Trusted Design

CVE-2016-7262 の詳細

CVEの情報

説明:
Microsoft Excel 2007 SP3, Excel 2010 SP2, Excel 2013 SP1, Excel 2013 RT SP1, Excel 2016, Office Compatibility Pack SP3, and Excel Viewer allow user-assisted remote attackers to execute arbitrary commands via a crafted cell that is mishandled upon a click, aka "Microsoft Office Security Feature Bypass Vulnerability."

CVE更新日: 2016-12-20 06:59:00.373000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.577330000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2016-7262に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2016-7262は、Microsoft Excelおよび関連製品におけるセキュリティ機能バイパスの脆弱性です。細工されたセルがクリックされた際に不適切に処理されることで、ユーザーの支援を伴うリモートからの任意のコマンド実行が可能となる「Microsoft Office セキュリティ機能バイパスの脆弱性」として知られています。

1.1 影響

認証されていない攻撃者が、悪意のあるExcelファイルをユーザーに開かせ、ファイル内の細工されたセルをクリックさせることで、Excelを実行しているユーザーの権限で任意のコマンドを実行できる可能性があります。これにより、機密性、完全性、可用性に高い影響を与える可能性があります。

1.2 深刻度

  • CVSS v3.1 ベーススコア: 7.8 (High)
    • CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
  • CVSS v2.0 ベーススコア: 6.8 (Medium)

この脆弱性は、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際に悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

不明。 Microsoft Office製品に影響を与えるため、サポートされているWindows OSが対象となります。

2.2 影響を受ける設定

以下のMicrosoft Office製品が影響を受けます。

  • Microsoft Excel 2007 SP3
  • Microsoft Excel 2010 SP2
  • Microsoft Excel 2013 SP1
  • Microsoft Excel 2013 RT SP1
  • Microsoft Excel 2016
  • Office Compatibility Pack SP3
  • Excel Viewer

3. 影響を受けた時の兆候

具体的な兆候は限定的ですが、攻撃が成功すると任意のコマンドが実行されるため、以下のような兆候が考えられます。

  • 予期しないプログラムの実行
  • システムの異常な動作
  • 不審なネットワーク通信
  • 例えば、CVE-2016-7262を悪用してMSHTAを呼び出し、HTAファイルをダウンロードするケースが報告されています。

4. 推奨対策

4.1 本対策

  • ベンダーであるMicrosoftの指示に従い、セキュリティ更新プログラムを適用してください。
  • この脆弱性に対応するMicrosoftのセキュリティ更新プログラムはMS16-148です。

4.2 暫定回避策（緩和策）

  • 信頼できないソースからのExcelファイルを開かないようにし、出所の不明なファイルのセルをクリックする際には注意を払ってください。
  • Excelマクロを無効にするか、ファイルアクセスを制限することを検討してください。

5. その他解説すべき観点

  • CISA Known Exploited Vulnerabilities (KEV) Catalogへの追加: CVE-2016-7262は、CISAのKnown Exploited Vulnerabilities (KEV) Catalogに2022年3月3日に追加されています。これは、この脆弱性が実際に攻撃で悪用されている確かな証拠があることを示しており、迅速な対処が強く推奨されます。
  • ユーザーの操作が必要: この脆弱性を悪用するためには、ユーザーが悪意のあるExcelファイルを開き、細工されたセルをクリックするという操作が必要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る