Windows Meの「ヘルプとサポート」に緊急の修正プログラム
マイクロソフトは27日、Windows Meの「ヘルプとサポート」機能で、悪意のあるコードが実行される脆弱性を発表、修正プログラムを公開した。深刻度は「緊急」。Windows Updateからプログラムを適用可能だ。
「ヘルプとサポート」では、Windows Updateへのリンクやオンラインヘルプなどのサポートが提供されており、“hcp://”から始まる文字列を使うことでURLリンクを実行することができる。この“hcp://”のURL Handlerに未チェックのバッファが含まれるという。
この脆弱性を悪用し、Webサイト上に設置した悪意のあるリンクをユーザーにクリックさせることで、ハードディスクフォーマットなど攻撃者が任意のコードを実行することが可能だ。同様に、悪意のあるURLをメールで直接ユーザーに送信することもあり得る。メールでの攻撃では、Outlook Express 6またはOutlook 2002を規定の構成で利用していない場合、もしくは「Outlook 電子メール セキュリティ アップデート」をインストールしていない場合に、ユーザーがURLをクリックしなくても自動的に攻撃を行なうことが可能だという。
(2003/2/27)
[Reported by okada-d@impress.co.jp]