JVNDB-2009-001894

Microsoft Office Web コンポーネントのスプレッドシート ActiveX コントロールに脆弱性

Microsoft が提供する Office Web コンポーネントに含まれるスプレッドシート ActiveX コントロールに脆弱性が存在します。

Microsoft が提供する Office Web コンポーネントに含まれるスプレッドシート ActiveX コントロールには、任意のコードが実行される脆弱性が存在します。なお、本脆弱性に対する攻撃活動が確認されています。

MSRC Blog によると、影響を受ける ActiveX コントロールは以下の製品によってインストールされる可能性があります：

Microsoft Office XP Service Pack 3, Microsoft Office 2003 Service Pack 3, Microsoft Office XP Web Components Service Pack 3, Microsoft Office Web Components 2003 Service Pack 3, Microsoft Office 2003 Web Components for the 2007 Microsoft Office system Service Pack 1, Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3, Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3, Microsoft Internet Security and Acceleration Server 2006, Internet Security and Acceleration Server 2006 Supportability Update, Microsoft Internet Security and Acceleration Server 2006 Service Pack 1, Microsoft Office Small Business Accounting 2006.

詳しくはベンダが提供する情報をご確認ください。

マイクロソフト

• Microsoft Internet Security and Acceleration Server 2004 Standard Edition
• Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition
• Microsoft Internet Security and Acceleration Server 2006 Standard Edition
• Microsoft Internet Security and Acceleration Server 2006 Enterprise Edition
• Microsoft Office 2007 用 Microsoft Office 2003 Web Components
• Microsoft Office 2003 
• Microsoft Office 2003 (small_business_accounting_2006) 
• Microsoft Office xp 
• Microsoft Office 2003 Web Components
• Microsoft Office xp Web Components

遠隔の第三者によって、ユーザの権限でコードを実行される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

マイクロソフト

• Microsoft Corporation : More information about the Office Web Components ActiveX vulnerability
• Microsoft Corporation : Microsoft Security Advisory 973472 Released
• Microsoft Security Advisory : 973472
• Microsoft Security Bulletin : MS09-043
• マイクロソフト セキュリティ アドバイザリ : 973472
• マイクロソフト セキュリティ情報 : MS09-043
• 絵でみるセキュリティ情報 : MS09-043e

富士通

• 富士通 セキュリティ情報 : TA09-223A

1. コード・インジェクション(CWE-94) [NVD評価]

1. CVE-2009-1136

1. JVN : JVNVU#545228
2. JVN : JVNTA09-223A
3. JVN Status Tracking Notes : JVNTR-2009-21
4. National Vulnerability Database (NVD) : CVE-2009-1136
5. JPCERT 緊急報告 : JPCERT-AT-2009-0017
6. US-CERT Cyber Security Alerts : SA09-223A
7. US-CERT Vulnerability Note : VU#545228
8. US-CERT Technical Cyber Security Alert : TA09-223A
9. IPA 緊急対策情報 : 20090812-ms09-043
10. Secunia Advisory : SA35800
11. SecurityFocus : 35642
12. VUPEN Security : VUPEN/ADV-2009-1867

• [2009年08月18日]
    掲載