2005年11月22日(火) 14時12分

IE に存在する未対応の脆弱性、概念実証コードが公に（japan.internet.com）

Web ブラウザ『Internet Explorer』(IE) の脆弱性で、 Microsoft ( NASDAQ:MSFT ) が未対応のものについて、悪用すればシステム乗っ取りの可能性があることを示す概念実証コードが公になった。その結果、同脆弱性の存在を知らない多くの IE ユーザーにとって、被害に遭う危険性が大きくなった。

セキュリティ会社 Secunia は21日、概念実証コードが公になったことにより危険度が増したとして、 セキュリティ勧告 を更新した。現在 Secunia による同脆弱性の危険度評価は、5段階中最大となっている。

問題となっている 脆弱性 に関し、最初に報告があったのは5月末のことだった。

具体的には、IE が JavaScript の「onLoad」イベント中に、「window()」関数を処理する方法に脆弱性が存在し、これを悪用すれば、攻撃者は対象システムを遠隔的にサービス不能 (DoS) 状態に陥れることができるというものだ。

未対応脆弱性の概念実証コードを公開したセキュリティ調査会社 ComputerTerrorism によると、「一般的な認識に反し、同脆弱性は任意コードの遠隔実行を許してしまい、その結果、攻撃対象システムのユーザー権限で、システム全体に対するアクセスができてしまう」という。

同社はこれを立証するため、概念実証コードを公開し、すべてのパッチを当てた IE を搭載したパソコンに、攻撃を加えるのがいかに簡単かを示してみせた。しかしそうした行為は、結果的に無数のユーザーを危険にさらすことに他ならない。

情報セキュリティ研究機関 SANS Institute のインターネット対策センター InternetStormCenter (ISC) の Johannes Ullrich 氏は、問題の脆弱性について、ユーザー操作が無くとも任意コード実行を許してしまうと指摘する。

Computer Terrorism が公表した概念実証コードは、電卓プログラム (calc.exe) を起動するだけのものだが、Ullrich 氏によると、ユーザーにリモートシェルを開かせるバージョンも存在するという。

前述した通り、概念実証コードが公になったことを受け、Secunia は同脆弱性の深刻度を最高レベルに引き上げた。

同社は IE ユーザーに対し、Microsoft が対応して修正プログラムを配布するまでの間、信頼できないサイトをアクセスする際には、JavaScript を無効に設定するよう呼びかけている。

Microsoft 広報は、『Windows 2000 SP4』および『Windows XP SP2』で運用する IE が、脆弱性の影響を受ける可能性があるという、新たな公開情報が出てきたとの認識を示した。

同社広報担当によれば、『Windows Server 2003』や『Windows Server 2003 SP1』をデフォルト状態で運用し、「Enhanced Security Configuration」が有効になっていれば、この脆弱性の影響は受けないという。

「当社は、報告を受けた脆弱性を悪用する概念実証コードが公になったことも認識しているが、現時点でユーザーが影響を受けたとの報告は聞いていない。しかし当社は、こうした公開情報を引き続き検討する」と、Microsoft の広報担当は述べた。



■関連記事
Reuters、人気公衆 IM と接続できる金融業者向け IM サービスを開始
SonicWALL、データ保護ソリューションの Lasso Logic を買収
利便性の増す USB フラッシュドライブ
PowerPoint、7,980円で1年間使えるパッケージ
インテック、マイクロソフト、日本 HP が流通向けシステムで協業

デイリーリサーチバックナンバー、コラム、セミナー情報等はこちらから
http://japan.internet.com/

デイリーでお届けする最新ITニュースメールの御購読申込はこちらから
http://japan.internet.com/mail/newsletters.html

http://headlines.yahoo.co.jp/hl?a=20051122-00000012-inet-sci