2006年04月08日
マイクロソフト、4 月の月例アップデートは 5 件 (2006/4/7)
◇ 4 月の月例パッチは createTextRange() メソッドの脆弱性の修正含む 5 件 - INTERNET Watch
◇ 「4 月公開のパッチは 5 件，IE のセキュリティ修正を含む」 ― MS が予告 - IT Pro ニュース
◇ Internet Explorer で未パッチの脆弱性 - IT Media ニュース (3/22)
マイクロソフトは米国時間 7 日、今月の月例アップデート概要を発表した。米国時間 11 日に公開予定のセキュリティ更新プログラムは 5 件で、Windows 関連が 4 件で残りは Office 関連のパッチだという。今回のアップデートには深刻度が 「緊急」 とされるものを含むという。
先ほどふれた Windows 関連のセキュリティアップデートには、ブラウザ 「Internet Explorer」 (IE) の累積パッチが含まれている。これは先月 22 日に確認された 「createTextRange()」 問題に対する修正パッチで、他には IE の ActiveX コントロール実行時に確認画面が出るようになるという。後者は 3/1 にひっそりと公開されていたが、元来は米 Eolas 社との特許訴訟に敗訴したことによるもので、今回は必須とされた。
この他 「Windows 悪意のあるソフトウェアの削除ツール」 も更新予定。日本でのパッチ提供は 12 日の午前 11 時から。
画面上部にちっこいバナーが表示されていると思うが、これは無料アクセス解析プログラムの広告である。来訪者がどんなところから、どの時間帯に来ているのかと知りたいと思ってつけているのだが、これを見る限りは IE ユーザーが 7 割強である。
管理人は Windows Update を除いては IE を使わない。世界でもっとも普及しており、Windows という OS に統合されているためぜい弱性が見つかりやすい。言い換えれば攻撃されやすいということだ。私が乗り換えたのはそれ原因ではなく、Mozilla Firefox の方が IE より文字サイズを簡単に変えられるからである。
今となっては IE をほとんど使わなくなったため、どんなセキュリティ問題が起きてもほとんどブログに書かなくなってしまったが、今回は立て続けに起きているので備忘録として書いておく。まずは createTextRange() 問題。これ自体は IE4.0 以降などから導入されている DHTML の機能だが、ラジオボタンをクリックすると IE を強制終了させられたり、トロイの木馬を仕込まれる可能性があるというもの。
「ActiveX コントロール」 という技術も DHTML なくしてはできないもので、IE に追加機能を提供するプラグインの形で提供される。Java アプレットも似たようなものだが、ActiveX コントロールと違うのは特定 OS に依存しないところである。図解や実体験が必要な人もいるかもしれないので、ActiveX コントロールはここ、Java アプレットはここをそれぞれ見てほしい。
ところがよく言われる IE の危険性はこれだけではない。今月 6 日にはツールバーの URL が偽装されるぜい弱性が確認され、金融機関などの暗証番号を盗み取るフィッシング詐欺に悪用できることも確認できた。安心できないサイトを見に行かないことが一番の安全策なのだが、ぜい弱性が毎月出てくるものだから安心して使えない。
余談だが 3/1 に公開された 「ActiveX コントロール」 の実行を確認させるパッチはなぜ世に出回ったかというと、IE に組み込まれた技術が特許に引っかかっていたのだ。カリフォルニアのベンチャー企業が保有しているもので数年前からやっていていた。
閑話休題。私はなぜ IE の使用を控えるようなエントリーを出したのかというと、危険だからということもある。しかし当ブログの場合は Mozilla Firefox の方が私の意図したとおりに表示されるからだ。ブラウザによる差異はなくすよう努力しているが、スタイルシートに文字サイズを指定しているのがどうやら原因らしい。
どのブラウザを使うかは個人の自由である。管理人としてはネットで怪しいものを探すのにヒヤヒヤするのは理解できるが、セキュリティのせいで普通にどこそこ行く分でヒヤヒヤさせられるのはご免である。私の心臓にはよくない。
参考 URL
--------------
* 特許訴訟対策の IE アップデートがリリース - IT Media ニュース (3/1)
* MS、「Active X コントロール実行時に確認画面が出る」 パッチをリリース - IT Pro ニュース (3/31)
* IE の 「createTextRange()」 メソッドの脆弱性を悪用するウイルス - INTERNET Watch (3/27)
* Windows HotFix Briefings - @IT (3/31)
* IE にアドレス・バーを偽装される問題、URL とは異なる Flash コンテンツを表示 - IT Pro ニュース (4/4)
* MS、「Active X 実行時に確認画面が出る」パッチを "4 月の月例パッチ" に - IT Pro ニュース (4/5)
* IE に今度はフィッシング攻撃の脆弱性 - IT Media エンタープライズ
* 4 月の月例パッチの適用時には，Web アプリケーションの動作検証を - IT Pro ニュース
投稿者 jpnpatch2005 : 2006年04月08日 22:48 | トラックバック (0)
コメント
コメントしてください
* スパム防止のため、承認制とさせていただいております。
* きわめてまれですが、保留ないし伏せ字をお願いすることがあります。経緯などはこちらをご覧ください。
* 相互リンクのご相談はこちら、その他のお問い合わせはこちらからお願いします。