2016.06.30(木)

IEの脆弱性を悪用した標的型攻撃で、実際に被害が発生(ラック)

脆弱性と脅威 脅威動向

株式会社ラックは9月19日、Internet Explorerの「ゼロデイの脆弱性」を悪用した攻撃に対する注意喚起を発表した。同社が運営するセキュリティ監視センター「JSOC」および、緊急対応チーム「サイバー救急センター」は、2013年9月18日にマイクロソフト社が公表した Internet Explorer(IE)の脆弱性を悪用した標的型攻撃により、実際に被害が発生したことを確認したという。

本脆弱性は、Webサイトを閲覧しただけで攻撃を許してしまう危険なもので、現時点ではセキュリティ更新プログラムが提供されておらず、大変危険な状況であるとしている。脆弱性は、IEにおけるメモリオブジェクトの処理に起因して、Use-After-Free(解放済みメモリ使用の脆弱性)が発生するもので、攻撃者がJavaScriptを利用した脆弱性を悪用する攻撃コードを含むコンテンツをIEで閲覧した場合、メモリ領域に配置された攻撃コードが実行される。これにより、攻撃者は攻撃が成功したコンピュータを支配することが可能となる。

同社ではマイクロソフト社がセキュリティ更新プログラムを公開するまでの緊急の対策方法として、「Fix it『CVE-2013-3893 MSHTML Shim の回避策』の適用」「Enhanced Mitigation Experience Toolkit を使用する」「Internet Explorer の利用を制限する」を挙げている。
《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. スマホアプリ「スシロー」にSSLサーバ証明書検証不備の脆弱性(JVN)

    スマホアプリ「スシロー」にSSLサーバ証明書検証不備の脆弱性(JVN)

  2. ガンホーゲームズを騙るメールに注意、本文に“流失”のミス(フィッシング対策協議会)

    ガンホーゲームズを騙るメールに注意、本文に“流失”のミス(フィッシング対策協議会)

  3. NAS用OS「QNAP QTS」におけるクロスサイトスクリプティングの脆弱性(ラック)

    NAS用OS「QNAP QTS」におけるクロスサイトスクリプティングの脆弱性(ラック)

  4. Apache Commons FileUpload のマルチパートリクエストの処理に起因する DoS の脆弱性(Scan Tech Report)

  5. 複数の「ひかり電話ルータ」および「ひかり電話対応機器」に重大な脆弱性(JVN)

  6. Apache Struts 2 において REST プラグインの実装不備により任意のコードが実行されてしまう脆弱性

  7. トレンドマイクロ「Deep Discovery Inspector」にコード実行の脆弱性(JVN)

  8. 2013年にサポートが終了している「Apache Struts1」に複数の脆弱性(JVN)

  9. 「Apache Struts 2」に深刻な脆弱性、バージョンアップを強く推奨(ラック)

  10. OS Xなどで使用される「mDNSResponder」に複数の脆弱性(JVN)

アクセスランキングをもっと見る

★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×