Microsoft Teams の RCE 脆弱性 CVE-2025-53783 が FIX：データの読取／書込／削除の可能性

Microsoft Teams RCE Vulnerability Let Attackers Read, Write and Delete Messages

2025/08/13 CyberSecurityNews — Microsoft は 2025年8月の Patch Tuesday の一環として、Teams コラボレーション・ソフトウェアにおける深刻なリモート・コード実行 (RCE) 脆弱性を修正した。この脆弱性 CVE-2025-53783 を悪用する権限を持たない攻撃者は、ネットワーク経由でコード実行を達成し、ユーザーのメッセージ／データの読取／書込／削除の可能性を手にするという。

この脆弱性はヒープバッファ・オーバーフローに起因する、メモリ破損の欠陥の一種であり、ヒープ上に割り当てられたメモリ領域を超えて、データが格納されるという問題を引き起こす。この脆弱性を悪用する攻撃者は、重要なデータを上書きし、Teams アプリケーションのコンテキスト内で、悪意のコード実行を可能にするという。

この脆弱性が悪用されると、ユーザー・データの機密性／整合性／可用性に重大な影響が生じ、情報の読取／書込／削除の権限が攻撃者に付与される可能性があると、Microsoft は指摘している。

同社は、脆弱性 CVE-2025-53783 の CVSS 3.1 スコアを 7.5 とし、深刻度を Important と評価している。ただし、この脆弱性を悪用するためには、高度な複雑性 (AC:H) に対処する必要があるという。具体的には、標的環境に関する特定情報を、攻撃者は事前に収集する必要があると、Microsoft は述べている。

Microsoft Teams の RCE 脆弱性

この脆弱性を悪用する前提として、ユーザーによる操作が必要となるため、悪意のリンクのクリック、もしくは、細工されたファイルのオープンへの誘導が必要になる。今月の Patch Tuesday の時点で、この脆弱性は公開されておらず、実際の悪用事例も報告されていない。Microsoft による悪用可能性の評価では、悪用される可能性は Low とされている。

すでに Microsoft は、公式の修正プログラムをリリースし、この問題に対処している。既に提供しており、ユーザーおよび管理者に対し、リスク軽減のため最新セキュリティ更新プログラムの適用を強く推奨している。

この Teams の脆弱性は、今月の Patch Tuesday で修正された 107 件の脆弱性の１つである。なお、今月のパッチには、Windows Kerberos に存在する公開済みゼロデイ脆弱性の修正も含まれている。

この大規模な月例パッチは、主要エンタープライズ・ソフトウェア・プラットフォームが抱える、継続的なセキュリティ課題を改めて示すものである。最近の Microsoft は、SharePoint サーバにおける深刻な脆弱性にも対処しているが、その一部は積極的に悪用されているという。

今回の Teams の RCE 脆弱性は、複雑な攻撃チェーンを必要とするものであるが、こうしたエンタープライズ・メッセージング・アプリにおける脆弱性が、広範囲な影響を及ぼす可能性も指摘されている。Teams や Slack などのプラットフォームにおける、この種の脆弱性がワーム化すると、侵害されたアカウントから組織全体へと自動的に拡散する恐れもある。

データが完全に侵害される可能性があることから、セキュリティ専門家たちが Teams ユーザーに推奨するのは、2025年8月の Patch Tuesday を最優的に適用することだ。

Microsoft Teams におけるヒープバッファ・オーバーフローの脆弱性が、2025年8月の Patch Tuesday で修正されました。メモリ領域を超えてデータが書き込まれることで、重要な情報が上書きされ、悪意のコード実行にいたる恐れがあります。ご利用のチームは、ご注意ください。よろしければ、Teams で検索も、ご参照ください。