MS、IFrame脆弱性を修正する緊急パッチをリリース【IT_Media記事】
http://www.itmedia.co.jp/enterprise/articles/0412/02/news016.html

2004/12/02 06:48 更新

マイクロソフトは12月2日、Internet Explorer 6のIFrameの脆弱性を修正する緊急累積パッチを公開した。

　マイクロソフトは12月2日、Internet Explorer 6に存在するIFrameの脆弱性を修正する緊急の累積パッチ（MS04-040）を公開した。

　この脆弱性は、IFrameタグおよびEmbedタグを用いて細工を施したHTMLファイルを開くことでバッファオーバーフローが生じてしまうというもの。悪用されればリモートから任意のコードを実行される恐れがあるどころか、実際にこの脆弱性を突いたワームや攻撃が登場していることから、緊急性は非常に高い。マイクロソフトでは「この更新プログラムを直ちにインストール」するよう推奨している。

　このパッチは、Windows XP SP1やWindows 2000 SP3／4のほか、Windows NT Server 4.0 SP6やWindows 98／Meといったプラットフォームも対象としており、Windows Updateのほか同社のセキュリティ情報のページからダウンロードできる。

　ただし、Windows XP SP2やWindows Server 2003とIE 6の組み合わせの場合は、この脆弱性の影響は受けない。また、パッチ対象となっているプラットフォームでも、IE 5.01や5.5を利用している場合もこの脆弱性は存在しない（が、別の脆弱性が存在するため、これらのバージョンを使い続けることはあまり得策ではない）。

　もう1つ、ちょっとややこしいが、この累積パッチは、MS04-004もしくはMS04-038以降にリリースされたパッチを含まない場合があるという。したがって、これらのパッチ適用後にさらにいくつかのパッチを適用していた場合は、MS04-040で示されている累積パッチではなく、更新プログラム 889669を適用するようマイクロソフトは求めている。

　この脆弱性は米国時間の11月2日に、実証コードとともに公になったものだ。その約1週間後にはこの脆弱性を悪用したMyDoomの亜種がばら撒かれたほか、3週間後にはIframe脆弱性を突く悪質コードを含んだ広告が配信されるという事件が発生した。ベンダーとのコーディネートに基づく形ではなく、フルディスクロージャ方式でいきなり実証コードが公開されたこともあって、マイクロソフトでは調査を続けていた。
関連記事
IEのIFrame欠陥を悪用するプログラムがまた出現――広告経由で感染

IEの欠陥を突く新型MyDoomが登場――不審なメール添付プログラムに要注意

未パッチのIE 6脆弱性、MSは「調査中」

IE 6に新たなバッファオーバーフロー、パッチは未公開、実証コードは公に

関連リンク
マイクロソフト セキュリティ情報：Internet Explorer 用の累積的なセキュリティ更新プログラム (889293) (MS04-040)

[ITmedia]

　次へ 　前へ

ＩＴ6掲示板へ

フォローアップ:

• IEのパッチが“緊急公開”，既に悪用されている危険なセキュリティ・ホールをふさぐ【IT_Pro】 クエスチョン 2004/12/03 22:13:24 (0)
• セキュリティ情報の緊急公開と事前告知のトレードオフ【ＭＳのBlogです。(^^;】 クエスチョン 2004/12/02 21:13:47 (0)

　

　

　

拍手はせず、拍手一覧を見る

---

★登録無しでコメント可能。今すぐ反映　通常 ｜動画・ツイッター等 ｜htmltag可（熟練者向）
（タグCheck ｜タグに'だけを使っている場合のcheck ｜checkしない）（各説明）

（←ペンネーム新規登録ならチェック）
↓ペンネーム（2023/11/26から必須）

↓パスワード（ペンネームに必須）

（ペンネームとパスワードは初回使用で記録、次回以降にチェック。パスワードはメモすべし。）
↓画像認証
（ 上画像文字を入力）
ルール確認＆失敗対策
画像の URL (任意):

投稿コメント全ログ 　コメント即時配信 　スレ建て依頼 　削除コメント確認方法

---

★阿修羅♪　http://www.asyura2.com/ 　since 1995
　題名には必ず「阿修羅さんへ」と記述してください。
掲示板,ＭＬを含むこのサイトすべての
一切の引用、転載、リンクを許可いたします。確認メールは不要です。
引用元リンクを表示してください。