マイクロソフトは、2005年7月6日に「Javaprxy.dll COMオブジェクトの脆弱性」を回避する修正プログラムの提供を開始した。これは、2005/07/06日付けHotFix
Weeklyで既報の「Internet Explorerにおける非ActiveXコントロールのインスタンス化処理の脆弱性」に対応したものだ。
・サポート技術情報 903235(Javaprxy.dll COM オブジェクトのセキュリティ問題の利用可能更新):
http://support.microsoft.com/default.aspx?scid=kb;ja;903235[機械翻訳]
・HotFix Weekly 2005/07/06日付け(Internet Explorerにおける非ActiveXコントロールのインスタンス化処理の脆弱性により、任意のコードが実行される危険性):
http://www.hotfix.jp/archives/alert/2005/news05-0706.html#01
現時点では、修正プログラムはダウンロード・センターでのみ提供されており、Microsoft Update/Windows Updateには登録されていない。下記に示したURLで各Internet
Explorerに対応した修正プログラムをダウンロードしてほしい。この修正プログラムは、Javaprxy.dllのコントロールを、Internet Explorer上から実行できないようにkillbit(HTMLレンダリング・エンジンにより、ActiveXコントロールが読み込まれないようにするInternet
Explorerのセキュリティ機能)を設定するもので、脆弱性を根本的に解消するものではない。修正プログラムによって、以下のレジストリ・キーの値にデータ「0x00000400」が設定される。
レジストリ・キー: |
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet
Explorer\
ActiveX Compatibility\{03D9F3F2-B0E3-11D2-B081-006008039BF0} |
値: |
Compatibility Flags(DWORD型) |
2005/07/06日付け配信のHotFix Weeklyで既報のとおり、すでにこのJavaprxy.dllのコントロールの脆弱性を検証するための実証コードが公開されており、これを悪用した攻撃がいつ実行されてもおかしくない状態となっている。また脆弱性を公開したSEC
Consultによれば、Javaprxy.dll以外にも同様の脆弱性を引き起こす可能性があるオブジェクトは少なくとも20個はある、としている。残念ながら現時点では、脆弱性を根本的に解消する修正プログラムがいつ提供されるか明らかになっていない。完全とはいえないが、攻撃を防止する対策の1つとして、とりあえず今回提供された修正プログラムを適用しておくべきだ。
■修正プログラムのアンインストールに際しての注意
DA Labの調査によると、Windows XP SP2/Windows Server 2003向けの「サポート技術情報:903235」の修正プログラムをアンインストールすると、ActiveX
Compatibilityのレジストリ値が「サポート技術情報:903235」の修正プログラムの適用以前の状態に戻る不具合があることが判明した。例えば、Windows
XP SP2に「サポート技術情報:903235」の修正プログラムを適用後、ActiveX Compatibilityにkillbitが設定される「Internet
Explorerの累積的な修正プログラム」などを適用した後、「サポート技術情報:903235」の修正プログラムをアンインストールすると、「サポート技術情報:903235」の適用以前の状態にkillbitが戻ってしまう。
これは、「サポート技術情報:903235」の修正プログラムがアンインストール情報として、以下のレジストリ・キー以下をすべて保存し、それをアンインストール時にレジストリに書き戻すことが原因で起きる。
レジストリ・キー: |
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet
Explorer\
ActiveX Compatibility\ |
修正プログラムの仕様としては、killbitを設定する上記のレジストリ・キーを保存するか、Compatibility Flags(DWORD値)に「0x0000020」を設定してkillbitを解除する必要があるのだが、そのようには設計されていない。Windows
XP SP2で「サポート技術情報:903235」の修正プログラムをアンインストールする必要がある場合は、事前に上記のレジストリ・キー以下を保存してからアンインストールを実行し、その後レジストリ・キーを再設定した方がよい。
■ダウンロード先
・Internet Explorer 5.01 SP3(Windows 2000 SP3)、Internet Explorer 5.01 SP4(Windows
2000 SP4):
http://www.microsoft.com/downloads/details.aspx?
FamilyID=25982e02-ec6d-44ce-82de-12ddef1addd6&DisplayLang=ja
・Internet Explorer 5.5 SP2(Windows Me) :
http://www.microsoft.com/downloads/details.aspx?
FamilyID=06f8cd1b-93a0-4522-af7d-603dd5c2bacb&DisplayLang=ja
・Internet Explorer 6 SP1(Windows 98/98SE/Me、Windows 2000 SP3/SP4、Windows
XP SP1/SP1a):
http://www.microsoft.com/downloads/details.aspx?
FamilyID=2a506c16-01ef-4060-bcf8-6993c55840a9&DisplayLang=ja
・Windows XP SP2:
http://www.microsoft.com/downloads/details.aspx?
FamilyID=c1381768-6c6d-4568-97b1-600db8798ebf&DisplayLang=ja
・Windows Server 2003 SP未適用/SP1:
http://www.microsoft.com/downloads/details.aspx?
FamilyID=f368e231-9918-4881-9f17-60312f82183f&DisplayLang=ja
|