IEにローカルファイルやクッキー情報を盗まれるセキュリティホール | RBB TODAY

IEにローカルファイルやクッキー情報を盗まれるセキュリティホール

エンタープライズ その他

 GreyMagic Software社は、Internet Explorer 5.5および6.0、6.0SP1にクロスフレームスクリプティング脆弱性があり、Cookie情報やローカルファイルの読み出しやローカルプログラムの起動などが可能であると警告した。

 FRAMEおよびIFRAMEで表示したHTMLページに対して、攻撃者が設定したスクリプトがオリジナルのURLおよびゾーン設定のまま実行されてしまうというもので、任意のサイトのCookie情報が盗めるほか、IE6.0ではローカルファイルの読み出しや実行すら可能になる。

 IE6.0には、マイコンピュータゾーンのIFRAMEをもつリソース(res://shdoclc.dll/privacypolicy.dlg)が標準で組み込まれているため、攻撃者は誰でも固定のリソース名でマイコンピュータゾーンの権限を取得できることになる。マイコンピュータゾーンでは、ファイルへのアクセスや実行が可能となるため非常に危険である。(privacypolicy.dlgはIE5.5にはないが、マイコンピュータゾーンのIFRAMEをもつファイルがあればIE5.5でも同じことが可能なため、5.5なら安全というわけではない)。

 この脆弱性は、Windows UpdateでIEを最新の状態にしてあっても攻撃可能なため、同社ではアクティブスクリプト機能をオフにするよう勧めている。
《RBB TODAY》

編集部のおすすめ記事

page top