MicrosoftがOfficeのRCE脆弱性24件を修正

過去最多となる 月例パッチ の公開から間を置かず、Microsoftは木曜日、30件を超える新たな脆弱性に対する修正プログラムを発表しました。

今回の修正の大半は、Officeスイートのセキュリティ上の欠陥に対処するものです。このうち24件は深刻度の高いリモートコード実行（RCE）の脆弱性で、6件前後はプレビューウィンドウ経由で攻撃される恐れがあります。

多くの場合、攻撃者が細工したファイル（悪意のあるドキュメントなど）を送り付け、受信者に開かせることが悪用の条件となります。

RCEの大半はバッファーオーバーフローが原因です。ほかにも、オフバイワン、use-after-free、パストラバーサル、数値の切り捨てに起因するエラーなどが複数含まれています。

修正が最も多かったのはWordで、Excel、Outlook、PowerPoint、SharePointは数件にとどまりました。

MicrosoftはRCEに加え、Officeスイートの複数の情報漏えいの脆弱性と、セキュリティ機能のバイパスの脆弱性も修正しました。

さらに、ASP.NET Coreのサービス拒否（DoS）の脆弱性、Identity Webの権限昇格の脆弱性、Node.js向けAuthentication Library（MSAL）の情報漏えいの脆弱性にも対処しました。

Microsoftによると、今回修正された脆弱性のうち、ゼロデイとして悪用が確認されたものはありません。

Microsoftは木曜日、10月13日に公開した数十件のセキュリティ情報も更新しました。Office LTSC for Mac 2021および2024、Office 365 for Mac向けのセキュリティ更新プログラムが公開されたことを利用者に知らせるためです。