パスワードを忘れた？ アカウント作成
Close
3905 story

Word文書で他人のファイルを盗む 86

ストーリー by Oliver
c:\mydocu~1\diary.doc 部門より

parsley曰く、"ZDNetの記事によると、Microsoft Wordの文書を、ある特定条件下(記事で確認してネ)で、文書を乗っ取ることができるとの報告が出ている。BagTraqへの8月26日の報告が問題の始まり。Microsoft Corp.も既に情報を公開している。(MSKKはタレコミ時点ではまだ)
よくも悪くもビジネス局面では多く使われているWord文書。フルパス名が分からなければ問題ないとはいえ、ファイル名は添付ファイルとなった時点で分かっていることが多い。フォルダ名も、デフォルト設定を利用していると、かなりの部分で想像されるだろう。こういった脆弱性問題は、実際に(民事・刑事)事件とならない限りは「よくあること」で終わってしまうものだろうか？"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Word文書で他人のファイルを盗む More

  • 記事訂正１ (スコア:2)

    by parsley (5772) on 2002年09月15日 21時05分 (#166436) 日記
    BagTraqぢゃなくて、BugTraqでした。どうかしてたのかな。私。

    # カルマ消費サービス期間中
    --
    Copyright (c) 2001-2014 Parsley, All rights reserved.

  • もっと (スコア:1)

    by goubu (3245) on 2002年09月15日 20時03分 (#166409)
    Windows、UNIX/Linux、Mac OS 9/X のどれでも動くTeX をもっと使いましょうよ。もちろん Word で 2-3 千ページのドキュメントを何回か作ったことがあった上での気持ちです。
    ぎゃっ、と声がして、Word ファイルが壊れたり、赤い×で泣いているのを何回か目撃しているし。

    • WISWIGは重要でしょう (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2002年09月15日 20時18分 (#166418)
      多くの人にとって.
      しかし,最近はプレーンテキストで済む用途にすらMS-Wordのファイルがはびこっているのには正直うんざりしてます.

      このセキュリティーホール情報が「せめて出力形式は rtf にしてくれ！！」のエクスキューズに使えるといいな～
      シェア
      親コメント

      • Re:WISWIGは重要でしょう (スコア:2, 興味深い)

        by USH (8040) on 2002年09月15日 21時01分 (#166434) 日記
        WISWIG は大切ですが、Office ってバージョンが違うと全然 WISWIG になっていない。矢印や○はすぐにどこかに飛んで行きますし、変に凝ったフォーマットはぐちゃぐちゃになって、著者の意図さえ分からなくしてくれます。

        なお、TeX + Editor で WYSWIG を実現しているものとして、 TeXmacs [texmacs.org] というのがあります。残念ながらまだ日本語は無理みたいですが。
        シェア
        親コメント

      • Re:WISWIGは重要でしょう (スコア:1)

        by oku (4610) on 2002年09月15日 20時49分 (#166430) 日記
        このセキュリティーホール情報が「せめて出力形式は rtf にしてくれ！！」のエクスキューズに使えるといいな～
        「rtf にしろ！」は良く聞くんですが「slk にしろ！」はあんまり聞きませんね (私の界隈だけ？) ワープロ文書を rich text にするのであれば、スプレッドシート文書は symbolic link 形式じゃないのかと思うんですが。

        別に布教じゃありませんが、SYLK はそこそこ便利ですよ。 大概のソフトで読める形式ですし、書式もある程度は凝る事が出来て、しかもその気になればテキストエディタで編集可能です。

        # なんで支持者がおらんのやろ？

        シェア
        親コメント

    • Re: もっと (スコア:1)

      by gk-hyn (7889) on 2002年09月16日 6時20分 (#166721)
      なんで今更TeXかな～。
      今はやっぱ、*HTMLでしょ。
      Windows、UNIX/Linux、Mac OS 9/X のどれでも動く
      って言われても、たいていのHTMLの方が楽に読めるしなぁ。
      #Windowsでは、IEが「OSの一部」として供給されてるし。
      普及度、将来性の点からみても問題にならない、と思うけどなー。
      なんでみんな、紙にきれいに打ち出し(たいがために多くの不利益を我慢し)たがるかなー？
      シェア
      親コメント
  • こういうのが沢山ある って一般の方が知らない方が問題だと思う。
    Ｍ＄のいい加減な仕様でめためたにやられても悪質なユーザで終わっている気がする
    Ｍ＄の製品は沢山バグあってこういう事はあり得るという認識から対処が始まると思いますがね

    ＜バグ＞
    ・機能不全
    ・自動実行
    ・固まる。

    一応種類的にはこの種類ですが、何故かＭ＄勝手に実行するケースが殆ど‥

    それと腐れＭ＄サイトタグのとじ忘れもそうだけど、文献見れてもバグなんだか仕様なんだかさっぱりなのは
    何とかなりませんか？バグだろと思ったら仕様と書いてあったりさっぱり分かりません。
    ＃雑誌の付録にバグFAQのCD-ROMでも付けてくれ。＜ファイル形式がワードだったりしそうだけど

    一般ユーザがCNETやZDNETをチェックするようになったら少しは変るかも知れませんがね。
    日本は不祥事は隠す文化ですからね。まパソコン販売メーカも多いし言わないのでしょうね。

    ＃最後に、バグって減っているのか増えているのかも分かりません。
    ＃最近バッシングが減ったのは余計な事を言わなくなっただけかもね。
    ＃ちょっと前は平均すると一週間に１回のペースでネタの提供してましたからある意味当然だったと思いますよ。

    • 一般ユーザは暇がないだけでしょう (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2002年09月15日 21時56分 (#166466)
      少なくとも、そこまでしてコンピュータに時間を割く必要性を感じてない。

      どこでも、問題が起きるたびにこの「なぜ一般{ユーザ}消費者|庶民}はもっと勉強しないのか」という論調が出るんですけど、まるで一般人が何にでも知識を持った超人であることを要求しているように思えてくる。
      シェア
      親コメント
    • >バグだろと思ったら仕様と書いてあったりさっぱり分かりません。
      あなたがバグだと思ったら仕様だったってのはＭＳのせいなのかなあ。
      シェア
      親コメント

    • Re:世の中真っ暗闇でございます (スコア:1, 参考になる)

      by Anonymous Coward on 2002年09月16日 16時27分 (#166907)
      とある業務用PC（Win98）でのお話。
      そのPCは定型作業用で、あまり起動したことがないPC。
      定型作業用なので新しくインストールするソフトもなく、
      普通に動いていた。

      ある日、ちょっとした理由でPowerPointのファイルを見る羽目に。
      しかし、そのファイルを開こうとすると必ずハング。
      他のPCでは問題なく表示される。
      OSもPowerPointのバージョンも一緒だが見られない。
      他のPPTファイルはいくら試してもOKなのに、
      なぜかそのファイルだけおかしい。
      ローカルに持ってきてもダメ。
      なぜだー！？と悩む。

      このクソM○があ！と叫ぶヲタを尻目に、
      あれこれ試行錯誤した結果見つかったのは、
      昔追加したメモリの不良だった。
      例のPPTファイルはかなり大きかった（5Mぐらいあった）ため、
      普段使わないメモリ領域を使ってしまい、
      その領域が壊れていたかららしい。
      ホコリとって挿しなおしてもダメだったので、
      メモリを全部交換したら問題なく動いた。

      教訓。

      1.何でもMSのせいにするヤツは能無し。
      2.10Mなんて重過ぎるPPTファイルを作るヤツは能無し。
      2.秋葉で買った安いバルクメモリを業務用PCに突っ込む俺も能無し。（鬱

      笑えないけど、
      ちゃんと調査すればこういうケースは良く見られると思う。
      シェア
      親コメント
  • Wordにかぎらず、M$のofficeのアプリって、アップデートモジュールをインストールする際に
    その都度シリアルを聞いてくるんだよね。
    （リリースされているパッチの全てかどうかは知らないけど）

    でも、当然のことながらM$-Officeは不正コピーが大量に流通してるはずだから、そうしたアプリは
    シリアルがわからないわけで、結局かなりの量のマシンが、パッチが充てられないまんまに
    なってるんじゃないかと思うんだけどさ。

    M$はまずシリアルを聞くのをやめるようにした方がいいと思う。
    どうせパッチ単体では何にもできないわけだし。

    • シリアル聞かずに (スコア:2)

      by parsley (5772) on 2002年09月15日 22時20分 (#166484) 日記
      我が家では、インストールCD要求されます。はい。

      # カルマ消費サービス期間中
      --
      Copyright (c) 2001-2014 Parsley, All rights reserved.
      シェア
      親コメント
    • >当然のことながらM$-Officeは不正コピーが大量に流通
      >してるはずだから、そうしたアプリはシリアルがわか
      >らないわけで、

      MS-Office はいずれのバージョンもシリアル（正しくはプロダクトID）がわかんなきゃインストールできないんですけど。
      不正コピー品の場合は CD-R にプロダクトIDが書いてあるってのが多いと思われます。

      あとですね、請負でWORD形式でドキュメントを作成して顧客に納品したりする場合、迂闊にアップデートパッチを適用すると、同じ文書を開いても、文字送りが変わったりすることが平気で起きるので、勝手にアップデートできないという場合もあります。

      シェア
      親コメント

      • Re:あれってさ (スコア:3, おもしろおかしい)

        by deleted user (11349) on 2002年09月16日 1時16分 (#166610)
        >不正コピー品の場合は CD-R にプロダクトIDが書いてあるってのが多いと思われます。

        いや、きっと達人はメモ用紙か何かに書くに違いありません。
        メディアに書いてあるとインストールする時に読めませんから。

        先日MSIのTV-@nywhereというキャプチャカードを購入したのですが、ドライバCD-ROM
        そのものにキーがプリントされていて非常に分かりづらかったです。
        シェア
        親コメント

    • Re:あれってさ (スコア:1)

      by sen (197) on 2002年09月16日 0時37分 (#166579)
      本気ですか？

      もしくは、

      正気ですか？


      MS は、不正コピーの尻拭いまでしないといかんのかい。
      シェア
      親コメント
  • こういった脆弱性問題は、実際に(民事・刑事)事件とならない限りは「よくあること」で終わってしまうものだろうか？
    よくあることで終わるでしょう。
    一般の場合、会社が MS-Word の使用を強制しているので、 それに従っている人が、たとえそのバグによって損害を与えた としても(バグを知っていた場合でも)、責任は取らされないし、
    Microsoft が責任を取るとも思えないので。

    自分が責任をとらなければならない環境で MS-Word を使わなければいいだけのことです。

    • > 会社が MS-Word の使用を強制している

      暗黙の了解で MS Word 形式が標準であると決められているケースも多いのではないでしょうか?標準が明文化されていない場合に今回の件で業務に支障を来たした場合は...ちょっと怖いです。
      # 私の勤務先だけでしょうか?

      また、「標準」は MS Word 形式であることが多いと思われます。この場合、アプリケーションは MS Word でなくとも良いわけで...さりとて MS Word 形式の定義がはっきりしない以上 OpenOffice.org [openoffice.org] 等の使用に躊躇してしまいます。
      # この辺がとても悔しいです。
      シェア
      親コメント

    • 責任を取らなくて良くても (スコア:1)

      by goubu (3245) on 2002年09月16日 20時08分 (#167022)
      それを変えていこうという方がよいのではないでしょうか?
      シェア
      親コメント
typodupeerror

※ただしPHPを除く -- あるAdmin