パスワードを忘れた？ アカウント作成
Close
8480 story

IE5/6でエンバグ、セキュリティホール復活 123

ストーリー by yoosee
またですか 部門より

oddmake 曰く、 "ITMediaおよびCNetの記事によると、 IE5.01/5.5/6の脆弱性について米セキュリティ企業Secuniaが警告を発したという。 今回発見された脆弱性のポイントは6年前に発見されて修正された脆弱性であるということ。 Microsoftはセキュリティを最重要課題としつづけているとのことだが、新しい機能や製品を付け加えるだけでなくこれまでのバグフィックスの成果も怠り無く引き継がれるようにしてもらいたいものである。"

当面の回避策としては「信頼できないWebサイトのリンクはたどらないこと」「IE以外のブラウザを使うこと」などがあげられている。これを機に Mozilla や Mozilla-Firefox (まとめサイト) などの Gecko エンジンのもの、ないし Opera 等を試してみるのも良いかもしれない。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

IE5/6でエンバグ、セキュリティホール復活 More

  • 1げと (スコア:2, 興味深い)

    by Anonymous Coward on 2004年07月01日 21時55分 (#580560)
    > またですか 部門より

    いじわるだね。
    Apache の穴が見つかったときはあんなに優しいのにね。

    • Re:1げと (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2004年07月02日 0時50分 (#580696)
      「また」 [goo.ne.jp]

      同じ事を懲りずに繰り返せば当然でしょう。

      とは言え、１年くらい前は毎週バクってましたから相当な進歩に
      見えるような月末アップデート
      シェア
      親コメント
  • 日本語版はここからどうぞ [xrea.com]

    そのほかにも、オンラインバンキングのパスワード盗むIE用malware [slashdot.org]
    も登場していますね。

    MSはあまりにもIEをほっときすぎたのではないかと思う。
    今後少し改善されそうな動きは [slashdot.org]ありますが。
    --
    romfffromのコメント設定
    AC-2、プラスモデ+3、閾値0、スコアを表示しない(推奨)、高い評価のコメントを親にする

  • 356個のマーチ (スコア:2, おもしろおかしい)

    by Anonymous Coward on 2004年07月02日 0時19分 (#580672)
    １に１個、３日で３個
    3個治して２個戻る...部門より
  • ちなみに、Sleipnir [www20.pos.to]を使っているユーザーの皆さんは、Ver.1.61以降のSleipnirと（Geckoエンジンの入った）Mozilla ActiveX Control [www.iol.ie]の２つをダウンロードして下さい。
    インストールが終わったらIEのActiveXエンジンからGeckoエンジンへと切替が可能となります。
    --
    Super Souya

  • 画面写真 (スコア:2, 参考になる)

    by Anonymous Coward on 2004年07月02日 0時33分 (#580679)
    IT Proの記事 [nikkeibp.co.jp]には実際にデモページを表示した際の画面写真があります。

    さすがにこんなの見せられたらヤバイと思うよね。

    • Re:画面写真 (スコア:5, 参考になる)

      by Spatz (19753) on 2004年07月02日 4時07分 (#580781) ホームページ 日記
      すでに#580728 [srad.jp]でSassyOS2さんがポストされていますけど…。

      Safari 1.2.2も同じくこの現象が見れると言うのでデモページで試してみました。

      いきなりこういう表示に出来ると言うより、「ちょっとちょっと、そこに表示してどうするのよ」って感じです。＜いきなり表示させる手法もあるのでしょうけど…。

      新しいウインドウに対してであれ、同じウインドウ内の別タブに対してであれ動いちゃったのですけど、
      実はデモと同じHTMLの記述を「わざと」やっていた事があります…。＜昔ですけど…。
      勿論、「悪意」があってそうしていた訳じゃなくて、間違えて書いたものをテストしてみて、
      結果が面白かったので利用してみたと言う感じです。

      Geckoエンジンのブラウザで試すと、まずい書き方をしているリンクをクリックしても何も起こらず、
      コンテキストメニューから「新しいウインドウ/タブで表示」を選択する事でアクセスする事は出来るみたいです。
      ＜「騙す目的の表示」にはならない。

      と言う事で、IE/Windowsユーザーのみならず注意する必要はあると思います。

      Secunia.comのアドバイザリー [secunia.com]より以下抜粋

      The vulnerability has been confirmed in the following browsers:
      * Opera 7.51 for Windows
      * Opera 7.50 for Linux
      * Mozilla 1.6 for Windows
      * Mozilla 1.6 for Linux
      * Mozilla Firebird 0.7 for Linux
      * Mozilla Firefox 0.8 for Windows
      * Netscape 7.1 for Windows
      * Internet Explorer for Mac 5.2.3
      * Safari 1.2.2
      * Konqueror 3.1-15redhat

      Other versions may also be affected.

      上記に同じ脆弱性が確認され、他のバージョンにもあるかも知れないそうです。

      また、影響を受けないブラウザとして

      The following browsers are not affected:
      * Mozilla Firefox 0.9 for Windows
      * Mozilla Firefox 0.9.1 for Windows
      * Mozilla 1.7 for Windows
      * Mozilla 1.7 for Linux

      が挙げられています。
      --

      ----
      :oすずめのおやどはどこじゃろぉ
      ('>ぴよぴよ
      シェア
      親コメント

      • Re:画面写真 (スコア:2, 参考になる)

        by vn (10720) on 2004年07月02日 8時34分 (#580827) 日記
        とりあえず secunia.com のデモページに騙されなかったブラウザとして、
        • Mozilla Firefox 0.9 for Mac OS X
        • Mozilla Firefox 0.9.1 for Mac OS X
        を挙げておきます。テストは Mac OS X 10.3.4 上で行いました。
        シェア
        親コメント

      • Re:画面写真 (スコア:2, 参考になる)

        by Vorspiel (2391) on 2004年07月02日 9時35分 (#580858) ホームページ
        アドバイザリのページ見てきました．これはまずいですね．
        Secunia謹製のテストページ [secunia.com]もあるので是非チェックを．
        Exploitation can easily be made "automatic". However, since this example only serves as a test to give users an understanding of how it works, we have chosen not to do so.
        なんて記述もあるので，アクセスしたら自動で「別ウィンドウを開いて騙しフレームを突っ込む」ページは作れそうですねぇ．
        シェア
        親コメント
  • ActiveXを切っていても
    （JscriptないしJavaScriptを無効にしていても）
    Aタグのリンクにマウスオーバーした時のステータスバーに
    リンク先URLとして、さも信頼できそうな情報が表示されるように
    捏造されえることは既にちょっと前に報道されている通りです。
    それどころか、オンマウスダウンの瞬間でもステータスバーに
    さも信頼できそうな情報が表示されっぱなしな穴があるというのに。

    IEにおいて、何をもってして
    「信頼できないWebサイトのリンクはたどらないこと」
    なのでしょうか。

    アドレスバーに直接手打ちでURLアドレスを打ちこむほか
    ないですよ。secuniaもそのように言っています。
    --
    | 慈愛こそ慈愛
  • セキュリティホール memo - 1998.11 [ryukoku.ac.jp]によりますと，この問題はInternet Explorer 3/4だけでなく Netscape Communicatorにも存在していたようです（6年前の当時はNetscape Communicator v4.0.4 for OS/2が新しくリリースされた頃だと思うので，個人的にはセキュリティアップデートした記憶はありませんが。）
    アプリのマイナーアップデートで一度修正されたはずの問題が再現してしまうのは多々あることだとは思いますが，6年前に埋められたはずのセキュリティホールが再現してしまうなんて，さすがInternet Explorerだなと思いました。もしかしたらMozilla 1.xでも再現したりして(笑)

    # ちなみに今はMozilla FireFox 0.9 for OS/2でアクセスしてます。

  • ひとまずの対策？ (スコア:2, 参考になる)

    by signed-coward (17953) on 2004年07月02日 16時59分 (#581127) 日記
    IEだと、
    インターネットオプション→セキュリティから、レベルのカスタマイズで
    「異なるドメイン間のサブフレームの移動」を「無効」にすると、
    少なくとも Secunia のテストページは問題なくなるようです。
    # 他に抜け道があるやもしれませんが……

    Firefox0.9.1では、この辺がデフォルトになっているようなので、発生しないみたいですね。
    # っていうか、T.MURACHI さんの #581016 のコメントを見て、このことに気づいた（汗）

  • 一瞬 (スコア:1, すばらしい洞察)

    by Anonymous Coward on 2004年07月01日 21時59分 (#580564)
    ＞これを機に Mozilla や Mozilla-Firefox (まとめサイト) などの Gecko エンジンのもの、ないし Opera 等を試してみるのも良いかもしれない。

    　コピペネタかと思タ

  • 逆行 (スコア:1, 参考になる)

    by Anonymous Coward on 2004年07月01日 22時15分 (#580583)
    >>Gecko エンジンのもの

    逆行かもしれんが、私はMozillaからIEに完全移行しちゃいました。
    画像掲示板をよく見てるんだけど、そういう掲示板で画像をたくさん
    見てると、Mozillaはフリーズしたようになって動作がおかしくなる
    ことが多々あったもんで。
    対処の仕方もわからんし、IEだと大丈夫なんでVer.1.X以来使ってきた
    Netscape/Mozillaにサヨナラしました。

    • Re:逆行 (スコア:2, 参考になる)

      by ruto (17678) on 2004年07月01日 22時42分 (#580599) 日記
      昔のGeckoエンジンは画像の大きさを変えて表示するととてもスクロールがとても遅くなる不具合がありました。
      今firefox0.8で調べたら問題無いように思えます。
      シェア
      親コメント

    • 1.4ではそうだった (スコア:2, 参考になる)

      by Yakza (13745) <yakza@funifuni.net> on 2004年07月02日 8時21分 (#580826) ホームページ 日記
      画像の多いサイト回ってるとメモリをバリバリ食ってExit Mozillaするまで解放してくんなかったような。
      Win9xだとGDIリソースが食い尽くされてすぐ表示が乱れるのでよくわかる。

      因みに、1.6では治ってるぽ。
      --

      --
      Ath'r'onならfloatあたりに自信が持てます
      シェア
      親コメント

  • 「IE5/6でエンバグ」？ (スコア:1)

    by chute (19365) on 2004年07月02日 12時02分 (#580959)
    何か違和感を覚えてしまいました．以下，私の思考過程．

    エンバグ：バグを作りこむこと．
    という意味では，エンバグしたからバグがあるわけで，こんな言い方を敢えてするのは何故だろう？

    エンバグ：デバッグしてたら別のバグ作りこんじゃった [geocities.co.jp]ような時に使うかも．
    でも，このストーリーでは，そういう話じゃなさそうだし．

    あー，『今回発見された脆弱性のポイントは6年前に発見されて修正された脆弱性』から来ているのかな．
    それは，「デグレ」って言うんじゃなかろうか．
    上記２番目のエンバグ用法から，エンバグの意味が派生している？？

    この辺りの用語の意味って，会社やプロジェクトによって違ってたりしますよね．
typodupeerror

犯人はmoriwaka -- Anonymous Coward