Microsoft Internet Explorer のuse-after-freeの脆弱性（CVE-2012-4792）

何が起きた

Microsoft Internet Explorer 6 から 8 に、使い終わって解放したメモリを再び使ってしまう弱点（解放後使用）が見つかりました。攻撃者が細工したウェブサイトを利用者が開くと、任意の（攻撃者が好きに選べる）プログラムを実行されるおそれがあります。攻撃者はネットワーク経由で、ログインなしに悪用できますが、利用者がサイトを開くという操作が必要です。2012年12月に実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Internet Explorer 6、7、8 を使っている人や組織が対象です。Microsoft のセキュリティ情報 MS13-008 では、Internet Explorer 9 と 10 は影響を受けないとされています。CISA は、この製品はサポートが終わっている（end-of-life）としており、Microsoft のライフサイクルのページでも Internet Explorer 7 と 8 はサポートが終わっています。

何をすればいい

Microsoft は当時、MS13-008（KB2799329）で修正を出しています。ただし CISA は、この製品はサポートが終わっているので、まだ使っている場合は切り離す（使うのをやめる）よう求めています。Internet Explorer 6 から 8 は使い続けず、サポートが続いているブラウザに置き換えてください。Microsoft の公式の案内も確認してください。

やることチェックリスト

• Internet Explorer 6 から 8 の利用をやめる
• サポートが続くブラウザに置き換える
• 知らない相手から届いたリンクを開かない

用語メモ

解放後使用

プログラムが使い終わって手放したメモリの場所を、誤ってもう一度使ってしまう不具合です。攻撃者に悪用されると、好きな命令を動かされることがあります。

セキュリティ情報

メーカーが脆弱性と、その修正プログラムについて知らせる文書です。