Microsoft Internet Explorer のバッファオーバーフローの脆弱性（CVE-2016-0189）

何が起きた

Internet Explorer などで使われるスクリプトの部品 JScript と VBScript に、メモリーを壊してしまう弱点が見つかりました。攻撃者が細工した Web サイトを利用者が開くと、任意の（攻撃者が好きに選んだ）命令を実行されたり、動作が止まったりするおそれがあります。離れた場所から、ログイン不要で狙えますが、利用者がそのサイトを開く必要があります。この弱点は実際に悪用されたことが確認されており、ランサムウェアの攻撃に使われたことも知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

JScript 5.8、VBScript 5.7 と 5.8 を使う製品の利用者で、特に Internet Explorer 9 から 11 を使っている人・組織です。Internet Explorer 9、10、11 は MS16-051、Internet Explorer 7 以前は MS16-053 の更新を当てていないパソコンが対象です。Internet Explorer 11 のデスクトップアプリは、Windows 10 の半期チャネルでは 2022年6月15日にサポートが終わっています。

何をすればいい

Internet Explorer 9 から 11 は MS16-051（3155533）、Internet Explorer 7 以前や Internet Explorer が入っていない環境は MS16-053（3156764）の更新が当たっているか確認してください。すぐに更新できない場合、Microsoft は回避策として vbscript.dll と jscript.dll へのアクセスを制限する方法を案内しています（VBScript や JScript を使うサイトが正しく動かなくなることがあります）。Internet Explorer 11 のデスクトップアプリは Windows 10 の半期チャネルでサポートが終わっており、Microsoft は Microsoft Edge（古いサイトには IE モード）への移行を勧めているので、Microsoft Edge に移ってください。公式の案内も確認してください。

やることチェックリスト

• MS16-051 か MS16-053 の更新を確認する
• 更新できないなら vbscript.dll のアクセスを制限する
• Internet Explorer をやめ Microsoft Edge に移行する

用語メモ

VBScript

Microsoft が作った、Web ページや Windows の上で動く簡単なプログラムの言語です。

JScript

Microsoft が作った、JavaScript とほぼ同じ書き方のプログラムの言語です。

ランサムウェア

パソコンのデータを使えなくして、元に戻すことと引き換えにお金を要求する悪いプログラムです。

回避策

弱点そのものは直さないものの、修正を当てるまで攻撃を防ぎやすくする設定の変更です。