Googleへの攻撃にIEのゼロデイ脆弱性、MSがアドバイザリを公開

　米MicrosoftのSecurity Responce Center（MSRC）は14日、米Googleが中国から受けたと示唆する「高度に洗練された攻撃」に、Internet Explorer（IE）の脆弱性が関連しているとして、新たにセキュリティアドバイザリ「979352」を公開した。

　Microsoftによると、この攻撃にはIEがターゲットの1つとして利用されており、リモートでコードが実行される脆弱性が存在するとしている。

　脆弱性の影響を受ける環境は、Windows 7/Vista/XPおよびWindows Server 2008 R2/2008/2003上のIE6/7/8と、Windows 2000上のIE6。なお、Windows 2000上のIE5.01は脆弱性の影響は受けない。

　このうち、今回の攻撃ではIE6しか利用されておらず、IEの他のバージョンに対する攻撃は今のところ確認されていないとしている。現在、Microsoftではアップデートを開発中で、品質が確保され次第公開するとしている。

　Microsoftでは、アップデートを提供するまでの間、攻撃の影響を緩和するための方法をいくつか挙げている。

　Windows Vista以降のIE7にはプロテクトモードが組み込まれており、これを利用することで今回の脆弱性を緩和できるとしている。DEP（Data Execution Prevention）機能は、IE8ではデフォルトで機能しているが、これ以前のバージョンでは手動で設定する必要がある。この機能もまた、攻撃を緩和するために有効だ。

　この攻撃を実行するためには、攻撃者が脆弱性を悪用するWebページに誘導する必要がある。そのため、メール中のリンクや、インスタントメッセンジャーによる誘導など、不審なリンクをクリックしないことも防御策となる。また、攻撃が実行された場合、管理者権限よりも低い権限のアカウントを利用している方が、被害の程度が小さくなる。