MSがIEの脆弱性を公表・任意コード実行の恐れも
タレコミ by mew
mew 曰く、
米Microsoftが Internet Explorer に関する新たなセキュリティアドバイサリ「Microsoft Security Advisory (903144)」を公開した。Internet Explorer は object タグによって非ActiveXコントロール（例えばCOMオブジェクトなど）をActiveXコントロールのように利用可能にする機能をサポートするが、その仕組みにセキュリティ上の不具合があり、それを悪用されると Internet Explorer を強制終了させられる、などの侵害を受ける。場合によっては“メモリの汚染”によって「任意のコードを実行させられる潜在的な可能性」もあるという。例として「javaprxy.dll」COMオブジェクトが取り上げられている。この不具合がもたらす脅威の正確な範囲は、現在も調査続行中とのこと。
影響を受ける Internet Explorer のバージョンは 5.01/5.5/6.0(SP2も)など。まだパッチは存在しないが、当面の回避策として「セキュリティゾーン設定を『高』にする」または「ActiveXコントロールが使われるときに『毎回問い合わせる』ように設定を変更する」が示されている。
関連記事として以下のものなどがある。
- ITMediaの記事。
- 日経 IT Pro の記事。
- Secuniaによるアドバイサリ。重要度は「Higily Critical」。
- Secuniaによって紹介されている、発見者による報告。技術面な側面についてはここが一番詳しい。この不具合が「javaprxy.dll」だけに留まらない可能性も示唆されている。