【IT】IE6に任意のファイルをダウンロード・実行できるセキュリティーホール

セキュリティ関連業のLACは、Microsoftの「Internet Explorer 6」
には、ユーザの意思に関係なくファイルを自動的にダウンロードし、
かつ、それを自動的に実行してしまう問題があると公表。
これにより悪意のあるWebサイト開設者が、閲覧者のコンピューター
上で任意のプログラムを実行できてしまう恐れがある。
　[インターネットオプション]から適切なゾーンに対して
[ファイルのダウンロード]を無効にすることでこの問題を回避でき
る。
Microsoft 社は、2月13日にこの問題の報告を受けたがこの問題を
回避するための手段や修正プログラムの提供していない。


http://www.lac.co.jp/security/intelligence/SNSAdvisory/48.html

2

ガ―(ﾟДﾟ;)―ン！！

あひゃひゃひゃひゃ

http://nara.cool.ne.jp/mituto　

無料のFireWall配布しなさい！

げいつ。

>>6
マジで言ってるの？　MS製ファイアーウォールなんてあったら、また笑える惨劇が続くぞ

>>5
ブラクラ

１０？

>>8
当然ブラックジョーク

やっぱ6にしちゃったのは失敗だったなぁ。。。
また5.5に戻すか

もうアホかと、バカかと

ダウソくらい専用ツールでやれよ、と

一個ニ個時代遅れを使ってるくらいがちょうどいいんだよ、M$製品の場合。

>>14
どういうこと？　もう少し解説を

どんな仕様で作ったらそんなに穴だらけになるのか不思議。

>>15
2世代遅れだとサポートされない罠。

>>15
XPを強制されてる俺に今痛いくらい響く言葉だよ。

>>16
ダウンロードはIEを使わずにダウンロード専用ツールを使ってしましょう

>>19
バグが自動的にダウンロード専用ツールを使うということ？

>>14
>>19
>>1 になにかいてあるか理解できない？

＞[ファイルのダウンロード]を無効にすることでこの問題を回避でき
＞る。

無効にしたら全てのファイルが落とせなくて不便だよ！

適切なゾーンってどこよ?

>>14>>19

Microsoftの「Internet Explorer 6」
には、ユーザの意思に関係なくファイルを自動的にダウンロードし、
かつ、それを自動的に実行してしまう問題があると公表。


ユーザの意思に関係なくファイルを自動的にダウンロードし、

ユーザの意思に関係なく

関係なく関係なく・・・

>>19
ダウンロード専用のツール使うとかそういうんじゃなくて、
IEが勝手にダウンロードして実行しちゃうってことが問題なんじゃないの？

くっそう、日曜日にXPにしたばっかりなのに。
なんてこった井。

小さなファイル落とすのにいちいちIria起動かい(ーー;)

>>24
そうだよな、ユーザの意識に関係なくかぁ・・・ﾏﾝｾｰ

>>22
そこで初めて、　>>19　の意見が採用される。

>21
例えば、H漫画のﾌｧｲﾙがあると表示されているURLがあるとする。
そこから、目的のﾌｧｲﾙをダウンロードしようとクリックすると、あらかじめしこまれた特殊なプログラムをダウンロードする可能性がある。
そのプログラムは、例えアクティブXやスクリプトを無効に設定していても、勝手に実行されてしまう。
そして、例えばプログラムがスパイプログラムならば、あんたのPCは内容丸見えで勝手にファイルを読み書きされるっちゅうことでないかい。

なぜMSはIE5.5、6.0の雑誌掲載を許さないんでしょうか？
アナログでダウンロードするには大きすぎるので、
MSに1050円払って購入するしかないのかな。

>>30
ソースは？

>>31
バージョンアップしなければ良い。

今、設定変えたけど、右クリで「ファイルを保存する」
できるからこれでいいんじゃない？

>>30
う〜ん、出来るもんねえ。
やばいな、マジでMS以外のOSを勉強しなくちゃならんのか？
エシュロンのこともあるし、アメリカ製のシステムは
全部疑わなきゃならんかもな

>>34
それはダウンロードが無効になっていないぞな

ソースはない。推測だ。
語尾を見てもらえると推測できると思う。
もしかして、Xを無効にしておけば安全なのか？
ただ、自動的にダウンロードするって、そのHP見ただけでということだったら怖いな。

>>35
って出来ないだろ(笑

>>36
なってるよ。これで強制DLがなくなったってことでしょ？

>>37
アクセスするだけで実行できるのではないかと思う。

>>39
左クリックと右クリックのファイルダウンロードって、セキュリティレベルは一緒になるハズだが？
うちでは少なくともどちらもアラートで止まる。

でもオンラインソフトとかでアンケートに答えてボタンを押せばそのままダウンロード画面になるようなところってﾀﾞｳｿできなくなるよね

MSってセキュリティ強化月間やってなかったっけ。

>>42
そだね。

まぁMSが早く対応してくれ！ってことだね

>>41
ﾎﾝﾄだ。ｺﾞﾒﾝ。右ｸﾘしたときに「ファイルを保存する」がアクティブに
なってたから、てっきりできるもんだと。。。左クリだとフラゲが
起動しちゃうから重いんだよね（鬱

どっかのニュースで

Internet Explorer 6 の使用を中断することでこの問題を回避できる。

とか言わないかなぁ？

　ときどき勝手にＵＰ−ＤＡＴＥの画面が表示されるけど、
あれはＩＥ５．５のときにもあったような……。
　これはべつにいいの？

Opera↓
http://www.jp.opera.com/

半角ｶﾅが化けるのが玉にｷｽﾞ…

Me＋IE6ですが、エラー多すぎます。
IE5,5に戻したいのですが、どうすればいいでしょうか?

Netscape↓
http://home.netscape.com/ja/

IEと一緒のセキュリティホールを出してしまった罠…
ただし、AOLがIEからこちらへブラウザを変更するとの噂もあり。

良くも悪くも2番手、おいらは嫌い。

>>49
デフォルトは５．１だっけ？ME

IEのバージョンを元に戻す→アップデート

情報おまちしています。
http://home.pchome.com.tw/super/aoiryuyu/no2jiken.html

ttp://www.microsoft.com/japan/technet/security/prekb.asp?sec_cd=MS02-009

これとは別？

>>50
二番手って？
シェア？
歴史はネスケのが古いよ。

つか、ネスケ6.2って重いんだよなぁ・・・デザインダサいし。
4.7辺りを探して使うかな・・・・そうだ、見れないサイトが一杯・・・・

>>54
モザイク1番
ネスケが2番

かもよ（わら

は遠くなりにけりか……。

米糞ﾏﾝｾｰ

そして Java を動かすためには HotJava

不正な処理ばっかり…入れ替えよう

ﾀﾌﾞﾌﾞﾗｳｻﾞのLunascapeはどうよ。個人的によるけと

>>49ですが、
>>51さんへ

＞IEのバージョンを元に戻す→アップデート

どういう意味ですか?

もういないかな

ＩＥ６ってリンクをクリックしたらフリーズすること多い。長時間立ち上げていたら、その傾向が
強いと思う。
OE6はテキストのメールを不等ピッチで表示する糞メーラー。メールごとにエンコードで等幅
に変更しないと等幅では見れない。フォントの設定で不等幅フォントも等幅にすれば回避出
来るが、それって違うだろ。テキストを不等幅フォントで表示する理由を説明しる！！　

不等ピッチで見せたいヤツの方がHTMLでフォント指定スりゃいいんだよ(｀へ´)ﾌﾝｯ｡

それよりさっきからLANカードの調子がおかしいんだよ
まったく反応しなくなったから一回はずしてまたつけると直るんだけど
また10分くらいしたら止まるんだよ
どうして？？？？

何故こんな低技術の会社が世界一のシェアを誇ってるんだろう。

>>62
ｺﾝﾊﾟﾈ→アプリケーションの追加と削除からやればできるよ。

マイクロソフトは、IT界の辻元清美

ダウンロード専用ツールやタブブラウザがIEのコンポーネントを使っている罠

>>64
君もか。友人にも同じ症状が出てる。
PCｶｰﾄﾞの接続口とかLANケーブルの先(なんていえばいいかﾜﾗｶｿ)に原因があるじゃないかと思うけど。
詳しくは知らんので力になれぬようでｽﾏｿ

>>64
多分ドライバーだよ。もいっかい入れ直してみれば？

しかし、ｾｷｭﾘﾃｨｰ問題がよく出るな。絶対安全があったら苦労せんしわ。
逆転の発明が出るような人はおらんかーね
便利があれば不便も存在する。

>>51
あーありがとう！
やってみます。
ついでにアップデート。

>>70
ﾄﾞﾗｲﾊﾞｰ
うっかり忘れた。ｽﾏｿ

オペラにすればいいのかな？

Windows板にウンコ書いてあったけど、オペラ。
どういう意味？

オペラ、JNBでログイン出来ないんだよなあ。

オペラはカァス。
モジラのほうが、まだマシ。

こういうニュースを報じない朝日のサイトにはMSの広告が毎日掲載中。

IE6削除してIE５，５入れなおそうと主旦だけど、
削除の床に出てきた「修正」っての選択してやってみたら
今はフリーズしてないよ。
いまんとこ。
ちょっと様子見ます。

リンクをクリックするとフリーズ
これ、すごく頻繁にありました。

Mozilla 0.9.9はインストーラに不具合あるからなぁ…
正直、素人にはお勧めできない。

これがＩＥ５で出る穴だったら、[中止]ボタンの説明を[しいたけ]に変えるプログラムを実行させるのに…おしいっ！

？

ＩＥ５．５ＳＰ２が一番いいの？

>>71
今年も順調に増えているね。>M$のセキュリティ情報
http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/bulletin/ms02-014.asp

今年はいくつ出るんだろう。今のペースだと去年並みかなぁ。
2000年のちょうど100件というのは面白かった。わざとか?
http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/bulletin/ms00-100.asp
毎週2件ずつ増えるようなものを一々チェックしたり、
パッチを当てている奴なんて、そうそういる訳がねぇよな。
ウィルスが蔓延する訳だわ。

>>60
Lunascapeは IE です。

>>61
そのままじゃん。元に戻す→アップデート

>>63
「IE6 って」じゃなくて「自分のIE6は」だろう。

>>64
壊れてる。あなたかパソコンが

>>68
バグがダウンロード専用ツール使ってるんですか？

>>83
それはわかってないかも

M$は、
http://www2.tky.3web.ne.jp/~masapon/020320.png

>>85
元に戻すことを　アップデート　とは言わないじゃん

ダウンデート

任意のファイルをアップロードできるセキュリティホール
→IEでｴﾑｴｸｰｽ!!

だったら面白いのに。

haa?

>>87
元に戻すことは「元に戻す」って書いてあるね。

haa?

IE6って、閉じた時に勝手にどこかへアクセスしてるんだよね。
うちのブロードバンドルーターはアクセス発生すると自動で繋いでくれるんだけど、
ちゃんと回線切っても、閉じたと同時にアクセスランプが付いて繋がってしまう。
個人情報でも送ってんのか？なんかムカツク。

もーめんどい

eee?
maji?

>93

>>93
お気に入りチェックじゃないの？

IE6.0を削除してIE5.5にしたいのだけど、どうすればいいの？

>>97
上のログを読め

>>98
下にログはない。

ちなみに過去ログっていうが、未来にログはない（わら

１００

バージョン落とさなくても、修復で治る。
すこぶる調子よい。
IE6

http://kaba.2ch.net/test/read.cgi/news2/1016603429/l50

パッチまだ？（・ε・）
知らない間に変なファイル貰っちゃうのがｺﾜｲ…

とりあえず心配な奴はネスケかオペラでもつかっとけと．

もしくは回線切って(以下略

使ってるけど何ともない
エラーもない

ブラウザが自動的にファイルをDLして、自動的に実行。
そういうファイルにはウィルス混入やスパイウェア混入は当たり前。

ということだな。こわ。

ふ〜んそうなんですか

みなのＩＥ６はクローズ時にモデムのアクセスランプ点かないの？

てか、モデム？TA？ルーターによるだろ。
それにIE6終了と同時に回線切るわけじゃないし。

もう少し分かるように書いてくれないか。

>>107
その前に破壊される

http://www.forest.impress.co.jp/article/2002/03/20/ie6securitybug.html
IE 6に致命的なセキュリティホール
ファイルを自動的にダウンロードして実行してしまう危険性（02/03/20）

　（株）ラックは18日、「Internet Explorer」v6に致命的なセキュリティホー
ルが存在することを明らかにした。ユーザーの意思に関わらずファイルが自動的
にダウンロードされ、なおかつ実行されてしまう危険性があるという。当面の回
避策は、[インターネットオプション]の[セキュリティ]-[レベルのカスタマイズ]
で[ファイルのダウンロード]を無効にすること。マイクロソフト（株）によると、
この問題については確認済みで、現在修正プログラムの公開を含め情報公開の準
備をしているとのこと。

　今回明らかにされた問題を悪用すると、悪意あるWebサイト管理者は
「Internet Explorer」v6でアクセスしてきたユーザーに、任意のプログラムを
自動的にダウンロードさせ、ユーザーのシステムで実行させることができるとい
う。これらの問題はWindows 98/NT 4.0/2000と「Internet Explorer」v6の組み
合わせに、現在公開されている全ての修正プログラムを適用した状態で確認され
たとのこと。マイクロソフトからこの問題に関するアナウンスはなく、ラックで
は[インターネットオプション]の[セキュリティ]-[レベルのカスタマイズ]で[ファ
イルのダウンロード]を無効にすることでこの問題を回避できるとしている。た
だし、この回避策をとると、窓の杜やオンラインソフト作者のWebサイトからも
ファイルをダウンロードできなくなってしまう。

　ラックによると、2月13日にこの問題をマイクロソフトに報告したものの、マ
イクロソフトからは30日を過ぎても回避策や修正プログラムが提供されなかった
ため、ユーザーへの影響を懸念して今回の情報公開に踏み切ったとのこと。マイ
クロソフトは編集部の取材に対し、「問題については確認済みで、発見者とも連
絡をとりつつ、修正プログラムの公開を含め情報公開の準備作業を行っている」
としている。

□SecureNet Service（Internet Explorer 6のセキュリティ問題について）
http://www.lac.co.jp/security/intelligence/SNSAdvisory/48.html
□TechNet Online - セキュリティ センター（マイクロソフトのセキュリティ情報）
http://www.microsoft.com/japan/technet/security/default.asp

>>106
何とも感じないうちに何かされるのが今回のバグでは？

>>113
何も感じないうちに妊娠していたらどうしよう？

Meは関係ないのか？

>>115のような質問も出てくるから、もっと初心者向けに説明しないといけないんだなぁ

まいったな。

元ソースの問題確認済みOSに、XPやMeや95は含まれていません。
が、原因がIE6にあると現状で考えられている以上、問題確認済みでないOSであってもIE6をインストールしている場合は問題は発生しうると考えた方が妥当しょう。
少なくとも、Ｍ＄の対応がまだ行われず、発見者がXP/Me/95で確認を行ったかも不明の現状で、安全と言える根拠は全くありません。

まあ、セキュリティで苦しみたくなければオペラかネスケを使えということで。

なんかきょう、それらしき動作がありました

いきなりポップアップウィンドウがでて
英語でインストールしますか？ってきかれたYo

>>119
そんなのよくあることだ。

koke-

そうだよん〜

MDIブラウザ使ってるけどこれでもだめなんかな？

どっか仕掛けられてるサイトない？

>>115-118
この手の問題については、問題が出ない事を確認した事例以外では、
全て、問題発生の可能性がある事を想定して行動するべきでしょう。
問題が発生してもかまわないから使い続ける、というのも一つの対処法ですが。

で結局IE5.5SPに戻せば安全ってこと？

>>118
ネスケも危険だから避ける事だな。
最近ファイアウォールの設定をきつくしたけどね。

.

>>123
設定項目に「インターネットオプション」とかいうメニューがあるやつは、ダメ。

>>126-127
まだNetscapeの方がIEよりはマシだろ。
広く知られている穴をくらべると、まだ小さいだろ。
見つかる頻度はかなり少ないし。
MSは穴を仕様と言い切るし。

MS製品は設計から腐ってる(特にセキュリティ)からいつまで経っても穴だらけ。
他の製品は設計はまともだから徐々に穴は減ってくる。

M$の製品はｓｐ２でやっとまともなものになる。今更だけど。

IE以外は使ってる人少ないから、そのぶん穴が見つからないに１０００ネスケ

でも俺はネスケも以前使ってたけど、不安定だったなあ。
今はIEコンポーネントのタブブラウザだけど

>>133
それはない。理由は以下の通り。

・開発者とバグ専門家以外はバグを見つけない。
・開発者の数は余り変わらない。
・専門家はよほどマイナーなブラウザ以外はチェックする。
・ネスケ独占だった頃もIEの方がバグだらけ。

工ｼｭ口ンと連係

この穴から犯された奴いる？

と、色っぽく聞いてみるテスト

へえ

>>130
お前面白いな。

> 見つかる頻度はかなり少ないし。

見つからなければ安全なのか？

ユーザの意思に関係なくファイルを自動的にダウンロードし、
かつ、それを自動的に実行してしまうけどパソコンに問題はありません

ナゼ日本ノ皆サンハ自分デＯＳヲ作ラナイノデショーカ？

>げいつ
おめーが潰したんだろおめーが(苦笑)

当方Ｍｅで昨日ＩＥ６にしたのですが、
ページを表示する枠内で右クリックしても何も出なくなりました。
それにファイルのダウンロードもできない・・・
（オプションのダウンロードは有効になっています）

どうすればよいでしょうか・・・

Donut Rで、Java とスクリプトOFFにしてるんだけど、
まともに表示できないサイトが多すぎて困ります。(;´д｀)ﾊｧ

>>142
まずMeなんか使っている時点で終わってって、さらにIE6入れた時点で完全に終わってる。
98SEにするかXPにしたほうが幸せな人生おくれるぞ。

>>140
作ろうとしたら必死に圧力かけてツブしたのオマエラじゃん

>>144
その通りだったようだ・・・

今IE5.5に戻したんだけど、右クリックしても何も起きない・・・何故・・・？

見に覚えがあるような・・
前、Gator.comのソフトかなんかしらんが
ネット中に突然インストールした事あったんだよね、ﾋﾞｸｰﾘして急いで消したけど
同じような経験した人いない？

あげ

＞１４７
アダルト系徘徊してるからじゃないの（わら

ＭＳの陰謀が次から次にあばかれてるね。
ＭＳは隠してたものが見つかったことに対して歯ぎしりしてるだろう。
しかしモジュールに隠された情報搾取ツールはまだまだたくさんあるから注意が必要。
穴を塞いでもアップデートで新たにスパイツールが入れられるし・・・（以下略）

>150
そういう君は何を使ってるの？
完全に安全なものなんてあるの？

>>151

あれですよ。よくいるじゃないですか。１位を嫌う人って。
ほらぁオタクとかはマニアは他人とは違うものを選びたがるってねゲラゲラ

＞152
もっと普通に文章書けないの？

なんかセキュリティーホールが次から次へと出てくるんで、どれがもう
対策済みでどれが対応中でどれが新作なのかがｻﾊﾟｰﾘ

弁償を伴わない不具合はすぐに求めるＭ＄

パッチあてるのが楽しくてしょうがない。

>>220
言ったよね？その時のスレの展開、伸び具合による。
多分3までは行かない気がするけど、実験として立ててもいいのでは？

>>157
ご、ご、ご、ごごごご誤爆ですか？

MSってソフトメーカだからいいようなもの
ハードメーカーだったらとっくに倒産だな。

デ・チューン

>>93,109
遅レスで何だが。

ＩＥ６に限ったことではない（つーかブラウザに限った事ではない）が、TCPを
利用するアプリ（まぁブラウザが多いけど）は、サーバとTCPのセッションを
確立した状態でアプリ（ブラウザ）自体を落とすとＦＩＮパケット（TCPのセッシ
ョンを終了するためのパケット）を送信するものが多い。

つまり、平べったく言うと（最初からそうしろ＞俺）、
”ブラウザを閉じる瞬間にはパケットが送信されるものだ”
と思っておいたほうがよろしいかと。

で、それ故にダイアルアップルータの場合は”ブラウザを閉じるとダイアルア
ップしてしまう”てな事象になるわけで、当然ながら不便。
なので、最近のダイアルアップルータには”ブラウザ終了時（だったかな？）
のＦＩＮパケットをＬＡＮ側から受け取ってもダイアルアップしない”というような
設定があったはず。

上記のＦＩＮパケットはＰＣ側の設定か何かでも抑止できたような気もするけど
よく覚えてないや。ｽﾏｿ。

>>161
はぁ？

>>162
要するに、ブラウザは終了するとき「これで終わります」ってパケットを投げちゃうってこった。
で、ダイアルアップルーターだとそんなのに反応されちゃ意味無いと。

ふーん

Me最強

kimi no me dakedayo

Ｘ最強

�]-japan

　　　　　　　　　|＼_|＼
　　　 ／|_／|／|　　|　 |
　　／　／／　/　　 |／|
　　|　　|　|　 /　　／　/|
　　|　　|　|　/　／　／ /
　　|　／_/■■■■■
　　| /■■■■■■■
　　| ■■■■■■■
　 ШШ　　 ■■■■
　Ш　　／　 　　 　　 |
　|　 /.　　＼　　 ／　 |
　 (6　　　　　　 　　　 | 　　　 ／￣￣￣￣￣￣￣￣￣￣
　 /|　　＼＿＿＿＿| 　 　＜　最強！！
　　 | 　　　＼＿＿＿＿　 　 ＼＿＿＿＿＿＿＿＿＿＿
　／＼　　　　　　　　　　＼
　　　　＼＿＿＿＿＿__／

まだパッチ出てないの？

XPは大丈夫なんだよね？

>>170
あたま悪いな

悪意のありそうなページに行かなければいいじゃん

Xbo糞でもたぶんセキュリティバクが山ほどあると思う。
箱でネットゲーしようと思ってる人は個人データの入力は
しないほうがよい。
去年まで社内はM$のサーバーだったけど4度目の要望書でやっと空リスに・・
役員に元M$役員ってのがいるからM$にケチつけられるん嫌なんだな。
でもね、ほんとM$製品は怖いよ、ネットに怖くて繋げられないYO。
セキュリティって意味教えたほーがいいなM$社員に。
よく製品を検証した人は家でもM$では絶対ネットに繋げないもんね。
箱はネットゲーが目玉らしいが・・・やめとけ。

IEはサイトごとにセキュリティ設定できるからね。
デフォルトは厳しくして必要なサイトだけ緩めるのがお勧め。

Netscape は氏んだの？
http://piza.2ch.net/log2/pc/kako/951/951826097.html

これ、僕が立てたんだすぅ。（なつかすぃ）

>>171
え、ダメなの？

>>176
今の問題はOSではなく、ブラウザ(IE6)のお話だよ・・・
ったく・・・

>>176
>>177
いやいや・・・・5年前の小生だったら同じ事尋ねていた可能性もあり。
IE(ver3)だけでメールが出来ると思っていたあの頃（遠い目）

どうでもいいけど、「小生」ってエロ小説の響きがあっていいね。

小生、本日OS購入。MacOSX似の美人、大３枚。ドピュ。

のりおﾀﾝ･･･ﾊｧﾊｧ

ｱﾌｫなことばっか言ってんなあ、もう（笑）
とりあえずこっちが詳しいし
http://pc.2ch.net/test/read.cgi/sec/1016485189/
最初にｽﾚ立てたのはこっち
http://pc.2ch.net/test/read.cgi/pcnews/1014872364/