“Windows Update”

　マイクロソフト（株）は7月31日、IEに緊急レベルの新たな脆弱性が3件存在するとし、毎月公開される月例パッチとは別にIEセキュリティ修正プログラムを公開した。なお本修正プログラムは、以前に公開されたIEの修正プログラムを全て含む累積的なものとなっている。現在、同社Webサイト、または“Windows Update”機能を利用して、修正プログラムを無償でダウンロードできる。

　今回新たに報告されたのは、リモートで任意のコードを実行できる緊急レベルの脆弱性が3件で、Windows 98/Me/NT 4.0/2000/XP/Server 2003にインストールされたIE 5.01 SP2/5.01 SP3/5.01 SP4/5.5 SP2/6.0/6.0 SP1が影響を受ける。

　本脆弱性の具体的内容は、IEのセキュリティゾーンによる制限を回避し、ローカル権限で任意のコードを実行できるというもの。これは、トロイの木馬プログラム“Download.Ject”が攻撃に利用した脆弱性と同じだが、新たな攻撃方法が次々に報告されているため再度修正する形となる。

　今回の修正プログラムで対処される攻撃方法の詳細は、（株）ラックのコンピュータセキュリティ研究所によると、WebページのLocationヘッダーにRESプロトコルを悪用して細工を施すことで、ローカルのリソースファイル内のHTML要素または属性を操作し、ローカル権限で任意のコードを実行できるものだという。

　また本修正プログラムでは、特別に細工を施したBMP/GIF画像をIEや「Outlook Express」で閲覧すると、レンダリング処理中にバッファオーバーランを引き起こし、リモートで任意のコードが実行できる脆弱性も修正される。

□Internet Explorer 用の累積的なセキュリティ更新プログラム (867801) (MS04-025)
http://www.microsoft.com/japan/technet/security/bulletin/ms04-025.asp
□Computer Security Laboratory
http://www.lac.co.jp/security/csl/intelligence/SNSspiffy/14.html

（中井 浩晶）