【ゼロディ発生！】もう、Windows XPの IE は使ってはいけない！
Microsoft Security Advisory 2963983
ついに来てしまいました！
| MS『IEにゼロディ出たよ！XPオワタ！新しいOSにすぐに買い換えて！』 →セキュリティ研究所『XPのIE8にも脆弱性があるが、今回のゼロディの攻撃対象になってるのはVista以降のIE9以降だけですよ』 ※ 追記 XP環境でのゼロディは発生していませんが、今後この脆弱性が利用される可能性はあるので、できるだけ早めにブラウザを乗り換えた方がいいと思います |
Internet Explorer 6/7/8/9/10/11 すべてが影響を受けるセキュリティホールに関するゼロディの脆弱性
（既に攻撃用のコードが出回っている）が発生しました。
CVE - CVE-2014-1776
Assigned (20140129) ってことですから、 2014年1月末には既にわかっていたセキュリティーホール。
つまり、マイクロソフトは、わかっていたけど、XPのサポート切れるから放置してリリースしなかった可能性がありますね
＼さすがだね／
・ω・
まぁ、ある程度こうなることは予測していましたが、こうなると、XPの一般向けのIE の更新プログラムは絶対リリースされないでしょうから、もうXPユーザーはIEを絶対に使ってはいけないってことになりますね
どうしても繋ぎたい場合は以下の処理を必ず行うこと！
やらずにセキュリティソフトなしでWebサイトを閲覧すると、悪意のあるコードが埋め込まれていた場合、100%感染します
（注意点としては、サポート期間中の Windows 7やWindows 8も 100%感染する 同じ状態であること。ただし来月修正されますが、それまでは設定をするか二度とIEを使わないように捨ててください！）
| インターネットおよびローカル イントラネット セキュリティ ゾーンの設定を「高」に設定し、これらのゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックする
インターネット セキュリティ ゾーンの設定を変更し、ActiveX コントロールおよびアクティブ スクリプトをブロックすることは、これらの脆弱性の悪用を防ぐことに役立ちます。これには、ブラウザーのセキュリティ設定を「高」に設定して実行します。 Internet Explorer のブラウザーのセキュリティ レベルを上げるには、以下のステップを実行してください。 Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。 注: スライダーが表示されていない場合、[既定のレベル] ボタンをクリックし、次にスライダーを「高」に移動させます。 注: セキュリティ レベルを「高」に設定すると、Web ページが正しく動作しない場合があります。この設定の変更後、Web サイトの使用が困難になり、そのサイトが安全だと確信できる場合は、そのサイトを [信頼済みサイト] に追加できます。これにより、セキュリティが「高」に設定されていても、そのサイトが適切に実行されます。 回避策の影響:ActiveX コントロールおよびアクティブ スクリプトをブロックすると、別の影響があります。インターネットまたはイントラネット上の多くの Web サイトは ActiveX またはアクティブ スクリプトを使用して、追加の機能を提供します。たとえば、オンラインの電子商取引またはオンライン バンキング サイトには ActiveX コントロールを使用して、メニュー、注文書、計算書などを提供しているものもあります。ActiveX コントロールまたはアクティブ スクリプトのブロックはグローバル設定であり、すべてのインターネットおよびイントラネット サイトに影響を及ぼします。ActiveX コントロールおよびアクティブ スクリプトをこれらの Web サイトでブロックしたくない場合、「信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加する」で説明されているステップを行ってください。 インターネット ゾーンおよびローカル イントラネット ゾーンで ActiveX コントロールおよびアクティブ スクリプトをブロックするように設定後、信頼する Web サイトを Internet Explorer の信頼済みサイト ゾーンに追加できます。これにより、信頼されていない Web サイトからの攻撃を防ぎながら、現在とまったく同じ様に、信頼する Web サイトを引き続き使用できます。マイクロソフトは信頼できる Web サイトのみを [信頼済み] サイト ゾーンに追加することを推奨します。 これを行うためには、次のステップを実行します。 Internet Explorer で [ツール] をクリックし、[インターネット オプション] をクリックします。次に [セキュリティ] タブをクリックします。 注: システムで悪質な動作が行われないと信頼できるすべてのサイトを追加します。特に追加すべき 2 つの Web サイトは *.windowsupdate.microsoft.com および *.update.microsoft.com です。これらはセキュリティ更新プログラムをホストする Web サイトで、セキュリティ更新プログラムのインストールには ActiveX コントロールが必要です。 |
Translate
またしてもFlashとJavaScriptの組み合わせ抽選会.
いい加減気づきま庄屋さん,
IE+XPの組み合わせじゃなく、Flash+JavaScriptの組み合わせが殆どの場合で最悪の組み合わせなんす.
http://www.fireeye.com/blog
またしてもFlashとJavaScriptの組み合わせ抽選会.
いい加減気づきま庄屋さん,
IE+XPの組み合わせじゃなく、Flash+JavaScriptの組み合わせが殆どの場合で最悪の組み合わせなんす.
http://www.fireeye.com/blog
セキュリティ障壁をバイパスするのにJavaScriptとFlashの組み合わせが一番やりやすく、インストールベースも大きく、仕組みとしてFlashはOSの監視下に置かれているようで抜け穴だらけなので、昔から頻繁に0dayが発生するんす.
JavaScript無効化+ActiveX(FlashやJava等)を無力化していれば、かなりの割合でブラウザ経由の0dayは避けられます.
The vulnerability affects IE6 through IE11, but the attack is targeting IE9 through IE11.
も見落とさないで,
XPよりもインストールベースの多いバージョンが狙われた.
今回気をつけなきゃいけないのはむしろXPより後のOSっすよ.
セキュリティ障壁をバイパスするのにJavaScriptとFlashの組み合わせが一番やりやすく、インストールベースも大きく、仕組みとしてFlashはOSの監視下に置かれているようで抜け穴だらけなので、昔から頻繁に0dayが発生するんす.
JavaScript無効化+ActiveX(FlashやJava等)を無力化していれば、かなりの割合でブラウザ経由の0dayは避けられます.
The vulnerability affects IE6 through IE11, but the attack is targeting IE9 through IE11.
も見落とさないで,
XPよりもインストールベースの多いバージョンが狙われた.
今回気をつけなきゃいけないのはむしろXPより後のOSっすよ.
信頼できるサイト以外で IEによるアクティブすぷりくとを実行してはいけないということですね。
参考になる情報ありがとうございます
でも、イントラネットでも実行してはいけないって何でだろう？
信頼できるサイト以外で IEによるアクティブすぷりくとを実行してはいけないということですね。
参考になる情報ありがとうございます
でも、イントラネットでも実行してはいけないって何でだろう？
私は「インターネット」の設定でセキュリティ「高い」にすればいいと思ってますけどねぇ・ω・
私は「インターネット」の設定でセキュリティ「高い」にすればいいと思ってますけどねぇ・ω・