Microsoft Internet Explorer の範囲外書き込みの脆弱性（CVE-2020-1380）

何が起きた

Internet Explorer のスクリプトエンジンに、メモリ上のデータの扱いを誤る弱点が見つかりました。悪用されると、ログイン中の利用者と同じ権限で任意のコードを実行されるおそれがあり、利用者が管理者権限を持っていれば、パソコン全体を乗っ取られるおそれがあります。NVD の評価では、ネットワーク経由で離れた場所から悪用できますが、利用者が細工したページを見るなどの操作が必要です。Microsoft も、この弱点が悪用されたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Internet Explorer 11 が対象です。細工した Web サイトを見たときのほか、Internet Explorer の表示の仕組みを使う Office の文書などを通しても攻撃されるおそれがあります。

何をすればいい

2020年8月のセキュリティ更新プログラムを適用してください。Windows 10 では各版の累積更新（たとえば Version 2004 は KB4566782）、Windows 7 や Windows 8.1 などでは IE の累積更新 KB4571687 などで修正されます。なお Internet Explorer 11 のデスクトップアプリは、2022年6月15日に一部の Windows でサポートが終わっており、Microsoft は Microsoft Edge（IE モード）への移行を勧めています。公式の案内（Microsoft のセキュリティ更新ガイド）で確認してください。

やることチェックリスト

• 2020年8月のセキュリティ更新を適用する
• IE11 から Microsoft Edge へ移行する
• 知らない相手からのファイルを開かない

用語メモ

スクリプトエンジン

Web ページの中のプログラム（スクリプト）を読み取って動かす部分です。

IE モード

Microsoft Edge の中で、古い Internet Explorer 向けのページを表示するための機能です。