「IEとOEに任意コマンド起動の欠陥」記事へのコメント

問題なのは

[tix (7637)]

OBJECTタグのCODEBASE属性にコマンドのパス名を指定するだけで動いてしまうため、セキュリティ設定でアクティブスクリプトやActiveXを無効にしていても動いてしまう

これは正確ではありません。 object 要素の codebase 属性に任意のプログラムが指定できてしまうというのは既知の弱点で、 Force Feeding [ryukoku.ac.jp] （2000年6月）でも使われています。

Force Feeding のときは、別の弱点と組み合わせることで ActiveX も active scripting も無効な環境でも攻撃が成功してしまいましたが、今回の指摘も同様です。今回は The Pull 氏 [osioniusx.com]が active scripting が有効なら同じ弱点 [rr.com]

--
鵜呑みにしてみる？

回避方法

[AtmarkZero (7164)]

Proxomitronなどのローカルプロクシでフィルタリングするのが手っ取り早いかも。
と思っていたら、フィルタが用意されていました [dti.ne.jp]。パッチが出るまで、IEを使う必要がある場合はこれを使うのが確実でしょう。

Re:回避方法

[tix (7637)]

ポイントされているフィルタでは XML の CDATA セクションを検出して他の文字列に置き換えていますが、パターンマッチではじくなら datasrc 属性か xml 要素ではじくほうが安全です。

今回の弱点の発見者によるサンプルコードには CDATA セクションが使われていますが、このことは弱点とは関係がありません。 CDATA セクションを使わない例をここ [ryukoku.ac.jp]

--
鵜呑みにしてみる？

Re:回避方法

[tix (7637)]

Advisory [greymagic.com] が更新されていて、 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004 の値を DWORD 値の3に変更する（普通は0）という回避法が載っています。このほうがいい方法だと思うのでお勧めします。

セキュリティホール memo メーリングリスト [ryukoku.ac.jp]で教えていただきました。

--
鵜呑みにしてみる？