IE 9／10にゼロデイ脆弱性、EMETやFix ITの適用推奨：米国では攻撃コードも観測

[高橋睦美，＠IT]

　マイクロソフトは2014年2月20日、Internet Explorer（IE）9／10に未パッチの脆弱性（CVE-2014-0322）が存在することを明らかにし、セキュリティアドバイザリを公開した。該当する環境のユーザーには、Fix itやEnhanced Mitigation Experience Toolkit（EMET）といった回避策を取るよう推奨している。

　このゼロデイ脆弱性は、米ファイア・アイなどによって指摘された。MSHTMLライブラリのCMarkupコンポーネントのメモリ処理に問題があり、細工したHTMLドキュメントを開くだけで任意のコードを実行され、不正なプログラムをインストールされたりする恐れがある。ただし、この脆弱性の影響が及ぶのはIE 9／10で、IE 11は影響を受けない。

　ファイア・アイによると、既にこの脆弱性を悪用する攻撃コード（Exploit）が確認されている。同社が把握したケースでは、米退役軍人会（VFW）のWebサイトに、Adobe FlashをインストールしたIE 10をターゲットとした攻撃コードが仕掛けられていた。しかもこの攻撃に使われていたインフラや手口には、過去に発生したゼロデイ攻撃「DeputyDog」「Hydra」との共通点があるという。

　対策は、IE 11以降にアップグレードするか、EMET、あるいはFix IT 51007を適用すること。そのいずれも難しい場合は、当面他のブラウザを利用することも選択肢の1つとなる。