Microsoft Internet Explorer の脆弱性（CVE-2019-1367）

何が起きた

Microsoft Internet Explorer のスクリプトエンジン（ページ内のプログラムを動かす部分）が、メモリの中のデータを正しく扱えず、メモリを壊してしまう弱点が見つかり、実際に悪用が確認されています。悪用されると、いまログインしている利用者と同じ権限で、攻撃者が任意の（好きに選べる）プログラムを動かせるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログイン不要で悪用できますが、利用者が細工したページを見るなどの操作が必要です。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Windows 7、Windows 8.1、Windows RT 8.1、Windows 10、Windows Server 2008 R2、2012、2012 R2、2016、2019 の Internet Explorer 11、Windows Server 2012 の Internet Explorer 10、Windows Server 2008 の Internet Explorer 9 が対象です。Microsoft によると、Internet Explorer は標準では影響のない Jscript9.dll を使い、この弱点は jscript を使う一部のサイトでだけ影響します。

何をすればいい

Microsoft は 2019年9月23日に臨時の更新を出しました。この更新の例は、Internet Explorer の累積的な更新 KB4519974、Windows 10 Version 1903 の KB4517389、Windows 10 Version 1809 と Windows Server 2019 の KB4519338 です。この更新のあとに印刷の不具合が起きることがあったため、Microsoft は、すでに9月23日や10月3日の更新を入れた人も、2019年10月8日のセキュリティ更新を入れるよう案内しています。すぐに更新できない場合の回避策として、JScript.dll へのアクセスを制限する方法が示されていますが、更新を入れる前には元に戻す必要があります。Windows Update で更新が入っているか確認し、あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• Windows Update で2019年10月以降の更新を入れる
• KB4519974 などの更新が入っているか確かめる
• 回避策を使ったら更新の前に元に戻す

用語メモ

スクリプトエンジン

Web ページに書かれたプログラム（スクリプト）を読み取って動かす部分です。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。

回避策

更新をすぐに入れられないときに、弱点を突かれにくくするための一時的な対策です。