Garbage Script on Goo BLOG

某SIerの"元"研究者 兼 情報Security技術者"F.Koryu"の日常の雑記置き場

IEの設定変更をオススメします＞VML処理の脆弱性(0-Day Exploit)

2006-09-20 17:44:12 | セキュリティ（エンドユーザ向け）
Windowsにパッチ未提供の危険な脆弱性、悪用サイトも既に確認 - Internet Watch
既に日本語版のアドバイザリも出ています。
---
ちょっとこの件に関してアチコチで話題に挙がっているようなのですが、イマイチどうすれば良いのか分かりにくいので、簡単にまとめてみたいと思います。
---
【1.一体何なの?】
Internet Explorer(IE)の中の、ベクター(ベクトル)形式の画像(※1)ファイルの一種であるVML(Vector Markup Language)の取扱いにセキュリティホールが見つかったという事です。

ここまで騒ぎになっている理由は……
  • このセキュリティホールを突く不正攻撃が既に行われている事。
  • このセキュリティホールを塞ぐための修正パッチが、まだMicrosoftから提供されていないという事。
    ……の2点です。

    【2.何が起きるの?】
    次のような被害が考えられます。
  • ウイルスに感染する、またはスパイウェアなどの悪意あるソフトが知らぬ間にインストールされてしまう。
  • 結果「パソコンが正常に使えなくなる」「情報漏洩が起きる」などの被害を受けてしまう。

    例えばこんなケースで被害に遭ってしまう事が考えられます。
  • 不審なメールの中のリンクをクリックしてしまったり、添付ファイルを開いてしまう事で、被害に遭ってしまう。
  • 掲示板やブログの中の不審なリンクをクリックしてしまう事で、被害に遭ってしまう。

    【3.どうすれば良いの?】
    現時点でエンドユーザレベルでオススメしたい対策は……
    1. IEの設定を変更する
    2. メールソフトの設定を変更し、HTMLメールを強制的にテキスト形式のメールとして表示させる設定にする
    ……の2点です。
    なお、遅くとも来月の月刊MS(10/11予定)までに、修正パッチがリリースされるとの事なので、来月の月刊MSの日になりましたらWindows Update/Microsoft Updateを行う事も忘れずに。

    今回は「1.IEの設定を変更する」方法(IE6の場合)をご紹介します。
    1. IEを起動している場合、画面上のメニューから「ツール(T)」→「インターネット オプション(O)」を選択します。
    2. 「セキュリティ」タブをクリックします。
    3. 「インターネット」アイコン(地球の絵)をクリックし、「レベルのカスタマイズ(C)」ボタンをクリックします。
    4. 「設定(S)」の中の「ActiveX コントロールとプラグイン」→「バイナリ ビヘイビアとスクリプト ビヘイビア」の下にある「無効にする」をクリックして、「無効にする」の左側の丸の中に黒い点が付いている事を確認し、「OK」ボタンをクリックします。
    5. 「イントラネット」アイコン(パソコンの絵)クリックし、「レベルのカスタマイズ(C)」ボタンをクリックします。
    6. 「設定(S)」の中の「ActiveX コントロールとプラグイン」→「バイナリ ビヘイビアとスクリプト ビヘイビア」の下にある「無効にする」をクリックして、「無効にする」の左側の丸の中に黒い点が付いている事を確認し、「OK」ボタンをクリックします。
    7. 最後にもう1回「OK」ボタンをクリックします。

    この設定をした後に、普段見ているWebサイトが正常に見られなくなった場合には、普段見ているWebサイトを「信頼済みサイト」に登録する事でいつもどおりに見られるようにする事が出来ます。

    (注意!!)
    「信頼済みサイト」に登録する場合、各自の責任で登録して下さい。
    また絶対に大丈夫だと確信できるサイトのみ登録して下さい。
    (少なくとも不特定多数の人が書き込める掲示板サイトやブログなどは登録しない方が安全です!!)
    ---
    (※1)BMP(ビットマップ)やJPEG、GIFなどの一般的な画像ファイル(こちらはラスタ形式と呼ばれます)とは異なり、「頂点の座標」と「線の引き方」などの情報を元に画像を表示する方式をベクター(ベクトル)形式と呼び、主に立体(3D)形式の画像や、頻繁に拡縮する画像に用いられます。


    • 最新の画像［もっと見る］