Microsoftは、実際の攻撃で悪用が確認されたOutlookのゼロデイ脆弱性を修正し、利用者に対して速やかな更新適用を呼びかけた。細工されたファイルを開くと、警告を経ずに外部サーバへ接続し、Windowsの認証情報が漏えいする恐れがある。

台湾メディアのIT Homeによると、Microsoftは10日に配信した11月の月例セキュリティ更新で、Outlookの脆弱性を修正した。Microsoftはこの脆弱性について、すでに実際の攻撃で悪用が確認されているとしている。

この脆弱性を悪用すると、危険な外部接続に関する警告が表示されない可能性がある。攻撃者は特殊に細工したメッセージファイルを送り付け、受信者にOutlook上で開かせることで攻撃を成立させる。

ファイルが開かれると、Outlookは攻撃者が管理するネットワーク上の場所に接続する可能性があり、通常なら表示される外部コンテンツへのアクセス警告を経ずに通信が行われるおそれがある。

この過程で、Windows認証に使われるNTLMv2ハッシュが漏えいするリスクがある。攻撃者は取得したハッシュを使って利用者になりすましたり、別のシステムへの不正アクセスなど後続の攻撃につなげたりする恐れがある。

一方で、メールを受信しただけ、あるいはプレビューウィンドウで確認しただけでは攻撃は成立しない。実際に悪用されるには、利用者が改ざんされたファイルを開き、外部ネットワークへの接続が発生する必要があるという。

Microsoftはこの脆弱性をスプーフィングに分類し、共通脆弱性評価システム（CVSS）スコアを6.5、深刻度を「中」とした。ただ、修正プログラムの公開前から悪用されていたゼロデイであるため、早急な対応が必要となる。

影響を受ける製品は、法人向けのMicrosoft 365 Apps、Office LTSC 2021、Office LTSC 2024など。Windows Updateとは別に、Office向けのセキュリティ更新が適用されているか確認する必要がある。

11月の月例更新では、約1100件の脆弱性が修正された。セキュリティ企業Tenableの集計では1093件に上り、このうち63件は深刻度「緊急」に分類されたという。

米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）も、このOutlookの欠陥を「実際に悪用された脆弱性」リストに追加した。米連邦機関の対応期限は24日までとしている。

現時点で、攻撃主体や被害規模など、具体的な被害事例は公表されていない。