パスワードを忘れた？ アカウント作成
Close
2569 story

IE6に任意のファイルをダウンロード・実行させる大穴 61

ストーリー by Oliver
崩壊しかかった伽藍 部門より

lovely_kitayama 曰く、 "IE6に任意のファイルをダウンロード・実行してしまうセキュリティホールが発見されました。SNSに詳細が報告されています。ざっと見ただけですが、かなり危険な類のセキュリティホールだと思われます。ファイルのダウンロードは有効にしてないと面倒、という人も多々いると思われますし(セキュリティに疎い方は特に)。
また、このページによると、既に30日以上もMSに放置プレイされているということ。ここ最近のMS関連のセキュリティホールはかなり致命的なものが次々と発見されている気がします。結局セキュリティ強化の掛け声も掛け声倒れに終わってしまうのでしょうか。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

IE6に任意のファイルをダウンロード・実行させる大穴 More

  • ２月 (スコア:2)

    by tada (5086) on 2002年03月19日 7時51分 (#73073)
    ２月はバグ潰し月間 [srad.jp]だったのに直らなかったんですね。
    ３月になってからも、その後どうなったのか聞いたことないですし。

  • こういうの、 (スコア:1)

    by zzztkf (4496) on 2002年03月18日 22時26分 (#72954) 日記
    よむとそれだけでLinux + Mozilla の世界に逃げ帰りたくなるんです
    が、みなさん如何ですか。
    --
    life is too short to hate each other.

  • 安心 (スコア:1)

    by kicchy (4711) on 2002年03月18日 23時12分 (#72974)
    W32.TransB 以来、メーラごとMozillaに乗り換えたので
    最近は心安らかにこういったニュースを見ることが出来ます。

    心のゆとりって大事なんですね。

    よっ
    がんばれよビルちゃん！

    こんな気分です。
  • Windowsに限って言えば、IE+Sleipnir [www20.pos.to]に慣れてしまっているのでNetscapeやMozillaにはどうにも乗り換えにくく…
    Linuxしか使わないのならOperaを買う気にもなるんですが、どちらかというとWindows動かしてる時間の方が(個人では)長いし。


    ところで実際にこのテのセキュリティホールで被害を被った人ってどれぐらいいるんでしょう？
    「セキュリティホールを突いた悪さをするようなWebページになんてアクセスしないだろうし、そもそもファイルのダウンロードは無効にしてるからたぶん大丈夫だ」なんて考えはやはり危険かしら。

    # 前者は自分でもどうかと思うけども。
    • 感染したマシンのディスク上にある Web コンテンツに片っ端から自己拡散用のコードを埋め込むようなワームがいると、アングラなページは見に行かないから安全とは言えないのですよね。事実、Nimda のときは MSN などに感染したコンテンツが置かれてしまったおかげで多くの人が被害に遭っています。(参考: http://help.msn.co.jp/notice.htm [msn.co.jp], http://www.watch.impress.co.jp/internet/www/article/2001/0919/nimda3.htm [impress.co.jp])

      プライスロト事件のときはワームではなくクラッキングによる改竄で攻撃用のコードが仕込まれ、これまた多くの人の PC が起動不能に陥りました。(参考: http://www.watch.impress.co.jp/internet/www/article/2001/0821/price.htm [impress.co.jp])

      I do it を示すための犯行文を残すタイプの改竄では被害はクラックされたサーバの所有者のみにとどまり、改竄を受けた事実もすぐに判明しましたが、密かに攻撃用コードを埋め込むタイプの改竄では被害は閲覧しに来た不特定多数のユーザに及び、改竄の事実がすぐにはわからないという問題がありますね。

      また、ファイルのダウンロードを無効にしていても Content-Type や拡張子を組み合わせることで制限を回避できてしまったりする問題 (2ch の fusianasan トラップのような) もありますし、設定だけで逃げられるとは限らないです。(参考: http://www.st.ryukoku.ac.jp/~kjm/security/memo/2001/12.html#20011225_f... [ryukoku.ac.jp])

      やはりどうしても IE を使わなければならないのであれば、セキュリティ関係の情報に対するアンテナを高くし、どのような欠陥が指摘されているのか、どのようなパッチをあてる必要があるのか、どのような設定を施す必要があるのか、どのようなことをしてはいけないのかについて意識することが必要ではないかと考えます。もっとも、これは IE に限った話ではないのですけれど。
      シェア
      親コメント
    • >ところで実際にこのテのセキュリティホールで被害を被った人ってどれぐらいいるんでしょう？

      Nimdaの時、会社のユーザが大量に被害を被りました。

      >「セキュリティホールを突いた悪さをするようなWebページになんてアクセスしないだろうし、

      えーと、ここ [msn.co.jp]に悪さをされたんですが(--;
      ＃そりゃユーザは気がつかないって
      シェア
      親コメント
    • Sleipnirは出てきて日が浅いですから、その気になれば何とかなりそうな気がしますが。
      シェア
      親コメント

  • Mozilla 1.0がでたら… (スコア:1)

    by heero (7147) on 2002年03月19日 6時53分 (#73065)
    IE使う理由ってあるのかな？ バグだらけのものが出なければ良いのだが… あとは、Mandrake Linuxがまともに日本語化されたらWindowsの存在意義ってあるのかなぁ… Mandrake Linux Mozilla 1.0 Star Suite 6.0 これさえそろえば窓OSって入らないのでは（爆）
    • 私は下逸窓環境でもじら使ってますが、主にマルチメディア
      関連ソフトが充実していないために、それ以外の面でのLinux
      への乗り換えは難しいですね。

      特に、ペイントツールやマルチメディアプレイヤー（？）
      等で同等の機能の物が無いのが個人的には致命的です。
      （市販品は言うに及ばず、フリーの物でも）

      もじらのおかげでネットを巡回するだけなら下逸窓でなくても
      十分なんですが。
      シェア
      親コメント
  • IEでしか動作保証しないサイトがあるのが問題なのではと考えてしまう今日このごろです. IE以外でも正常に動作すれば, ユーザは(IEを含め)必然的に不具合の少ないブラウザーを選択するでしょうし. (もっとも, 全ブラウザー共通のサイトを運営しようものなら運用コストは増えるのは必死か. でも, それこそがリスク管理というもの.)
    --
    ★田舎に生息する時代遅れのFortran&COBOLガイなオタク★

    • Re:問題はIEではなく (スコア:2, 興味深い)

      by sou (883) on 2002年03月19日 12時52分 (#73178)
      > IEでしか動作保証しないサイトがあるのが問題

      それ以前に、会社で私の周りにいるような人々は「選択」出来ることを知りません。
      「ブラウザ」というと不思議そうな顔をしますが、「いんたーねっとえくすぷろーらー」と言うと食いつきが良くなる方々です。

      強引にOperaに乗り換えさせましたが、「見栄えが悪くなった」「操作がわからん」等々色々言われました。
      まぁセキュリティって何？というレベルから、見栄えや操作の慣れの方が大事という、選択能力が無い/放棄している/それでもIEを選ぶ方々もまだまだ多いワケで。

      Nimdaにしても、明らかにMSに責任の一端がある事を、MSが被害者面して今でもザルなショーバイ続けれるのはいろいろな面で一般ユーザー層と、一般ユーザー層の環境（含マスコミ）の平均的水準が低すぎる事も大きく手伝っているように思えます。

      AvexのCCCDにしても。

      ちょっと家畜化し過ぎじゃない？と思う今日この頃。
      シェア
      親コメント

  • 素朴に (スコア:1)

    by LightSpeed-J (4514) on 2002年03月19日 12時15分 (#73161) ホームページ
    被害者ってどれぐらいの数になるんでしょうね？
    きになりますね。
    --
    -- LightSpeed-J
  • IEにはタグの解釈にとんでもないバグがあるのを発見して、しおしおになっているところ。穴ならヤバいところを避けるとかしておけば、回避も出来るけど、仕様がおかしいのはどうにもならん。

    興味のある人はBUTTONタグをINPUT TYPE="SUBMIT"の代わりに使ってみるとわかります。ちなみに、このBUTTONタグって、MSが提案したものらしいのだけど。
    • 興味のある人はBUTTONタグをINPUT TYPE="SUBMIT"の代わりに使ってみるとわかります。
      ちなみに、このBUTTONタグって、MSが提案したものらしいのだけど。

      その問題の発生したIEのバージョンと、サンプルソース、
      何がとんでもないバグだと思うのか解らないのですが・・・

      ちなみに、Win2k SP2+SRP1のIE5.5 SP2という環境で、
      下記のサンプルで、私にとってはまったく問題出てませんが・・・

      <html>
      <head>
      <title>Buttonタグの実験</title>
      </head>
      <body>
      <form>
      <button>Push Me!</button>
      </form>
      <body>
      <html>
      シェア
      親コメント
      • INPUT TYPE="BUTTON" じゃなくてBUTTONタグってのがあるんですね？

        いずれにしてもBUTTONをSUBMITの代わりに使うのなら、 onClick="..." を使ってJavaScriptの関数呼び出して中でform.submit()を呼ぶようにすると変な問題が出るとかじゃないかな。（リファレンス見ずにうろおぼえで書いてるのでメソッド名とかは違ってるかもしれないけどご勘弁）
        シェア
        親コメント

  • 詳細 (スコア:1)

    by tix (7637) on 2002年03月19日 21時33分 (#73368) ホームページ
    SNSに詳細が報告されています。
    これを詳細と呼ぶのは納得できません。「脆弱性の存在について公開」と書いてあるとおり、今は危険な弱点があるという事実だけが明らかにされた段階ですよね。

    もちろんこの事実は重大なのですが、これだけでインパクトの大きさを正確に判断することはできないでしょう。また、マイクロソフトが弱点のある製品をリリースしてしまった原因を推測する役にもあまり立ちません（この報告だけから想像できることは、この報告がなくても想像できただろうという意味で）。

    「酷い弱点だ」と述べるのは簡単ですが、脆弱性の詳細が明らかになる前に憶測でイメージを持ってしまうのは望ましくないと思うのですが……。
    --
    鵜呑みにしてみる？

  • お約束 (スコア:0)

    by Anonymous Coward on 2002年03月18日 22時18分 (#72952)
    　それは仕様です．

    　....もう，MSには何を言ってもダメでしょう．

  • 外注に出した方がよさげ (スコア:0)

    by Anonymous Coward on 2002年03月18日 22時41分 (#72961)
    あの会社がやってる限り、まともなものはできないでしょう。
    この際だから、しっかりした会社に一から作らせるというのは?
typodupeerror

長期的な見通しやビジョンはあえて持たないようにしてる -- Linus Torvalds