【Windows】ゼロデイアタック発覚 (現時点では Flash Player を使用した攻撃の模様) ― 2014/04/28 15:00:00
現在サポート中の全ての IE にゼロデイアタック発生済みの脆弱性が見つかったそうです (非サポートの IE6 にも存在)
よって、パッチの出ない、Windows XP での IE/IE コンポーネント によるネット接続は厳禁です
「解放済みメモリー使用」 (use after free) の脆弱性を利用して、DEP/ASLR を回避してしまうという割と厄介な代物で、攻撃方法によっては任意コードの実行が可能だそうです
Windows XP をやむなく使用している場合、IE/IE コンポーネント使用ブラウザの使用は即座に中止し、Firefox または Google Chrome の使用に切り替えた方が無難でしょう
今回の問題は、DEP/ASLR を回避可能な脆弱性なので、Windows XP に限らず、全ての Windows で IE の使用に対策を行うべきなのですが、企業はともかく、自治体や一般家庭には期待できません
# EMET によるリスク軽減と、IE 10/11 の x64 拡張保護モードを利用することで、ある程度回避できる模様
また、現時点では攻撃に Flash Player を利用しているそうなので、ActiveX 版 Flash Player を無効化する事でもリスク軽減可能だそうです
こういう厄介な問題の解決に時間がかかる原因が、IE の Winowws への統合なので、OS はできるだけシンプルにして、出来るだけユーザ権限でアプリを動作させるというのを守る気が無い Microsoft の戦略にも問題が有るのですが、もう今となっては……なんですよね (Windows Vista 以降、ユーザモード実行が基本になったにもかかわらず、MS Office では ActiveX を多用している)
# ブラウザコンポーネントが、OS と分離されていれば、緊急修正も比較的容易になります (Firefox や Google Chrome の脆弱性修正が早いのも、OS とは分離されているからです)
■ 単発イラストを描いてくださる方を募集中
【注】 有償ですが薄謝です
コメント
トラックバック
このエントリのトラックバックURL: http://asg.asablo.jp/blog/2014/04/28/7296962/tb
※なお、送られたトラックバックはブログの管理者が確認するまで公開されません。
コメントをどうぞ
※メールアドレスとURLの入力は必須ではありません。 入力されたメールアドレスは記事に反映されず、ブログの管理者のみが参照できます。
※なお、送られたコメントはブログの管理者が確認するまで公開されません。
※投稿には管理者が設定した質問に答える必要があります。