セキュリティ更新プログラムについて

Excelを管理者権限で実行しない限り使えない

特権が昇格されるセキュリティホールがあれば実行できちゃうわ。
特権はなくてもリモートでコード実行が可能なセキュリティホールがあればユーザーデータを自由に引き出せたりするから大変よ。

そういえば5月と6月のOfficeUpdateはリモートコード関連ばかりだったわね。
https://technet.microsoft.com/library/security/ms14-036
https://technet.microsoft.com/library/security/ms14-034
https://technet.microsoft.com/library/security/ms14-024
https://technet.microsoft.com/library/security/ms14-023

Microsoftが絵でみるセキュリティ情報 で解説してるから必見ね。

MS14-034 Word 2007 セキュリティ更新プログラムについて (2014 年 6 月 10 日)
　この例では、Wordには、フォントを文書に埋め込むことが出来ますが、埋め込まれたフォントを展開する処理に問題があり、フォントではない情報をメモリー上に展開し、その情報を実行してしまう可能性があるそうです。

> 管理者権限で実行しない限り使えないものなのかと

ところがギッチョン(どこ方言!?)例えば、この脆弱性だと、
マイクロソフト セキュリティ情報 MS14-034 - 重要

攻撃者がこの脆弱性の悪用に成功した場合、影響を受けるシステムを完全に制御する可能性があります。攻撃者は、その後、プログラムのインストール、データの表示、変更、削除などを行ったり、完全なユーザー権限を持つ新たなアカウントを作成したりする可能性があります。

　あくまでも”可能性”ですけど、うまくすれば下手をすれば、管理者権限を持つユーザを作れる可能性が示唆されています。

その Office を実行しているユーザが、管理者権限を持っていない時に、Office 自体の脆弱性で特権を取られる可能性は、基本的に、権利上昇の脆弱性が OS 側にある場合に限られます。

tea_cup さんが紹介している脆弱性情報に、このように書かれています。

コンピューターでのユーザー権限が低い設定のアカウントを持つユーザーは、管理者特権で実行しているユーザーよりもこの脆弱性による影響が少ないと考えられます。

管理者権限を持つユーザであれば、UAC による確認ダイアログを回避できれば、ユーザの知らぬ間に、という事は可能ですが、標準ユーザであれば、管理者権限を持つユーザのアカウント名、パスワードを要求されるので、これを回避するとなると、OS 側で権利上昇の脆弱性が無いと無理です。

ただ、マルウェアが必ず特権を必要とするか、となると、そうとは限りません。ログオンしているユーザの権利だけでも、例えば、キーロガーを仕掛けるとか、操作画面のキャプチャを取るとか、そのユーザが持っているファイルを覗いてどこかに送信するとか、そこそこの事はできます。

タスクマネージャでもマルウェアが動いているのが分からなくなるような、rootkit をインストールする事は管理者権限無しでは無理ですが、じゃぁ、常日頃からタスクマネージャでどんなプロセスが動いていているかを把握していて、見知らぬプロセスが動いているのに気がつけるか、となると、普通はそんな事はしないでしょうから、マルウェアが有効な活動をする余地はあります。

特権を取られた時のような、最悪の自体は起きないかも知れませんが、通常のユーザ権限の範囲でもいろんな事はできるので、Office のようなアプリケーションの脆弱性でも、「知らぬ間にいろんなマルウェアが動いている」という状況はありえます。