マイクロソフト社は、2月に確認されたOutlookの既知の問題で、Outlook Desktopの12月のセキュリティ更新プログラムをインストールした後に不正なセキュリティ警告を発していた問題をようやく修正した。
多くのMicrosoft 365ユーザーから、ICSカレンダーファイルをダブルクリックすると「この場所は安全でない可能性があります」「Microsoft Officeは潜在的なセキュリティ上の懸念を確認しました」という予期せぬ警告が表示されるとの報告があったため、同社は2月上旬にこのバグを認めた。
この警告は、Outlookのセキュリティ更新プログラムによるもので、誤って表示されたものである。これらの更新プログラムは、攻撃者が悪意を持って細工されたファイルを使用してNTLMハッシュを盗むことができる情報漏えいの脆弱性（CVE-2023-35636）にパッチを適用します。
盗まれた NTLM ハッシュは、Windows システム上でパスザハッシュ攻撃を実行したり、機密データにアクセスしたり、ネットワーク内で横方向に移動したりするために使用することができます。
Redmond社は4月上旬にこの問題を修正したが、ベータ・チャンネルでOffice Insidersに出荷した後にロールバックした。マイクロソフトは、「Outlookチームは、Insiderチャンネルでテストされている間に、修正に問題があることを発見した」と述べた。
しかし、月曜日に同じサポート文書の新しい更新で、同社は既知の問題がOutlook Desktopの7月9日のパブリックアップデートで最終的に修正されたと述べた。
マイクロソフトが推奨する回避策（セキュリティ通知を無効にするレジストリ・キーを追加すること）を適用したユーザーは、バグが対処されていることを確認するため、パッチを適用したOutlookビルドをインストールする前に、この回避策を元に戻すことを推奨する。
「以下のレジストリキーを設定し、一時的にセキュリティ通知を無効にしている場合は、そのキーを削除して、最新の修正プログラムがこの問題に対処していることを確認してください」とレドモンド社は説明している。
「レジストリキーを使用する場合は、.ICSファイルだけでなく、すべての種類のファイルに対するセキュリティ通知を停止することに注意してください。
先月、マイクロソフトはまた、9月16日までにOutlookの個人メールアカウントの基本認証を廃止すると発表した。
その1カ月前には、マイクロソフト365ユーザーがOutlookデスクトップクライアントを使用して暗号化された電子メールに返信することを妨げるバグの一時的な修正を共有した。
Comments