Microsoft Internet Explorer のuse-after-freeの脆弱性（CVE-2020-0674）

何が起きた

Internet Explorer のスクリプトエンジン（Web ページのプログラムを実行する部品）が、メモリの中のデータを正しく扱えず、メモリの中身を壊してしまう弱点が見つかり、実際に悪用が確認されています。攻撃者は、利用者と同じ権限で任意の（攻撃者が好きに選べる）プログラムを動かせるおそれがあり、利用者が管理者権限でログインしていると、機器を乗っ取られるおそれがあります。NVD の評価では、ネットワーク経由でログインなしに悪用できますが、利用者が細工したページを見るなどの操作が必要です。Microsoft も、この弱点が悪用されていることを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Internet Explorer 9、Internet Explorer 10、Internet Explorer 11 を使っている人や組織が対象です。Microsoft は、この弱点は JScript をスクリプトエンジンとして使う一部の Web サイトだけに関係するとしています。Microsoft によると、一部の Windows 10 では Internet Explorer 11 のデスクトップアプリのサポートが終わっています。

何をすればいい

Microsoft が 2020年2月11日に公開したセキュリティ更新プログラム（Internet Explorer の累積更新 KB4537767 など）を入れてください。更新を入れられない場合だけの回避策として、ADV200001 で案内された JScript.dll へのアクセスを制限する方法がありますが、一部の機能が動かなくなることがあり、この回避策を入れた場合は更新を入れる前に元に戻す必要があります。Internet Explorer 11 のデスクトップアプリは使い続けないようにし、あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• 2020年2月のセキュリティ更新を入れる
• 回避策を入れた場合は更新前に元に戻す
• Internet Explorer 11 を使い続けない

用語メモ

スクリプトエンジン

Web ページに書かれた JavaScript などのプログラムを読み取って実行する部品です。

JScript

Microsoft が作った、JavaScript とほぼ同じ書き方のスクリプト言語です。

回避策

更新をすぐに入れられないときに、弱点を突かれにくくするための一時的な対処です。