Microsoft Internet Explorer の範囲外書き込みの脆弱性（CVE-2020-0968）

何が起きた

Internet Explorer のスクリプトエンジン（Web ページのプログラムを実行する部品）が、メモリの中のデータを正しく扱えず、メモリの中身を壊してしまう弱点が見つかり、実際に悪用が確認されています。攻撃者は、利用者と同じ権限で任意の（攻撃者が好きに選べる）プログラムを動かせるおそれがあり、利用者が管理者権限でログインしていると、機器を乗っ取られるおそれがあります。NVD の評価では、ネットワーク経由でログインなしに悪用できますが、利用者が細工したページを見るなどの操作が必要です。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Internet Explorer 9 と Internet Explorer 11 を使っている人や組織が対象です。Microsoft は、一部の Windows 10 では Internet Explorer 11 のデスクトップアプリのサポートが終わっているとしています。

何をすればいい

Microsoft が 2020年4月14日に公開したセキュリティ更新プログラム（Internet Explorer の累積更新 KB4550905 や、Windows 10 の各版のセキュリティ更新）を入れてください。一部の Windows 10 では Internet Explorer 11 のデスクトップアプリのサポートが終わっているため、使い続けないようにしてください。知らない相手から届いたリンクや文書は開かないようにし、あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• 2020年4月のセキュリティ更新を入れる
• Internet Explorer 11 を使い続けない
• 知らない相手からのリンクや文書を開かない

用語メモ

スクリプトエンジン

Web ページに書かれた JavaScript などのプログラムを読み取って実行する部品です。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。