Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

IEに未修正の脆弱性 - 実証コードは公開済み

「Internet Explorer」に未修正の脆弱性が含まれていることがわかった。ゼロデイ攻撃は確認されていないが、実証コードはすでに公開されているという。

今回明らかになったのは、同一生成元ポリシーの制約を迂回できる「ユニバーサルクロスサイトスクリプティング(UXSS)」の脆弱性「CVE-2015-0072」。セキュリティ関係者が脆弱性情報を交換するメーリングリストに投稿された。

トレンドマイクロによれば、同脆弱性では細工したURLにアクセスさせることで、任意のドメイン上での任意のスクリプトが実行でき、不正なスクリプトの実行をはじめ、Cookieの窃取、他サイトへの誘導などへ悪用されるおそれがある。

正規ドメインを表示させつつ、攻撃者が用意したフィッシング用の画面を閲覧させるといった行為が可能になることから、悪質なフィッシングサイトに脆弱性が利用される可能性があると指摘。ゼロデイ攻撃は確認されていないものの、すでに実証コード(PoC)が公開済であり、悪用される危険性が高いとして注意を呼びかけている。

(Security NEXT - 2015/02/06 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

SAP、1月の月例パッチをリリース - 深刻な脆弱性へ対処
「Apache Tomcat」にソースコード漏洩のおそれ - 11月更新版で修正済み
トレンドの法人向けエンドポイント製品に複数脆弱性 - CVSS値が最高値の脆弱性も
ウェブアプリ脆弱性診断ツールにSSRF検査機能追加 - ビットフォレスト
Adobeがアップデートを公開 - 7製品に脆弱性
MS、2021年最初の月例セキュリティパッチを公開 - 一部で悪用も
「SKYSEA Client View」のインストーラに脆弱性 - 最新版の利用を
「Microsoft Edge 87.0.664.75」がリリース - 脆弱性13件を修正
脆弱性に対処した「Thunderbird 78.6.1」をリリース
PHPにセキュリティ更新 - 「PHP 7.4.14」「同7.3.26」が公開