Office Open XML、ファイルへの署名が無意味になる脆弱性
Ecma/ISO で標準化されている Office Open XML (OOXML) 署名に仕様上およびアプリケーションでの実装上の問題が見つかり、Microsoft が修正したそうだ
(論文アブストラクト、
The Register の記事、
論文: PDF)。仕様上の問題の中心となるのは、部分署名であることだ。これにより、署名済みのファイルに署名のないファイルを追加してドキュメントの代わりに表示させたり、署名済みのバイナリ形式の古い Word ドキュメント (.doc) を未署名の .docx ファイルに追加することでドキュメントが署名されているように見せかけたりすることも可能だという。
OOXML 署名は Microsoft Office と OnlyOffice Desktop が使用しているが、macOS 版 Microsoft Office では署名の確認が全く行われず、後述する実装上の問題を含めてすべての攻撃が成功するとのこと。実装上の問題は署名が確実に検証されないことで、ODF など XML 署名を使用する他のアプリケーションのドキュメントファイルから取り出して任意の署名入り OOXML ドキュメントを作成できる。また、ファイルの修復機能を悪用することで、生成された一時ファイルで署名が有効であるかのように見せかけることができる。
この問題を発見したドイツ・ルール大学ボーフムの研究グループは、事前に Microsoft と OnlyOffice、ISO/IEC JTC 1/SC 34 へ連絡し、調整を行ってから脆弱性を公表している。この過程で Microsoft は問題を認識し、報奨金プログラムの対象にもしたが、即時に対応が必要な問題ではないとして修正を行わない意思を示したそうだ。ただし、The Register が本件の記事を掲載した日の夜、Microsoft はすべてのサポートされる月次チャネル版 Office で問題を修正済みだとThe Register に連絡してきたとのことだ。
すべて読む
| セキュリティセクション
| セキュリティ
| マイクロソフト
| ソフトウェア
| バグ
| 暗号
|
関連ストーリー:
Microsoft Office、インターネットから取得したマクロのデフォルトブロック再開へ
2022年07月23日
Microsoft、サポート診断ツールのゼロデイ脆弱性を認める
2022年06月03日
Microsoft Defender for Endpoint、Office コンポーネントについて誤ったランサムウェア警告を表示するトラブル
2022年03月19日
Officeの更新プログラムを導入するとAccessでクエリエラーが発生するとの報告
2019年11月18日
Microsoft、Office 365の脆弱性を報告から7時間で修正していた
2016年05月02日
ついにMS Officeのドキュメントフォーマットが公開
2008年02月20日
Microsoft OOXMLのISO標準化、今回は否決
2007年09月05日
Microsoft Office Open XMLのISO標準化プロセス、難航か?
2007年02月11日
次期 NeoOffice は Office Open XML と Excel VBA 対応へ
2007年01月08日
Microsoft Office Open XML Formatsが標準規格として承認される
2006年12月08日
Microsoft OfficeでOpenDocument Formatサポートへ
2006年07月06日
米疾病予防センター (CDC) が有害な藻類や藍藻が大発生した水を避けるよう注意喚起している
(
欧州委員会は 14 日、オンライン広告テクノロジー事業における不公正なビジネス慣行について、Google への異議告知書送付を発表した
(
Atari が限定版として Atari 2600 用のカートリッジ式ゲーム「Mr. Run and Jump」を発売する
(
Western Digital 製ドライブを搭載する Synology の NAS 製品で、使用開始から 3 年ほどで累積通電時間が非常に長くなったとして交換の検討を推奨する「警告」ラベルが表示され、ユーザーを困惑させているそうだ
(
オーストラリア連邦裁判所は 5 日、Dell Australia が顧客をだますような価格表示により消費者法に違反したと判断し、差額の返金などを命じた
(
Google は 7 日、次期 Android 14 の 3 番目のベータ版となる Android 14 Beta 3 をリリースした
(
あるAnonymous Coward 曰く、
アナリティック企業 Antenna の調べによると、Netflix が米国のユーザーに同一世帯以外の人とのアカウント共有禁止を通知し始めた直後、米国でサインアップが急増したそうだ
(
Windows 11 のエクスプローラーではファイルのコンテキストメニューに「ZIPファイルに圧縮」という項目が追加されているが、英国英語版では「ZIP」が「postcode」(英国英語の「郵便番号」) と訳されていることが話題となっている
(
旧聞となってしまったが、1 年以上にわたって
Bing で一時、「chrome」を検索すると「Bing」の紹介が表示される状態になっていたそうだ
(
コンピュータープログラムの著作権保護期間は長すぎると The Register が主張している
(
米食品医薬品局 (FDA) がヤンセンバイオテック (J&J) の求めに応じ、同社の COVID-19 に対する緊急使用許可 (EUA) を取り消したそうだ
(
米国・サンフランシスコで Waymo の自律走行車が小さな犬に衝突する事故が起きたそうだ
(
米運輸省交通安全局 (NHTSA) は 5 月 31 日、新車への自動緊急ブレーキ(AEB)搭載を義務付ける立法案公告 (NPRM) を発表した
(
米テキサス北部地区連邦地裁の Brantley Starr 判事が自身の担当する訴訟について、提出文書に生成 AI を使用しないこと、または生成 AI を使用した提出文書の正確性を人の手で確認することを保証する文書を訴訟記録へ登録するよう、出廷するすべての弁護士や弁護士を立てない訴訟当事者に要件として義務付けた
(