『IE』に新たな脆弱性、XSS 攻撃を可能に

この記事のURLhttp://japan.internet.com/webtech/20041221/12.html

Greyhats Security Group というセキュリティ調査グループが、Microsoft の『Internet Explorer (IE)』に新たな脆弱性があると報告し、裏付けとして脆弱性悪用の実証例も示した。

同脆弱性は、自称「Paul」という Greyhat メンバーの1人が指摘したもので、Secunia などのセキュリティ調査会社でも、全てのパッチを適用した『Windows XP』(『XP SP2』導入済み) および『IE 6』の環境でこれを確認している。

Secunia は「問題の脆弱性は、DHTML Edit ActiveX コントロールのエラーが原因で、特定状況下で execScript() 関数を処理しようとした際に発生する」と述べ、同脆弱性の深刻度を5段階中の3番目とした。この脆弱性「MSIE DHTML Edit Control Cross Site Scripting Vulnerability」を悪用すれば、クロスサイトスクリプティング (XSS) 攻撃を実行することができる。また、cookie ベースの認証情報を盗むことも可能だ。

Greyhat の Paul 氏は、問題の脆弱性を発見し、悪用例を実証するにいたった経緯について説明している。DHTML Edit コントロールについては、すでに別のセキュリティ研究者がその脆弱性を突いてポップアップブロックを回避できることを指摘していたが、Paul 氏はこれを見て同コントロールに関心を持つようになったという。

Secunia はユーザーに対し、「インターネット」ゾーンのセキュリティレベルを「高」に設定することで ActiveX サポートを無効にするよう勧告している。また、XP SP2 ユーザーは、「ツール」の｢アドオンの管理｣を通じて、問題の ActiveX コントロールを無効化することもできるという。