現在地 HOME > 掲示板
> ＩＴ6 > 127.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ6 > 127.html
★阿修羅♪
|
|
| Tweet |
◎IEにセキュリティ・ホール，危険なファイルをダウンロードさせられる【IT_Pro記事】怪しいWebでシングルクリックも危険
http://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20040819/148790/
デンマークのSecuniaなどは8月19日，Internet Explorer（IE）に見つかった新たなセキュリティ・ホールを公表した。細工が施されたWebサイト上でユーザーがマウス操作をすると，インターネット上の任意のファイル（例えば，ウイルス）をパソコンにダウンロードさせられる。このとき，ダイアログなどは一切表示されない。パッチは未公開。対策はアクティブスクリプトを無効にすることなど。
セキュリティ・ホールを発見したのは「http-equiv」氏。同氏がセキュリティ関連のメーリング・リストに投稿した内容を，Secuniaが検証して同社サイトで公表した。
今回のセキュリティ・ホールは，IEがドラッグ・アンド・ドロップなどの操作で発生するDHTML（ダイナミックHTML）のイベントをきちんと検証しないことが原因。このため，細工が施されたWebサイト上で，ドラッグ・アンド・ドロップやクリックといったマウス操作をすると，ユーザーに警告することなく，任意のファイルがパソコンにダウンロードされる。このとき，ダウンロード先は攻撃者が指定できるので，スタートアップ・フォルダにダウンロードさせることも可能である。
写真はhttp-equiv氏が公開するデモ・サイト（写真の拡大表示）。Webページの上の画像をドラッグ・アンド・ドロップすると，サイトに置かれた“無害”の実行形式ファイルがスタートアップ・フォルダに警告なしにダウンロードされる。パソコンを再起動すると，このファイルは自動的に実行される。なお，このデモではドラッグ・アンド・ドロップしないとダウンロードされないが，今回のセキュリティ・ホールを突けば，シングル・クリックでダウンロードさせることも可能である。
今回のセキュリティ・ホールは，マイクロソフトが2003年11月に公開した「Internet Explorer 用の累積的なセキュリティ更新（824145）（MS03-048）」に含まれる「ドラッグ・アンド・ドロップの操作のぜい弱性」の“変種”といえる。ユーザーが被害を受けるシナリオや，影響の大きさは同じである。
ユーザーが何らかのアクションをとらない限り，ファイルがダウンロードされることはない。とはいえ，「リンクをクリックする」といったアクションでもダウンロードさせられる可能性があるので，とても危険なセキュリティ・ホールである。なお，マイクロソフトでは，「ドラッグ・アンド・ドロップの操作のぜい弱性」の最大深刻度を上から2番目の「重要」に設定している。
米Microsoftからはセキュリティ情報やパッチなどは公開されていない。Secuniaでは，アクティブスクリプトを無効にすることや，別のブラウザを使うことを対策として挙げている。セキュリティ対策のセオリーである「怪しいWebページに近寄らない」ことも重要だ。
◎参考資料
◆Microsoft Internet Explorer Drag and Drop Vulnerability（Secunia）
◆Microsoft Internet Explorer Multiple Vulnerabilities（Secunia）
◆Internet Explorer 用の累積的なセキュリティ更新(824145)(MS03-048)（マイクロソフト）
◆セキュリティ情報 (MS03-048) ： よく寄せられる質問（マイクロソフト）
◆CAN-2003-0823 (under review)（Community Vocational Enterprises）
（勝村 幸博＝IT Pro）
■専門サイト「IT Pro Security」トップへ■
関連記事
＜“IEのセキュリティ”関連＞
またもやIEにアドレス・バーを偽装できるセキュリティ・ホール (2004/08/17)
「IEのセキュリティ・ホールは危険，公開されていない攻撃手法が存在する」??ラック (2004/08/02)
マイクロソフトがIEのパッチを緊急公開，「Download.Ject」が突くセキュリティ・ホールもふさぐ (2004/08/02)
米Microsoft，IEのセキュリティ・ホールをふさぐパッチをリリース (2004/08/02)
パッチが公開されないIEのセキュリティ・ホール (2004/07/15)
IEにパッチ未公開のセキュリティ・ホールが続出 (2004/07/14)
「ポップアップ・ウインドウで画面表示を偽装できる」――IEでファイルをダウンロードするときには注意 (2004/07/13)
Windows 2000上のIEで日本語入力できない場合あり (2004/07/08)
IEの“攻撃回避プログラム”は万全ではない，回避できない攻撃手法が公開されている (2004/07/05)
マイクロソフト，IEへの攻撃を回避するプログラムを公開 (2004/07/04)
IEにセキュリティ・ホール，フレーム中に任意のコンテンツを表示させられる (2004/06/30)
IEの印刷機能にバグ，特定ページを印刷すると大量の印刷物が出力される (2004/06/23)
IEやMozillaにアドレス・バーを偽装されるセキュリティ・ホール (2004/06/14)
IEにパッチ未公開のセキュリティ・ホール，悪用するWebサイトが既に存在 (2004/06/09)
題名には必ず「阿修羅さんへ」と記述してください。