Internet Watch logo
記事検索
最新ニュース

IEにWebなどを閲覧しただけで任意のコードが実行できる脆弱性

〜深刻な脆弱性のほか、多数の修正を含む累積的修正プログラムが公開

「MS03-032」に関する絵でみるセキュリティ情報
 マイクロソフトは21日、Internet Explorerに任意のコードが実行される2つの脆弱性があると発表、IE5.01〜6用の累積的な修正プログラム「MS03-032」を公開した。新たに発見された危険度が最も高い“緊急”の脆弱性や、2番目に危険な“重要”の脆弱性を修正するほか、多数の修正プログラムも含む。

 公開された修正プログラムは、「IEがWebサーバーから返されたオブジェクトの種類を適切に確認できない問題」と「IEがキャッシュからファイルを取得するためのメソッドを悪用できる問題」という深刻な脆弱性2点と、それ以外の不具合も修正する。対象となるIEのバージョンは、IE 6.0 for Windows Server 2003/6.0 SP1/6.0/5.5 SP2/5.01 SP3〜4。

 「IEがWebサーバーから返されたオブジェクトの種類を適切に確認できない問題」は、Web閲覧中などにWebサーバーから返されるレスポンスを、IEが適切に確認できていないことが原因で発生する。この脆弱性を悪用し、レスポンスに悪意のあるコードを埋め込んだ場合、任意のコードが実行される可能性がある。これは、メールに貼られたリンクやWebサイトを閲覧しただけで実行される可能性があるため、危険性が高い。

 「IEがキャッシュからファイルを取得するためのメソッドを悪用できる問題」は、クロスドメインセキュリティモデルに関する脆弱性だ。クロスドメインセキュリティモデルとは、IEで異なるサイトのウィンドウを表示している際に、それぞれを異なるドメインとして認識し、お互いのウィンドウ間で情報のアクセスをできないようにする手法だ。

 この手法に脆弱性が存在するため、マイコンピュータゾーンにおいてスクリプトが実行される可能性があるという。具体的には、細工を施したWebサイトを閲覧した際に、クロスドメインセキュリティモデルが破られると、ローカルの情報が漏えいする可能性があるほか、ローカル上のプログラムを実行される可能性もある。ただし、任意のコードを実行されることはない。

 また、この累積的修正プログラムでは、ActiveXコントロール「BR549.DLL」に“Kill Bit”を設定し、このActiveXコントロールを利用できないようにしている。Kill Bitとは、IE経由でActiveXコントロールが呼び出されないようにするためのレジストリ設定の固定値だ。Kill Bitを設定したのは、BR549.DLLにバッファオーバーフローの脆弱性が発見されたため。このほかにも、HTMLファイルのレンダリングに関する不具合の修正や、「MS03-020」用修正パッチが不十分だったため、補足するための修正プログラムなども含まれている。

 これらの問題は、すべて「MS03-032」を適用すれば解消されるという。また、「MS03-032」は累積的な修正プログラムであるため、IE 5.01、5.5、6向けに以前リリースされたすべての修正プログラムを含んでいる。「MS03-032」は「Windows Update」や同社Webサイト上からダウンロードできる。


関連情報

URL
  「MS03-032」の詳細情報
  http://www.microsoft.com/japan/technet/security/bulletin/MS03-032.asp
  絵でみるセキュリティ情報「MS03-032」
  http://www.microsoft.com/japan/security/security_bulletins/MS03-032e.asp
  関連記事:Outlook ExpressとIEの深刻な問題に対する累積的修正プログラム
  http://internet.watch.impress.co.jp/www/article/2003/0424/ieoe.htm


( 大津 心 )
2003/08/21 13:56

- ページの先頭へ-

Internet Watch ホームページ
Copyright (c) 2003 Impress Corporation All rights reserved.