A Dustbin in A.S.G.

現在サポート中の全ての IE にゼロデイアタック発生済みの脆弱性が見つかったそうです (非サポートの IE6 にも存在)

よって、パッチの出ない、Windows XP での IE/IE コンポーネント によるネット接続は厳禁です

「解放済みメモリー使用」 (use after free) の脆弱性を利用して、DEP/ASLR を回避してしまうという割と厄介な代物で、攻撃方法によっては任意コードの実行が可能だそうです

Windows XP をやむなく使用している場合、IE/IE コンポーネント使用ブラウザの使用は即座に中止し、Firefox または Google Chrome の使用に切り替えた方が無難でしょう

今回の問題は、DEP/ASLR を回避可能な脆弱性なので、Windows XP に限らず、全ての Windows で IE の使用に対策を行うべきなのですが、企業はともかく、自治体や一般家庭には期待できません

# EMET によるリスク軽減と、IE 10/11 の x64 拡張保護モードを利用することで、ある程度回避できる模様

また、現時点では攻撃に Flash Player を利用しているそうなので、ActiveX 版 Flash Player を無効化する事でもリスク軽減可能だそうです

こういう厄介な問題の解決に時間がかかる原因が、IE の Winowws への統合なので、OS はできるだけシンプルにして、出来るだけユーザ権限でアプリを動作させるというのを守る気が無い Microsoft の戦略にも問題が有るのですが、もう今となっては……なんですよね (Windows Vista 以降、ユーザモード実行が基本になったにもかかわらず、MS Office では ActiveX を多用している)

# ブラウザコンポーネントが、OS と分離されていれば、緊急修正も比較的容易になります (Firefox や Google Chrome の脆弱性修正が早いのも、OS とは分離されているからです)

■ 単発イラストを描いてくださる方を募集中

【注】 有償ですが薄謝です

※ 詳細は →こちら のエントリをご覧ください