回避策として「Fix it」ツールも公開済み

IEの脆弱性、緊急パッチを9月22日公開へ

2012/09/20

 Internet Explorer(IE)に深刻な脆弱性が発見された問題に関し、日本マイクロソフトは9月20日、日本時間の9月22日(米国時間では9月21日)に、脆弱性を修正する更新プログラム(パッチ)をリリースすることを明らかにした。Windows Update/Microsoft Updateを通じて適用でき、適用後は再起動が必要だ。

 さらに同社は、パッチがリリースされるまでの回避策として、設定を変更するFix itツール「Internet Explorer の ExecCommand を介した、メモリ破損を防ぐ」も公開した。

 この脆弱性が存在するのはIE 6/7/8/9。IEのCMshtmlEd::Exec関数処理における解放済みメモリの処理に問題があり、任意のコードを実行される恐れがある。具体的には、悪意あるWebサイトにアクセスしただけで、マルウェアをインストールされたり、システムを乗っ取られたりする恐れがある。マイクロソフトでは、この脆弱性を悪用した標的型攻撃を確認しているほか、JPCERT/CCもこの脆弱性を使用する攻撃ツールが公開されていることを確認した。

 NTTデータ先端技術では、この脆弱性を突いてシステムの制御を奪取できることを検証し、レポートを公開した。悪意あるユーザーが用意したWebページにアクセスさせ、脆弱性を悪用して攻撃コードを実行させるという検証だ。この結果、悪意あるホストから、被害者となるWindows 7 SP1とIE 8もしくはIE 9の環境の制御を奪い取ることに成功したという。同社をはじめいくつかのセキュリティ企業では、パッチが提供されるまでの間、一時的にブラウザを変更することを推奨している。

(@IT 高橋睦美)

情報をお寄せください:



Security&Trust フォーラム 新着記事
- PR -

注目のテーマ

Security & Trust 記事ランキング

本日 月間
ソリューションFLASH