IEに未修正の脆弱性 - 実証コードは公開済み

「Internet Explorer」に未修正の脆弱性が含まれていることがわかった。ゼロデイ攻撃は確認されていないが、実証コードはすでに公開されているという。

今回明らかになったのは、同一生成元ポリシーの制約を迂回できる「ユニバーサルクロスサイトスクリプティング（UXSS）」の脆弱性「CVE-2015-0072」。セキュリティ関係者が脆弱性情報を交換するメーリングリストに投稿された。

トレンドマイクロによれば、同脆弱性では細工したURLにアクセスさせることで、任意のドメイン上での任意のスクリプトが実行でき、不正なスクリプトの実行をはじめ、Cookieの窃取、他サイトへの誘導などへ悪用されるおそれがある。

正規ドメインを表示させつつ、攻撃者が用意したフィッシング用の画面を閲覧させるといった行為が可能になることから、悪質なフィッシングサイトに脆弱性が利用される可能性があると指摘。ゼロデイ攻撃は確認されていないものの、すでに実証コード（PoC）が公開済であり、悪用される危険性が高いとして注意を呼びかけている。

（Security NEXT - 2015/02/06 ） ツイート

PR

関連記事

Gitサーバ「Gogs」にゼロデイ脆弱性 - 広範囲の公開サーバに侵害痕跡
「React」脆弱性を狙う攻撃が急増、国内SOCで多数観測 - ラック
「Chrome」にゼロデイ脆弱性、詳細は調整中 - アップデートで修正
ワークフロー実行ツール「n8n」に脆弱性 - アップデートで修正
監視ツール「Barracuda RMM」に深刻な複数脆弱性 - アップデートを
「Apache Struts」にDoS脆弱性 - ディスク領域枯渇のおそれ
「Node.js」にセキュリティアップデート - 12月15日に公開予定
悪用確認された「WinRAR」「Windows」の脆弱性に注意喚起 - 米当局
エンドポイント管理製品「Ivanti EPM」に複数脆弱性 - 「クリティカル」も
「Adobe Acrobat/Reader」に複数脆弱性 - アップデートを公開