Cisco Talosが指摘
TeamsやExcelが踏み台に？ macOS版Microsoftアプリの脆弱性とは
Cisco Talosは、macOS向けのMicrosoftのアプリケーションに関する脆弱性を報告した。Microsoft ExcelやMicrosoft Teamsといった主要ツール8個が対象になる。どのような脆弱性なのか。
Cisco Systemsのセキュリティ研究機関Cisco Talosは、「macOS」用のMicrosoftのアプリケーションに脆弱（ぜいじゃく）性があると警鐘を鳴らした。表計算ツール「Microsoft Excel」やWeb会議ツール「Microsoft Teams」など8つのアプリケーションが対象になる。この脆弱性が悪用されれば、ユーザーの権限が不正に利用される可能性がある。どのような脆弱性なのか。
macOS版Microsoftアプリケーションの脆弱性とは
AppleはMicrosoftなどサードパーティー製アプリケーションの利用に関して、アクセス制御を設けている。サードパーティー製アプリケーションがカメラやマイク、フォルダなどにアクセスするには、ユーザーの同意が必要だ。同意の要求はポップアップで表示される。macOSではサードパーティー製アプリケーションに不正なプログラムが入らないための対策も取られている。
Cisco Talos研究員のフランチェスコ・ベンベヌート氏によると、一連の対策は全て連携して動作することでシステムを保護できるようになっているが、プロセス空間（プログラムを実行するためのメモリの領域）に悪意のあるコードを挿入できれば、そのアプリケーションに付与された全ての権限の使用が可能になる。
macOSのセキュリティの仕組みは、アプリケーションが責任を持って権限を処理することで安全性が確保される考え方に基づいているとベンベヌート氏は指摘する。「その責任が果たされなければ、権限付与の仕組みが侵害され、アプリケーションは意図せず不正行為の踏み台となりかねない」（同氏）
Cisco Talosの調査によれば、対象となっているMicrosoftのアプリケーションでは攻撃者がライブラリ（プログラムの部品群）を挿入することで不正にアクセス許可を取得できる可能性がある。Cisco Talosが指摘した脆弱性には以下の「CVE」（Common Vulnerabilities and Exposures：脆弱性識別子）が割り当てられている。
- コラボレーションツール「Microsoft Teams」
- CVE-2024-41138
- CVE-2024-41145
- CVE-2024-42004
- プレゼンテーションツール「Microsoft PowerPoint」
- CVE-2024-39804
- デジタルノートツール「Microsoft OneNote」
- CVE-2024-41159
- 文書作成ツール「Microsoft Word」
- CVE-2024-41165
- メールクライアント「Microsoft Outlook」
- CVE-2024-42220
- 表計算ツール「Microsoft Excel」
- CVE-2024-43106
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly発 世界に学ぶIT導入・活用術
この記事の著者
関連記事
新着ホワイトペーパー PR
-
市場調査・トレンド
[パロアルトネットワークス株式会社] 現代の働き方に潜むセキュリティ課題とは？ 解消に導く2つの注目技術を解説 -
製品資料
[パロアルトネットワークス株式会社] 生成AIのセキュリティリスクにどう対処する？ 経営層が知るべきポイント -
製品資料
[パロアルトネットワークス株式会社] AIで真の包括的セキュリティを実現、ハイブリッドワーク時代に選ぶべきSASEとは -
市場調査・トレンド
[パロアルトネットワークス株式会社] 最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策 -
製品資料
[クラウドストライク合同会社] AIシステムのセキュリティを確保するためのプレイブック
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
2
なぜMicrosoftは「Rust」を標準言語に？ AIで進むC/C++書き換えの課題
-
3
PHPはそもそも必要か？ 脆弱性で問われる自社サイト安全性と保守負担のバランス
-
4
「顧客の声」は負担ではなく資産 サーモスのコンタクトセンターに見る未来の姿
-
5
「Copilot」がIT予算を食いつぶす？ 高額請求を招く課金体系と節約術
-
6
なぜデータの民主化は失敗するのか ゴールの誤りを正すAI活用の新アプローチ
-
7
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
8
Microsoft月例パッチ1400件超で過去最多 「限界点」を迎えたパッチ管理
-
9
なぜ「Claude Code」拡張は消しても危ないのか？ Cursorで不正版配信
-
10
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
顧客対応自動化の要点：RAGとデータ連携で“業務で使える生成AI”にする方法
-
3
侵入から横展開まで27秒の脅威にどう立ち向かう？ 防御のカギがEDRの理由
-
4
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
5
マンガで解説：情シスの負担を減らす「MDRサービスのインシデント対応」の中身
-
6
有識者が語る、中堅中小企業に求められる最新のサイバーセキュリティ対策とは
-
7
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
8
なぜAIは組織で定着しないのか？ 全社展開を阻む「3つの壁」と突破のヒント
-
9
ランサムウェア攻撃“究極の対策”はこれだ
-
10
パスワードレスへの移行で失敗しないためには？ 導入・運用上の注意点を解説
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー