WindowsのOLEに新たな脆弱性、外部から任意のコードが実行される可能性 52
ストーリー by hylom
同じものかと思いきや違った 部門より
同じものかと思いきや違った 部門より
あるAnonymous Coward 曰く、
先日、「WindowsのOLEに脆弱性、外部から任意のコードが実行される可能性」という話題があったが、OLEにこれとは別の新たな脆弱性が発見された（マイクロソフト セキュリティ アドバイザリ 3010060）。
これは、10月14日に公開されたこのと同様、Microsoft OLE の脆弱性により、リモートでコードが実行されるというもの。メールやメッセンジャーなどのリンクや添付からユーザーに細工したOfficeファイルなどを開かせ、脆弱性を突いて任意コード実行を可能にする。すでにPowerPointを使って脆弱性を突く限定的な標的型攻撃が発生している。
今回発見された脆弱性も、Windows Server 2003を除く現在サポートされている全てのWindowsに影響するとしている（ITmedia、ZDNet、Slashdot）。
XP (スコア:2)
Windows XPでも、この脆弱性は存在するのだろうか。
『影響を受けるソフトウェア』にWindows XPは無いけど、それは既にサポート対象外だからであって．．．。
Re: (スコア:0)
前回のもそうだけど、Windows Server 2003にないことからして影響を受けない可能性が高い。
またしてもあわてて移行したやつだけがバカを見てる
Re:XP (スコア:2)
思いっきり読み飛ばしていた。
／(^o^)＼
Re: (スコア:0)
クラッカーはXPなんか無視して7や8向けの悪質性の高い新手のウィルス作りに夢中だからな。
ワンタイムパスワード突破ウィルスのパンデミックとか、どうすりゃいいのか。
さすが俺達のUAC (スコア:2)
セキュリティ アドバイザリ 3010060「Microsoft OLE の脆弱性により、リモートでコードが実行される」 を公開 [technet.com]
UAC が有効な場合は、悪意のあるファイルを開いた際に、UAC 警告が表示されます。UAC 警告をクリックしない限り攻撃を受けません。
Re:さすが俺達のUAC (スコア:2)
マイクロソフトの免罪符にはなるでしょうけれど、コンピュータをあまり知らない人にとって、
クリックひとつの防御でどれだけ効果的か疑問です。研究とかあるのでしょうか。
Windows 7で，マイクロソフトからダウンロードした書名入りのMicrosoft Security Essentialsをインストールするときにも警告がでます。
警告に慣れっこになっている可能性があります。
＃ないよりはマシとは思います。
Re:さすが俺達のUAC (スコア:1)
警告を無視するのに慣れている可能性って....
慣れ切ってるに決まってるじゃん。
それこそOfficeのマクロが入ってます警告だって、あんなもんが出たから何か確認しようって奴いる？
私は一部上場企業だし、海外企業の外国人とメールや書類のやり取りをする事も多いけど、「お前の書類にマクロが入ってると出たけど、大丈夫なんだろうな？」と聞かれたことは一度もない。
みんな確認もせず普通に開いてるよ。
このファイルはインターネットからダウンロードされました警告だって、自分で作ったメモ程度のExcelファイルすらインターネットからダウンロードされたと警告が出るわけで、ユーザーとしては「うるさい馬鹿」としか思わない。
Re: (スコア:0)
メーカーとしては警告したんだから後は俺らの責任じゃないって言い逃れできるからつけてるだけ
ユーザーにとっては目障りなだけでとくに安全になるわけではないです
Re: (スコア:0)
> 研究とかあるのでしょうか。
私も知りたいですねぇ。
UACに限らず、パスワード入力だって慣れてしまえば無意味。
現状、バイオメトリクス認証ぐらいしかないんじゃないですかねぇ。
#iPhoneのホームボタン=指紋認証というのは、秀逸なデザインだと思う。
#パソコンで言えば、電源ボタン=指紋認証みたいなもの？
#或いは、Enterキー=指紋認証か。
Re: (スコア:0)
>マイクロソフトの免罪符にはなるでしょうけれど、
ならない。
現状のように安全なファイルにものべつ幕無しに警告を出すようなシステムでは、慣習上警告に実質的な意味は無いとユーザーは認識している。裁判とか、法的な場所ではこの警告は意味無しと判断されるのが落ち。
実質的な価値としては、こう言う警告が出まくってるからMSはセキュリティに真剣に取り組む企業だと頭の悪い一部の信者に思い込ませるのが関の山かな。
Re:さすが俺達のUAC (スコア:1)
「警告が出ますが安全なので『はい』をクリックしてください」
〜◍
Re: (スコア:0)
無効にするポリシー強制の組織があるのだが。
何かにつけてWinバグ言いまくる。
お前ら自身がバグだ。
おれおれコード (スコア:1)
思ったよりつまんなかったので Anonymousで。
だいじょうぶ (スコア:1)
『パワーポイントという特殊なソフトウェア』がターゲットなら大丈夫だね！（大いなる誤解
パワーポイント以外では (スコア:0)
親コメはネタ発言だろうけど、ここにぶら下げ。
パワーポイント以外では、どんなソフトが危険なのでしょうか？
自宅にオフィス系ソフトは入れてないものの、ちょっと心配なので。
Re: (スコア:0)
OLE は、一般的なところでは、ExcelやWordのデータを編集可能な状態で他の文書編集アプリにコピペしたりする場合に
内部的に利用されています。
なので、潜在的には、Word, Excelはもちろん、一太郎とかそういうソフトでも攻撃対象にはできるんじゃないかと思います。
Re: (スコア:0)
OLEはIEも使ってるわけですが、真っ先に検討されるはずのIEがアドバイザリで言及されていないことから、攻撃シナリオに条件があるのでしょうね。
Re: (スコア:0)
プレゼンテーションモードじゃないかな。
ファイルを開いてマクロ実行許可してる状態みたいなもんだから。
IEは通常ゾーンだと保護モードあるし権限低かったような。
Re: (スコア:0)
素人が購入することは考えにくい専門的なソフト [srad.jp]なんですね、わかります。
影響は小さいかも (スコア:0)
一般人が利用しているHomePremiumには
PowerPointが入っていないし
Windows8.1ProでPowerPointViewerを利用しているPCに
Fixitを当てようとしたら対象外となりました
PowerPointViewerなしのWindows8.1Proも対象外です
企業はポリシーやSUSで対応できるでしょうし
大手広告代理店の下請けくらいしか
喰らわんのではないでしょうかね
もっとも確認されている攻撃がPowerPoint経由というだけで
他の経路からOLEのこの脆弱性をつつけるなら
話は変わってきそうですが
現在のところ影響は小さいかも？
という印象です
Re: (スコア:0)
追記：Windows8.1Proはx64での環境です
Re: (スコア:0)
64はまだ一般的じゃないので普通の人には影響ないってことですね
Re:影響は小さいかも (スコア:2)
X64用コードを書くのが一般的ではない、という事なのだろうか。
Re: (スコア:0)
へ？影響ないこたーないだろ
家電メーカー製のPCは軒並み64だし、Officeはもちろんパワポも完備ですけど
Re: (スコア:0)
Re: (スコア:0)
・セキュリティ アドバイザリを読む限りOfficeの脆弱性でなくWindowsの脆弱性
・OLEはWindowsの機能で、それをOfficeが利用している
・PowerPointを使った標的型攻撃が発生している
素人考えだとWindowsに対策をしないとマズいような気がするんだけど
MSから出てるfixitはOfficeを導入していないWindowsに適用できない模様。
これって・・・
・Officeを導入してないWindowsはOLEの脆弱性がない
・Officeを導入してないWindows環境なんてあり得ない、パッチ当てたきゃOffice買え
・とりあえずOffice周りだけ対策しときゃ確認済みの攻撃は防げるから時間稼ぎにはなるだろう
のどれなんでしょ？
Re: (スコア:0)
#2699598です
パッチを当てて弾かれた状況への見解です
> ・Officeを導入してないWindowsはOLEの脆弱性がない
これは検証できませんでした
> ・Officeを導入してないWindows環境なんてあり得ない、パッチ当てたきゃOffice買え
> ・とりあえずOffice周りだけ対策しときゃ確認済みの攻撃は防げるから時間稼ぎにはなるだろう
ViewerとはいえPowerPointあり且つ
Office Personal 2013(プリインストール)入りの
Windows8.1 Pro x64でしたので
この線はなさそうです
これで穴ふさがってないなら
OLE orz
Re: (スコア:0)
その妄想、カルマは上がりますか？
発見者はGoogle？ (スコア:0)
Microsoftのアドバイザリの謝意の欄にGoogle Security Teamの名前がありますね。
Googleは以前からWindowsの脆弱性を頻繁に発見しています。過去にこんなタレコミ [srad.jp]も。
GoogleのWindows製品なんてChromeくらいだと思うんだけど、いったいWindowsで何をしてるんですかね？
Re:発見者はGoogle？ (スコア:1)
Re: (スコア:0)
Picasaもありましたね。それにしても、ChromeやPicasaを開発していてたまたま見つけているにしては数が多すぎる気がします。
ネットワークトラフィックを監視して発見されたゼロデイ攻撃を解析していんでしょうかね。
Re: (スコア:0)
よくわからんけど、何が不満なの？
Re: (スコア:0)
気になるんでしょう。
googleがWindowsの脆弱性を見つけるためにリソースを割いているのか、
何か別のことをしているリソースが副次的にWindowsの脆弱性を見つけているのか。
前者ならそこで話は終わりですが、googleがWindows上に展開している製品は多くない。
googleがWindowsの脆弱性を見つけるためだけにリソースを割くのは不自然に思える。
後者だとしたら、では実際には何をやっているのかと話が膨らむわけで。
雑談サイトとしては後者のほうがおもしろい。
Re: (スコア:0)
プライバシー機能迂回をやったよね。IEで。
Safariもやられてたような。
Re: (スコア:0)
単純に不思議じゃありません？ 不思議に思わないのが不思議なんですが。
Re:発見者はGoogle？ (スコア:1)
逆に全く不思議に思わない派です。
「世界政府が存在するとしたら、そこで必要なものは
全部Googleが作ってみせる」とか言っちゃう連中です。
現行の事業と関連のあるところにしかリソースを割かない、
なんて考えを持っているわけがない。
Re: (スコア:0)
これはGoogleとMcAfeeが頑張っただけでしょ
# 見つからず、ひそかに攻撃されてたほうがよかったとでも？
Google Dirve(Docs？)を含むオンラインストレージは不正なファイルの温床とか言われた時期があったから
怪しい通信でも確認してるんじゃないの？
Re:発見者はGoogle？ (スコア:2)
McAfeeは本業だけど、Googleがセキュリティを本業にする意味が見えないから不思議に思ってるだけでしょう。
もちろんGoogle Slidesで妙な挙動のファイル見つけて解析した結果かもしれませんが。
Re: (スコア:0)
Officeをウェブに持って来たいGoogleとしては、Windows/MS Officeは競合としてチェックすべきものだからじゃないかな。
社員のマシンはすでにWindowsは申請しないと使えないシロモノらしいし。Macか独自Ubuntuがメインなんだっけ。
ChromePCでコード書いてたりするのかな・・・
ライバルにも見つけた脆弱性をちゃんと報告してあげるGoogleはえらい。
Re: (スコア:0)
インターネットが安全に使えなきゃgoogleは商売上がったり。
そんなわけで、Windowsに限らず自社含め様々なソフトウェア（に限らず？）の脆弱性調査をしてる。
Re: (スコア:0)
いまは、通過するファイルを片っ端からサンドボックスで動的解析してくれるソフトウェアが結構ありますからね。
特に、どこの製品のどのファイルって意識してなくとも、あやしさをスコアリングしてくれるものがありますよ
Googleくらいだと独自でやるのかもしれませんが
FireEyeのVXEとかPaloaltoのWildFireとか
TRENDMICROやCheckpoint、VMwareベースのものもあったと思う。
Re: (スコア:0)
嬉々として喜び踊る信者がいるから
Re: (スコア:0)
Google日本語入力は？
世界的ではないけども
やっぱりWindows製品は安全だった！ (スコア:0)
やっぱりWindows製品は安全だった！
Re: (スコア:0)
Windowsの脆弱性のことを言っているのに何を言っているんでしょうか。
#お前なんかマジレスで十分だ。
Re: (スコア:0)
ここは酷いインターネッツですね
# ベタにマジレスカコワルイ
Re: (スコア:0)
Macの方が安全に決まってるだろ。
# 次の方のコメントに期待。
Re: (スコア:0)
オープンソースは危険！！
Re: (スコア:0)
XPは危険。はやくセブン以上にすれ！
Vistaは使いやすいぞ！笑い
Re: (スコア:0)
みんなナデラも驚くええ仕事してるね
社内カルマたまるよ