 |
 |
記事検索 |
最新ニュース |
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
IDNプラグイン「i-Nav」に危険な脆弱性、任意のコードを実行される恐れ |
||||||||
|
||||||||
|
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
Internet Explorerで国際化ドメイン名（IDN）を利用できるようにするプラグイン「i-Nav」において、任意のコードを実行される恐れのある脆弱性が存在していたことが公表された。危険度について、仏FrSIRTでは4段階中で最も高い“Critical”、デンマークのSecuniaでは5段階中で上から2番目の“Highly Critical”とレーティングしている。 この脆弱性は、i-Navの“VUpdater.Install”ActiveXコントロールにおける“InstallProduct”ルーチンの入力検証エラーに起因する。適切にMicrosoft Cabinet（.CAB）ファイルを検証しないために、.CABアーカイブ内の任意のファイルを実行させられる恐れがあるという。例えば、細工を施したWebサイトを訪問させることで、リモートからシステムを乗っ取ることも可能だとしている。 脆弱性は3月下旬に発見されていたもので、最新バージョンにアップデートすることで修正される。開発元である米VeriSignでは、i-Navのバージョンを3月30日より「4.2.1.0」に切り替えていた。国内では日本レジストリサービス（JPRS）のサイトでもi-Navを配布しているが、同サイトで現在インストールされるのも「4.2.1.0」になっている。 また、すでにi-Navをインストールしているユーザーは、自動更新機能により最新バージョンにアップデートされているはずだ。ただし、ファイアウォールの設定など自動更新されない環境にある場合は、スタンドアローンのインストーラを用いて再インストールする必要がある。 関連情報 ■URL FrSIRTのセキュリティアドバイザリ（英文） http://www.frsirt.com/english/advisories/2006/1763 Secuniaのセキュリティアドバイザリ（英文） http://secunia.com/advisories/20074/ ダウンロードサイト http://www.idnnow.com/index.jsp ダウンロードサイト（JPRS） http://jprs.jp/i-Nav/index.html 関連記事：IE用の国際化ドメイン名プラグイン「i-Nav」がRFCに準拠 http://internet.watch.impress.co.jp/www/article/2003/0730/inav.htm
（ 永沢 茂 ）
- ページの先頭へ-
|
