーションが互換性維持のためこの形式をサポートしているため、結果として他のすべてのアプリもハッカー攻撃に対して無防備になり得る状態でした。CPRはこれまでに4つの脆弱性を発見し、いずれもMicrosoftに報告済みです。同社は今後もMicrosoft Office内のその他の脆弱性の調査を続ける方針を示しています。

Microsoftの対応とアップデート手順

MicrosoftはCPRからの報告を受け、迅速に対応しました。CVE-2021-31174、CVE-2021-31178、CVE-2021-31179、およびCVE-2021-31939の各セキュリティアップデートを展開し、この脆弱性へのパッチを提供しています。ご自身のPCを最新の状態に保ちたい場合は、以下の手順に従ってください。

ステップ1：「Windows + I」キーを押して、設定ウィンドウを開きます。
ステップ2：「更新とセキュリティ」をクリックします。
ステップ3：「更新プログラムのチェック」をクリックします。お住まいの地域にアップデートが配信されていれば、自動的にインストールされます。