オルタナティブ・ブログ > IT大捜査線 THE BLOG >

障害は会議室で起きているんじゃない、サーバルームで起きているんだ!!

Windows UpdateをしてもPCに存在する脆弱性

»

2006/04/05 情報セキュリティサイトSecunia(英)でIEのアドレスバーを偽装できる脆弱性があると 掲載されました。

この脆弱性はマクロメディアのフラッシュ形式のファイル(.swf)が同時にサイトを開く処理などと読み込まれたりするときにアドレスが偽装 されてしまうようです。

Secuniaのサイトで自分のブラウザに脆弱性があるか確認できるテストサイト(英)もあります。発表から2ヶ月経ち、久しぶりに訪れてみてみると私のIEはまだ偽装されているようです。

Ie_address_spoof

現在確認されているところではターゲットとしてはInternet Explorer 6.xで この脆弱性に対してまだ修正するパッチなどはリリースされていない様子。私のPCでもWindowsアップデートで最新の状態であることを確認しました。

現在のところ、この脆弱性を回避するにはインターネットブラウザーのインターネットオプションからセキュリティの設定に進み、アクティブスクリプトを無効にすれば回避できますがこのオプションを無効にすることで動作しなくなるウェブアプリケーションもあるので注意が必要だと思います。例えばGoogle MAPなどは表示されなくなります。

Active_script

最近、他のサイトと連携をとったり、ユーザビリティの良さを実現するためにAjaxなどスクリプト機能を取り入れているサイトやウェブアプリケーションが増えているので アクティブスクリプトを無効にすることは避けたいですが...

今回この脆弱性を悪用されるケースとしてはフィッシングなどが考えられるでしょう。

この脆弱性の動きの特徴をみると、サイトを開いてもIEの右横にあるWindowsの旗が常になびいてます。

他にも2006/04/27にリリースされた脆弱性もあります。
この脆弱性は mhtmlのページをリダイレクトする時、HTTP 302(Found object移動)の処理に脆弱性があり、悪意のあるサイトでウェブ閲覧してきているユーザーの権限で別のドメインのコンテンツにアクセスできるようです。

これも現在Secunia(英)でテストサイトがあり、自分のブラウザがその脆弱性をもっているか確認できます。この脆弱性はMicrosoft Internet Explorer 6.xユーザーに影響があります。

最後に重要度が高い脆弱性をあげます。この脆弱性もあるコンビネーションでネストされたオブジェクトタグの処理にバグがあり、ブラウザーをクラッシュさせたり、悪意のあるリモートサイトから任意のコードが実行されたりする可能性があります。これは比較的重要度が高いので注意が必要です。
詳細

脆弱性が発見されてから、パッチがでるまでの期間はいがいと時間がかかっているものです。この期間がセキュリティ対策上、どのくらいの重要度があるのか、これは時が経つほど、ハッキング技術が巧妙になり、一昔前の感覚での運用ができなくなってます。例えばある脆弱性からエクスプロイットコード(侵入プログラム)を開発しやすくするための開発環境などツールとして出まわってますので脆弱性が発見されてからエクスプロイットコードが出まわる時間が短くなりました。またそのコードはスパムやウィルス、ワームなどを通して伝播されるので被害にあう可能性も高くなってきております。最近はスパムの場合メールと言うイメージが強かったですが、ブログなどにもスパムコメントやトラックバックが多くなっており、伝播する媒体も増えてきたと考えられるでしょう。現在のスパムは如何にもスパムという感じですが今後はより高度な技術を取り入れコンテンツの内容にマッチした高度なスパムも登場するかもしれません。

ファイアウォールやウィルス対策製品を導入すればセキュリティは万全という時代ではありません。PCがどのように利用されているのか、そしてどのようなリスクがあるのか一つ一つ確認していき、そのリスクに備えることが必要になってきました。個人ユーザーであっても同じですね。個人情報を入力する時は何に注意しなければならないのか、オンラインショッピング、ネット証券やバンクを利用している人など意識しなければならないでしょう。

Comment(0)