MicrosoftはCVE-2023-36884を悪用する攻撃のリスクを減らすために、セキュリティ対策リストを公開した。同社はその中で、特に以下の対策を推奨している。

• Microsoft 365において、全てのOfficeアプリケーションによる子プロセス（親プロセスから起動されるプロセス）の作成をブロックする「攻撃面の縮小（ASR）ルール」を設定すること
  • それができない場合は、レジストリキー「FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATION」を設定すること
    • FEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATIONは、Officeアプリケーションがファイル共有用プロトコルを通じてファイルを受信できないようにするかどうかを判別するレジストリキー。
• セキュリティ機能「Microsoft Defender Antivirus」（Microsoft Defenderウイルス対策）を使用すること
  • Microsoft Defender Antivirusは、MicrosoftのDaaS（Desktop as a Service）「Windows 365 Cloud PC」のセキュリティ機能の一つ。

　セキュリティベンダーRapid7のリスク管理責任者、アダム・バーネット氏は今回の脆弱性について「かなりの数の企業が不安を感じている」とみる。業種や規模を問わない企業がMicrosoft Officeを広く導入しているため、脆弱性の影響が広がりやすいからだ。CVE-2023-36884を悪用した攻撃のリスクを減らすために、「企業は細心の注意を払うべきだ」とバーネット氏は注意喚起する。

　Microsoftは2023年7月のセキュリティアップデートで、CVE-2023-36884以外にも約130種類の脆弱性情報を公開した。主な脆弱性は以下の通りだ。

• CVE-2023-32046
  • マークアップ言語「HTML」形式ファイルの文字・画像配置計算プログラム「MSHTML」における権限昇格（EoP）に関する脆弱性
• CVE-2023-32049
  • セキュリティツール「Microsoft Defender SmartScreen」のセキュリティ機能バイパス（SFB：セキュリティ機能の回避）を可能にする脆弱性
• CVE-2023-35311
  • メールクライアント「Microsoft Outlook」のSFBを可能にする脆弱性
• CVE-2023-36874
  • アプリケーションのエラー報告ツール「Windows Error Reporting Service」のEoPに関する脆弱性

　第3回は、Microsoftが公表した“もう一つのセキュリティ問題”を取り上げる。