ZDIがこのゼロデイ脆弱性を公開する数週間前に、MicrosoftはIEのまた別の脆弱性「CVE-2014-1776」に対応する緊急パッチを定例外のスケジュールでリリースしている。CVE-2014-1776は解放済みメモリ使用“use-after-free”の脆弱性であり、この脆弱性を悪用した攻撃が米FireEyeによって確認されていた。

　ZDIが主催する毎年恒例のハッキングコンペ「Pwn2Own」の2014年の大会では、Microsoftブラウザの最新版「IE 11」も2回セキュリティを破られている。ハッキングにはフランスのセキュリティ企業VUPENが未知の脆弱性の1つを使って成功したが、この脆弱性のパッチはまだ配布されていない。HPのセキュリティ調査部門の脆弱性調査担当マネジャー、ブライアン・ゴレンク氏は米TechTargetに対し、「まだ公表されていないが、Microsoftには他にも幾つかIEのゼロデイ脆弱性を通知済みだ」と語っている。

　ゴレンク氏によれば、ZDIに提出されたIEのバグの大半はuse-after-freeの脆弱性に分類されるという。これはWebブラウザでは一般的なメモリ破損の脆弱性であり、悪用すれば、有効なデータを破壊して任意のコードを実行できる。

　ゴレンク氏は最近のIEのゼロデイ脆弱性について、次のように語る。「IEは依然として市場で大きなシェアを占めている。とりわけ、大企業や政府機関など、ゼロデイ攻撃の標的にされやすい重要度の高い組織で広く使われている。だからこそ、攻撃者も研究者も注目している」

　「攻撃者にとってIEが魅力的なターゲットとなっている裏には、こうした現実がある。何か脆弱性を発見できれば、大きな利益を期待できるからだ」（ゴレンク氏）

IEのセキュリティについてゼロデイ脆弱性から分かること

　脆弱性管理サービスを提供する米Qualysの最高技術責任者（CTO）、ウォルフガング・カンデック氏によると、IEのゼロデイ脆弱性が相次いで発覚している背景には、IEの市場シェアの他にも、幾つかの要因があるという。もっとも、それらの要因はIEの全体的なセキュリティに直接影響しているわけではない。

　何よりもまず、サイバー攻撃で生計を立てる犯罪者がかつてないほど増えており、さらにそうした犯罪者はこれまでの世代よりも頭脳明晰で収入も多い傾向がある。それに加えて、善意のセキュリティ研究者まで増加している現状を考えれば、IEだけでなく全てのブラウザで欠陥が見つかるのは少しも意外ではないという。

　さらにカンデック氏によれば、ブラウザエクスプロイトの検出にサンドボックス技術を使用している研究者にも、他のブラウザよりIEに重点を置く傾向がみられる。「一部には、IEの市場シェアの大きさも影響している。となると、発見されていないゼロデイ脆弱性が他のブラウザと比べて本当にIEに多いかどうかは疑問だ」と、同氏は指摘する。

　「まさに自己成就する予言だ（※）」と、同氏は続ける。

※自己成就する予言（Self-fulfilling prophecy）：予言が発せられると、人が無意識のうちにその予言に沿って行動し、結果的にその予言が現実になること

　独立系セキュリティ調査企業である米NSS Labsの調査ディレクター、ランディ・エイブラムス氏によれば、ゼロデイ脆弱性が悪用されるのは通常、重要度の高い標的に狙いを定めた攻撃においてだという。「従って、ゼロデイ脆弱性ばかりに注目していたのでは、IEやそのセキュリティ機能の真の姿を知ることはできない。IEのセキュリティレベルは他のブラウザと同程度か、それ以上だ」と、同氏は語る。

　実際、NSS Labsが2014年3月に公開したブラウザセキュリティ機能の比較調査結果によると、ソーシャルエンジニアリングを用いたマルウェアのブロックに関しては、フィルター機能「SmartScreen」を搭載するIEが明らかに最も効果的なブラウザとなっている。報告書では、ソーシャルエンジニアリング型のマルウェアについて、「ソーシャルメディアや乗っ取ったメールアカウント、コンピュータの問題を知らせる偽のメッセージ、ユーザーをだましてマルウェアをダウンロードさせる手法などを組み合わせて用いるハイリスクな脅威」と説明されている。

　IEはソーシャルエンジニアリング型マルウェアの平均ブロック率が99.9％で、マルウェアのブロックにかかる時間も短く、NSS Labsのテストの全ての主要項目で他のブラウザをリードしている。例えば、米Googleの「Chrome」の平均ブロック率は以前の83.17％から70.7％に下がり、米Mozillaの「Firefox」と米Appleの「Safari」（いずれもGoogleの「Safe Browsing API」を採用している）もそれぞれ4.2％、4.1％と、平均ブロック率は以前より下がっている。

　エイブラムス氏によれば、こうしたソーシャルエンジニアリング型のマルウェアを阻止することこそが重要だという。企業が経験する攻撃は、脆弱性ではなく、こうしたマルウェアを使ったものが大半を占めているからだ。

　「脆弱性だけでなく、ユーザーがブラウザによってさらされるリスク全体に目を向ける必要がある。実際のところ、ソーシャルエンジニアリング型攻撃に対する防御という点では、IEはしっかりユーザーを保護できている」（エイブラムス氏）

　後編ではセキュリティの観点からWebブラウザを選ぶ場合のポイントを解説する。