編集部からのお知らせ
「半導体動向」記事まとめ
「リスキリング」に関する記事まとめ

WindowsのVML脆弱性を悪用した攻撃コードが公開に

文:Joris Evers(CNET News.com) 翻訳校正:編集部

2007-01-17 13:37

 Windowsに存在するセキュリティ脆弱性を悪用したコンピュータコードがインターネットで公開された。ユーザーは早急にこの脆弱性を修復するWindowsのパッチを適用する必要がある。

 攻撃コードは、WindowsにおけるVector Markup Language(VML)ドキュメントの処理方法に関連した脆弱性を利用している。VMLは、ウェブ上で高品質なベクター画像を展開するのに使用されている。この脆弱性は、VMLドキュメントをサポートする「vgx.dll」コンポーネントに存在しているという。

 Microsoftは先週、セキュリティ情報「MS07-004」で、この脆弱性を修復するパッチをリリースした。同社はこのとき、この脆弱性を利用した複数の限定的なサイバー攻撃がすでに確認されていると警告していた。これまでこの脆弱性を利用する攻撃コードが公開されることはなかった。しかし、米国時間1月16日にエクスプロイトコードが、広く読まれているオンラインセキュリティフォーラムで公開された。

 「Microsoftはセキュリティ情報MS07-004で修正した脆弱性を利用するエクスプロイトコードがインターネット上で公開されていることを認識している」とMicrosoftの関係者は声明の中で述べ、「Microsoftはすべての顧客に最新のセキュリティアップデートを適用することを勧めている」と語る。

 この脆弱性を利用したコードが公開される以前に、同じ脆弱性を利用した別のコードが入手可能だった。これは脆弱性評価会社Immunityのセキュリティ検証ツールを使用するユーザーに向けて提供されていた。しかし、この攻撃の内容は非公開となっており、ツールを購入したユーザーにだけ開示されていた。

 Symantecは1月16日、同社のセキュリティ情報サービス「DeepSight」のユーザーに向けた警告の中で、今回公開されたエクスプロイトコードの機能は限定されている模様だと述べている。Symantecは、このコードを英語版の「Windows XP」「Windows 2000」では実行することができなかったと述べる。それでも、これはそのほかのハッカーにコード開発のきっかけを与えることになる可能性はあるという。

 Symantecの警告によると、「コードの作成者は脆弱性が存在する部分を、バイナリアナライザのスクリーンショットを使って説明している。これは、別の攻撃コードが開発されることを助長する」という。

 このVML脆弱性は、2006年9月、Windowsユーザーに対する攻撃発生後にMicrosoftが急いでパッチをリリースしたバグと似ている。今回の脆弱性も、ユーザーがInternet Explorer(IE)を用いてウェブ上の悪質なVMLファイルを閲覧してしまうことで、攻撃者に悪用されるおそれがある。

 IE 7を含む最近のバージョンのIEが動作する、最近のWindowsの全バージョンが影響を受けるが、「Windows Vista」は例外だとMicrosoftは説明している。Microsoftがリリースしたパッチは、Automatic Updatesを介して配布されるほか、同社のダウンロード用ウェブサイト「Microsoft Update」から入手することも可能。

この記事は海外CNET Networks発のニュースを編集部が日本向けに編集したものです。海外CNET Networksの記事へ

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

ホワイトペーパー

新着

ランキング

  1. 開発

    なぜ、コンテナー技術を使うことで、ビジネスチャンスを逃さないアプリ開発が可能になるのか?

  2. セキュリティ

    2022年、セキュリティトレンドと最新テクノロジーについて、リーダーが知っておくべきこと

  3. ビジネスアプリケーション

    全国1,800人のアンケートから見えてきた、日本企業におけるデータ活用の現実と課題に迫る

  4. 運用管理

    データドリブン企業への変革を支える4要素と「AI・データ活用の民主化」に欠かせないテクノロジー

  5. 経営

    テレワーク化が浮き彫りにしたリソース管理の重要性、JALのPCセットアップを支えたソフトウエア

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]