LibreOffice24.2.5でマクロセキュリティ強化、証明書検証失敗時に自動無効化機能を実装

text: XEXEQ編集部

記事の要約

LibreOffice 24.2.5で高セキュリティモードの改善
証明書チェックに失敗したマクロを自動的に無効化
ユーザーの安全性とセキュリティを強化

LibreOffice 24.2.5における高セキュリティモードの改善

LibreOfficeは2024年8月5日、バージョン24.2.5をリリースし、高セキュリティモードにおけるマクロの取り扱いを改善した。従来は証明書の検証に失敗した場合でもユーザーが警告を無視してマクロを有効化できたが、新バージョンではそのような操作が不可能になった。これにより、潜在的な脆弱性を利用した攻撃リスクが大幅に低減されている。^[1]

高セキュリティモードがデフォルト設定となっているため、多くのユーザーが自動的にこの強化された保護を受けることになる。署名付きマクロは開発者が暗号化署名を使用してスクリプトに電子署名を行ったもので、LibreOfficeはドキュメントを開く際にこの署名を検証する。新しい仕組みでは、署名の検証に失敗した場合、LibreOfficeが自動的にマクロを無効化することで、悪意のあるスクリプトからユーザーを守るのだ。

この更新は、OpenSource Security GmbHがドイツ連邦情報セキュリティ庁の代理で発見・報告した問題に対応したものだ。allotropiaのSarper Akdemir氏が修正を提供し、LibreOfficeコミュニティの迅速な対応により、ユーザーの安全性が向上した。LibreOfficeはオープンソースのオフィススイートとして広く利用されており、今回のセキュリティ強化は多くの組織や個人ユーザーに影響を与えるだろう。

LibreOffice 24.2.5のセキュリティ強化まとめ

	変更前	変更後
証明書検証失敗時の動作	ユーザーが警告無視可能	自動的にマクロ無効化
高セキュリティモード設定	デフォルト	デフォルト（変更なし）
影響を受けるユーザー	一部	ほぼ全て
セキュリティリスク	高	低
ユーザーの操作要否	要（警告への対応）	不要（自動対応）

マクロについて

マクロとは、一連の操作や命令を自動化するためのスクリプトやプログラムのことを指しており、主な特徴として以下のような点が挙げられる。

複雑な作業を簡単に繰り返し実行可能
ユーザーの生産性を大幅に向上させる
潜在的なセキュリティリスクも存在する

オフィスソフトウェアにおけるマクロは、文書作成や表計算などの作業を効率化する強力なツールだ。しかし、その能力ゆえに悪意のある者によって悪用される可能性もある。マクロを通じてマルウェアを実行したり、機密情報を盗み出したりする攻撃が存在するため、LibreOfficeのような主要なソフトウェアではマクロの取り扱いに細心の注意を払っている。

LibreOffice 24.2.5のセキュリティ強化に関する考察

LibreOffice 24.2.5におけるマクロセキュリティの強化は、ユーザーの安全性を高める一方で、一部の正当なマクロ利用に影響を与える可能性がある。例えば、自己署名証明書を使用している企業内のマクロや、証明書の有効期限が切れた場合などに問題が生じる可能性がある。こうした状況下では、ITシステム管理者が適切な証明書管理と更新プロセスを確立することが重要になるだろう。

今後、LibreOfficeには更なるセキュリティ機能の強化が期待される。例えば、マクロの動作をより細かく制御できるサンドボックス環境の実装や、AIを活用した不審なマクロの検出機能などが考えられる。また、企業向けには、組織全体でのマクロポリシーの一元管理や、信頼できるマクロソースのホワイトリスト化機能なども有用だろう。

LibreOfficeの今回の対応は、オープンソースコミュニティの強みを示している。セキュリティ研究者による問題の発見、コミュニティメンバーによる迅速な修正、そして透明性の高い形での更新の提供など、協調的なアプローチが功を奏した。今後も、このようなコミュニティ主導の継続的な改善によって、LibreOfficeはMicrosoft Officeの強力な代替として、セキュリティと機能の両面で進化を続けることが期待される。

参考サイト

^ Libre Office. 「CVE-2024-6472 | LibreOffice - Free and private office suite - Based on OpenOffice - Compatible with Microsoft」. https://www.libreoffice.org/about-us/security/advisories/cve-2024-6472/, (参照 24-08-07).
Microsoft. https://www.microsoft.com/ja-jp

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。