OutlookにCVSS9.8の脆弱性 容易に悪用可能のため直ちに更新を

Windows版のMicrosoft Outlookに深刻度が緊急の脆弱性が存在することが明らかになった。すでに悪用が確認されており注意が必要。該当する製品を使っている場合には直ちに対処することが望まれる。

[後藤大地，有限会社オングス]

　Microsoftは2023年3月14日（現地時間）、「Windows」版の「Microsoft Outlook」（以下、Outlook）に深刻度「緊急」（Critical）の権限昇格の脆弱（ぜいじゃく）性が存在すると伝えた。

　この脆弱性は「CVE-2023-23397」として特定されている。既に悪用が確認されているため、該当製品を使用している場合は直ちにアップデートを適用してほしい。

Outlookに深刻度「緊急」の脆弱性が見つかった（出典：MicrosoftのWebサイト）

Outlookに緊急の脆弱性　CVSSv3スコアは9.8

　Microsoftによると、サイバー攻撃者はCVE-2023-23397を悪用し、細工した電子メールを送信する。これを受信するとユーザー側で操作することなく、攻撃者側にNTLM認証情報を含むデータが送信される。同社はこのように悪用が容易なことから、脆弱性の深刻度を共通脆弱性評価システム（CVSS）v3スコアで9.8で「緊急」（Critical）と評価している。

　Microsoftはこの脆弱性の影響を受けるかどうかを判定できるスクリプトを提供している。該当製品を使用している場合、スクリプトを使って影響を受けるかどうかをチェックしてほしい。

　なお、影響を受けるのはWindows版のOutlookとされている。「Android」や「iOS」「Mac」「Outlook on the Web」「M365サービス」といった他のOutlookでは影響を受けないとされている。Microsoftは既に問題を修正したバージョンを公開しているので、該当製品を使用している場合は最新版に直ちにアップデートしてほしい。