Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Outlook」の脆弱性、メールプレビューで情報漏洩 - パスワードクラックのおそれも

「Outlook」で悪意あるメールをプレビューを開くと、ユーザー名やパスワードハッシュなどの情報が取得されるおそれがあることがわかった。複雑ではないパスワードを用いている場合、短期間で解読されるおそれもあるとしてセキュリティ機関が注意を呼びかけている。

20180411_ms_002.jpg
影響を受ける製品(表:MS)

悪用の危険性が指摘された脆弱性は、「CVE-2018-0950」。

同脆弱性は、CERT/CCの研究者がMicrosoftに報告したもの。深刻度は「重要」ながら、悪用が容易であり、CERT/CCからも注意が呼びかけられている。

「Outlook」においてプレビューでRTFファイルを表示する際、確認のアラートを表示することなく、リモートよりOLEコンテンツを取得するという。

OLEコンテンツがSMBサーバでホストされている場合、自動的に接続してシングルサインオンを用いて認証を試行し、IPアドレスやドメイン名、ユーザー名やホスト名、パスワードハッシュなどが取得されるおそれがある。複雑なパスワードを用いていない場合、短期間で解読されるおそれがあるとしている。

またほかの脆弱性を組み合わせることで、ブルースクリーンによるサービス拒否も発生させることが可能だという。

脆弱性の報告を受けたMicrosoftでは、4月10日に公開した月例セキュリティ更新で修正を実施。アップデートのリリース時点で悪用は確認されていないとしている。

プレビューを開く必要があることから、同社による深刻度は4段階中、上から2番目の「重要」とレーティングしている。一方、悪用可能性指標は、悪用される可能性が高い「1」とされており、今後の悪用が懸念される。

(Security NEXT - 2018/04/11 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Java SE」にアップデート - 脆弱性11件を解消
セキュリティ管理ツール「Juniper Security Director」に脆弱性
「Livewire」にRCE脆弱性 - すみやかにアップデートを
「Cisco ISE」にクリティカル脆弱性を追加 - 旧パッチでは未対処
「MS Edge」にアップデート - ゼロデイ脆弱性を解消
「Chrome」に脆弱性、すでに悪用も - アップデートが公開
「BIND 9」にDoSやキャッシュ汚染の脆弱性 - アップデートが公開
NVIDIAのコンテナ環境向けツールに脆弱性 - 「クリティカル」も
Oracle、四半期定例パッチを公開 - 脆弱性309件に対応
「Node.js」にアップデート - 複数の脆弱性に対応