Microsoft Edge and Internet Explorer の範囲外書き込みの脆弱性（CVE-2020-0878）

何が起きた

Microsoft のブラウザーが、メモリの中のデータを正しく扱えず、メモリの中身を壊してしまう弱点が見つかり、実際に悪用が確認されています。攻撃者は、利用者と同じ権限で任意の（攻撃者が好きに選べる）プログラムを動かせるおそれがあり、利用者が管理者権限でログインしていると、機器を乗っ取られるおそれがあります。NVD の評価では、ネットワーク経由でログインなしに悪用できますが、利用者が細工したページを見るなどの操作が必要です。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Microsoft Edge（EdgeHTML 版、いわゆる旧 Edge）、Internet Explorer 11、Internet Explorer 9、ChakraCore を使っている人や組織が対象です。Microsoft は、旧 Edge（Microsoft Edge Legacy）のサポートは 2021年3月9日に終わり、一部の Windows 10 では Internet Explorer 11 のデスクトップアプリもサポートが終わっているとしています。

何をすればいい

Microsoft が 2020年9月8日に公開したセキュリティ更新プログラムを入れてください。旧 Edge と（一部の Windows 10 では）Internet Explorer 11 のデスクトップアプリはサポートが終わっているため、使い続けないようにしてください。メールやメッセージで届いた知らない相手からのリンクや添付ファイルは開かないようにし、あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• 2020年9月のセキュリティ更新を入れる
• 旧 Edge と Internet Explorer 11 をやめる
• 知らない相手からのリンクや添付を開かない

用語メモ

EdgeHTML

以前の Microsoft Edge で使われていた、Web ページを画面に表示するための部品です。

ChakraCore

以前の Microsoft Edge で使われていた JavaScript を動かす部品を、単体で使えるようにしたものです。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。