Microsoft Silverlight の脆弱性（CVE-2013-0074）

何が起きた

Microsoft Silverlight が、HTML の部品を表示するときにポインター（メモリーの場所を指す値）を正しく確かめていない弱点が見つかりました。細工した Silverlight アプリを読み込むと、任意の（攻撃者が好きに選べる）コードを動かされるおそれがあります。Microsoft の説明では、攻撃者が細工したアプリを置いた Web サイトを用意し、利用者にそのサイトを見させる必要があります。実際に悪用されたことが確認されており、ランサムウェアの攻撃に使われたことも分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Silverlight 5 と Silverlight 5 Developer Runtime の、5.1.20125.0 より前の版を入れたパソコンを使っている人・組織です。Silverlight 5 は、Microsoft のサポートが 2021年10月13日に終わっています。

何をすればいい

Silverlight はサポートが終わっているため、まだ入っているなら使うのをやめ、パソコンから切り離してください（CISA の案内）。当時の修正は MS13-022 の更新で、5.1.20125.0 に上げるものでした。すぐにやめられない場合、Microsoft は回避策として、Internet Explorer で Silverlight の ActiveX コントロールを一時的に動かないようにする方法を案内しています。公式の案内を確認してください。

やることチェックリスト

• パソコンに Silverlight が残っていないか調べる
• Silverlight を使うのをやめて切り離す
• 知らない Web サイトのアプリを開かないようにする

用語メモ

Silverlight

Microsoft が作った、Web ページで動画やアプリを動かすための追加ソフトです。すでにサポートが終わっています。

ActiveX コントロール

Internet Explorer の中で動く、機能を追加するための部品です。

ランサムウェア

ファイルを使えなくして、元に戻す代わりにお金を求める悪いプログラムです。