リモートのmacOSまたはMac OS XホストにインストールされているMicrosoft Officeアプリケーションには、セキュリティ更新プログラムがありません。したがって、HTMLタグ経由で渡される入力が不適切に検証されているため、Microsoft Outlookでなりすましの脆弱性の影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、特定のHTMLタグを含むメールを送信して悪意のある認証プロンプトを表示し、ユーザーの認証情報やログイン資格情報にアクセスできるようになる可能性があります。

The Microsoft Office application, Office Web Apps, or SharePoint Server installed on the remote Windows host is missing a security update. It is, therefore, affected by multiple vulnerabilities :

  - An arbitrary code execution vulnerability exists in     Microsoft Outlook due to improper parsing of email     messages. An unauthenticated, remote attacker can     exploit this, via a specially crafted email message, to     execute arbitrary code. (CVE-2017-0106)

  - An information disclosure vulnerability exists in     Microsoft Office due to improper handling of objects in     memory. An unauthenticated, remote attacker can exploit     this, by convincing a user to open a specially crafted     Excel file, to disclose the contents of memory.
    (CVE-2017-0194)

  - A cross-site scripting (XSS) vulnerability exists in     Office Web Apps Server due to improper validation of     input before returning it to users. An authenticated,     remote attacker can exploit this, via a specially     crafted request, to execute arbitrary script code in a     user's browser session. (CVE-2017-0195)

  - An arbitrary code execution vulnerability exists in     Microsoft Office due to improper validation of input     before loading dynamic link library (DLL) files. An     unauthenticated, remote attacker can exploit this, by     convincing a user to open a specially crafted Office     document, to execute arbitrary code. (CVE-2017-0197)

  - An arbitrary code execution vulnerability exists in     Microsoft Office and Windows WordPad due to improper     validation of user-supplied input. An unauthenticated,     remote attacker can exploit this, by convincing a user     to open a specially crafted file, to execute arbitrary     code. Note that this vulnerability is being utilized to     spread the Petya ransomware. (CVE-2017-0199)

  - A security feature bypass vulnerability exists in     Microsoft Office due to improper parsing of file     formats. An unauthenticated, remote attacker can exploit     this, by convincing a user into opening a specially     crafted file, to bypass security features.
    (CVE-2017-0204)

  - A spoofing vulnerability in Microsoft Outlook due to     improper validation of input passed via HTML tags. An     unauthenticated, remote attacker can exploit this, by     sending an email with specific HTML tags, to display a     malicious authentication prompt and gain access to a     user's authentication information or login credentials.
    (CVE-2017-0207)

The Microsoft Office application installed on the remote macOS or Mac OS X host is missing a security update. It is, therefore, affected by a spoofing vulnerability in Microsoft Outlook due to improper validation of input passed via HTML tags. An unauthenticated, remote attacker can exploit this, by sending an email with specific HTML tags, to display a malicious authentication prompt and gain access to a user's authentication information or login credentials.

遠端 macOS 或 Mac OS X 主機上安裝的 Microsoft Office 應用程式缺少安全性更新。因此，會受到 Microsoft Outlook 中的一個偽造弱點影響，這是因為不當驗證透過 HTML 標記傳遞的輸入所致。未經驗證的遠端攻擊者可加以惡意利用，藉由傳送含有特定 HTML 標記的電子郵件來顯示惡意驗證提示，取得使用者驗證資訊或登入認證的存取權。

リモートWindowsホストにインストールされているMicrosoft Officeアプリケーション、Office Web Apps、またはSharePoint Serverにセキュリティ更新プログラムが入っていません。したがって、以下の複数の脆弱性による影響を受けます。

  - 不適切な電子メールメッセージの解析のために、Microsoft Outlookに任意のコードが実行される脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたメールメッセージを介して任意のコードを実行する可能性があります。（CVE-2017-0106）

  - メモリでオブジェクトが不適切に処理されているため、情報漏洩の脆弱性がMicrosoft Officeにあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたPDFファイルを開くようユーザーを誘導し、メモリの内容を開示する可能性があります。
    （CVE-2017-0194）

  - ユーザーに返す前に入力が不適切に検証されているため、クロスサイトスクリプティング（XSS）の脆弱性がOffice Web Apps Serverにあります。認証されたリモートの攻撃者がこれを悪用して、特別に細工されたリクエストを通じて、ユーザーのブラウザセッションで任意のスクリプトコードを実行できます。（CVE-2017-0195）

  - 動的リンクライブラリ（DLL）ファイルを読み込む前に、入力が不適切に検証されているため、任意のコードが実行される脆弱性がMicrosoft Officeにあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたOfficeドキュメントを開くようユーザーを誘導して、任意のコードを実行する可能性があります。（CVE-2017-0197）

  - ユーザー指定の入力が不適切に検証されているため、任意のコードが実行される脆弱性がMicrosoft OfficeおよびWindows WordPadにあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたファイルを開くようユーザーを誘導し、任意のコードを実行する可能性があります。この脆弱性はPetyaのランサムウェアを広めるために利用されています。（CVE-2017-0199）

  - ファイル形式が不適切に解析されているため、セキュリティ機能をバイパスする脆弱性がMicrosoft Officeにあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたファイルを開くようユーザーを誘導して、セキュリティ機能をバイパスする可能性があります。
    （CVE-2017-0204）

  - HTMLタグ経由で渡される入力が不適切に検証されているため、なりすましの脆弱性がMicrosoft Outlookにあります。認証されていないリモートの攻撃者がこれを悪用し、特定のHTMLタグを含むメールを送信して悪意のある認証プロンプトを表示し、ユーザーの認証情報やログイン資格情報にアクセスできるようになる可能性があります。
    （CVE-2017-0207）

遠端 Windows 主機上安裝的 Microsoft Office 應用程式、Office Web Apps 或是 SharePoint Server 缺少安全性更新。因此，該應用程式受到多個弱點影響：

  - Microsoft Outlook 中存在遠端程式碼執行弱點，這是因不當剖析電子郵件訊息所致。未經驗證的遠端攻擊者可利用此弱點，透過特製的電子郵件訊息來執行任意程式碼。(CVE-2017-0106)

  - Microsoft Office 中存在一個資訊洩漏弱點，這是因不當處理記憶體中的物件所導致。未經驗證的遠端攻擊者可加以惡意利用，誘騙使用者開啟特製的 Excel 檔案，藉此洩漏記憶體的內容。
    (CVE-2017-0194)

  - Office Web Apps Server 中存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證輸入便將其傳回給使用者所致。經驗證的遠端攻擊者可趁機透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2017-0195)

  - Microsoft Office 中存在一個任意程式碼執行弱點，這是因為載入動態連結程式庫 (DLL) 檔案之前未正確驗證輸入所致。未經驗證的遠端攻擊者可利用此弱點誘騙使用者開啟特製的 Office 文件，藉此執行任意程式碼。(CVE-2017-0197)

  - Microsoft Office 和 Windows WordPad 中存在一個任意程式碼執行弱點，這是因為不當驗證使用者提供的輸入所致。未經驗證的遠端攻擊者可惡意利用此問題，誘騙使用者開啟特製檔案，藉此執行任意程式碼。請注意，攻擊者正在利用此弱點擴散 Petya 勒索軟體。(CVE-2017-0199)

  - Microsoft Office 中存在一個安全性功能繞過弱點，這是因為不當剖析檔案格式所致。未經驗證的遠端攻擊者可加以惡意利用，誘騙使用者開啟特製的檔案，藉此繞過安全性功能。
    (CVE-2017-0204)

  - Microsoft Outlook 中存在一個偽造弱點，這是因為不當驗證透過 HTML 標記傳遞的輸入所致。未經驗證的遠端攻擊者可加以惡意利用，藉由傳送含有特定 HTML 標記的電子郵件來顯示惡意驗證提示，取得使用者驗證資訊或登入認證的存取權。
    (CVE-2017-0207)

远程 macOS 或 Mac OS X 主机上安装的 Microsoft Office 应用程序缺少安全更新。由于未正确验证通过 HTML 标记传递的输入，从而受到 Microsoft Outlook 中欺骗漏洞的影响。未经身份验证的远程攻击者可利用此问题，通过发送带有特定 HTML 标签的电子邮件，来显示恶意身份验证提示，并获得对用户身份验证信息或登录凭据的访问权。

远程 Windows 主机上安装的 Microsoft Office 应用程序、Office Web 应用或 SharePoint Server 缺少安全更新。因此，该服务器受到多个漏洞的影响：

  - 由于未正确分析电子邮件消息，Microsoft Outlook 中存在任意代码执行漏洞。未经认证的远程攻击者可利用此漏洞，通过特别构建的消息，执行任意代码。(CVE-2017-0106)

  - 由于未正确处理内存对象，Microsoft Office 中存在一个信息泄露漏洞。未经身份验证的远程攻击者可利用此问题，通过诱使用户打开特制 Excel 文件，从而泄露内存内容。
    (CVE-2017-0194)

  - 由于未正确验证输入便将其返回给用户，Office Web Apps Server 中存在跨站脚本 (XSS) 漏洞。经过身份验证的远程攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2017-0195)

  - 由于在加载动态链接库 (DLL) 文件之前未正确验证输入，Microsoft Office 中存在任意代码执行漏洞。未经身份验证的远程攻击者可利用此漏洞，通过诱使用户打开特制的 Office 文档，执行任意代码。(CVE-2017-0197)

  - 由于未正确验证用户提供的输入，Microsoft Office 和 Windows WordPad 中存在任意代码执行漏洞。未经身份验证的远程攻击者可利用此问题，通过诱使用户打开特制的文件，执行任意代码。请注意，此漏洞正被用来传播 Petya 勒索软件。(CVE-2017-0199)

  - 由于未正确分析文件格式，Microsoft Office 中存在安全功能绕过漏洞。未经身份验证的远程攻击者可利用此问题，通过诱使用户打开特制的文件，绕过安全功能。
    (CVE-2017-0204)

  - 由于未正确验证通过 HTML 标记传递的输入，Microsoft Outlook 中存在欺骗漏洞。未经身份验证的远程攻击者可利用此问题，通过发送带有特定 HTML 标签的电子邮件，来显示恶意身份验证提示，并获得对用户身份验证信息或登录凭据的访问权。
    (CVE-2017-0207)

ID	名稱	產品	系列	已發布	已更新	嚴重性
99313	Microsoft Officeのセキュリティ更新プログラム（2017年4月）（macOS）	Nessus	MacOS X Local Security Checks	2017/4/12	2019/11/13	medium
99314	Security Update for Microsoft Office Products (April 2017) (Petya)	Nessus	Windows : Microsoft Bulletins	2017/4/12	2023/6/16	high
99313	Security Update for Microsoft Office (April 2017) (macOS)	Nessus	MacOS X Local Security Checks	2017/4/12	2019/11/13	medium
99313	Security Update for Microsoft Office (April 2017) (macOS)	Nessus	MacOS X Local Security Checks	2017/4/12	2019/11/13	medium
99314	Microsoft Office製品のセキュリティ更新プログラム（2017年4月）（Petya）	Nessus	Windows : Microsoft Bulletins	2017/4/12	2023/6/16	high
99314	Microsoft Office 產品的安全性更新 (2017 年 4 月) (Petya)	Nessus	Windows : Microsoft Bulletins	2017/4/12	2023/6/16	high
99313	Security Update for Microsoft Office (April 2017) (macOS)	Nessus	MacOS X Local Security Checks	2017/4/12	2019/11/13	medium
99314	Microsoft Office 产品的安全更新（2017 年 4 月）(Petya)	Nessus	Windows : Microsoft Bulletins	2017/4/12	2023/6/16	high

偵測

搜尋 Plugin

medium

high

medium

medium

high

high

medium

high