■

■ずがーん！IEのセキュリティホール（膨大な数）の大復活::悪徳の栄え

Microsoft の Internet Explorer では過去に発見された脆弱性（複数かつ多大な種類があります。）に対して、ActiveX Control の Kill bit を立てて危険性を軽減化する方法でのアップデートが、いくどとなく繰り返されてきました。また、元々 Kill bit が立っている ActiveX Control もあり、ユーザを危険性から守ってきました。

このたび、 Kill bit を立ててあっても、その防御ラインを突破する方法が発見されたようです。あらかじめ Kill bit を操作し、特定の ActiveX control を無効化したシステムにおいても、防御ラインを乗り越え任意のコードを実行される可能性があります。

言うならば、過去の脆弱性悪魔軍の封印を解いて大復活させる、およびに、地中に眠っていた新しい悪魔を召還する、【大禁呪】が見つかったということになります。

悪疫(ウイルス・ワーム）や、受動的攻撃呪殺、等が猛威を振るうことが予想されます。今までの善意の白魔法は通用しません。暗黒の時代がやってきました。以下御参考。

昨年末の／MS05-054／905915を当てていれば大丈夫とのことらしいですが、もっと情報わかるまで、取りあえずInternet Explorer を安心して使うのはやめておきましょう。…なぜ昨年のうちに言わない？＞Microsoft社

  • とりあえずWindowsUpdateでMS05-054を当てる。絶対。OSレベルでサポート切れてる？駄目駄目。
  • ActiveX を切る。意味がわからない人は下へ。
  • 別なブラウザを使う。

今日は日記を書く予定じゃなかったなりよ。過去に例をみないあまりのことに思わず書いてしまいましたよ。

2006-02-02追記

この日記を書いた当初、英文版においてさえ、MS05-054の説明には、killbitをバイパスする欠陥に対する対応がなされていたことが書いてありませんでした。

このkillbit回避の問題についてのCVE-2006-0057の説明では以下のようになっているわけです。

Microsoft Internet Explorer 5.01, 5.5, and 6 allows remote attackers to bypass the Kill bit settings for dangerous ActiveX controls via unknown vectors involving crafted HTML, which can expose the browser to attacks that would otherwise be prevented by the Kill bit setting.

NOTE: CERT/CC claims that MS05-054 fixes this issue, but it is not described in MS05-054.

このkillbit回避の欠陥の原報告者はCERT/CCです。そのCERT/CCが、自身が用意していたPoCを調べてみてMS05-054にて対応が完了しているようだと主張しているわけですね。ところが第一版のMS05-054の説明にはそのことが触れられていないのでした。

ことの重大性に対するMicrosoft社の説明責任が果たされていないという感触を持ったことは以上の理由によるものです。

現時点では、説明の追加がなされています。(Updated: February 1, 2006)なかなか初心者にはわからない説明ですが。

V1.1 (February 1, 2006): Bulletin revised to call out that defense-in-depth improvements have also been made to the kill-bit mechanism.

これでやっとMicorosoft社の言明として、killbit回避の欠陥にMS05-054にてパッチがあたったことがわかった？かと推測できるわけです。CVE-2006-0057が明示されていないので、ややこころもとありませんが。

WindowsMeやらWin98やらレガシーなOSについては無保証のはずですよね。気がかりです…

追記終わり。