Microsoft Internet Explorer の情報漏えいの脆弱性（CVE-2016-3298）

何が起きた

Internet Explorer と、Windows の部品である Internet Messaging API が、メモリ上のデータを正しく扱えない弱点が見つかりました。細工した Web サイトを見せることで、攻撃者が利用者のパソコンのディスクに特定のファイルがあるかどうかを調べられます。攻撃者はネットワーク経由でログインなしに狙えますが、利用者がそのサイトを開く必要があります。Microsoft は公開時点でこの弱点が悪用されていたとしており、CISA も悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Internet Explorer 9 から 11 を使っている人と、Windows Vista SP2、Windows Server 2008 SP2 と R2 SP1、Windows 7 SP1 の Internet Messaging API が対象です。これらの Windows は、Microsoft のサポートがすでに終わっています。

何をすればいい

MS16-118（Internet Explorer）と MS16-126（Internet Messaging API）の更新プログラムが当たっているか確認してください。Windows Vista と Windows Server 2008 では、KB3191492 だけでは不十分で、KB3193515 も入れる必要があると Microsoft は説明しています。Microsoft は回避策はないとしています。サポートが終わった Windows は新しい版へ移行し、公式の案内を確認してください。

やることチェックリスト

• MS16-118 と MS16-126 の更新を適用する
• Vista と Server 2008 は KB3193515 も適用する
• サポート終了の Windows を新しい版へ移行する

用語メモ

Internet Messaging API

Windows に含まれる部品の一つで、ほかのプログラムから呼び出して使われる機能のまとまり（API）です。

更新プログラム 用語集で見る

ソフトウェアの不具合や弱点を直すために、メーカーが配る修正用のプログラムです。