パスワードを忘れた？ アカウント作成
Close
4179 story

IE に 9 つの深刻な脆弱性 70

ストーリー by Oliver
ま-た-か 部門より

ill 曰く、 "ZDN News によると Internet Explorer (IE) に 9 つもの脆弱性が見つかったとのことです。かなり深刻なものもあるようで。
脆弱性自体に関しては IE5 SP2 もしくは IE6 SP1 を適用することでそれぞれの問題は修正されるとのことです。ただ、興味深いのは記事の中で触れられている、 GreyMagic Software が行った脆弱性の発表に関するくだり。脆弱性をどのタイミングで公表するかについては意見の分かれるところだろうと思いますが、やはり基準はあったほうがいいのかなとも思います。その辺についても論議していただければ。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

IE に 9 つの深刻な脆弱性 More

  • 自衛策 (スコア:3, すばらしい洞察)

    by sdj_grandy (11982) on 2002年10月24日 0時38分 (#188681)
    コンピュータの世界は特にユーザが自衛策を{取る|取れる}ようにしておかないとダメだと思います。。
    現実社会では出かける時に戸締りをしたり、安全性の高い車を選んだりしますよね？(車に関しては違う意見も多いと思いますが...)
    でも、なぜかコンピュータを使う時はフィルタリングやアップデート、代替ソフトの準備をしない人が多いですよね(私の周りだけならば良いのですが)
    # まだコンピュータは *十分に* 一般的になっていないからですかね？

    今回の場合は IE を使っている人でもサブで Netscape/Mozilla とか Opera を *一時的に* 使えば良いのでは無いでしょうか...と言いたい
    # 一部の人は危険を侵してまで「一時的な代替製品の使用」すらしない人がいますが私には理解できません
    # まぁ独占を目指したが故に罪の無いユーザから代替手段を選ぶ自由を奪ってしまった報いなのかも...
    #(いや、無知は罪か...代替手段を知らないユーザも同罪ですね)
    --
    grandy

    • Re:自衛策 (スコア:2, 興味深い)

      by Joga (8113) on 2002年10月24日 16時41分 (#189058)
      > コンピュータの世界は特にユーザが自衛策を{取る|取れる}ようにしておかないとダメだと思います。。
      > 現実社会では出かける時に戸締りをしたり、安全性の高い車を選んだりしますよね？
      > でも、なぜかコンピュータを使う時はフィルタリングやアップデート、代替ソフトの準備をしない人が多いですよね

      実際に目に見える形の脅威にはなりにくいからでは？
      ウィルスみたいな形で目に見えてくれば対策をとる気になるけど、
      「脆弱性」と言われても、実際に被害にあった、という報道でも出てこなければ、
      それほど脅威には感じないんじゃないかな。
      そもそも、普段から情報収集をしてる人じゃないと、脆弱性があることすら知らないだろうし。
      現実社会でも、田舎とか小さな島に行くと、出かけるときでも戸締りをしないことはよくあるしね。

      ＃まあ、コンピュータの世界でも「治安のいい」サイトばかり巡ってれば、
      ＃「危険を冒してまで」というほどリスクが高いわけでもないだろうし…
      シェア
      親コメント

      • 見えにくい (スコア:1)

        by sham (4555) on 2002年10月24日 19時17分 (#189108)
        > 実際に目に見える形の脅威にはなりにくいからでは？
        > ウィルスみたいな形で目に見えてくれば対策をとる気になるけど、

        ウイルスも見えにくいので、理解してもらうまで苦労したよ～
        だから、旧型でも目立った活動のないウイルスは生き残ってたりする。
        シェア
        親コメント

      • Re:自衛策 (スコア:1)

        by Crisp (10852) on 2002年10月24日 21時58分 (#189169)
        ＃まあ、コンピュータの世界でも「治安のいい」サイトばかり巡ってれば、
        ＃「危険を冒してまで」というほどリスクが高いわけでもないだろうし…
        Nimda以降はこうも言っていられなくなったのでは…？
        シェア
        親コメント

    • Re:自衛策 (スコア:1, 参考になる)

      by Anonymous Coward on 2002年10月24日 0時58分 (#188704)
      >ユーザが自衛策を

      マシンを2台用意して、ネット端末と、メイン機に分けます。

      メイン機は普段はネットワークから物理的に切り離しておき、
      情報の出し入れの際にメディア経由でウイルス等を持ち込まないようにチェックします。
      システムのアップデートは極力CD経由であてるか、ネットワーク接続が必要な時は、その時だけ物理層を接続し必要なパッチサイトのみを閲覧するようにしましょう。
      重要なデータは全てこのマシンで管理します。

      ネット端末の方は自動でパッチがあたる設定にしておき、
      やられたと思ったら再起動して、システムが壊れたらリカバリしましょう。
      データは極力リムバールメディアに入れるようにして、普段はイジェクトしておきましょう。

      ま、そのうち面倒くさくなってメイン機をネットワークに接続してしまう人が多いと思いますが（ｗ
      シェア
      親コメント

  • ZDNet の記事は不正確 (スコア:1)

    by Technical Type (3408) on 2002年10月23日 22時12分 (#188532)
    > 脆弱性自体に関しては IE5 SP2 もしくは IE6 SP1 を適用することで
    > それぞれの問題は修正されるとのことです。

    この ZDNet の紹介はどうだかな。 攻撃法の解説 [greymagic.com]のページによると

    IE6 SP1 is vulnerable to the "external" object caching and to the "clipboardData" object caching, it's immune to the rest.
    とあるよ。これが、9つのうちの1つは、既に出されているパッチでは治っていないという意味では?
    • ZDNNの記事は、記事を書いた時点でのGreyMagicの発表を元にしているようです。10/22時点のGreyMagicによるBugTraqへの投稿 [securityfocus.com]では、
      Microsoft Internet Explorer 5.5 and 6.0; prior versions and IE6 SP1 are not vulnerable.
      と書かれているので、タブンその辺（か、その頃のGreyMagicのAdvisory [greymagic.com]）を元にして書かれたのでしょう。少なくとも、Advisoryの方は、BugTraq投稿後のフォローアップ [securityfocus.com]を受けたのか、改訂されているようです。

      なので、

      • GreyMagicは文章変えたなら改訂来歴くらい残して欲しい
      • ZDNNは日本語記事を載せるときに最新の情報くらい確認したほうがいいかも
      • 読む人も最新の情報をチェックしよう
      • コメント付けるヒトもね。

      ということで、ひとつ、よろしく…。
      シェア
      親コメント

    • Re:ZDNet の記事は不正確 (スコア:2)

      by ill (3048) on 2002年10月24日 0時01分 (#188635)

      タレコミ人です。確かに トップページ [greymagic.com](?) にも

      UPDATE: The advisory wrongly stated at first that IE6 SP1 is not vulnerable. However, it is vulnerable to two of the listed flaws (the "external" object and "clipboardData" object vulnerabilities). So upgrading to IE6 SP1 will not help in these cases.

      とありましたね。

      --
      っと・・・。
      シェア
      親コメント

  • パッチ当ないと (スコア:1)

    by pantora (11989) on 2002年10月23日 22時42分 (#188558)
    ＜img src="javascript:alert("hoge");"＞
    とか平気で動くんだよね。
    --
    PCにECC Registeredメモリの利用を推奨します。

    • Re:器用だね (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2002年10月24日 0時16分 (#188657)
      IEの検索の所にそのようなタグにアップデートのファイルのアドレス入れて勝手に
      アップデートでもするように作っておけば手間掛かりませんね。

      危なくて実行できませんけど(笑)
      シェア
      親コメント
  • IE同等並みのブラウザを作れる会社を買収してきて、新しく0からIEを造り替えた方が、良かったりして…
    --

    /* Kachou Utumi
    I'm Not Rich... */

    • Re:穴埋めるよりも… (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2002年10月24日 0時06分 (#188645)
      穴を塞ごうと思わなければ良いのです。
      シェア
      親コメント

    • Re:穴埋めるよりも… (スコア:1)

      by Y.. (7829) on 2002年10月24日 9時59分 (#188860) 日記
      IEコンポーネントが差し替え出来るように情報を公開してくれれば…って思うのですが

      そうすれば他のところが危険な機能を削った差し替えコンポーネント作れるの可能性ができるのですが…
      シェア
      親コメント

      • Re:穴埋めるよりも… (スコア:2, 参考になる)

        by Crisp (10852) on 2002年10月24日 21時56分 (#189167)
        IEコンポーネントが差し替え出来るように情報を公開してくれれば…って思うのですが
        恐らく意図されているものとは若干違うと思いますが、GeckoエンジンをIEエンジンとそっくりなCOMインターフェースで操作できるようにしたコンポーネントがあります [www.iol.ie]。現在はMozillaと一緒に配布されているようです。

        このコンポーネントを使えば、呼び出すインターフェース名を変える程度の変更でIEコンポーネントブラウザがGeckoを使ったブラウザに化ける…はずです。さらに言えば、多少無理をすればIEコンポーネントそのものも置き換えられるかも？

        以前使っていたDonutはこのコンポーネントを用いて実験的にGeckoエンジンも使えるようになっていましたが、あくまで実験的なもので使い物にはなりませんでした。
        シェア
        親コメント
    • それって、Ｏ社とか、Ｎ社のことですか?
      # Ｍ.org じゃダメなんだろうね。
    • Ｍ＄分社して市場の叩きにあわせれば相当しっかりした物が作れるだろうに。
      社長辺りが変な事言っているうちは期待薄。

      モンキーダンスする前に退避するのでＡＣ

  • ソースを読んでいないのでアレですが：

    個人的には、パッチがリリースされるまで待つか、あるいは明確な回避方法や、脆弱性のあるソフトウェアと同じ機能を持ち、コストのかからない代替手段が存在する場合は、脆弱性の公表もやむなしかな、と思っているのですが。

  • ちょっと古い記事ですが (スコア:1)

    by heero (7147) on 2002年10月24日 4時57分 (#188796)
    http://itpro.nikkeibp.co.jp/members/ITPro/SEC_CHECK/20020903/1/
    考えなしにIEを使うのはそろそろやめよう

    IE以外のブラウザもあるので（Netscape／Mozilla、Opera等）これを機会に試してみるのはいかがでしょうか。
    低速回線ならLynxって言う手もあるんですけどね(^^;;;)

  • IE6SP1 (スコア:0)

    by Anonymous Coward on 2002年10月23日 22時34分 (#188546)
    ちとオフトピ気味だけど。
    うちの弟のマシン、MEなんだけど、Windows UpdateでIE6SP1を入れてもしばらくたつとまた入れろ入れろと。
    えと、SP1がバージョンアップしてるのかな？（って、妙な話ではあるけど）

    • AI 搭載でつ (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2002年10月24日 0時18分 (#188658)
      かまって欲しいんです。何回でも。アイボみたいな物なんです。
      めんどくさいとかウザいとか言っちゃいけません。大事な家族ですから。
      シェア
      親コメント

    • Re:IE6SP1 (スコア:0)

      by Anonymous Coward
      あれおかしいですよね。
      うちは 98 だけど入れろ入れろと言ってきます。
      なんでだろ。

      • Re:IE6SP1 (スコア:0)

        by Anonymous Coward
        パッチがインストールしてあるかどうかのチェックが甘いんじゃないかな？
        面倒みてるWin98マシンも1つだけ何度インストールしても、インストールの候補に上がってくる奴がある。

  • 実は低速回線だと、 (スコア:0)

    by Anonymous Coward on 2002年10月24日 0時51分 (#188696)
    WindowsUpdateすら面倒だったりする罠。
    そのあたりの事情でSPを適用しないユーザも少なからずいそう。
    ――ほとんどはセキュリティに無頓着な連中だとは思いますが。

    最近MozillaとかOperaとかに乗り換えようと使ってみたけどプニル信者の俺には無理だったのでセキュリティだけはなんとかしてください。

    # マウスジェスチャ中毒なのでACで。

    • Re:実は低速回線だと、 (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2002年10月24日 1時33分 (#188724)
      そもそも複数あるとパッチ当てるのが面倒な罠
      やっぱりアップでデートよりはそのままCDで容易下方がよさげ

      週間Windowsアップデートなんて創刊されませんかね
      バグの多さからして十分需要ありそうなんですけどね。

      毎号集めてバインダー…
      創刊号は特別価格で…
      シェア
      親コメント
    • もじらにOptimoz（マウスジェスチャー）と
      タブ拡張入れたんじゃダメですか？

      http://optimoz.mozdev.org/
      http://www.cc-net.or.jp/~piro/xul/_tabextensions.html

      ＩＥエンジンタブブラウザはいくつか入れていますが、結局
      使っていないので、そのへんの使い心地との比較は解らないん
      ですが。
      シェア
      親コメント
    • 低速回線だとどのOSも使うにも辛いという罠。

      • Re:実は低速回線だと、 (スコア:1)

        by KAMUI (3084) on 2002年10月24日 6時53分 (#188812) 日記
        分割して配布する様にすればある程度緩和されるのでは。
        その代わり，FD 30枚とかいう懐かしい世界が見られますが(笑)

        つーか，今やマイナーOS の一つになってしまった
        OS/2 ですらその程度の事はやってるので。

        ＃勿論，HDD に展開してとかネット経由でのアップデートも可能ですけど。

        現在，PC が普及してない国に Windows なり Mac を
        売り込むつもりなら何等かの対策をやらないとね。

        高速な通信回線というインフラ整備が最優先の国ばかりとは限らない。
        シェア
        親コメント

      • Re:実は低速回線だと、 (スコア:1)

        by gedo (7079) on 2002年10月24日 9時28分 (#188848) 日記
        低速回線だとどのOSも使うにも辛いという罠。
        だんだん、そうなりつつありますね。
        AirHを128Kにしたのでだいぶ緩和されましたが、Linuxだってディストリビューションのアップデートにダウンロードが追いつかない状況になっていましたから。

        ただ、Linux等ならダウンロードマネージャの類で少しづつ根性で落とすなり、回線の太いところで落として、CD-Rにでも焼くという手が使えますし、Windowsの場合でもTechNetという手もありますけど
        シェア
        親コメント
typodupeerror

一つのことを行い、またそれをうまくやるプログラムを書け -- Malcolm Douglas McIlroy