Microsoft Silverlight の情報漏えいの脆弱性（CVE-2013-3896）

何が起きた

Microsoft Silverlight が、内部の部品を扱うときのポインター（メモリーの場所を指す値）を正しく確かめていない弱点が見つかりました。攻撃者が作った細工した Silverlight アプリを読み込むと、大事な情報を盗み見られるおそれがあります。Microsoft の説明では、攻撃者が細工したアプリを置いた Web サイトを用意し、利用者にそのサイトを見させる必要があります。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Silverlight を入れたパソコンを使っている人・組織です。データでは、Silverlight 5 の 5.1.20913.0 より前の版が影響を受けます。Silverlight 5 は、Microsoft のサポートが 2021年10月13日に終わっています。

何をすればいい

Silverlight はサポートが終わっているため、まだ入っているなら使うのをやめ、パソコンから切り離してください（CISA の案内）。当時の修正は MS13-087 の更新で、5.1.20913.0 に上げるものでした。すぐにやめられない場合、Microsoft は回避策として、Internet Explorer で Silverlight を一時的に動かないようにする方法を案内しています。公式の案内を確認してください。

やることチェックリスト

• パソコンに Silverlight が残っていないか調べる
• Silverlight を使うのをやめて切り離す
• 知らない Web サイトのアプリを開かないようにする

用語メモ

Silverlight

Microsoft が作った、Web ページで動画やアプリを動かすための追加ソフトです。すでにサポートが終わっています。

ポインター

プログラムが、データがメモリーのどこにあるかを指し示すために使う値です。

回避策

弱点そのものは直さないものの、修正を当てるまで攻撃を防ぎやすくする設定の変更です。