Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

IE 6の未パッチ脆弱性「クロスドメイン」の検証レポートを公開 - NTTデータ・セキュリティ

NTTデータ・セキュリティは、Internet Explorer 6に見つかったクロスドメインの脆弱性に関する検証レポートを取りまとめ、公表した。

本来、異なるドメイン間でスクリプトはセキュリティ上実行できないが、IE 6のウインドウオブジェクトのプロパティにおいて入力検証処理に脆弱性があり、Cookieが取得されるなど被害に遭う可能性がある。JVNにおいても、6月末に実証コードが公表されているとして注意喚起を行っている。

同社では、今回の脆弱性について検証システムを用意して具体的な内容を紹介。スクリプトが埋め込まれた悪意あるサイトから信頼できるサイトへアクセスさせ、Cookieを取得した上で不正サイトへURLとして送信される一連の流れを詳しく解説している。

同社では、信頼できるサイトに脆弱性が存在しなくても不正にデータを取得され、Cookieがなりすましなどに利用される可能性があると脆弱性の深刻さを指摘。不審なメールやウェブサイトへのアクセスを控えたり、アクティブスクリプトの無効化、IE 7へのアップデートなど対策を取るよう呼びかけている。

NTTデータ・セキュリティ
http://www.nttdata-sec.co.jp/

(Security NEXT - 2008/07/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

「ZeroShell」に対する脆弱性攻撃、国内でも観測
「XenMobile Server」に深刻な脆弱性 - アップデートが公開
8月修正のIE脆弱性、韓企業狙う標的型攻撃で悪用
「vBulletin」に脆弱性、過去のパッチ不備で問題再燃 - すでに攻撃も
パソコン向け「Adobe Lightroom」に脆弱性 - 更新版が公開
「Adobe Acrobat/Reader」にアップデート - 脆弱性26件を修正
SAP、定例パッチを公開 - 深刻な脆弱性へ対処
公開ファイルのプロパティ情報に個人情報、約400件が判明 - 新潟県
「Sポイント」会員サイトに約1000万回のログイン試行 - ポイント交換も
問い合わせメールを転送ミス、個人情報流出 - 神戸市