PR

 デンマークのSecuniaなどは8月19日,Internet Explorer(IE)に見つかった新たなセキュリティ・ホールを公表した。細工が施されたWebサイト上でユーザーがマウス操作をすると,インターネット上の任意のファイル(例えば,ウイルス)をパソコンにダウンロードさせられる。このとき,ダイアログなどは一切表示されない。パッチは未公開。対策はアクティブスクリプトを無効にすることなど。

 セキュリティ・ホールを発見したのは「http-equiv」氏。同氏がセキュリティ関連のメーリング・リストに投稿した内容を,Secuniaが検証して同社サイトで公表した。

 今回のセキュリティ・ホールは,IEがドラッグ・アンド・ドロップなどの操作で発生するDHTML(ダイナミックHTML)のイベントをきちんと検証しないことが原因。このため,細工が施されたWebサイト上で,ドラッグ・アンド・ドロップやクリックといったマウス操作をすると,ユーザーに警告することなく,任意のファイルがパソコンにダウンロードされる。このとき,ダウンロード先は攻撃者が指定できるので,スタートアップ・フォルダにダウンロードさせることも可能である。

 写真はhttp-equiv氏が公開するデモ・サイト(写真の拡大表示)。Webページの上の画像をドラッグ・アンド・ドロップすると,サイトに置かれた“無害”の実行形式ファイルがスタートアップ・フォルダに警告なしにダウンロードされる。パソコンを再起動すると,このファイルは自動的に実行される。なお,このデモではドラッグ・アンド・ドロップしないとダウンロードされないが,今回のセキュリティ・ホールを突けば,シングル・クリックでダウンロードさせることも可能である。

 今回のセキュリティ・ホールは,マイクロソフトが2003年11月に公開した「Internet Explorer 用の累積的なセキュリティ更新(824145)(MS03-048)」に含まれる「ドラッグ・アンド・ドロップの操作のぜい弱性」の“変種”といえる。ユーザーが被害を受けるシナリオや,影響の大きさは同じである。

 ユーザーが何らかのアクションをとらない限り,ファイルがダウンロードされることはない。とはいえ,「リンクをクリックする」といったアクションでもダウンロードさせられる可能性があるので,とても危険なセキュリティ・ホールである。なお,マイクロソフトでは,「ドラッグ・アンド・ドロップの操作のぜい弱性」の最大深刻度を上から2番目の「重要」に設定している。

 米Microsoftからはセキュリティ情報やパッチなどは公開されていない。Secuniaでは,アクティブスクリプトを無効にすることや,別のブラウザを使うことを対策として挙げている。セキュリティ対策のセオリーである「怪しいWebページに近寄らない」ことも重要だ。

◎参考資料
Microsoft Internet Explorer Drag and Drop Vulnerability(Secunia)
Microsoft Internet Explorer Multiple Vulnerabilities(Secunia)
Internet Explorer 用の累積的なセキュリティ更新(824145)(MS03-048)(マイクロソフト)
セキュリティ情報 (MS03-048) : よく寄せられる質問(マイクロソフト)
CAN-2003-0823 (under review)(Community Vocational Enterprises)

(勝村 幸博=IT Pro)