Internet Explorer の脆弱性(MS10-002)について - IPAセキュリティセンター:緊急対策情報

※追記すべき情報がある場合には、その都度このページを更新する予定です。

概要

マイクロソフト社の Internet Explorer にリモートからコード(命令)が実行される以下の脆弱性(978207)(MS10-002)が存在します。

(1)XSS フィルターのスクリプト処理の脆弱性 - CVE-2009-4074
(2)URLの検証の脆弱性　　　　　　　　　　　　　- CVE-2010-0027
(3)初期化されていないメモリの破損の脆弱性 - CVE-2010-0244
(4)初期化されていないメモリの破損の脆弱性 - CVE-2010-0245
(5)初期化されていないメモリの破損の脆弱性 - CVE-2010-0246
(6)初期化されていないメモリの破損の脆弱性 - CVE-2010-0247
(7)HTML オブジェクトのメモリ破損の脆弱性 - CVE-2010-0248
(8)HTML オブジェクトのメモリ破損の脆弱性 - CVE-2010-0249

攻撃者がこの脆弱性を悪用した攻撃コードを埋め込んだサイトを作成し、ユーザが Internet Explorer でそのサイトを閲覧した場合、攻撃者がユーザのパソコンを制御できるようになる恐れがあります。

(8)の脆弱性を悪用した攻撃が既に確認されているため、至急、以下の対策を実施してください。

対象

　Windows2000 以降の 全ての Internet Explorer が対象です。

Internet Explorer 5.01 Internet Explorer 6 および 同 SP1 Internet Explorer 7 Internet Explorer 8

対策

1. 脆弱性の解消 - 修正プログラムの適用 -

マイクロソフト社から提供されている修正プログラムを適用して下さい。
修正プログラムの適用方法には、Microsoft Update による一括修正の方法と、個別の修正プログラムをダウンロードしてインストールする方法があります。

Microsoft Update による一括修正方法

Microsoft Update の機能を利用することによって、複数のセキュリティ修正プログラムを一括してインストールすることができます。
http://windowsupdate.microsoft.com/

Microsoft Update の利用方法については以下のサイトを参照してください。
http://www.microsoft.com/japan/athome/security/update/j_musteps.mspx

なお、Service Pack の適用を制御している場合、一括修正で最新のService Pack が適用される可能性がありますので、ご注意ください。

個別の修正プログラムをダウンロードしてインストールする方法

下記のマイクロソフト社のページより、修正プログラムをダウンロードしてインストールします。
http://www.microsoft.com/japan/technet/security/bulletin/ms10-002.mspx

2. 回避策

マイクロソフト社から提供される情報を参照して下さい。

マイクロソフト社からの情報(MS10-002)
http://www.microsoft.com/japan/security/bulletins/ms10-002e.mspx
http://www.microsoft.com/japan/technet/security/bulletin/ms10-002.mspx

参考情報

JVN
http://jvn.jp/cert/JVNVU492515/ US-CERT
http://www.kb.cert.org/vuls/id/492515/ Securityfocus
http://www.securityfocus.com/bid/37135/
http://www.securityfocus.com/bid/37815/ Secunia
http://secunia.com/advisories/38209/ CVE
CVE-2009-4074　　 CVE-2010-0027　　 CVE-2010-0244
CVE-2010-0245　　 CVE-2010-0246　　 CVE-2010-0247
CVE-2010-0248　　 CVE-2010-0249

更新履歴

2010年 1月 22日 掲載

続きを読む （配信元：IPAセキュリティセンター:緊急対策情報）

• タグ:
• 脆弱性
• Microsoft
• XSS
• Windows
• JVN
• CVE
• US-CERT
• IPA