Microsoft Internet Explorer の情報漏えいの脆弱性（CVE-2013-7331）

何が起きた

Internet Explorer で使われる Microsoft.XMLDOM という ActiveX コントロールに、パソコンやネットワーク内の情報を探れてしまう弱点が見つかり、実際に悪用されたことが確認されています。エラーの番号を調べることで、パソコン内のファイルの場所、共有フォルダーの場所、社内のコンピューター名や IP アドレスがあるかどうかを知られる可能性があり、ウイルス対策ソフトが入っているかを見抜くのに使われるおそれがあります。NVD の評価では、ネットワーク経由で、攻撃者に権限は要らず、利用者の操作も不要とされています。一方、Microsoft は、攻撃者は利用者に細工したサイトを見せる必要があり、無理やり見せることはできないと説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD によると、Windows 8.1 以前の Microsoft Windows が影響を受けます。Internet Explorer 11 のデスクトップアプリは、一部の Windows でサポートが終わっていると Microsoft のライフサイクルのページに書かれています。

何をすればいい

Microsoft のセキュリティ情報 MS14-052（KB 2977629）の更新プログラムが適用されているか確認してください。Microsoft は、この弱点の回避策はないとしています。Microsoft は Internet Explorer から Microsoft Edge（IE モード）への移行を勧めているので、Internet Explorer は使い続けないでください。あわせて公式の案内を確認してください。

やることチェックリスト

• MS14-052 の更新プログラムを適用する
• Internet Explorer から Microsoft Edge に移行する
• 知らないサイトへのリンクは開かないようにする

用語メモ

ActiveX コントロール

Internet Explorer に機能を付け足すための部品です。

IP アドレス

ネットワーク上で、コンピューターを見分けるための番号です。

IE モード

Microsoft Edge の中で、Internet Explorer 向けの古いページを表示するための機能です。