「Internet Explorer」の“非常に危険な”脆弱性をGoogleが発見、「Edge」にも影響か

「Microsoft Edge」と「Internet Explorer」に新たな脆弱（ぜいじゃく）性が見つかった。Googleのセキュリティ調査チームが発見した、この脆弱性が及ぼす影響とは。

公開 2017年03月08日 12時00分

著者

Michael Heller

[TechTarget]

印刷する

新たに見つかったIE脆弱性の危険度とは

　Googleのセキュリティ調査チーム「Project Zero」は、MicrosoftのWebブラウザ「Microsoft Edge」（以下、Edge）と「Internet Explorer」（以下、IE）に未修正の脆弱（ぜいじゃく）性があると公表した。Project Zeroが、90日を超過した脆弱性を公表する自らの方針に従ってMicrosoft製品の脆弱性を公表するのは、この週に入って2度目だ。Microsoftは2017年2月の月例セキュリティ更新プログラムの公開を延期した。

　Project Zeroのセキュリティ研究者、イバン・フラトリック氏の公表投稿によると、見つかった問題は「Type Confusion（型の取り違え）」の脆弱性だ。主にIEで発生するが、新しいWebブラウザのEdgeにも影響するという。同氏は両方のWebブラウザでこの問題を確認できたと説明しているが、「IEでは確認できたがEdgeでは確認できなかった」というコメントが、この投稿に寄せられている。

併せて読みたいお薦め記事

「Edge」のセキュリティについてもっと詳しく

「まだまだIE」で本当によいのか

事前検知は困難

　アプリケーションセキュリティベンダーのPrevotyでソフトウェアセキュリティシニアエンジニアを務めるジョー・ロズナー氏は、これはIEの「非常に危険」な脆弱性だと語る。「これが悪用されたら、攻撃者のページを表示するだけでコードが遠隔実行されてしまう。フィッシングやマルバタイズ（不正広告）など悪質なコードのばらまきに悪用される可能性がある」

　ロズナー氏は「これを悪用した攻撃を事前に検知するのは、不可能でないとしても難しいだろう」と語る。レンダリング前に検知するには、HTMLやJavaScript、CSS（カスケーディングスタイルシート）の意味解析をしなければならないからだ。

　今回の報告は、各タブを1つのプロセスで制御するシングルプロセスモードで発生することは明記しているが、タブごとに別々のプロセスで制御するマルチプロセスモードでも起こるのかどうかは明らかでない。「マルチプロセスモードがどの程度利用されていて、ビジネスにどんな影響があるのかは知らないが、一般にマルチプロセスモードでWebブラウザを実行する方が安全性が高く、この問題のリスクが低くなる可能性がある」とロズナー氏は説明する。

　フラトリック氏は今回の自身の投稿へのコメントで、IEのこの脆弱性が悪用される可能性については言及を避けた。

　GoogleのProject Zeroのポリシーでは、90日が超過するとバグの詳細を自動的に公表する。Microsoftは、詳しい説明なしに2017年2月のセキュリティ更新プログラムの公開を延期した。

　更新プログラム公開延期後にGoogleとMicrosoftが今回のIEの問題について連絡を取り合っているのかどうか、両社とも明らかにしていない。Microsoftは、公表までの期限を延長してほしいとGoogleに申し入れているという。

　Microsoftの広報担当者は次のように述べる。「私たちは脆弱性を協調的に公表したいと考えており、Googleの期限を今より長くすることについてGoogleと話し合いを続けている。脆弱性を公表することは、顧客を危険にさらす可能性があるからだ。Microsoftは報告されたセキュリティ問題について調査し、影響のあるデバイスを一刻も早くアップデートすることを約束する」

　ロズナー氏は、Microsoftが比較的最近までセキュリティと透明性を高めようと努めていたのに、2017年2月のセキュリティ更新プログラム公開を延期したのは驚きだという。「これに関連してさらに多くのバグが見つかり、修正を用意するまで公開したくなかったのかもしれないし、ただの手落ちかもしれない。どちらにしても、どうもお粗末な対応に見える」（同氏）

印刷する