回避策として「Fix it」ツールも公開済み

IEの脆弱性、緊急パッチを9月22日公開へ

2012/09/20

　Internet Explorer（IE）に深刻な脆弱性が発見された問題に関し、日本マイクロソフトは9月20日、日本時間の9月22日（米国時間では9月21日）に、脆弱性を修正する更新プログラム（パッチ）をリリースすることを明らかにした。Windows Update／Microsoft Updateを通じて適用でき、適用後は再起動が必要だ。

　さらに同社は、パッチがリリースされるまでの回避策として、設定を変更するFix itツール「Internet Explorer の ExecCommand を介した、メモリ破損を防ぐ」も公開した。

　この脆弱性が存在するのはIE 6／7／8／9。IEのCMshtmlEd::Exec関数処理における解放済みメモリの処理に問題があり、任意のコードを実行される恐れがある。具体的には、悪意あるWebサイトにアクセスしただけで、マルウェアをインストールされたり、システムを乗っ取られたりする恐れがある。マイクロソフトでは、この脆弱性を悪用した標的型攻撃を確認しているほか、JPCERT/CCもこの脆弱性を使用する攻撃ツールが公開されていることを確認した。

　NTTデータ先端技術では、この脆弱性を突いてシステムの制御を奪取できることを検証し、レポートを公開した。悪意あるユーザーが用意したWebページにアクセスさせ、脆弱性を悪用して攻撃コードを実行させるという検証だ。この結果、悪意あるホストから、被害者となるWindows 7 SP1とIE 8もしくはIE 9の環境の制御を奪い取ることに成功したという。同社をはじめいくつかのセキュリティ企業では、パッチが提供されるまでの間、一時的にブラウザを変更することを推奨している。