Microsoft Edge and Internet Explorer の型の取り違えの脆弱性（CVE-2017-0037）

何が起きた

Microsoft Edge と Internet Explorer の部品 mshtml.dll に、データの種類を取り違えて扱ってしまう弱点が見つかりました。細工した CSS と JavaScript を含むページを読み込むと、攻撃者が任意の（好きに選んだ）命令を実行できるおそれがあります。NVD の評価では、離れた場所から、ログイン不要で、利用者の操作なしに狙えるとされています。一方 Microsoft の説明では、攻撃者は利用者をだましてそのサイトを見させる必要があり、Edge で命令の実行までするには他の攻撃手段との組み合わせが必要とされています。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Internet Explorer 10 と 11、そして Microsoft Edge（Windows 10 と Windows Server 2016 に入っている古い Edge）を使っている人・組織です。MS17-006 または MS17-007 の更新を当てていないパソコンが対象です。古い Edge（Microsoft Edge Legacy）は 2021年3月9日にサポートが終わっています。

何をすればいい

Internet Explorer は MS17-006（4013073）、Edge は MS17-007（4013071）の更新が当たっているか確認してください。Microsoft はこの弱点の回避策を示していません。古い Edge はサポートが終わっており、Internet Explorer 11 のデスクトップアプリは Windows 10 の半期チャネルでサポートが終わっており、Microsoft は Microsoft Edge（古いサイトには IE モード）への移行を勧めているので、Microsoft Edge に移ってください。公式の案内も確認してください。

やることチェックリスト

• MS17-006 と MS17-007 の更新を確認する
• サポートが続く現在の Microsoft Edge に移行する
• 知らない相手から届いたリンクを開かないようにする

用語メモ

mshtml.dll

Internet Explorer などで、Web ページの見た目を組み立てるために使われる Windows の部品です。

CSS

Web ページの文字の大きさや配置など、見た目を決めるための書き方です。

JavaScript

Web ページの上で動く、よく使われるプログラムの言語です。