Microsoft SharePoint ServerおよびMicrosoft Project Serverのセキュリティ更新プログラム（2018年3月）

high Nessus プラグイン ID 108298

Language:

概要

リモートホストのMicrosoft SharePoint ServerまたはMicrosoft Project Serverインストールは、複数の脆弱性の影響を受けます。

説明

リモートホストのMicrosoft SharePoint ServerまたはMicrosoft Project Serverインストールにセキュリティ更新プログラムがありません。したがって、複数の脆弱性の影響を受けます。 - Microsoft Officeソフトウェアが、メモリの内容を開示する可能性のある初期化されていない変数によって拘束されたメモリを読み取る場合、情報漏えいの脆弱性が存在します。この脆弱性を悪用した攻撃者が、拘束されたメモリを見る可能性があります。この脆弱性を悪用するには、ユーザーが、影響を受けるバージョンのMicrosoft Outlookで特別に細工されたファイルを開く必要があります。セキュリティ更新プログラムは、影響を受ける変数を適切に初期化することにより、この脆弱性に対応します。（CVE-2018-0919）- Officeソフトウェアがメモリでオブジェクトを適切に処理しないとき、リモートでコードが実行される脆弱性がMicrosoft Officeソフトウェアにあります。脆弱性の悪用に成功した攻撃者が、現在のユーザーのコンテキストで任意のコードを実行する可能性があります。現在のユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。攻撃者が、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。（CVE-2018-0922）- Microsoft SharePoint Serverがテナントのアクセス許可を適切に検証しないとき、権限の昇格の脆弱性があります。認証されていない攻撃者がこの脆弱性を悪用して、影響を受けるSharePoint Serverに特別に細工されたリクエストを送信する可能性があります。脆弱性の悪用に成功した攻撃者は、影響を受けるテナントに対し完全な権利を得られるようにアクセス許可を昇格させる可能性があります。これらの攻撃により、攻撃者が読み取り権限を与えられていないコンテンツを読み取ったり、アクセス許可を変更したり、コンテンツを編集したり削除したりする可能性があります。セキュリティ更新プログラムでは、SharePoint Serverがテナントのアクセス許可を適切にチェックできるようにし、この脆弱性に対処しています。（CVE-2018-0947）- 影響を受けるShrePoint erverに対する特別に細工されたWebSリクエストをMicrosoft SharePoint Serverが適切にサニタイズしないとき、権限の昇格の脆弱性があります。認証されていない攻撃者がこの脆弱性を悪用して、影響を受けるSharePoint Serverに特別に細工されたリクエストを送信する可能性があります。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現在のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。攻撃者が、読み取り許可が与えられていないコンテンツを読んだり、被害者の身分情報を利用し、被害者になりすましてSharePointサイトでアクション（アクセス許可の変更やコンテンツの削除など）を実行したり、ユーザーのブラウザーに悪意のあるコンテンツを挿入したりする可能性があります。このセキュリティ更新プログラムでは、SharePoint ServerがWebリクエストを適切にサニタイズできるようにすることにより、この脆弱性に対処しています。（CVE-2018-0909、CVE-2018-0910、CVE-2018-0911、CVE-2018-0912、CVE-2018-0913、CVE-2018-0914、CVE-2018-0915、CVE-2018-0916、CVE -2018-0917、CVE-2018-0921、CVE-2018-0923、CVE-2018-0944）