「IEとOEに任意コマンド起動の欠陥」記事へのコメント

問題なのは

[tix (7637)]

OBJECTタグのCODEBASE属性にコマンドのパス名を指定するだけで動いてしまうため、セキュリティ設定でアクティブスクリプトやActiveXを無効にしていても動いてしまう

これは正確ではありません。 object 要素の codebase 属性に任意のプログラムが指定できてしまうというのは既知の弱点で、 Force Feeding [ryukoku.ac.jp] （2000年6月）でも使われています。

Force Feeding のときは、別の弱点と組み合わせることで ActiveX も active scripting も無効な環境でも攻撃が成功してしまいましたが、今回の指摘も同様です。今回は The Pull 氏 [osioniusx.com]が active scripting が有効なら同じ弱点 [rr.com]

--
鵜呑みにしてみる？

回避方法

[AtmarkZero (7164)]

Proxomitronなどのローカルプロクシでフィルタリングするのが手っ取り早いかも。
と思っていたら、フィルタが用意されていました [dti.ne.jp]。パッチが出るまで、IEを使う必要がある場合はこれを使うのが確実でしょう。

責任ある開示

[yourCat (4820)]

ローカルプロクシでフィルタリングするのが手っ取り早いかも。と思っていたら、フィルタが用意されていました。

発見した塞がれていないセキュリティー・ホールの公開は是か非かと問題 [srad.jp]になりますが、このようにフィルタを用意するなど回避手段があれば公開しやすいですね。当該製品の開発ベンダーが直してくれるまでは公開できない、でもなかなか直してくれないというジレンマが解決できます。
セキュリティー・ソフトのベンダーにも連絡すると、脆弱性を利用したワームの出現に備えた定義ファイルを用意しておけますね。なるほどなるほど。

#既に常識なのかな？