Microsoft Internet Explorer のuse-after-freeの脆弱性（CVE-2013-3897）

何が起きた

Microsoft の Internet Explorer の CDisplayPointer という部分に、使い終わったメモリをまた使ってしまう弱点（解放後使用）が見つかり、実際に悪用が確認されています。細工した JavaScript を含むページを開くと、攻撃者が任意の（好きに選んだ）プログラムを動かしたり、ブラウザーを止めたりするおそれがあります。攻撃者はネットワーク経由で、ログインなしに悪用できますが、利用者がそのページを開くという操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Internet Explorer 6 から 11 が影響を受けます。Microsoft はこの弱点を、Internet Explorer の累積的なセキュリティ更新 MS13-080（2879017）で修正しています。

何をすればいい

Internet Explorer は使い続けず、使うのをやめてください。Microsoft のライフサイクルのページでは、Internet Explorer 11 のデスクトップアプリは Windows 10 の半期チャネルで 2022 年 6 月 15 日にサポートが終わっており、Microsoft Edge の IE モードへの移行が勧められています。古いサイトのために Internet Explorer が残っている場合は、Microsoft の公式の案内を確認して移行してください。

やることチェックリスト

• Internet Explorer を使うのをやめる
• Microsoft Edge に移行する
• 古いサイトは Edge の IE モードで開く

用語メモ

解放後使用 用語集で見る

プログラムが使い終わって手放したメモリを、誤ってもう一度使ってしまう不具合です。悪用されると、攻撃者のプログラムを動かされることがあります。

JavaScript 用語集で見る

ウェブページの中で動く小さなプログラムを書くための言語です。

IE モード 用語集で見る

Microsoft Edge の中で、古い Internet Explorer 向けのサイトを表示するための機能です。