Operations Lab.

Archive for the ‘Internet Explorer’ Category

CVE-2013-3893 Internet Explorer の脆弱性

leave a comment »

Internet Explorer のゼロデイ脆弱性に関する情報が公開されました。リモートからコード実行が可能なようです。CVE ID は CVE-2013-3893 です。

Use-after-free vulnerability in the SetMouseCapture implementation in mshtml.dll in Microsoft Internet Explorer 6 through 11 allows remote attackers to execute arbitrary code via crafted JavaScript strings, as demonstrated by use of an ms-help: URL that triggers loading of hxds.dll.

IE のレンダリングエンジンに脆弱性があり、使用済み(解放済み)のメモリ領域へ攻撃を行うことでリモートからコードを実行することができます。(ASLR を迂回して攻撃が可能になります。)

脆弱性の情報は、以下にまとめられています。(詳細を知りたい方は一番上の記事がおすすめです。)

脆弱性の影響を受ける Internet Explorer は以下の通りです。

  • Internet Explorer 6
  • Internet Explorer 7
  • Internet Explorer 8
  • Internet Explorer 9
  • Internet Explorer 10
  • Internet Explorer 11

まだ一般向けにリリースされていませんが、Windows 8.1 および Windows Server 2012 R2 上で動作する Internet Explorer 11 も影響をうけます。また、Windows RT および Windows RT 8.1 についても影響をうける様です。(ARM プロセッサ上で動作するコードをインジェクションできるということでしょうか…詳細は良く分かりません。)なお、Server Core インストールについては(そもそも Internet Explorer がありませんので)対象外です。

回避策としては、以下の 2 つが提示されています。

  • Microsoft Fix it 51001 を適用する
  • Enhanced Mitigation Experience Toolkit (EMET)を使用して、該当の dll を使用するすべてのアプリケーションで MandatoryASLR を有効化する

※EMET を使用した回避策は、Windows XP では使用できません。(Windows XP が EMET による強制的なアドレスランダム化に対応していないため。)

IE8 および IE9 に対する攻撃が既に観測されていますので、なるべく早く回避策を適用したほうがいよいでしょう。

Microsoft Fix it 51001

この脆弱性の影響を回避するためのワークアラウンドとして、Microsoft Fix it 51101 が提供されています。

※Fix it はセキュリティ更新プログラムではありません。セキュリティ更新プログラムが提供されるまでの間、脆弱性の影響を回避する為のソリューション(ワークアラウンド)です。

Fix it を適用する際の注意事項は以下の通りです。

なお、ワークアラウンドを解除(無効化)する Fix it (Fix it 51102)も提供されています。

広告

Store App 版 Internet Explorer 10 で Flash がデフォルト実行可能に

leave a comment »

昨日(2013 年 3 月)の Windows Update で配信された更新プログラムを適用することにより、Windows 8 / Windows RT 向けの Internet Explorer 10 (IE10)で事前に登録されたサイト以外でも Flash コンテンツの再生が可能になりました。

We are updating Internet Explorer 10 in Windows 8 and Windows RT to enable Flash content to run by default. On Windows 8, all Flash content continues to be enabled for IE on the desktop.

Windows 8 / Windows RT では、事前に登録されたサイトのみで Flash プラグインが利用できる状態でした。Windows 8 及び Windows RT の Internet Explorer 10 は、Flash Player が組み込まれた形でリリースされていますが、Windows 8 の Store App 版(いわゆる、Metro Style 版) IE10 と Windows RT の IE10 は、デフォルトの状態では Flash コンテンツの再生は行われないようになっており、事前に Microsoft へ申請を行い互換性リスト(CVL: Compatibility View List)へ登録されたサイトのみで Flash コンテンツが再生されるようになっていました。(Windows 8 のデスクトップ版 IE10 については、リリース当初より Flash コンテンツの再生は特に制限されていません。)

今回、互換性リストの扱いがホワイトリスト方式からブラックリスト方式へ変更となり、互換性に問題がるサイトのみが互換性リストへ登録されるようになります。これにより、特に何も対応を行わなくても(事前にリスト登録の申請を行わなくても)、互換性に問題が無ければ Internet Explorer 10 で Flash コンテンツの再生ができるようになります。

今まで(更新プログラム適用前)

今後(更新プログラム適用後)

Windows 8
デスクトップ版 IE10

全てのサイトで
Flash コンテンツの再生が可能

全てのサイトで
Flash コンテンツの再生が可能

Windows 8
Store App 版 IE10

事前に MS へ登録したサイトのみ
Flash コンテンツの再生が可能

CVL へ登録されたサイト以外であれば
Flashコンテンツの再生が可能

WIndows RT
デスクトップ版 IE10

事前に MS へ登録したサイトのみ
Flash コンテンツの再生が可能

CVL へ登録されたサイト以外であれば
Flashコンテンツの再生が可能

Windows RT
Store App 版 IE10

事前に MS へ登録したサイトのみ
Flash コンテンツの再生が可能

CVL へ登録されたサイト以外であれば
Flashコンテンツの再生が可能

 

WIndows Update (Microsoft Update)経由で配信される更新プログラムを適用することにより、デフォルトの動作が上記のように変更されます。

This updates the immersive IE experience on Windows 8, and both the immersive and desktop IE experiences on Windows RT. The update will be made available to customers with Windows Update.

MSDN Blog の記事では、どの更新プログラムを適用すると Internet Explorer の挙動が変わるのか、具体的な記述はありませんでした。実際に動作を確認したところ、KB2809289 (Internet Explorer 10 の累積的なセキュリティ更新プログラム)を適用することで CVL へ登録されたサイト以外の Flash コンテンツ再生ができるようになるようです。

KB2809289 はセキュリティ更新プログラムとしてリリースされており、Flash コンテンツの再生については特に触れられていませんが、KB2809289 を適用することで CVL へ登録されたサイト以外の Flash コンテンツ再生ができるようになりました。

ie10-flash-20130313-03

KB2809289 (Internet Explorer 10 の累積的なセキュリティ更新プログラム)を適用する前と後で表示を比較してみると、適用前(左)は Flash が再生できていないですが、適用後(右)は Flash が再生できていることが分かります。

ie10-flash-20130313-02ie10-flash-20130313-06

個人的には、セキュリティ更新プログラムに脆弱性の修正以外の仕様変更を混ぜないでほしいところですが、ともかく KB2809289 を適用することで、より多くのサイトで Flash コンテンツが再生されるようになるため、利用者にとっても Web サイト開発者にとっても利便性は上がりそうです。

Written by kazu

2013/03/14 at 19:50

Internet Explorer 10 自動配布の無効化ツールキット

leave a comment »

前の投稿で Windows 7 向け Internet Explorer 10 がリリースされた旨を書きました。現時点では Windows Update 経由での自動配信は行われていませんが、将来的には自動配信が開始されることになると思います。(Internet Explorer 9 の時のように、まずはオプションの更新として配信された後、十分な時間が経過したのちに重要な更新として配信されると予想しています。)

企業などでは、Internet Explorer 10 が自動でインストールされると困る場合もあるかと思います。Internet Explorer 9 の時と同様、自動配布の無効化を行うツールキットが Microsoft より提供されています。

Internet Explorer 10 自動配布の無効化ツールキット(Blocker Toolkit)

Internet Explorer 10 Blocker Toolkit を使用すると、Windows Update の自動更新機能(WUAU)を介して、重要な更新プログラムとして Internet Explorer 10 が自動配布されないように構成できます。

ポイントは以下の2点です。

  • Blocker Toolkit を使用してユーザーによる手動インストールをブロックすることはできません。
  • Internet Explorer 8 や Internet Explorer 9 の自動インストールをブロックする為に Blocker Toolkit を使用している場合も、Internet Explorer 10 の自動インストールをブロックしたい場合は、最新バージョンの Blocker Toolkit を使用して Internet Explorer 10 のインストールをブロックする必要があります。(レジストリキーが異なる為。)

また、Windows Server Update Services (WSUS)を使用して更新プログラムの配布と管理を行っている場合は、WSUS 側で Internet Explorer 10 を配信しなければ良いだけなので、改めて Blocker Toolkit を使用する必要はありません。

なお、Blocker Toolkit は Internet Explorer のアップデートを恒久的に行わない為のツールキットではありません。あくまで、管理者が計画的にアップデートを展開する為のサポートツールです。Internet Explorer 10 ではレンダリングや JavaScript エンジンの高速化の他にも、セキュリティ面で様々な改善が施されています。より安全に PC を利用するという意味でも、なるべく早めに Internet Explorer 10 への移行を進めた方が良いでしょう。

Written by kazu

2013/02/28 at 00:02

Windows 7 向けの Internet Explorer 10 がリリース

with one comment

2013/02/26、Windows 7 向けの Internet Explorer 10 がリリースされました。

win7ie10-01

Internet Explorer 10 is available worldwide in 95 languages for download today. We will begin auto updating Windows 7 customers to IE10 in the weeks ahead, starting today with customers running the IE10 Release Preview. With this final release, IE10 brings the same leading standards support, with improved performance, security, privacy, reliability that consumers enjoy on Windows 8, to Windows 7 customers.

Windows 7 向けの Internet Explorer 10 Release Candidate が既にインストールされている場合、Windows Update 経由でインストールできます。(Release Candidate インストール済みのコンピュータには、重要な更新として配信が開始しています。)

win7ie10-05

Internet Explorer 10 Release Candidate をインストールしていない場合は、現時点では Windows Update 経由でのインストールはできません。(Windows Update をチェックしても以下の様に配信されていません。しばらくしたら、配信されるようになると思いますが。)

win7ie10-02

インストールを行いたい場合は、Internet Explorer のWeb サイトからインストーラをダウンロードして実行します。

IE10-Windows6.1-ja-jp.exe をダウンロードして実行します。ちなみに、IE10-Windows6.1-ja-jp.exe のプロパティは以下の様な感じでした。

win7ie10-03

インストールはほぼ全自動で実行されます。インストールが完了すると再起動を求められるので、素直に再起動しましょう。

なお、Internet Explorer 10 向けのセキュリティ更新プログラムが既にリリースされています。

win7ie10-04

タイミングによっては、それ以外にも更新プログラムがリリースされているかもしれませんので、インストール後には念の為 Windows Update を実行して重要な更新プログラムが全て適用されている事を確認した方が良いでしょう。

Written by kazu

2013/02/27 at 12:05