「Internet Explorerの未対策の脆弱性を狙ったゼロデイ攻撃、海外で被害増加中」記事へのコメント

IEさえ使わなければ平気？

[Anonymous Coward]

＞なお、12月17日付けでこの問題に対するパッチ（KB960714）がリリースされたようです
でもパッチをあてるのにIEを仕えという矛盾。

Re:

[Ryo.F (3896)]

でもパッチをあてるのにIEを仕えという矛盾。

他のブラウザでもパッチはダウンロードできるよ。

オンラインでの更新をサポートしているシステムは、どれも同じような問題は抱えてるね。IEに限った話じゃない。

Re:

[Anonymous Coward]

たとえばSafariの場合、更新システムはSafariとは完全に切り離されています。Software Update自体のアップデートも確かにありましたが、Safari自体より明らかに頻度は低いですし、専用アプリケーションなので攻撃もWebブラウザよりは困難です。
Windows Updateも、Windows VistaでようやくIEが不要になりました。

Re:

[Anonymous Coward]

それで、そのSoftware Update自体に脆弱性があってアップデートが
必要なときに、そのSoftware Updateを使うのは変なのかって話だよ。
Safariと切り離されてるから大丈夫とか言う話じゃない。
お　わ　か　り？

>専用アプリケーションなので攻撃もWebブラウザよりは困難です。

そういう甘い考えが既に脆弱性だね。
「専用アプリケーション」だから「困難」っていう根拠は不成立。

Re:

[Birdhead (16025)]

>>専用アプリケーションなので攻撃もWebブラウザよりは困難です。
>
>「専用アプリケーション」だから「困難」っていう根拠は不成立。

元コメントの人は
専用アプリなんだからアップデートの時以外起動していない、起動していないものは安全だ、くらいの意味なんじゃない？
確かにブラウザほど長時間立ち上げてはいないけど、裏で走ってたりはしないのかな。

Re:IEさえ使わなければ平気？

[Anonymous Coward]

元コメントのACですが、攻撃が困難というより穴を見つけるのが困難というべきだったでしょうか。たとえば汎用アプリたるWebブラウザでJavaScriptを無効にするのは事実上不可能ですが、専用アプリをJavaScript実行可能にする必然性は全くありません。JavaScriptを無効にできればどれだけ攻撃可能な穴を減らせるかは、Mozilla Foundation セキュリティアドバイザリ [mozilla-japan.org]でFirefoxとThunderbirdの脆弱性を見比べれば一目瞭然です。
何より、Software Updateの修正頻度がSafariより低いこと自体が穴の見つけにくさを証明しています。