Hebikuzure's Tech Memo

2009年8月19日

実用されている Internet Explorer による ActiveX セキュリティー問題の軽減策

Filed under: Internet Explorer — hebikuzure @ 1:21 PM

Internet Explorer’s ActiveX Security Mitigations in Use
http://blogs.msdn.com/ie/archive/2009/07/15/internet-explorer-s-activex-security-mitigations-in-use.aspx

お盆休みで間が開きましたが、引き続き IE Blog の翻訳です。
以下の文章は IE Blog の 7/15 の記事 Internet Explorer’s ActiveX Security Mitigations in Use を hebikuzure が私的に試訳したものです。翻訳については Microsoft Corporation およびマイクロソフト株式会社とは無関係に hebikuzure が公開情報に基づき独自に行ったものであり、この文書の内容についての文責は公開者である hebikuzure にあります。翻訳の内容および技術的内容については正確を期すよう十分な注意を払っておりますが、誤りや不正確な部分が含まれている可能性がありますので、本文書を利用される際には原文も併せてご確認ください。


実用されている Internet Explorer による ActiveX セキュリティー問題の軽減策

背景

7 月のセキュリティー情報の一部として、Microsoft は昨日 “Microsoft Video” ActiveX コントロールの脆弱性を軽減する更新をリリースしました。このコントロールには悪意のある Web ページが悪用できるスタック ベースのバッファ オーバーフローの問題が含まれていました。

もしまだ実施されていないのなら、システムを安全に保つため Windows Update から最新の更新を確実にインストールしてください。

Microsoft Video コントロールはブラウザー内で利用する事を意図していないため、安全だとマークされていません。Microsoft はコントロール自身を更新するのではなく、killbit を使ってコントロールの誤用を防ぐ事にしました。Killbit は単純なレジストリーのフラグで、指定されたコントロールがブラウザーに読み込まれないように指示します。Killbit の利点の一つは、単純なレジストリーの編集で簡単にセットできる事で、この killbit を設定する “FixIt Script” は 6 月 6 日に利用可能になっていました。Killbit のメカニズムについてのより詳しい情報は SRD ブログ (Part 1Part 2Part 3) にあります。

IE のバージョンによる ActiveX 問題の軽減策

Video ActiveX の脆弱性は IE6 のユーザーにはきわめて深刻です。なぜならこのブラウザーのバージョンでは killbit が設定されていない限りこの悪用に対して何の保護も提供されないからです。

これとは対照的に、IE7 のユーザーはこの脆弱性の悪用に対して一定の保護が受けられます。IE7 には ActiveX オプト イン機能が含まれており、既定で (問題のコントロールを含む) ほとんどの ActiveX コントロールを無効にしています。また Vista 上の IE7 のユーザーは保護モードの恩恵も受ける事ができます。これは攻撃の結果コードが実行された場合でも、悪意のあるソフトウェアのインストールを防ぐのに役立つ機能です。

保護モードと ActiveX オプト インだけでなく、IE8 のユーザーは Video ActiveX のような脆弱性を軽減する追加された保護機能のメリットを受けられます。IE8 には ActiveX オプト インを拡張するサイト単位 ActiveX 機能が含まれており、特定のサイトで実行を許可されたコントロールでも他のサイトでは自動的に実行されないようにしています。また今回のケースでさらに重要な DEP/NX メモリー保護 が Windows XP SP3、Windows Vista SP1以降、および Windows 7 上の IE8 ユーザーには既定で有効になっています。DEP/NX は実行不可のマークが付いたメモリー上でのコードの実行を防止する事で攻撃を失敗させる役目をします。DEP/NX 機能は ASLR (Address Space Layout Randomization、アドレス空間レイアウトのランダム化) などの他のテクノロジーとの組み合わせにより、今回の問題を含むメモリーに関係した脆弱性の悪用を攻撃者が成功させる事を難しくしています。

セキュリティーは終わりのない旅

残念ながら、攻撃者は常に脆弱なコードに目を光らせています。Microsoft は現在 Microsoft Office Web Components (OWC) ActiveX コントロールに発見された脆弱性を調査中です。更新プログラムが利用可能になるまで、脆弱性のある OWC コントロールに killbit を設定する FixIt Script を実行して脆弱性の悪用を防ぐ事ができます。

簡単な答えは無い

お客さまとお話しする際、よく次のように訊ねられます: “ActiveX コントロールはしばしば問題になります。どうして ActiveX 抜きの Internet Explorer をリリースしないのですか?”

これは筋の通った質問で、“セキュリティーは通常簡単な問題だが、それに関するトレードオフは難しい” という私の立場を思い起こさせます。エンド ユーザーや IT 管理者はどのバージョンの IE でも数秒の内に簡単に ActiveX を無効にできます: ツール > インターネット オプション > セキュリティー > レベルのカスタマイズ の順にクリックし、“ActiveX コントロールとプラグ インの実行” を “無効にする” に変更します。この代わりに、IE7 と IE8 のユーザーはスタート メニューのショートカットから Internet Explorer をアドオン無しモードで起動する事もできます。残念な事に、多くのサイトは ActiveX のようなアドオン テクノロジーによってもたらされる豊富な機能に依存しているため、ActiveX が無効になっているとこうしたサイトはうまく機能しないか、あるいはまったく機能しなくなってしまうのです。ユーザーや管理者はアドオンの管理またはグループ ポリシーを利用して、好ましくないコントロールをより周到に無効にして、可能な限り攻撃対象領域を減らす事ができます。

私たちは引き続きセキュアなアドオンを開発するベスト プラクティスを広めていきますが、同時にユーザーや企業は IE8 にアップグレードするよう強くお勧めします。IE8 は脆弱なコントロールの悪用に対する堅牢な軽減策を提供しており、システムの安全を保つために役立ちます。

お読みいただきありがとうございました。

-Eric Lawrence

コメントする »

まだコメントはありません。

RSS feed for comments on this post. TrackBack URI

コメントを残す

以下に詳細を記入するか、アイコンをクリックしてログインしてください。

WordPress.com ロゴ

WordPress.com アカウントを使ってコメントしています。 ログアウト / 変更 )

Twitter 画像

Twitter アカウントを使ってコメントしています。 ログアウト / 変更 )

Facebook の写真

Facebook アカウントを使ってコメントしています。 ログアウト / 変更 )

Google+ フォト

Google+ アカウントを使ってコメントしています。 ログアウト / 変更 )

%s と連携中

WordPress.com で無料サイトやブログを作成.

%d人のブロガーが「いいね」をつけました。