MS02-015

Security

Internet ExplorerにおけるセキュリティホールのHotfixがMicrosoftより着ていますのでお知らせします。なお、速報という形で来ており、詳細については現在英語のみとなっています。ただし、Hotfix自体はすでにWindows Updateからダウンロード可能です。

このセキュリティホールの危険度について、Microsoftは最大で「Critical」としています。今回の問題はいずれについても「アタッカーの思い通りにPCを乗っ取られる恐れのある」ものになりますので、すぐにHotfixの適用をする必要があるかと思います。

しかし「ゾーン判定の回避」とはいったいなんなんでしょう。通常インターネット上のWebサイトを閲覧している場合、そのページ内にプログラム(スクリプト)を仕込んでおいてできることには制限があります。たとえばローカルのファイルに対するアクセスなど、閲覧者側のシステムに関する情報などを書き換えたりすることは基本的にはできません。
　しかし、今回のセキュリティホールを衝いて本来「インターネット」ゾーンにあるデータを「ローカルコンピュータ」上のデータと認識させてしまうことができます。これによってプログラムに課せられた制約は取り除かれ、システムの内部に関することまで手を加えることができるようになってしまう危険性が生じてしまいます。最悪、システムの破壊や、データの漏洩などが起こりうるということになるでしょう。非常に危険な問題であると言えます。
　なお、現在自分がどのゾーンにいるか、という情報は、Internet Explorerのステータスバーで確認することができます。

ついで任意のプログラムが実行されるという危険性についてですが、これは今までに何度かでてきたものと同じと考えてよいかと思います。シナリオとしては、バックドアを仕込んでPCを乗っ取る、DDoS攻撃の踏み台とされるなど様々なものが考えられます。

いずれについても相当な危険性をはらんだセキュリティホールですので、早急なHotfixの適用をぜひお願いします。

それにしてもWindows UpdateにHotfixが載るまでの機関がすごく短いような。ありがたいことです。