Microsoft Internet Explorer のuse-after-freeの脆弱性（CVE-2012-4969）

何が起きた

Internet Explorer の部品 mshtml.dll に、使い終わって解放したメモリーを再び使ってしまう弱点（解放後使用）が見つかりました。細工されたウェブサイトを見ると、攻撃者が任意の（攻撃者が好きに選べる）コードを実行できるおそれがあります。NVD の評価では、ネットワーク経由で離れた場所からログイン不要で、利用者の操作も不要とされています。一方、Microsoft のセキュリティ情報 MS12-063 では、利用者が細工されたページを Internet Explorer で見た場合に狙われると説明しています。この弱点は、実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Internet Explorer 6 から 9 を使っている人が対象です。MS12-063 によると、Internet Explorer 10 は影響を受けません。

何をすればいい

Internet Explorer の累積的なセキュリティ更新 MS12-063（2744842）が適用されているか確認してください。Microsoft によると、Internet Explorer 11 のデスクトップアプリもすでにサポートが終わっており、Microsoft Edge への移行を勧めています。古い Internet Explorer を使い続けず、Microsoft Edge に切り替えてください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• Internet Explorer に更新 MS12-063 を適用する
• Internet Explorer の利用をやめる
• Microsoft Edge に切り替える

用語メモ

解放後使用

使い終わって返したメモリーを、プログラムが誤って再び使ってしまう不具合です。

累積的なセキュリティ更新

それまでに出た修正をまとめて含む更新プログラムです。