MS02-005
Internet Explorerにおける累積的なHotfixがリリースされている模様です。リリースノートによれば、このHotfixには６つの脆弱性への対策が含まれており、Maximum Severity Ratingが『Critical』となっています。Internet Explorerをご利用の方は適用が必須であると言えるでしょう。
とはいうものの、日本語版のリリースノートがまだ出ておりません。一応英語サイトからダウンロードすることはできるようですが、『Uninstall is not available』になっているのが怖くてまだインストールしてません(^^;)。とりあえず日本語のリリースノート待ちということにしておきまして、発表され次第続報を出したいと思います。
と、いうわけで日本語のリリースノートが出ました。しかし長い。文末に全文転載しますので、詳しくはそちらをご参照ください。根性が培われるというおまけもついてくる可能性があります。ちなみに今回のHotfixはInternet Explorer６、5.5(SP1/2)、5.01(SP2)が対象になっています。5.01ってサポート対象外になったわけじゃなかったんですかね。
で、今回のHotfixでは既知の脆弱性(セキュリティホール)すべて、および新たに発見された６つの脆弱性を排除するとのことです。先日Windows2000向けのSecurity Rollup Packageが出ましたが、それに匹敵するくらい大きな修正だといえるでしょう。今回新たに修正が加えられた脆弱性は以下のとおりです。
- HTML処理に関連する脆弱性。バッファオーバーフローを引き起こすことによって、任意のコードが実行される。
- GetObjectスクリプト機能に関連する脆弱性。不正なリクエストにより、任意のファイルの読み取りが可能になる。
- [ファイルのダウンロード]ダイアログボックス内のファイル名表示に関する脆弱性。HTTPヘッダーの処理に関する問題により、ダウンロードさせるファイル名の偽装が可能になる。
- Webページからアプリケーションを使用してWebサイトのファイルを開くことができる脆弱性。HTTPヘッダーの処理に関する問題により、任意のアプリケーションが実行される。
- ユーザーがスクリプトを無効にしているにも関わらず、スクリプトが実行される脆弱性。
- MS01-058「フレームのドメイン照合」に関する脆弱性の変種。任意のファイルの読み取りが可能になる。
ユーザーにとって一番重要なのは脆弱性によってなにが行われてしまうのか、という点に尽きると思います。それについてはとりあえず太字で表記してありますが、やっぱりピンとこないというところはあるんじゃないでしょうか。
- 任意のコードが実行される
- これは論外です。アプリケーションの実行、ファイルの削除、侵入するための裏口(バックドア)の作成、ウイルスの感染……なんでもござれです。PCが完全にのっとられてしまうといっても言い過ぎではありません。Microsoftは「深刻度：高」としています。
- 任意のファイルの読み取りが可能になる
- これもかなり問題があります。ファイルの削除、実行などができませんので、システムが破壊されることこそありませんが、個人情報を探るには充分すぎるほどです。それは氏名であったり住所、電話番号、メールアドレス、そしてカード番号ですら読み取られてしまう可能性があることを意味しています。その後でなにが起こるかについては説明の必要もないでしょう。これについても「深刻度：高」となっています。
- 任意のアプリケーションが実行される
- こちらは「深刻度：中」となっています。ユーザー側にウイルスのような危険なファイルが存在しなければ問題はそれほど大きくない……というようにも思えるのですが、そうとも限らない場合もあります。システムに組み込まれているアプリケーションの中にも、使い方を誤れば危険なものはありますからね。
- ダウンロードさせるファイル名の偽装
- 「深刻度：中」となっています。こちらは特にInternet Explorer６で、[ファイルのダウンロード]ダイアログボックスで、「(ファイルを)開く」がデフォルトで選択されていたことにも関連した問題であると言えるかも知れません。破壊活動を行うプログラムを安全なファイルを偽り、それがそのまま実行されてしまうことが考えられるためです。今回のHotfixではその排除に加え、[ファイルのダウンロード]ダイアログボックスの規定値を「保存」に変えた(以前のバージョンに戻した)とのことです。
- ユーザーがスクリプトを無効にしているにも関わらず、スクリプトが実行される
- こちらも「深刻度：中」とされています。JavascriptやVBScriptを用いてさまざまな機能が実現できることを考えれば危険性はおのずと明らかですが、この問題に関しては「セキュリティの設定が無視されてしまう」ことの方がよほど深刻です。せっかく意識的にセキュリティを高めようとしても、このようなことがあっては枕を高くして眠ることができません。信用できないアプリケーションというのは考えものです。
簡潔に書くことができないという点では私も似たようなものらしいですが、ともあれこのHotfixは絶対に適用する必要があります。いつものことですが早めの適用を強くおすすめします。
