Microsoft Internet Explorer の脆弱性（CVE-2013-3893）

何が起きた

Microsoft Internet Explorer の画面表示の部品（mshtml.dll）に、使い終わったメモリーを再び使ってしまう弱点（解放後使用）が見つかりました。細工された JavaScript を含むページを見ると、攻撃者が任意の（好きに選んだ）プログラムを実行できる可能性があります。この弱点は実際に悪用されたことが確認されています。NVD の評価では、ネットワーク経由で、権限のない攻撃者が悪用できますが、被害者がページを見るなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Internet Explorer 6 から 11 を使っている人が影響を受けます。Microsoft は当時、Internet Explorer 8 と Internet Explorer 9 を狙った標的型の攻撃を把握していると説明していました。なお、Microsoft のライフサイクルの案内では、Internet Explorer 11 のデスクトップアプリは Windows 10 の半期チャネル向けのサポートが 2022 年 6 月 15 日に終わっています。CISA も、対象の製品はサポート終了の可能性があり、利用をやめるよう求めています。

何をすればいい

この弱点は 2013 年のセキュリティ情報 MS13-080 で修正されました。ただし、Internet Explorer は使い続けず、Microsoft が勧める Microsoft Edge（古いサイト向けの IE モードを含む）へ移ってください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• Internet Explorer の利用をやめる
• Microsoft Edge に切り替える
• 古いサイトは Edge の IE モードで開く

用語メモ

解放後使用

プログラムが使い終わって手放したメモリーを、誤ってもう一度使ってしまう不具合のことです。攻撃者に悪用されると、好きな命令を動かされることがあります。

JavaScript

ウェブページに動きをつけるためのプログラムの言葉です。ブラウザーがページを開くと自動で動きます。

IE モード

Microsoft Edge の中で、古い Internet Explorer 向けのサイトを表示するための機能のことです。