パスワードを忘れた？ アカウント作成
Close
10429 story

IEのobjectタグにクラッシュや任意コード実行可能な脆弱性 66

ストーリー by Oliver
DoSからゾンビ化まで 部門より

mew 曰く、 "米Microsoftが Internet Explorer に関する新たなセキュリティアドバイサリ「Microsoft Security Advisory (903144)」を公開した。Internet Explorer は object タグによって非ActiveXコントロール（例えばCOMオブジェクトなど）をActiveXコントロールのように利用可能にする機能をサポートするが、その仕組みにセキュリティ上の不具合があり、それを悪用されると Internet Explorer を強制終了させられる、などの侵害を受ける。場合によっては“メモリの汚染”によって「任意のコードを実行させられる潜在的な可能性」もあるという。例として「javaprxy.dll」COMオブジェクトが取り上げられている。この不具合がもたらす脅威の正確な範囲は、現在も調査続行中とのこと。
影響を受ける Internet Explorer のバージョンは 5.01/5.5/6.0(SP2も)など。まだパッチは存在しないが、当面の回避策として「セキュリティゾーン設定を『高』にする」または「ActiveXコントロールが使われるときに『毎回問い合わせる』ように設定を変更する」が示されている。関連記事として以下のものなどがある。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

IEのobjectタグにクラッシュや任意コード実行可能な脆弱性 More

  • どちらの問題？ (スコア:2, 興味深い)

    by Lizy (19775) on 2005年07月02日 19時07分 (#761656)
    IE側の問題なのか、あるいは特定のCOMコンポーネント側の問題なのかがいまいち不明な内容ですね。

    最初読んだ印象としては、IEがCOMオブジェクトを生成する部分に何らかの問題がある（すなわちIE側の問題）のかと思いましたが、SEC Consultの記事を読むとクラッシュを引き起こすことの出来るCOMオブジェクトを20個ほど見つけたというだけで、全てのCOMオブジェクトで問題が発生するとは書かれていませんでした。

    COMオブジェクト側の問題、あるいはIEとCOMオブジェクトの合わせ技の可能性もありそう。でも記事はやっぱり「IEにセキュリティホール」「IEにバグ」、そしてMSは「特定のCOMコンポーネント(Javaprxy.dll)が悪い」と、分かりやすいですね。
    • そもそも既存のCOMコンポーネントの全てが安全とは言えなさそうだし、セキュリティホールとして使えるCOMコンポーネントを新規に作る事も可能。
      で、そのCOMコンポーネントをIEから呼び出す事も可能。
      となると、IEが悪いとも言えないような....。COMコンポーネントとして呼び出すと言う機能自体は便利なので、それ自体が良くないと言っても始まらないし。
      ActiceXと同じように、呼び出しても安全だと個々のCOMコンポーネントをマークするような仕組みがあれば良いのかなあ。
      シェア
      親コメント
  • 「関連リンク」の下にある「セキュリティ」セクションのリンクの部分に

    <LI><A HREF="http://srad.jp/article.pl?sid=05/07/01/2355213&topic=41">IEの<object>タグにクラッシュや任意コード実行可能な脆弱性</A></LI>

    という表現（& l t ;と& g t ;じゃなくて<と>になってる）があって、ActiveXをOFFにしてると「IEの」まででレンダリングが止まっちゃいますね（ActiveXアリは試してない）。

    # ホントのテキスト形式でも、「& a m p ; l t ;」が
    # 「& l t ;」と同じ扱いなのね。
    --
    yp

    • Re:オフトピですが (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2005年07月02日 11時30分 (#761512)
      どうりでIEでこのトピを見れないわけだ。
      ある意味話題に沿っているが＾＾；
      シェア
      親コメント

      • Re:オフトピですが (スコア:0)

        by Anonymous Coward
        ソースコードの表示で見ることはできますが、それだけですね。
        表示変更等が全然出来ないのであまり意味ありませんがヒントは見れます。

        #Proxomitronで変換フィルタ入れてこれ書いてます。
        #(ま、wordの単純変換だからすぐ書けたけどね。from 別AC)

    • ということは (スコア:0)

      by Anonymous Coward
      トピックのストーリー一覧において一部のHTML要素が正しくエスケープされていない事が判明したわけですが、
      これは悪意ある編集者がユーザーのcookieを盗み出す事も可能という事でしょうか。

  • クラッシュだけなら (スコア:1, おもしろおかしい)

    by Anonymous Coward on 2005年07月02日 11時00分 (#761499)
    >それを悪用されると Internet Explorer を強制終了させられる

    「それを悪用されるとWindowsが安全になるセキュリティホール」と読み替えられそうな...

  • 昔からでしょ (スコア:0, 興味深い)

    by Anonymous Coward on 2005年07月02日 8時57分 (#761455)
    今に始まったわけじゃないし。

    ActiveXって何に役に立ってるのでしょうかね。
    アプリの起動だけじゃ使ってることにならないしね。

    #本来はjavaパクリなんでしょうけど

    • Re:昔からでしょ (スコア:2, すばらしい洞察)

      by Dobon (7495) on 2005年07月02日 9時52分 (#761473) 日記
      イントラネットなど『閉じた』環境で使うなら、これほど便利なものはないです。
      なんでもできますから。（ディスクのフォーマットからレジストリの書き換えまで）
      ・起動フロッピーを作成するWebアプリを作れなんて言われたら....
      --
      notice : I ignore an anonymous contribution.
      シェア
      親コメント

    • Re:昔からでしょ (スコア:2, 参考になる)

      by Anonymous Coward on 2005年07月02日 10時59分 (#761498)
      ActiveXとjavaを同等のもののように考えておられるようですがなぜ？

      簡単に説明すればActiveXってのはOLEから進化して来た技術で
      本来の根幹はアプリケーション間通信の為に存在していました
      よくExcelの中に別のドキュメントを埋め込んだりしてあるアレだと
      思っていただいて結構です。
      １度作ったドキュメントやプログラムを再利用することで
      複数のプログラムで無駄な開発をなくせることと、
      一括でBugfixできるって意味で有益だと思われて提供されています
      古いVisualBasicだとOCX等と呼ばれた時代もありましたが、
      ActiveX技術はアプリ通信以外だとライブラリの一つの形でもあると言うことです。

      何故 IEでActiveXがサポートされる必要があるのかと言えば
      IEもアプリケーションの１つですし、通常のHTML以外にActiveForm等のような
      ブラウザ内で動作するネイティブプログラムや各種言語から
      ActiveXをダウンロードして使う為です

      あとOLEの歴史はjavaより古いです、何がパクリなのかわかりませんが歴史的にはOLEの方が古いです。
      シェア
      親コメント

      • Re:昔からでしょ (スコア:1, 興味深い)

        by Anonymous Coward on 2005年07月02日 22時24分 (#761715)
        > ActiveXとjavaを同等のもののように考えておられるようですがなぜ？

        発表当時、Java Appletの対抗技術としてされていたからではないでしょうか？
        そのころのイメージを引きずっていて、かつOLEの歴史を知らなければ(さらにJava=Appletという時代から知識が更新されていなければ)、ActiveX=危険なJavaという理解になるのも分かる気がします。

        > あとOLEの歴史はjavaより古いです、何がパクリなのかわかりませんが歴史的にはOLEの方が古いです。

        当時、Java Applet vs ActiveXという構図があり、かつActiveXという名前が後から出された(技術的な面はともかく)ことを考えれば、パクリといわれても仕方ないでしょう。
        つまり、Microsoftがパクったのは「ダウンロードして使うWeb Browser埋め込みアプリケーション」という発想です。
        シェア
        親コメント

      • 名前 (スコア:0)

        by Anonymous Coward
        ええと、OLE, OCX, ActiveX という名前は、同じ物の別な名前ということであってますか？
        だとしたら、なのですが、同じ物にどんどん別な名前つけていくのをやめてほしいです。マイクロソフトさん。

        • Re:名前 (スコア:2, 参考になる)

          by bitflux (27714) on 2005年07月02日 21時15分 (#761689)
          すべて、「同じ仕組み」に基づいてますが、それをどう使うかで呼び方が変わってます。

          その「同じ仕組み」の名前が途中でバージョンアップとか
          機能追加とかに伴い、OLE2→COM→COM/DCOM→COM+と変遷してますが。
          COM+で何のインターフェイスを実装するか(実装を必須条件とするか)ですね。
          一番簡単に言うと、IDispatchを実装してればActiveXと言えるんでしたっけ？
          実際のところ、COM+は良くできた仕組みだと思いますよ。
          IUnknownの設計とか。
          MozillaのXPCOMもGnomeのbonoboもIUnknownに関しては、完全に
          COM+の模倣ですね。

          OLE1.0 (on Win3.1)はObject Linking and Embeddingでしたが、
          OLE2.0 (on Win95)からは何の略でもなくOLE。OLE1とOLE2は別物です。
          シェア
          親コメント

          • Re:名前 (スコア:0)

            by Anonymous Coward
            OLEだよOLE、1じゃなくて2の方のOLEだよ!
            実は今いろいろ脆弱で大変なんだけど…

            #今更なのでAC

        • Re:名前 (スコア:0)

          by Anonymous Coward
          今となっては同じものにされてしまったけど、ルーツをたどると少なくとも
          OLE と OCX 相当のものは、別々の種類のモノだった。
          Windows 3.1 時代までさかのぼると、プロセス間通信としてのOLE は次世代 DDE として
          宣伝されてたように思う。
          共有ライブラリとしての OCX は

      • Re:昔からでしょ (スコア:0)

        by Anonymous Coward
        一種の共有ライブラリですな。
        ただ、.dll や Linux の .so のような関数ベースのライブラリではなく、
        VB などからも使いやすいようにコンポーネントベースの。
    • ActiveXって何に役に立ってるのでしょうかね。
      Windows Updateするには必須じゃないの？

      # Deer Park WPS Alpha 1使いなのでID

      シェア
      親コメント
      • そもそもWindows UpdateをWebブラウザでやる必然性はないような気もします
        （HTTPでやるのはいいとしても）。
        aptみたいな単体のアプリケーションでやればいいだけだと思います。

    • Re:昔からでしょ (スコア:1)

      by baby_face (5007) on 2005年07月02日 11時06分 (#761502)
      JAVAの方があとじゃなかったでしたっけ?
      イントラネット用で使ってたものをインターネットに持ち込んだ
      のが間違いの始めとか、なんとか。
      256倍本に書いてあったような。。
      うろ覚えですいません。
      シェア
      親コメント

      • Re:昔からでしょ (スコア:2, 興味深い)

        by Elbereth (17793) on 2005年07月02日 11時52分 (#761523)
        256倍本にどう書いてあったかは別として、実際のところは
        イントラネットじゃなくてスタンドアローンでの運用を
        前提としたセキュリティレスな仕様をインターネットに
        持ち込んだ、が正しいのではと思います。
        シェア
        親コメント

    • Re:昔からでしょ (スコア:1)

      by Anonymous Coward on 2005年07月02日 12時11分 (#761534)
      Mozilla/Firefoxのchrome javascriptだって同じぐらい危ないぞ。
      Mozillaの既知の脆弱性で危険度が高いのは概ねこれの悪用だし。
      シェア
      親コメント

      • Re:昔からでしょ (スコア:0)

        by Anonymous Coward
        OSのAPIにアクセスするものと「同じくらい」って言うのは
        無理があるのではないかな？ついでにぐぐると223件 [google.co.jp]しかない。

        正しくは、「XULで記述されたchromeの中に埋め込まれたJavascript」かな。
        ウェブページへのアクセス時に要求されるものではなく、ローカルに落として
        適用・運用するものだから、やはり「同じくらい」には語弊がある。

        いつ

        • Re:昔からでしょ (スコア:1, 参考になる)

          by Anonymous Coward on 2005年07月03日 15時18分 (#761967)
          確かにchrome javascriptは正式な用語ではない。しかし指している内容はその「chromeのXUL等で使用することを前提としたローカルファイルの読み書きやネットワークアクセスや外部プログラムの起動等が可能な特権付きjavascript」で合っている。これは本来は前提の通りローカルにインストールされたfirefoxの本体やそのextensionのみに与えられるべき特権だが、実際には信頼されてないウェブページ等が勝手に特権付きjavascriptを実行出来るという事態が度々発生している。

          Known Vulnerabilities in Mozilla Products [mozilla.org]に挙げられている脆弱性の内、特権付きjavascriptの無断実行に関する物を以下に挙げる。C,H,M,Lは程度(C=critical, H=high, M=moderate, L=low)、バージョン番号の後の括弧内は脆弱性の総数、パーセンテージはhigh以上の脆弱性の内特権付きjavascriptの無断実行に関する物の占める比率である。

          Fixed in Firefox 1.0 (C=2, H=2, M=2, L=3) 25%(1/4)
          [C] MSFA 2005-12 [mozilla.org]
          Fixed in Firefox 1.0.1 (C=2, H=3, M=5, L=6) 20%(1/5)
          [H] MFSA 2005-26 [mozilla.org]
          Fixed in Firefox 1.0.2 (C=1, H=1, M=0, L=1) 50%(1/2)
          [H] MFSA 2005-31 [mozilla.org]
          Fixed in Firefox 1.0.3 (C=3, H=2, M=4, L=0) 100%(5/5)
          [H] MFSA 2005-34 [mozilla.org]
          [M] MFSA 2005-35 [mozilla.org]
          [H] MFSA 2005-36 [mozilla.org]
          [C] MFSA 2005-37 [mozilla.org]
          [M] MFSA 2005-38 [mozilla.org]
          [C] MFSA 2005-39 [mozilla.org]
          [C] MFSA 2005-41 [mozilla.org]
          Fixed in Firefox 1.0.4 (C=3, H=0, M=0, L=0) 100%(3/3)
          [C] MFSA 2005-42 [mozilla.org]
          [C] MFSA 2005-43 [mozilla.org]
          [C] MFSA 2005-44 [mozilla.org]
          Fixed in Firefox 1.0 ... 1.0.4 (C=11, H=8, M=11, L=10) 57.84%(11/19)

          このようにMozilla Firefoxの重大な脆弱性のうち半数以上が特権付きjavascriptの無断実行に関する物である。将来のバージョンで取りこまれる予定のbug 281988 [mozilla.org]、bug 296639 [mozilla.org]、bug 286651 [mozilla.org]等の対策はこの状況を緩和し特権付きjavascriptの無断実行の可能性を下げると考えられる。

          あとFirefox 1.0.4にもウェブページから勝手に特権付きスクリプトを実行出来る脆弱性が有る。bug 294795とか。
          シェア
          親コメント

  • 回避策 (スコア:0, 余計なもの)

    by yu_raku (419) on 2005年07月02日 10時22分 (#761481)
    これ [microsoft.com]によると

    インターネットゾーンのセキュリティレベルを高にする
    もしくは
    ActiveXコントロールとプラグインの実行をダイアログを表示する

    によって回避できるっぽいです。

    • Re:回避策 (スコア:0, オフトピック)

      by yu_raku (419)
      あ、タレコミにちゃんと書いてますね。
      もうしわけない…
      「余計なもの」お願いします。

  • ブラウジングと電子メールの安全性を強化する (スコア:0)

    by Anonymous Coward on 2005年07月02日 11時26分 (#761511)
    安全にIEでブラウズしたいなら、セキュリティの設定を「高」にするようにと
    かなり以前からマクロソフトはサイト上で呼びかけています。

    ブラウジングと電子メールの安全性を強化する [microsoft.com]

    それでも設定を「高」にしないでブラウズして被害を受けるのは愚かだと思いますし、
    「高」にするとまともに表示できないサイトを作り続けるのも愚かだと思います。
    • 申し訳ありません。リクエストされたページは Microsoft.com 上で見つけることができませんでした。

      って、target="_blank"をつけるような便利なツールが出回っているのか？

      さて、本題。マイクロソフトは「カスタム設定のリセット」で、「セキュリティの設定」を「中」に戻す設定をしておりますが、これはいかがお考えでしょうか？お考えをお述べください。
      • XPの発売後の文書だから問題なかろ。
        「設定のリセット」をして初期設定と違う設定にされたらそれこそ問題だ。
        IE7ではおそらく最初から「高」にあたるものになってるはず。
        • >XPの発売後の文書だから問題なかろ。

          >公開日: 2003年12月16日 | 最終更新日: 2003年12月16日

          ってことね？じゃ、その後新規に出荷された、「全く別」のバージョンと言われるMicrosoft Windows XP Tablet PC Edition 2005については、どうなるんでしょう？

          確認したマシンがそれなんですけどぉ？

          答え：OEM先にお問い合わせください。
    • 最後の一行に全身全霊を込めて賛意を。
      特に行政とかの公共サイトにはガイドライン設けて欲しいぐらい。

  • 注意！ (スコア:0)

    by Anonymous Coward on 2005年07月02日 20時19分 (#761676)
    知らずにIEを使ってしまうという危険な弱点が人間の脳に発見されました。

    • Re:注意！ (スコア:0)

      by Anonymous Coward
      > 知らずにIEを使ってしまうという危険な弱点が人間の脳に発見されました。

      あなたもですか。

  • 確認報告がありませんねぇ。 (スコア:0)

    by Anonymous Coward on 2005年07月03日 1時31分 (#761797)
    リンク先のサンプルコード [sec-consult.com]で、確認ダイヤログを表示して落ちました。

    # IE の次バージョンって、セキュリティ設定は「高」がデフォルトになるんだろうか？

  • 意味ないじゃぁん (スコア:0)

    by Anonymous Coward on 2005年07月03日 11時22分 (#761892)
    今どき、IE使ってる人なんているんですか？
    だって、これだけバグだ、脆弱性だ、って騒がれて
    マトモに使うのは至難の技て感じなのに...。

    ＃只より高いものはない。
    ＃安物買いの銭失い。
typodupeerror

ハッカーとクラッカーの違い。大してないと思います -- あるアレゲ