デンマークのセキュリティ・ベンダ「Secunia」によると、Windows XP SP2(Internet Explorer 6 SP2)に2つの脆弱性が存在することをcyber
flash氏が発見し、セキュリティ警告が表示されずにHTML文書を装った不正なファイルがダウンロードされてしまう危険性があること報告した。さらにフランスのセキュリティ・コンサルティング会社「K-OTik
Security」は、技術的な詳細と実証コードを公開している。
・Secunia(Microsoft Internet Explorer Two Vulnerabilities):
http://secunia.com/advisories/13203/
・Bugtraq(K-OTiK Security:Microsoft Internet Explorer 6 SP2 Vulnerabilities
/ Full disclosure Vs. Security by Obscurity..):
http://www.securityfocus.com/archive/1/381718
・K-OTik Security(Internet Explorer 6.0 SP2 File Download Security Warning Bypass
Exploit):[Technical Details]
http://www.k-otik.com/exploits/20041119.IESP2disclosure.php
・K-OTik Security(Internet Explorer 6.0 SP2 File Download Security Warning Bypass
Exploit):[Exploit]
http://www.k-otik.com/exploits/20041119.IESP2Unpatched.php
これらの報告によれば、1つ目の脆弱性は、Contain-Locationヘッダを細工することなどで、Windows XP SP2がファイルのダウンロード時に表示する[ファイルのダウンロード-
セキュリティの警告]ダイアログを表示させずに、実行ファイルのダウンロードが行われてしまうというもの。
2つ目の脆弱性は、JavaScriptのdocument.execCommand()を利用することで、ファイルの拡張子をHTMLに偽装して実行ファイルをユーザーに保存させることを可能にするというものだ。Windows
XP SP2でも、デフォルトでは「登録されている拡張子は表示しない」という設定になっている(Windows XP SP未適用/SP1/SP1aにSP2をインストールした場合は、以前に設定した内容が引き継がれる)。この設定が有効になっていると、ユーザーは実行ファイル(EXEファイル)とは気付かずに、ファイルを保存させられる危険性がある。この際、[ファイルのダウンロード
- セキュリティの警告]ダイアログも表示されない。
現在のところ、マイクロソフトからは正式にはこれらの脆弱性に対する報告や修正プログラムの提供は行われていない。フォルダ・オプションの「登録されている拡張子は表示しない」のチェックは外し、Webサイト上からファイルをダウンロードする際は、拡張子を必ず確認するようにすべきだ。
|