Office数式エディタに対する脆弱性攻撃 - サンドボックス回避のおそれも

2017年11月に修正されたOfficeの数式エディタに関する脆弱性「CVE-2017-11882」を悪用したあらたな攻撃キャンペーンが確認された。

請求書を装い、細工したExcelファイルを送りつけるあらたな攻撃キャンペーンをSANSのセキュリティ研究者が確認したもの。問題のファイルは、数式エディタの脆弱性を悪用し、トロイの木馬「Razy」をインストールさせようとするものだった。

問題のファイル内では「このファイルはオンライン版で作成されている」などと説明。制限された機能を許可するよう求め、数式エディタを起動させようとしていた。

「CVE-2017-11882」は、2017年11月に修正された脆弱性。公開直前にサポートが終了した「Office 2007」に対しても、例外的にアップデートが公開されている。

「CVE-2017-11882」のアドバイザリ（画像：MS）

（Security NEXT - 2018/10/12 ）ツイート