IE に重大な穴-パッチは未公開で悪用サイトが既に存在 55
ストーリー by wakatono
当面は設定による回避を 部門より
当面は設定による回避を 部門より
78K曰く、"IT Pro の記事によると、IE に2つのセキュリティホールが存在し、場合によっては任意のコードが実行される恐れがある。一次情報源であるセキュリティ・ベンダー Secunia の記事によれば、(1) "Location ヘッダ" に関するセキュリティホール、(2) "cross-zone scripting" に関するセキュリティホール、の2つが存在し、IT Pro の記事では、それら2つの穴を利用してローカルで任意のコードが実行できる、と指摘している。ウィルスソフトによっては exploit code をウィルスと認識するものもあるようだが、この穴を悪用しているサイトは既に複数存在しており、IE 使用者は active script を off にするなどの対策をする必要がありそうだ。"
設定による回避もそうだが、怪しそうなサイトには近寄らないのが一番。
まずはこれをご覧あれ (スコア:4, 参考になる)
MSの今月の月例パッチより、こっちの方が大事ですな。
安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:2, 参考になる)
再現されない危険スクリプトサイトが存在しえる事が
駄目駄目だと思う。マイクロソフトはもっと
スクリプトがあまり動かない安全なブラウザを作ってほしい。
全部ブラウザで処理しようと思うからこんな事になるねん。
#Mozillaから [mozilla.gr.jp]この脆弱性に対する緊急パッチ [mozilla.gr.jp]が
#発表されてます。
#被害にあわないうちにおはやめにどぞ~
romfffromのコメント設定
AC-2、プラスモデ+3、閾値0、スコアを表示しない(推奨)、高い評価のコメントを親にする
IEが絶対的に脆弱だとは言わないが (スコア:2, 参考になる)
Win+IE(&DirectX)は特に他のOS+ブラウザ以上のことが出来てしまうので。
「怪しいサイトに近づかない」ことももちろんですが、「IEを極力使わない」「IE(およびIEコンポーネントブラウザ)を使う場合でも、ScriptやActiveXは極力OFF(簡単にON/OFFを切替えられるタブブラウザを使う)」という自衛策も有効だと思います。
OurlookExpressも同様に避ける。
#代替ソフトが豊富にあるので、むしろOEの使用を真っ先にやめるべきか。
ま、何を使ったところで「絶対安全」ということはあり得ないので(IEと共通のセキュリティホールがMozillaやOperaにあった、なんてこの1年だけでも多々ありますし)、いろいろ注意すべきではあるんですが。
IEの脆弱性の意義 (スコア:2, おもしろおかしい)
マイナーなブラウザの囮となっているわけですな。
Re:IEが絶対的に脆弱だとは言わないが (スコア:1)
何ですか、ブラウジングしていると、勝手にダウンロードして、インストールしてしまうあれ。しかも、一旦入ると、除けない。
しかし、コカコーラやマクドナルドみたいな物で、マイクロソフトを使っていると、もう便利で便利で。マックやunixを使いたくなくなるし、おっと、根性を入れ直してきます。
#でも、MS IMEだけは頂けないと思いました。
Re:IEが絶対的に脆弱だとは言わないが (スコア:0)
三段論法 (スコア:1)
初心者でMS製品を利用していない人はいない
∴MS製品使いはセキュリティ意識が低い
証明終わり
# あれ?
Re:三段論法 (スコア:1)
初心者の人でも、セキュリティ対策には過剰なまでに心配して、対策なさっている方いらっしゃいますよ~。
ええ、もちろん「コンピュータウイルスは人間に感染する」「感染するとコンピュータは(物理的に)壊れる」って勘違いしてますが;-P
Re:三段論法 (スコア:0)
>「感染するとコンピュータは(物理的に)壊れる」って勘違いしてますが;-P
ウイルスに感染すると普段よりもCPUが仕事するので熱が出る
→ 風邪みたいなもん
→ 作り次第では熱暴走
→ 運が悪いとシステムが……もしかしたらHDDが……
CPUが仕事すると
Re:IEが絶対的に脆弱だとは言わないが (スコア:0)
正確には、「MS製品のユーザはそのソフトウェアを自らの判断で選択していない場合が多いので、セキュリティ意識が低い事が多い。」
Re:IEが絶対的に脆弱だとは言わないが (スコア:0)
#ダメな奴は何をやってもダメ
Re:IEが絶対的に脆弱だとは言わないが (スコア:0)
安心してください、みんなダメですから。
# [ms]を[apple]に代えても成り立つ。mozillaでもoperaでも可
誤記? (スコア:0)
# 後ろで「ScriptやActiveXは極力OFF」と書かれているので…
もちろん、ご指摘の内容は常日ごろ実践しておりますです。:-)
Re:誤記? (スコア:1)
MS03-030 [microsoft.com]
MS04-016 [microsoft.com]
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:0)
#しょぼい質問なのでAC
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:0)
今回とは関係ないけど、mozillaってバイナリで修正プログラムを配ったりしてないよね。
#ネタにマジレスなのでAC
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:1)
コアな部分だとそれも出来ないようで…
結局smart updateの完成待ちってところじゃないかと。
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:0)
IE の穴を避けるのが目的なら、Mozilla でも Opera でもかまわんでしょ。
(って、Opera には類似の穴は無いよな?)
# Mozilla 使いのAC
# 1.7 正式リリース マダー?
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:0)
くらいにしか思われないから。むしろ「Firefox 使いは変な奴」という
ネガティブイメージすら与えてしまう。宣伝するならもっとスマートに。
# なんでそんなこともわからんのだろう?
>
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:1)
# Firefox 0.9まだー?
1を聞いて0を知れ!
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:1)
ついでに、 Mozilla 1.7RC3 も。
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:1)
じゃあリリース版ももうすぐかな?
1を聞いて0を知れ!
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:1)
確認を求められるようになったのでありがたい。
# そもそも IE のみの人には何が有り難いのか判らないかも知れないが....
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:1)
タブブラウザ拡張入れてるからかなぁ。
1を聞いて0を知れ!
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:0)
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:0)
でも一ヶ月以上放置されるのとどちらがいいかなぁ・・・
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:0)
ActiveX やアクティブスクリプトで高機能化されたブラウザは MS にビジネス価値をもたらしてるワケで、
ついでにセキュリティホールも顧客のセキュリティへの意識を高め投資を行わせるのに一役買えるワケで。
ビジネス的観点からすれば機能を絞って安全なブラウザを開発するなんて事、あり得ません。
# ぇ?
Re:安全なWeb環境をブラウザメーカは目指すべき・・・ (スコア:1)
[udon]
爆笑 (スコア:1, すばらしい洞察)
「ウィルスソフト」ってなんやねん。
そういや昔、ビックカメラのソフトウェア売り場に「ウィルスソフト」っていうコーナーがあったけ。
Re:爆笑 (スコア:0)
Windowsコアなファイルをウィルスと判定したり、環境によってはインストールするとWindows自体を破壊(起動不能)したり。
「ウィルス取りがウィルスになる」って。
Re:爆笑 (スコア:1, おもしろおかしい)
まぁ、Windows 自体がウィルスみたいなもんだから間違ってはいないんだけどね。
# お約束
Re:爆笑 (スコア:1, おもしろおかしい)
ウイルスに失礼です!
#これもお約束
Re:爆笑 (スコア:1)
詳しくは Windows はウィルスか [sannet.ne.jp] をご覧下さいって?
# 掟破りの逆お約束
Re:爆笑 (スコア:0)
まさに、トロイの木馬の極みですな。
ふーむ (スコア:1, 興味深い)
悪用サイトとやらはどこにあるんでしょうか?
Re:ふーむ (スコア:1, 興味深い)
Re:ふーむ (スコア:0)
そのヘッダフィルタ教えて頂けませんか?
updateが出るまではそれでしのごうかと。
Re:ふーむ (スコア:1, 参考になる)
置換元: *URL:ms-its:*
置換先: 空欄なりhttp://www.google.com/なり自作のクールな警告画面なりお好きに
で、少なくともサンプルに挙げられているものをローカルで再現したものは確実にフィルタ出来ました。URLの前に置いたアスタリスクは簡易的な亜種避けのつもりです。
http://hoge/help/URL:/ms-its:/hogehelp.chm
というような妙ちくりんなサイトを見る方は先頭のアスタリスクを外したほうがいいかもです。
Norton AntiVirus (スコア:1, 参考になる)
スクリプト遮断を有効にしておけば、とりあえず今回の典型的なトロイは防げるようです。ただ、亜種や変更があったときには、どうなるか分かりませんので、しばらくの間は、他のブラウザを使って回避するしかなさそうです。
ブラウザの好みはあるでしょうが、こういう時のためにセカンドブラウザを用意しておくのも良いと思います。
ちなみに、私は普段は、Mozillaで、サイトデザインのチェックや、オンラインバンクなどはタブブラウザを使うようにしてます。
いろんなサイトを見て回るときには、マイナーなブラウザの方が比較的気が楽ですね。
Re:Norton AntiVirus (スコア:1)
メインブラウザ:Mozilla
Hサイト専用ブラウザ:Opera
IEでないとダメなサイト専用ブラウザ:Internet Explorer
IEだとブラウザクラッシャーが怖いから、特別な場合を除いて使用を止めています。
Super Souya
今回ばかりは (スコア:0)
いや、マジで。
Re:今回ばかりは (スコア:0)
にしても、狙ってますな、月例アップデートの直後とは。
過去を振り返れば (スコア:0)
こう思ってると、ApacheやIISの穴との複合攻撃にやられるんですよね:P
# msn.co.jp でしたっけ?
Re:過去を振り返れば (スコア:1, すばらしい洞察)
Re:過去を振り返れば (スコア:0)
URLの頭はビxーxだけど、実際は、怪しいサイトに飛ばすというのが簡単に実現したりします。
Re:過去を振り返れば (スコア:0)
新たな脆弱性が発覚でボロボロ、
使ってるサイトは戦々恐々(でもない?)。
Re:過去を振り返れば (スコア:1)
Re:過去を振り返れば (スコア:1)
1を聞いて0を知れ!
怪しそうなサイトには近寄らない (スコア:0)
Re:怪しそうなサイトには近寄らない (スコア:0)
御説ごもっとも、なんだけどさ。
ぶっちゃけ、仕事でソフト作るときにどの程度、製品の脆弱性を
考慮してる? 実装者の立場だったとして、上司や発注元からセキ
ュリティで突っ込まれたことある?
反対に外注使う立場だった