記事検索

Googleへの攻撃にIEのゼロデイ脆弱性、MSがアドバイザリを公開


 米MicrosoftのSecurity Responce Center(MSRC)は14日、米Googleが中国から受けたと示唆する「高度に洗練された攻撃」に、Internet Explorer(IE)の脆弱性が関連しているとして、新たにセキュリティアドバイザリ「979352」を公開した。

 Microsoftによると、この攻撃にはIEがターゲットの1つとして利用されており、リモートでコードが実行される脆弱性が存在するとしている。

 脆弱性の影響を受ける環境は、Windows 7/Vista/XPおよびWindows Server 2008 R2/2008/2003上のIE6/7/8と、Windows 2000上のIE6。なお、Windows 2000上のIE5.01は脆弱性の影響は受けない。

 このうち、今回の攻撃ではIE6しか利用されておらず、IEの他のバージョンに対する攻撃は今のところ確認されていないとしている。現在、Microsoftではアップデートを開発中で、品質が確保され次第公開するとしている。

 Microsoftでは、アップデートを提供するまでの間、攻撃の影響を緩和するための方法をいくつか挙げている。

 Windows Vista以降のIE7にはプロテクトモードが組み込まれており、これを利用することで今回の脆弱性を緩和できるとしている。DEP(Data Execution Prevention)機能は、IE8ではデフォルトで機能しているが、これ以前のバージョンでは手動で設定する必要がある。この機能もまた、攻撃を緩和するために有効だ。

 この攻撃を実行するためには、攻撃者が脆弱性を悪用するWebページに誘導する必要がある。そのため、メール中のリンクや、インスタントメッセンジャーによる誘導など、不審なリンクをクリックしないことも防御策となる。また、攻撃が実行された場合、管理者権限よりも低い権限のアカウントを利用している方が、被害の程度が小さくなる。


関連情報

(青木 大我 taiga@scientist.com)

2010/1/15 11:58

INTERNET Watch ホームページ
Copyright © 2016 Impress Corporation. All rights reserved.