編集部からのお知らせ
ZDNet Japanが新しくなりました!
New! 懸念高まる産業機器のセキュリティ

マイクロソフト、データ漏えいにつながるIEの脆弱性について警告

文:Ryan Naraine(Special to ZDNet.com) 翻訳校正:石橋啓一郎

2010-02-04 12:36

 Microsoftは米国時間2月3日、同社のブラウザInternet Explorerに存在する、情報漏えいにつながる可能性のあるセキュリティホールについて知らせるアドバイザリを公開し、攻撃者はこのセキュリティホールを悪用して、ファイル名と場所がすでに分かっているファイルにアクセスすることが可能だと警告した。

 この脆弱性は、同日にBlack Hat DCカンファレンスでCore Security TechnologiesのセキュリティコンサルタントJorge Luis Alvarez Medina氏が議論したものだ。Microsoftによれば、もっともリスクが高いのはWindows XPでIEを使用しているユーザー、あるいはブラウザの保護モードを無効にしているユーザーだ。

 Medina氏のプレゼンテーションでは、攻撃者がIEユーザーのファイルシステムに置かれているあらゆるファイルを読めることが示された。この攻撃シナリオでは、Internet Explorerが設計上持っている複数の機能が利用されており、これらを組み合わせて使用することで深刻なダメージを負わせることができる。

 以下は、DarkReadingに掲載されているKelly Jackson-Higgins氏の記事に載った、Medina氏の発言だ。

 (Medina氏は)IEの一般的な機能、例えばURLのセキュリティゾーンとファイル共有プロトコルを組み合わせて悪用することで、攻撃者が被害者のすべてのファイルを読めるという結果につながる攻撃を実行することが可能だと述べている。Medina氏はBlack Hat DCカンファレンスが開催された次の月にMicrosoftがこの攻撃に対するセキュリティアップデートを公開した後で、この攻撃の概念実証コードを公表する予定であり、同氏はこの攻撃コードはIEのバージョン6以降に影響があると述べている。

 Medina氏は、「これらの脆弱性は単なる機能として提供されているものだ・・・これらの機能の実装によってユーザーは特定の情報を得ることができるが、これ自体は無害なものだ。しかし、他の機能と組み合わせて使われることで、攻撃ベクターとなり得る」と述べている。この攻撃が成立するには、ユーザーが悪意を持って作成されたリンクをクリックする必要がある。

 Microsoftのアドバイザリによると、IEの保護モードを使用していれば、この脆弱性の悪用を防ぐことができ、Windows Vista、Windows Server 2008、Windows 7にインストールされているデフォルトのバージョンのInternet Explorerでは、この機能は有効になっている。

 この問題は同ブラウザのすべてのバージョンに影響があるが、Windows XPがもっとも深刻だと考えられている。

 情報が悪意のある Web サイトに公開される方法でローカル ファイルからコンテンツが不正確にレンダリングされるため、この脆弱性が存在します。

 パッチが提供されるまでのこの問題に対する緩和策については、Microsoftが公開したアドバイザリの「回避策」の項を参照して欲しい。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。原文へ

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

Special PR

特集

CIO

セキュリティ

スペシャル

ホワイトペーパー

新着

ランキング

  1. クラウドコンピューティング

    コスト削減&拡張性も、堅牢なセキュリティ&規制も同時に手に入れる方法、教えます

  2. 経営

    サブスクビジネスのカギはCX! ITIL準拠のツールをこう使え

  3. クラウドコンピューティング

    “偽クラウド”のERP使っていませんか?多くの企業のITリーダーの生の声から学ぶ

  4. クラウドコンピューティング

    RPA本格展開のカギは?「RPA導入実態調査レポート」が示す活用の道筋

  5. セキュリティ

    RPA導入時に見落とされがちな“エンタープライズレベルのセキュリティ”を紐解く

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]