PR

 米US-CERTは現地時間1月26日,Internet Explorer(IE)に見つかったセキュリティ・ホール(脆弱性)を公表した。細工が施されたWebページ(HTMLメール)を開くと,「Kill Bit」により無効にしたActiveXコントロールを呼び出される恐れがある。対策は,2005年12月に公開されたIEの修正パッチを適用すること。「Microsoft Update」などできちんとパッチを適用しているユーザーは影響を受けないので,何もする必要はない。

 Kill Bitとは,特定のActiveXコントロールをIEから呼び出せないようにするために,レジストリに設定する特定の値のこと(マイクロソフトの情報)。特定のActiveXコントロールに関連したセキュリティ・ホールの影響を回避する方法として有効なため,修正パッチ(更新プログラム)が公開されるまでの一時的な対策として用いられることが多い。

 IEは,読み込んだHTMLファイル(WebページやHTMLメール)にActiveXコントロールを呼び出す命令(HTML)が記述されている場合には,そのコントロールを呼び出す前にKill Bitをチェックし,Kill Bitが設定されているコントロールについては呼び出さない仕様になっている。しかしながら,HTMLファイルにある細工が施されていると,Kill BitをチェックすることなくActiveXコントロールを呼び出してしまう。

 その結果,無効にしたはずのActiveXコントロールを勝手に呼び出されたり,そのコントロールを使って任意のプログラム(コマンド)を実行されたりする可能性がある。

 対策は,「Internet Explorer 用の累積的なセキュリティ更新プログラム (905915) (MS05-054)」のパッチを適用すること。同パッチは2005年12月に公開されているので,Microsoft Updateなどを実施して,きちんとパッチを適用しているユーザーについては,既に対策が施されていることになる。

 US-CERTでは,パッチの適用以外に,「IEのセキュリティ設定を変更してActiveXコントロールを無効にすること」および「IE以外のブラウザを利用すること」を回避策として挙げている。

◎参考資料
Microsoft Internet Explorer does not honor ActiveX kill bit
Internet Explorer 用の累積的なセキュリティ更新プログラム (905915) (MS05-054)
Internet Explorer で ActiveX コントロールの動作を停止する方法
◆JVNVU#998297 Internet Explorer に ActiveX Control の Kill bit 確認を回避できる脆弱性