【IT】「Internet Explorer(IE)11」に深刻な脆弱性--UXSS攻撃で認証情報の窃取など可能に [15/02/05]©2ch.net

「Internet Explorer」に深刻な脆弱性--UXSS攻撃が可能に
【CNET Japan】 2015/02/05 12:17

「Internet Explorer(IE)11」に、すべてのセキュリティ更新ファイルを適用しても修正されない、極めて
深刻な脆弱性が発見された。攻撃者はこの脆弱性を悪用することで、ウェブサイトにおけるユーザーの
認証情報を窃取できる。また、あらゆるウェブサイトのコンテンツを外部から改ざんできるため、正規サイトを
通じたフィッシング攻撃に悪用される可能性もある。

この脆弱性はセキュリティ企業Deusenの研究者であるDavid Leo氏が公表したもので、「Windows7」と
「Windows8.1」で実行されるIE11が影響を受ける。SecLists.Orgに掲載された詳細によると、攻撃者は脆弱性を
悪用することで、IEを含むウェブアプリケーションの重要な保護機能である「同一生成元ポリシー」を
回避して、ユニバーサル・クロスサイト・スクリプティング(UXSS)攻撃を実行できる。これにより、攻撃者は
認証Cookieやユーザーが入力した認証情報などを窃取するだけでなく、細工を施したHTMLコードや
Cookie情報などを外部からコンテンツに挿入し、正規のサイトを通じたフィッシング攻撃を仕掛けることも
できる。

Leo氏は脆弱性の概念実証例も公表している。そこでは、脆弱性を通じてニュースサイト
「Daily Mail Online」のコンテンツを外部から改変し、「Hacked by Deusen(Deusenがハッキングした
)」という文字列を表示させるエクスプロイトが公開されている。

Tumblrの上級セキュリティエンジニアであるJoey Fowler氏は、SECLISTS.ORGに掲載された脆弱性情報に
コメントを寄せ、若干の困難はあるが間違いなく攻撃は実行可能だと述べている。また同氏はコメントの中で、
フレームを用いたウェブページに「DENY」または「SAMEORIGIN」を値に持つ「X-Frame-Options」ヘッダが
設定されていない場合、脆弱性を悪用して通常のHTTPとHTTPS間の各種制限も回避できる可能性があると
付け加えている。

Leo氏は米国時間2014年10月13日に、脆弱性に関する情報をMicrosoftに報告した。Microsoftの担当者は
米ZDNetの取材に対し、脆弱性の悪用事例は確認されていないとしたうえで、最近のバージョンのIEでは
ユーザーをフィッシング攻撃から保護する「SmartScreen」が既定で有効にされており、脆弱性を修正する
セキュリティ更新も準備中だと回答した。また、回答の中で同社はユーザーに対し、信頼できないソースからの
リンクは開かず、信頼できないウェブサイトにはアクセスせず、またウェブサイトを離れる前には必ず
ログアウトするよう推奨している。

ソース: http://japan.cnet.com/news/service/35059988/
画像: http://japan.cnet.com/storage/2015/02/05/3adfe66dfdbbdf82be0d426c3bdf4bf4/screen-shot-2015-02-04-at-15-11-13.png
　(提供：David Leo氏)

関連リリース:
Major Internet Explorer Vulnerability - NOT Patched
http://seclists.org/fulldisclosure/2015/Feb/0

IE6でよかった

困る人いる？

IEはセキュリティー甘すぎだろ

>>1
またGoogleによるIE潰し

どんだけGoogleクロームのシェア増やしたいんだよ

マイクロソフトはドンドンChromeの脆弱性発表しまくれ

糞ブラウザオブザイヤーを毎年選定して欲しい。

IEなんて使ってねえよﾊｹﾞ

>>5
賞金をマイクロソフトが持っていくわけですね！ｗ

まだ使ってる奴いんの＿＿＿＿？？？？

SmartScreenって無効にしてるヤツ多いだろ。
一部のWebサイトのアドレスがMicrosoftへ送信され、検証されますと最初に聞かれるわけで。

もう脆弱性を売りにしたほうがいいんじゃまいか

>>1
やっぱりFireFoxが正解

IE6使ってる俺には関係無い？

俺もIE11使ってて、変に重くてIE10に戻したんだが、IE11じゃなくてよかったと思う

どうしろと？

脆弱なんてもんじゃないな、本当に。

何ヶ月ぶり何回目の深刻な脆弱性なんだ

×脆弱性
○マイクロソフト協力の下全てのWindowsPCをアメリカ政府の監視・管理下に置くための仕様通りの機能

SleipnirがTridentと相性悪くなってからIE系は使うことなくなったな

ieって7年くらい起動してない

Internet Explorer（以下IE）11をアンインストールして、
元のIE10のまま運用するには

IE11の「バージョン情報」を表示し、
「新しいバージョンを自動的にインストールする」
のチェックボックスをOFFにして「OK」ボタンをクリックすれば対策完了

ちなみにIE8/IE9は手順が違う
詳しくは以下の記事を参照
http://www.fmworld.net/cs/azbyclub/qanavi/jsp/qacontents.jsp?PID=8110-3544

>信頼できないソースからのリンクは開かず、
>信頼できないウェブサイトにはアクセスせず、
>またウェブサイトを離れる前には必ず
>ログアウトするよう推奨している
当然だな

このようなのを見つける人達は
何故そのようなセキュリティー上、
問題が無いソフト作らないんだろうな？

ＸＰはダメだ危険だから７か８.１にしなさいと散々煽っといて何だよ。
全然良くなっていないじゃないか。
ＸＰで充分。

チョン国でトンデモ裁判がはじまりましたｗ
ちなみに韓国警察が言ってた絶対的な証拠→映像が不鮮明で本人かどうか分からず、との結果ｗ

【競泳】冨田尚弥選手、(裁判所が用意した)通訳人が来なかったため通訳なしで公判　内容理解できず
http://hayabusa3.2ch.net/test/read.cgi/mnewsplus/1422898125/l50

またきじゃく性か

>>24
その映像見て冨田だと断言した水連のアホは？

いつもいつも深刻に危険だなぁ

こいつらいつも脆弱性さらしてんな

>>22
欠陥のないソフトウェアを作るのと
既存のソフトウェアの欠陥を見つけるのでは
後者が比較の対象外に簡単
使っててたまたま見つけることもある

穴だらけの製品しか売らないマイクロソフトを訴えないユーザー

集団訴訟したらマイクロソフト潰れかねないんだが…と思うのは間違いか？

最近はiPadでしかネット通販を利用してないわ
FLASHが搭載されてないから余計な広告とも少ないし、まあまあ便利

IE8〜10が大丈夫なのか報道しないと

IFRAMEのタグで、別のサイトが知らないうちに表示されてて
（それを見えなくすることさえ可能）、
しかも別のサイトが「リダイレクト」してたら
もう避けようがない。

２ちゃんねるを書き込んだ後、５秒後にトップページに飛ばされるし
書き込みの枠の上の広告はIFRAMEを使った別サイト

しかもmicroadにクッキーで特定されてるから
別サイトの買い物で
あの書き込みをしたのが誰かが
わかる仕組みになってる

２ちゃんねる書き込み枠の上にいる
　　マイクロアドの保護方針

マイクロアドのプライバシーポリシーをご案内します。
クッキー及びIPアドレス情報については、
それら単独では特定の個人を識別することができないため、
個人情報とは考えておりません。

Chromeって挙動がおかしいからアンインストールした。

クロームとファイアフォックスを両方インストールした後
コマンドプロンプトで
"C:\Program Files\Mozilla Firefox\firefox.exe"
って、ファイアフォックス起動を指定しても
クロームが勝手に立ち上がるのはビックリ

サポートされてない古いバージョンに戻すのはどうなの
穴だらけなんじゃないの

IEなんて欠陥品未だに使う方がバカ
標準装備のIEをルーキーは訳が分からずそのまま使ってしまう
んで盗まれるの連鎖
セキュリティーホール潰すのは不可能

またXPが大勝利したぞ！w

>>3
11どころか、未だに7とか8使ってる人は驚くほどたくさんいるよ。

>>35
ブラウザ何使ってんの？

オペラ最強

よかった
俺８だった

Win8.1をアップデートしたくないんだけど。アップデートのたびに不具合出て面倒だから更新止めてる。
たまの深刻なセキュリティーホールとなれば無視はできないな。

アルティメットクロスサイトスクリプティングとかかっこいい

>>42
あの頃のoperaはもういない

ＩＥ１１を起動したことがないといったらｳｿになるだろうか

どうせ他のブラウザにもあるんだけど、あえてIEだけにあるようにしてるんだろ(棒)

IE11の縮小拡大機能は使える。他のブラウザではフラッシュで縮小出来ないものがあるがIEには出来る。

http://ime.baidu.jp/type/about/onlineime.php
BAIDUのオンラインIMEの試用ページ

ここで文字変換ができるのは、クロスサイトスクリプティングのおかげ。

キー操作はぜんぶBAIDUのサーバーに送られる

き・・・脆弱性

>>42
operaは死んだ！もういない！

正直言って「クロスサイト」を防止できるブラウザなんかない。
IFRAMEじゃなくて
href="javascript:var s=document.createElement("script");s.type="text/javascript";s.chars
みたいな感じでJAVAスクリプトに隠されてアクセスされたら
もうアウト。　どこのサーバーに接続してるかすら
簡単にはわからない

ソースの閲覧をしたり、プロキシを設定して制限したり
パケットのモニタをしたりできるから
windowsはまだ「守れる」けど
アンドロイドのスマホとか防御は無理。ブラウザごとに串の設定すらできない

また脆弱性詐欺か

自分で弱いとこ作って後から発表して
対策ソフトやら新商品を売り付ける手段ですね

もう皆ＭＳなんて辞めろよ

クロムなんかデフォが検閲だしな…安全なものなどない

どうせパッチが地雷になるんだろ

普通の推移、普通の対応すぎてニュースというより経緯報告だなｗ

>>12
最近周りChrome派が多いんだよなー。
俺は火狐派なんだけど少し寂しい。

今どき実際常用すんのって狐かチョロ目だよね
ワシは狐メインでチョロ目がサブ

.


しばらく　おキツネ様　一択だな。

キツネ　飛べ！

.

Cyberfoxを使ってるから関係ないか

最近のウェブサイトはブラウザ依存のページ作るところが多いからIE11じゃ見れないのが多いな

また虚弱性がみつかったか

IEなんてまだ使ってる奴が居るとか驚くわｗ

IEとFlashはこんなんばっか

>>45
リクームの技みたいだな。

おもなブラウザ全部使ってるから関係ありまくり

結論

XP圧倒的大勝利！！！！！

>>26
水連はチョソ。いやマジで

日本のシステム会社のASPサービスはIEのみとか多いのが糞。

古いウインドウズで、OK.

アップルもいいのかな？

読んでも全然わからないんだが
外部から公式ホームページをフィッシングサイトに書き換えられるなら
他のブラウザでみててもダメなんじゃないの？

>>23
XPだと大丈夫ってことじゃないよ。
XPは検証対象外というのが正解。
サポート切れってそういうことなんだよ。