Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Outlook」の脆弱性、メールプレビューで情報漏洩 - パスワードクラックのおそれも

「Outlook」で悪意あるメールをプレビューを開くと、ユーザー名やパスワードハッシュなどの情報が取得されるおそれがあることがわかった。複雑ではないパスワードを用いている場合、短期間で解読されるおそれもあるとしてセキュリティ機関が注意を呼びかけている。

20180411_ms_002.jpg
影響を受ける製品(表:MS)

悪用の危険性が指摘された脆弱性は、「CVE-2018-0950」。

同脆弱性は、CERT/CCの研究者がMicrosoftに報告したもの。深刻度は「重要」ながら、悪用が容易であり、CERT/CCからも注意が呼びかけられている。

「Outlook」においてプレビューでRTFファイルを表示する際、確認のアラートを表示することなく、リモートよりOLEコンテンツを取得するという。

OLEコンテンツがSMBサーバでホストされている場合、自動的に接続してシングルサインオンを用いて認証を試行し、IPアドレスやドメイン名、ユーザー名やホスト名、パスワードハッシュなどが取得されるおそれがある。複雑なパスワードを用いていない場合、短期間で解読されるおそれがあるとしている。

またほかの脆弱性を組み合わせることで、ブルースクリーンによるサービス拒否も発生させることが可能だという。

脆弱性の報告を受けたMicrosoftでは、4月10日に公開した月例セキュリティ更新で修正を実施。アップデートのリリース時点で悪用は確認されていないとしている。

プレビューを開く必要があることから、同社による深刻度は4段階中、上から2番目の「重要」とレーティングしている。一方、悪用可能性指標は、悪用される可能性が高い「1」とされており、今後の悪用が懸念される。

(Security NEXT - 2018/04/11 ) このエントリーをはてなブックマークに追加

PR

関連記事

「VMware SD-WAN Orchestrator」に複数脆弱性 - 修正版が公開
「Hibernate ORM」に「SQLインジェクション」の脆弱性
「Firefox 83」公開、HTTPS限定モードを追加 - 脆弱性21件を修正
「ウイルスバスタークラウド」に任意のファイルが削除できる脆弱性
Ciscoのセキュリティ管理製品に深刻な脆弱性 - 修正版にも脆弱性
凶暴性増すランサムウェアの裏側 - 今すぐ確認したい「意外な設定」
「Microsoft Edge」にアップデート - ゼロデイ脆弱性に対処
CPU消費電力から暗号化キー解析できる攻撃「PLATYPUS」が判明
「macOS High Sierra」「Mojave」向けにアップデート - ゼロデイ脆弱性を修正
Apple、「macOS Catalina 10.15.7」など公開 - ゼロデイ脆弱性3件を修正