ご用心を！ まるで10年前か20年前にタイムスリップしたみたいだが、MicrosoftがMicrosoft Officeにおそろしいバグを見つけた。そのバグが正しく実行されると、どのバージョンのWindowsを使っていても、システム全体が乗っ取られてしまう。
このバグに関するMicrosoftからの情報開示はここにあるが、以下にその要点を挙げておこう：
- このバグの被害は至るところで起きうるが、今のところMicrosoftに報告されているのは“限定的で特定のターゲットへの”攻撃だけだ。
- 被害が起きうるのは、Windows VistaとWindows Server 2008、Windows 7、Windows 8、Windows Server 2012、そしてWindows RTだ。XPの名がないのはMicrosoftがもはやサポートしていないからだと思うが、この広がりを見ると、XPだけ無事ということはありえないだろう。
- このバグが正しく実行されると、現在のユーザが誰であれ、攻撃者はシステムに対してその人と同じパーミッションを与えられる。その人がアドミンだったら、攻撃者もアドミンの権利を持ち、コードの実行、アプリケーションのインストールなど、何でもできる。
- WindowのUser Account Control機能を有効にしていると、ファイルを実行してもよいか、というプロンプトが出る。それが確実に自分が指定したファイルでないかぎり、[はい]してはいけない。
- そのバグはPowerPointのOLEシステムにある。スプレッドシートなど、ほかのアプリケーションの文書をプレゼンに含めるためのシステムで、サンドボックス化は完璧と思われていたが、このたび、誰かが隙間を見つけてしまったらしい。
- Microsoftによると、ハックされたプレゼンテーションがユーザにメールで送られてくるし、また、Web上にあるハックされたプレゼンテーションもおそらく危険である。つまり、本当に信頼できるPowerPointプレゼンテーション以外は、開いてはいけない。
このバグは、どれぐらいおそろしいのか？ Microsoftはこう言っている（強調は本誌）:
この脆弱性の悪用に成功した犯人は、現在のユーザと同じユーザ権を取得する。現在のユーザが管理者の権限でログオンしていれば、この脆弱性の悪用に成功した犯人は、被害システムの完全なコントロールを得る。そして犯人は、プログラムをインストールしたり、データを見る・変更する・削除するなどしたり、すべてのユーザ権限を有する新しいユーザアカウントを作成したりできる。
では、どうしたらいいのか？
だいじょうぶ。次のようにすれば、あなたは安全だ:
1) 確実に信頼できるプレゼンテーションだけを開くこと。
2) User Account ControlのあるWindowsなら、それを有効にする（デフォルトで有効になっていることが多い）。これでバグが退治されるわけではないが、システムがファイルを実行しようとすると、ユーザの許可を求める大きなプロンプトが出る。よく分からないファイルに[はい]をしないように。
3) Microsoftからのアドバイスを読もう。公式のセキュリティアップデートが出るまでの暫定的なパッチも、ここで提供している。
[原文へ]
（翻訳：iwatani(a.k.a. hiwa)）
