IEのゼロデイ脆弱性を狙う攻撃を国内でも確認、早急な回避策適用を推奨：「Fix It」適用が困難な場合は他ブラウザ利用の検討も

日本マイクロソフトは2013年9月18日、Internet Explorer（IE）に任意のコードの実行につながるゼロデイ脆弱性が存在することを明らかにした。複数のセキュリティ関連組織が注意を呼び掛け、早急に対策を取るよう推奨している。

[高橋睦美，＠IT]

　日本マイクロソフトは2013年9月18日、Internet Explorer（IE）に任意のコードの実行につながるゼロデイ脆弱性が存在することを明らかにし、一時的な回避策「Fix It」（51001）を公開した。すでに国内外でこの脆弱性を悪用した攻撃が観測されていることから、複数のセキュリティ関連組織が注意を呼び掛け、早急に対策を取るよう推奨している。

　この脆弱性が存在するのは、IE 6〜11までのすべてのバージョンだ。メモリオブジェクトの処理に問題があり、攻撃者がJavaScriptを利用して細工を施したWebページを開いただけで、脆弱性を突いてリモートからコードが実行される可能性がある。この結果、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを乗っ取られる恐れがある。

　マイクロソフトでは脆弱性に関する調査を進めており、準備が整い次第、セキュリティ更新プログラムを提供する予定だ。それに先立ち、一時的な緩和策として「Fix It」（51001）を公開し、早急に適用するよう推奨している。また、ソフトウェアの脆弱性が悪用されるのを防止するツール「Enhanced Mitigation Experience Toolkit」（EMET）の利用も回避策になるという。

　マイクロソフトは情報公開時点ですでに、この脆弱性を悪用したIE 8およびIE 9に対する標的型攻撃を観測していた。またラックは9月19日、この脆弱性を狙った標的型攻撃により、国内で実際に被害が発生したことを確認したという。ラックはさらに、上記2つの回避策を取ることが困難な場合は、パッチが提供されるまでの間はIEの使用を制限し、ほかのブラウザを利用することも検討するよう推奨している。