Microsoft Skype for Business および Microsoft Lync、Microsoft Live Meeting のセキュリティ更新プログラム（2017 年 9 月）

high Nessus プラグイン ID 103123

Language:

概要

リモートホスト上のMicrosoft Skype for BusinessまたはMicrosoft LyncまたはMicrosoft Live Meetingのインストールは、複数の脆弱性の影響を受けます。

説明

リモートホスト上のMicrosoft Skype for BusinessまたはMicrosoft LyncまたはMicrosoft Live Meeting installationにセキュリティ更新プログラムが入ってません。したがって、複数の脆弱性の影響を受けます：- Windows Uniscribeがメモリの内容を不適切に開示する場合、情報漏えいの脆弱性が存在します。この脆弱性を悪用した攻撃者が、ユーザーシステムをさらに侵害する情報を取得する可能性があります。攻撃者がこの脆弱性を悪用する方法は複数あります。たとえば、ユーザーに特別な細工をしたドキュメントを開かせたり、ユーザーを信頼できないWebページに誘導するなどです。この更新プログラムは、Windows Uniscribeがメモリ上のオブジェクトを処理する方法を修正することにより脆弱性に対応します。（CVE-2017-8695）- Windowsグラフィックデバイスインターフェイス（GDI）がメモリ内のオブジェクトを処理する方法に情報漏えいの脆弱性が存在し、攻撃者は対象システムから情報を取得することができます。それ自体は任意のコードの実行を許可するものではありませんが、攻撃者が別の脆弱性と組み合わせて使用すると、任意のコードが実行される可能性があります。この脆弱性を悪用するには、攻撃者は影響を受けるシステムにログオンし、特別な細工をしたアプリケーションを実行する必要があります。影響を受ける製品の表に重大度がクリティカルと示されている場合、プレビューペインはこの脆弱性の攻撃経路です。セキュリティ更新プログラムは、GDIによるメモリアドレスの処理方法を修正することによりこの脆弱性に対応します。（CVE-2017-8676）- Windows Uniscribeがメモリ内のオブジェクトを処理する方法のために、リモートでコードが実行される脆弱性が存在します。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムを乗っ取る可能性があります。攻撃者が、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。システムで、ユーザー権限の設定がより制限されたアカウントを持つユーザーは、管理者ユーザー権限で操作を行うユーザーよりも、受ける影響が少なくなる可能性があります。攻撃者がこの脆弱性を悪用する方法は複数あります。Webベースの攻撃シナリオでは、攻撃者はこの脆弱性を悪用するように設計された特別なWebサイトをホストし、ユーザーにWebサイトを表示させることができます。攻撃者は、攻撃者が制御するコンテンツをユーザーに表示させるよう強制することはできません。代わりに、攻撃者は、ユーザーが攻撃者のWebサイトを閲覧するために電子メールまたはインスタントメッセージのリンクをクリックするか、電子メールで送信された添付ファイルを開くように誘導します。ファイル共有攻撃のシナリオでは、攻撃者はこの脆弱性を悪用するように設計された特別な細工をした文書ファイルを提供し、ユーザーが文書ファイルを開くよう誘導します。セキュリティ更新プログラムは、Windows Uniscribeがメモリでオブジェクトを処理する方法を修正することによりこの脆弱性に対応します。(CVE-2017-8696)