PR

 米マイクロソフトは2007年10月10日(米国時間)、Internet Explorer 7(IE7)をインストールしたWindows XPおよびWindows Server 2003の環境には、危険な脆弱(ぜいじゃく)性が存在することを明らかにした。細工が施されたリンク(URL)をクリックしたり、悪質なWebページやファイルを開いたりするだけで被害に遭う恐れがある。修正パッチ(セキュリティ更新プログラム)は未公開。

 今回の脆弱性は、URLの処理に関するもの。細工が施されたURLを読み込むと、URLに含まれるコマンド(プログラム)などを実行してしまう。そういったURLが含まれるWebページやファイルを開くだけでも、悪質なコマンドを実行されて被害に遭う危険性がある。

 本来、IEおよびWindowsにはチェック機構があり、URLに含まれるコマンドを実行することはない。IE6を使っている場合や、IE7とWindows Vistaの組み合わせには今回の脆弱性は存在しない。しかし、IE7をWindows XPなどにインストールすると、Windows XPなどのコンポーネントに修整が加わり、チェック機構が適切に働かなくなる。これが、今回の脆弱性である。

 URLを読み込むアプリケーションの中には、Windowsに渡す前にチェックして、不正なURLはWindowsに渡さないものも存在する。そういったアプリケーションを通じては、今回の脆弱性を悪用することはできない。

 しかしながら、チェックをしない、あるいはチェックが不十分な場合には、そのアプリケーション経由で、悪質なURLがWindowsに渡される場合がある。セキュリティベンダーであるデンマークのセキュニアによれば、以下のアプリケーションが該当するという。

  • Firefox 2.0.0.5
  • Netscape Navigator 9.0b2
  • mIRC 6.3
  • Adobe Reader/Acrobat 8.1およびそれ以前
  • Outlook Express 6
  • Outlook 2000

 例えばAdobe Reader/Acrobatでは、細工が施されたURLを含むPDFファイルを開くだけで、中に仕込まれた悪質なコマンドを実行される恐れがある。この問題では、「不正なURLをWindowsに渡してしまうこと」が、Adobe Reader/Acrobatの脆弱性であるとして、米アドビシステムズが10月5日付けで情報を公開。同社では、10月末までに修正版を公開するとしている。だが前述のセキュニアでは、この問題はAdobe Reader/Acrobatの脆弱性ではなく、Windowsの脆弱性であるとしている。

 今回の脆弱性自体は、2007年7月に明らかになっていたものの、当初はそれほど話題にならなかった。しかしその後、悪用が容易であることや、さまざまなアプリケーション経由で悪用できることなどが明らかになってきた。そこで今回、マイクロソフトでは改めて情報を公開し、注意喚起したと考えられる。

 同社では、今回の脆弱性を解消する修正パッチを開発中。完成して検証が終了すれば公開する予定だ。ユーザーからの要望によっては、定例のパッチ公開日(米国時間毎月第2火曜日)以外にも公開する可能性があるとしている。

 マイクロソフトでは、現時点での回避策として「信頼できないリンクはクリックしない。信頼できないWebサイトにはアクセスしない」ことを勧めている。