IEに中程度の脆弱性

セキュリティ企業Secuniaは11月17日、Service Pack 2（SP2）を導入し、完全にパッチをあてたバージョンのWindowsXPで発見された2件の脆弱性についてユーザーに警告しました。

SP2を導入していた場合、ダウンロードしたファイルをユーザーが開こうとすると警告メッセージが表示される・・・はずなんだけど、

　１つ目の脆弱性は特定の状況下で、細工を施した「Content-Location」HTTPヘッダを使ってダウンロードしたファイルが送られると、このファイルが開かれてもセキュリティ警告が表示されないそうだ(汗)

　２つ目の脆弱性はJavascriptの「execCommand()」機能を使って特定の文書を保存しようとするとエラーが発生し、これを悪用されると「HTML文書を保存する」のダイアログで偽のファイル拡張子を使われる恐れがあるらしい。

２つ目は「既知のファイルタイプは拡張子を隠す」のオプションを外して拡張子が見えるようにすれば防げるらしい。
すべてのファイルの拡張子が表示されるようにするには
★エクスプローラから
[表示]→[フォルダオプション] → [表示] タブ→「登録されているファイルの拡張子は表示しない」のチェックを解除する。
★どれでもいいのでフォルダをひらいて
[ツール]→[フォルダオプション] → [表示] タブ→「登録されているファイルの拡張子は表示しない」のチェックを解除する
　＊拡張子を表示してから後は 拡張子の変え方を知らない人はファイル名を変更する時に拡張子が変えないように注意してね。

Microsoftは警告を批判し、この脆弱性の開示は適切な経路を通したものではないと指摘しているらしいけど、批判や指摘はどうでもいいわけですよね。
１ユーザとしては安全に使えるようにして欲しいだけなんですけど。


なんかなぁ・・・。


参考：ITmediaMS、IEの脆弱性公表は「無責任」と批判
IEに中程度の脆弱性、SP2のセキュリティ回避の恐れ