2005年08月21日

IEの未対策のセキュリティホール

IEに新しいセキュリティホールが見つかりました。Webサイトを見るだけで、悪質なプログラムを実行される可能性があります。

 IEにパッチ未公開のセキュリティ・ホール,Officeユーザーなどが影響を受ける(IT Pro)
 IEに新たな未パッチの脆弱性報告(ITmedia)

問題は、Microsoftが基本的な対策がまだの状態で、エクスプロイト・コード(意味は最後に書いています)が公開済みであることです。この情報を知って対応していない限り無防備のままであり、悪意がある人は簡単に攻撃方法のサンプルを見て仕掛けることができるのです。


このセキュリティ・ホールは、全員が対象というわけではありません
「msdds.dll」のファイルのバージョンが 7.0.9064.9112 の場合、影響を受けるそうです。このファイルはWindowsのデフォルトでは存在しないため、人によって存在しなかったり、存在する場所が違ったりします。私の場合、「C:\Program Files\Common Files\Microsoft Shared\MSDesigners7\MSDDS.DLL」でした。最低でもシステムドライブ(Cドライブ)を全て検索してみましょう!


存在しなかったり、ファイルのプロパティでバージョンが 7.0.9064.9112 でない場合は、対応不要です。私の場合、ファイルのバージョンが新しかったので、対応不要でした。
050821_msddsdll.jpg


このファイルがインストールされる可能性がある製品は以下の通りです。
インストールした記憶がある人は、特に念入りにチェックしてみて下さい。

 ・Microsoft Visual Studio .Net
 ・.Net Framework 1.1
 ・Microsoft Office 2000/2002/XP
 ・Microsoft Project
 ・Visio
 ・Access 11 (2003) runtime
 ・ATI Catalyst driver installed by newer ATI video cards



Microsoftが提示した回避策は3パターン。
ファイルが存在して、かつ、ファイルのバージョンが同じ場合は、いずれかの対応をしておきましょう。(IT Proより引用)

1:「インターネットゾーン」や「イントラネット ゾーン」におけるIEのセキュリティ設定を「高」にして,Active Xコントロールの実行前にはダイアログが出るようにする(実行できないようにする)

2:「インターネットゾーン」や「イントラネット ゾーン」におけるIEのセキュリティ設定で,「レベルのカスタマイズ」から「ActiveXコントロールとプラグイン」以下の各項目を「無効」あるいは「ダイアログを表示する」に設定する

3:レジストリを変更して,IEからmsdds.dllを呼び出せなくする(Microsoftの参考資料)。この無効化ツールは SANS Insitute がコチラで提供しています。


私としては、3番はあまりおすすめしません。一番、普段の使い勝手に影響しませんが、いざ、何かしらのプログラムを正常に使おうとしても動かない可能性があるからです。

1も2も、ポコポコとメッセージがでて面倒でした。
こういう時こそ、Firefoxとか、IE以外のブラウザを使ってみるのもどうでしょう? この場合、IE以外というのは、IEの部品(コンポーネント)を使っていないブラウザである必要があります。
例えば、FirefoxOperaなどですね。Sleipnirは、IEの部品を使っているので、ブラウザエンジンをFirefoxと同じGeckoに変更しておく必要があります。
050821_sleipnir.jpg


最後に、「悪意のあるサイト」は、アダルトサイトやアングラなサイトを連想するので、危ないサイトに行かなければ大丈夫と思いがちです。ですけど、価格.comの事件を思い出してください。普通のサイトにだってハッキングして仕掛けることは有り得るのです!面倒ですけど、対策しましょう〜。


【エクスプロイト】
OSやアプリケーションのセキュリティホールを使って不正な処理を行うこと。または、そのプログラム。エクスプロイト・コードは、セキュリティホールの実証や検証を行うためのプログラム命令の例をを指します。
開発者や企業の対策の為に公開したりしますが、逆に、これを参考に不正攻撃のプログラムを作られたりします。安易に公開すると、対策以前に悪用されるため、公開は慎重にしないといけません。


【追加情報】
IEの未対策のセキュリティホールの続き」に、続報があります。
ファイルのバージョンが追加されていますので、こっちも参考にして下さい!
この記事へのコメント
コメントを書く
お名前: [必須入力]

メールアドレス:

ホームページアドレス:

コメント: [必須入力]

※半角英数字のみのコメントは投稿できません。

この記事へのトラックバック

IEに新しいセキュリティホール
Excerpt: IEにパッチ未公開のセキュリティホールが見つかりました。 ネット上では既にセキュリティ・ホールを突くプログラムが公表されているというのですから怖いですね。 情報源:The Wind of Bl..
Weblog: [A] アフィリエイト実験「のブログ」
Tracked: 2005-08-21 17:03

IEに新たな脆弱性か--マイクロソフトが調査中
Excerpt: Microsoftは、同社のウェブブラウザ「Internet Explorer」に新たな脆弱性が見つかったとする報告について調査を進めている。この脆弱性を悪用された場合、ユーザーのマシンが乗っ取られる..
Weblog: マイクロソフト・インサイド・アウト
Tracked: 2005-08-21 19:17
×

この広告は1年以上新しい記事の投稿がないブログに表示されております。