Outlook の iCalendar セキュリティ誤検知：脆弱性 CVE-2023-35636 修正で紛れ込んだバグ

Microsoft Outlook December updates trigger ICS security alerts

2024/02/05 BleepingComputer — Microsoft の発表によると、2023年12月の Patch Tuesday の Office セキュリティ更新プログラムをインストールしたユーザーが、”.ICS” (Internet Calendaring and Scheduling) ファイルを開こうとすると、Outlook のセキュリティ警告が表示される問題があるようだ。この問題の影響を受けた Microsoft 365 ユーザーの報告によると、ローカルに保存された ICS ファイルをダブルクリックするとダイアログ・ボックスが現れ、”Microsoft Office は潜在的なセキュリティ上の懸念を特定した” や 、”この場所は安全ではない可能性がある” といったメッセージが表示されるという。

Microsoft のサポート・ドキュメントには、この “.ICS” ファイルを開く際の挙動は、想定された動作から外れるバグであり、将来のアップデートで対処される予定だと記されている。

さらに同社は、Microsoft Outlook の情報漏えいの脆弱性 CVE-2023-35636 を修正するための、セキュリティ更新プログラムを導入した後に、このセキュリティ警告が表示されることも明らかにした。

この脆弱性の悪用に成功した攻撃者は、悪意を持って細工したファイルをユーザーに開かせ、難読化された Windows の認証情報である、NTLM ハッシュを窃取する可能性がある。そして、このハッシュを使用して、侵害したユーザーの権限で認証し、機密データへのアクセス／ネットワーク上での拡散などを行う可能性がある。

​利用可能な回避策

影響を受けたユーザーに対して Microsoft が公開したのは、解決策が出るまでの一時的な回避策としての、セキュリティ通知を無効にするレジストリ・キーである。

しかし注意が必要なのは、この回避策を導入すると、ICS カレンダーだけではなく、他の全ての潜在的に危険なファイル形式に対する、セキュリティ・プロンプトも表示されなくなるという点だ。

この脆弱性の影響を受ける場合は、下記の指定箇所に DWORD キーの値 “1” を新規追加する必要がある：

• HKEY_CURRENT_USER\software\policies\microsoft\office\16.0\common\security（グループポリシーのレジストリ・パス）
• Computer\HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Security（OCT レジストリ・パス）

影響を受けるユーザーは、”Enable or disable hyperlink warning messages in Office programs” のサポート文書に記載されている手順に従って、このダイアログを無効化することも可能だ。

2024年2月の初旬に Microsoft は、Outlook の別の脆弱性も修正している。この脆弱性は、Outlook.com アカウントの使用中に、デスクトップ／モバイルのＥメール・クライアントが接続に失敗する原因となるものだ。

さらに 2023年12月にも、同社は Outlook の２つの脆弱性を修正している。これらの脆弱性は、多くのフォルダを持つユーザーに発生するメール送信時の問題と、Outlook.com アカウントからのメール送信時に Outlook デスクトップ・クライアントがクラッシュするという問題である。

Wikipedia で ICS を調べると、「Internet Calendaring and Scheduling Core Object Specification (iCalendar) は、Events／To-Do／Journal などの情報を、ユーザーが保存／交換するためのメディア・タイプである。この仕様に従ってフォーマットされたファイルの拡張子は、通常は “.ics” である」と記されています。とても便利なデータとであり、私たちの毎日は、それに依存していることになります。Outlook の誤検知は、とても困ったものですが、それをマニュアルで修正すると、すべての関連するセキュリティ・チェックがバイパスされてしまうので、それも危険とのことです。よろしければ、Outlook で検索も、ご利用ください。