自己報告によるバージョン番号によると、リモートホストで実行されている Microsoft SharePoint アプリケーションは、次の複数の脆弱性の影響を受けます。

 - 影響を受ける SharePoint Server に対する巧妙に作りこまれた Web リクエストを Microsoft SharePoint Server が適切にサニタイズしないとき、クロスサイトスクリプティング (XSS) の脆弱性があります。

 - Microsoft SharePointソフトウェアがアプリケーションパッケージのソースマークアップを検査しない場合に、リモートコード実行の脆弱性があります。

 - 安全でない ASP を適切に識別してフィルタリングできないとき、Microsoft SharePoint Server にリモートコード実行の脆弱性があります。

 - Microsoft SharePoint Serverが、影響を受けるSharePoint Serverに対する巧妙に作りこまれたWebリクエストを適切にサニタイズしない場合に、なりすましの脆弱性があります。

 - Microsoft SharePoint Serverがプロファイルデータを正しく処理できないとき、改ざんの脆弱性があります。

 - 安全でないデータ入力からAPIを適切に保護していないMicrosoft SharePointに、リモートでコードが実行される脆弱性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストへのMicrosoft Office Web Appsのインストールに、セキュリティ更新プログラムがありません。したがって、以下の複数の脆弱性による影響を受けます。

  - Microsoft Excelがメモリの内容を不適切に開示する際、情報漏洩の脆弱性が存在します。この脆弱性を悪用した攻撃者が、この情報を使用してユーザーのコンピューターまたはデータを侵害する可能性があります。（CVE-2020-1224）

  - Microsoft Wordソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、巧妙に作りこまれたファイルを使用して、現行ユーザーのセキュリティコンテキストでアクションを実行する可能性があります。たとえば、そのファイルは、現行ユーザーと同じアクセス許可を持つログオンユーザーの代わりに行動できます。（CVE-2020-1218、CVE-2020-1338）

  - Microsoft Excelソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、現行ユーザーのコンテキストで任意のコードを実行する可能性があります。現行ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。その後、攻撃者は、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。（CVE-2020-1335）

リモートホストにインストールされているMicrosoft SharePoint Serverに、セキュリティ更新プログラムが適用されていません。したがって、以下の複数の脆弱性による影響を受けます。

  - Microsoft SharePointソフトウェアがアプリケーションパッケージのソースマークアップを検査しない場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、SharePointアプリケーションプールとSharePointサーバーファームアカウントのコンテキストで任意のコードを実行する可能性があります。
    この脆弱性を悪用するには、巧妙に作りこまれたSharePointアプリケーションパッケージを、影響を受けるバージョンのSharePointにユーザーがアップロードする必要があります。セキュリティ更新プログラムは、SharePointがアプリケーションパッケージのソースマークアップを検査する方法を修正することにより、この脆弱性に対処しています。（CVE-2020-1200、CVE-2020-1210、CVE-2020-1452、CVE-2020-1453、CVE-2020-1576）

  - Microsoft SharePoint Serverがプロファイルデータを正しく処理できないとき、改ざんの脆弱性があります。
    この脆弱性の悪用に成功した攻撃者が、標的のユーザーのプロファイルデータを変更する可能性があります。（CVE-2020-1440、CVE-2020-1523）

  - 安全でないデータ入力からAPIを適切に保護していないMicrosoft SharePointに、リモートでコードが実行される脆弱性があります。この脆弱性の悪用に成功した攻撃者が、SharePointアプリケーションプールとSharePointサーバーファームアカウントのコンテキストで任意のコードを実行する可能性があります。
    この脆弱性を悪用するには、影響を受けるバージョンのSharePointにある影響を受けやすいAPIに、特別にフォーマットされた入力でユーザーがアクセスする必要があります。このセキュリティ更新プログラムでは、SharePointが信頼できないデータの逆シリアル化を処理する方法を修正することにより、この脆弱性に対処しています。
    （CVE-2020-1595）

  - Microsoft SharePoint Serverが、影響を受けるSharePoint Serverに対する巧妙に作りこまれたWebリクエストを適切にサニタイズしない場合に、なりすましの脆弱性があります。認証された攻撃者がこの脆弱性を悪用して、影響を受けるSharePoint Serverに、巧妙に作りこまれたリクエストを送信する可能性があります。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現行のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。
    攻撃者が、読み取り許可が与えられていないコンテンツを読んだり、被害者の身分情報を利用し、被害者になりすましてSharePointサイトでアクション（アクセス許可の変更やコンテンツの削除など）を実行したり、ユーザーのブラウザに悪意のあるコンテンツを挿入したりする可能性があります。セキュリティ更新プログラムは、SharePoint ServerがWebリクエストを適切にサニタイズするよう徹底することにより、この脆弱性に対処しています。（CVE-2020-1205）

  - Microsoft SharePoint Serverが、安全でないASP.Net Webコントロールを適切に識別してフィルタリングできないとき、リモートでコードが実行される脆弱性がMicrosoft SharePoint Serverにあります。この脆弱性の悪用に成功した認証された攻撃者は、特別に細工されたページを使用して、SharePointアプリケーションプールプロセスのセキュリティコンテキストでアクションを実行する可能性があります。（CVE-2020-1460）

  - Microsoft Wordソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、巧妙に作りこまれたファイルを使用して、現行ユーザーのセキュリティコンテキストでアクションを実行する可能性があります。たとえば、そのファイルは、現行ユーザーと同じアクセス許可を持つログオンユーザーの代わりに行動できます。（CVE-2020-1218、CVE-2020-1338）

  - 影響を受けるSharePoint Serverに対する巧妙に作りこまれたWebリクエストをMicrosoft SharePoint Serverが適切にサニタイズしないとき、クロスサイトスクリプティング（XSS）の脆弱性があります。認証された攻撃者がこの脆弱性を悪用して、影響を受けるSharePoint Serverに巧妙に作りこまれたリクエストを送信する可能性があります。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現行のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。攻撃者は読み取り許可が与えられていないコンテンツを読んだり、被害者の身分情報を利用し、被害者になりすましてSharePointサイトでアクションを実行したり（権限の変更やコンテンツの削除など）、ユーザーのブラウザに悪意のあるコンテンツを挿入したりする可能性があります。セキュリティ更新プログラムは、SharePoint ServerがWebリクエストを適切にサニタイズするよう徹底することにより、この脆弱性に対処しています。（CVE-2020-1198、CVE-2020-1227、CVE-2020-1345、CVE-2020-1482、CVE-2020-1514）

  - Microsoft Excelソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、現行ユーザーのコンテキストで任意のコードを実行する可能性があります。現行ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。その後、攻撃者は、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。（CVE-2020-1335）

Microsoft Office製品に、セキュリティ更新プログラムがありません。したがって、以下の複数の脆弱性による影響を受けます。

  - Microsoft Excelがメモリの内容を不適切に開示する際、情報漏洩の脆弱性が存在します。この脆弱性を悪用した攻撃者が、この情報を使用してユーザーのコンピューターまたはデータを侵害する可能性があります。（CVE-2020-1224）

  - Microsoft Excelソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、現行ユーザーのコンテキストで任意のコードを実行する可能性があります。現在のユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。攻撃者が、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。（CVE-2020-1193、CVE-2020-1332、CVE-2020-1335、CVE-2020-1594）

  - Microsoft Wordソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、巧妙に作りこまれたファイルを使用して、現行ユーザーのセキュリティコンテキストでアクションを実行する可能性があります。たとえば、そのファイルは、現行ユーザーと同じアクセス許可を持つログオンユーザーの代わりに行動できます。（CVE-2020-1218、CVE-2020-1338）

Microsoft Office 製品に、セキュリティ更新プログラムがありません。したがって、以下の複数の脆弱性による影響を受けます。

  - Microsoft Excelがメモリの内容を不適切に開示する際、情報漏洩の脆弱性が存在します。この脆弱性を悪用した攻撃者が、この情報を使用してユーザーのコンピューターまたはデータを侵害する可能性があります。（CVE-2020-1224）

  - Microsoft Excelソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、現行ユーザーのコンテキストで任意のコードを実行する可能性があります。現在のユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。攻撃者が、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。（CVE-2020-1193、CVE-2020-1332、CVE-2020-1335、CVE-2020-1594）

  - Microsoft Wordソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、巧妙に作りこまれたファイルを使用して、現行ユーザーのセキュリティコンテキストでアクションを実行する可能性があります。たとえば、そのファイルは、現行ユーザーと同じアクセス許可を持つログオンユーザーの代わりに行動できます。（CVE-2020-1218、CVE-2020-1338）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112583	Microsoft SharePoint Server 2019 < 16.0.10366.12106 の複数の脆弱性	Web App Scanning	Component Vulnerability	2020/9/9	2024/1/19	critical
112584	Microsoft SharePoint Server 2013 < 15.0.5275.1001 の複数の脆弱性	Web App Scanning	Component Vulnerability	2020/9/9	2024/1/19	critical
112582	Microsoft SharePoint Server 2016 < 16.0.5056.1001 の複数の脆弱性	Web App Scanning	Component Vulnerability	2020/9/9	2024/1/19	critical
112585	Microsoft SharePoint Server 2010 < 14.0.7260.5000 の複数の脆弱性	Web App Scanning	Component Vulnerability	2020/9/9	2024/1/19	critical
140431	Microsoft Office Web Appsのセキュリティ更新プログラム（2020年9月）	Nessus	Windows : Microsoft Bulletins	2020/9/8	2024/2/21	high
140521	Microsoft Sharepoint Server 2019のセキュリティ更新プログラム（2020年9月）	Nessus	Windows : Microsoft Bulletins	2020/9/11	2024/6/6	critical
140430	Microsoft Office製品のセキュリティ更新プログラム（2020年9月）	Nessus	Windows : Microsoft Bulletins	2020/9/8	2024/2/21	high
162038	Microsoft Office 製品 C2R のセキュリティ更新プログラム (2020 年 9 月)	Nessus	Windows	2022/6/10	2024/1/1	high

検出

プラグインの検索

critical

critical

critical

critical

high

critical

high

high