『[緊急] Internet Explorer の脆弱性について』 の クチコミ掲示板

[inner-thoughts]

現在、インターネットエクスプローラ(以下:IE)のバージョン6〜11(最新も含む)で相当やばい脆弱性があります。

どのぐらいヤバイかというと、
どこのセキュリティサイトでも「 今直ぐIE辞めて他のブラウザ使え 」と言ってるレベルです。

もしかしたら他のスレで、この脆弱性の結果ウイルス感染してる人が居たのかもしれないのと、このスレも無かったようなので作りました。


更新：Internet Explorer の脆弱性対策について(CVE-2014-1776)
　https://www.ipa.go.jp/security/ciadr/vul/20140428-ms.html
JVNVU#92280347 Internet Explorer に解放済みメモリ使用 (use-after-free) の脆弱性
　http://jvn.jp/vu/JVNVU92280347/index.html

[回避策まとめ] セキュリティ アドバイザリ 2963983 ? Internet Explorer の脆弱性により、リモートでコードが実行される
http://blogs.technet.com/b/jpsecurity/archive/2014/04/30/workarounds-for-security-advisory-2963983.aspx

【ニュースなど】
http://internet.watch.impress.co.jp/docs/news/20140428_646441.html
http://www.atmarkit.co.jp/ait/articles/1404/30/news067.html
http://www3.nhk.or.jp/news/html/20140501/k10014163461000.html

【他のブラウザ】
Google Chrome
　http://www.google.co.jp/intl/ja/chrome/browser/
Mozilla Firefox
　http://www.mozilla.org/ja/firefox/new/
Opera
　http://www.opera.com/ja

書込番号：17470004

[ムアディブ]

このレベルで騒ぐなら、毎日のように賑わうことになる。

書込番号：17470239

[2bokkoshi]

＞普段利用しているサイトへのアクセスはＩＥを利用しても何の問題もない。
そもそもバグがあるなしにかかわらず、普段から危険なサイトは避けるべきだろう。
今回のＩＥのバグは１０年近くも放置されていた。今になってＩＥの使用を控えよと
言っても何を今さらという感じ。＜

だそうです。

＞ただ、この脆弱（ぜいじゃく）性が悪い意味で周知されてしまった。
すぐさま悪意あるプログラムをWebサイトに仕掛けた攻撃者も相当数いる
とみられ、その意味で、インターネットを使うなとは言えないまでも、
IE以外の他のブラウザを使うことはリスク回避の有効な手段になる。

だそうです。

書込番号：17470273

[ムアディブ]

2bokkoshiさん それどこのベンダーですか?

さすがにその見解はおバカすぎる。

「脆弱性を放置」とは脆弱性が知られてるのにパッチを出さないことであって、誰にも知られてない脆弱性はないのと同じです。

そもそも「脆弱性がある」→「プギャー、危険! 危険!」とか言ってたら何にも使えないです。
プリンターにもTVにも電話機にも当然脆弱性はあります。恐らく車にも発電所にも航空機にも。

>＞ただ、この脆弱（ぜいじゃく）性が悪い意味で周知されてしまった。
すぐさま悪意あるプログラムをWebサイトに仕掛けた攻撃者も相当数いる
とみられ、

脆弱性は公開されてないと思うけど、どこで公開されてます?
あと、攻撃コードも出回ってないのでは?
多数仕掛けられてるという事実を観測したというソースは?

文章のレベルからして、聞きかじった知識で勝手に拡大解釈して妄想膨らませてるだけの個人のBlogじゃないかと推測しますが。

妄想をいちいち喧伝してたらきりがないですよ。

はい、どうぞ。

http://blogs.technet.com/b/jpsecurity/archive/2014/05/01/faq-security-advisory-2963983.aspx

http://blogs.technet.com/b/jpsecurity/archive/2014/04/30/workarounds-for-security-advisory-2963983.aspx

緊急にするかどうか悩むレベルだと思いますけどね。

書込番号：17470631

[inner-thoughts]

>>ムアディブさん
僕も最初は、"IEの脆弱性って言ってもいつもの事だろうなぁ・・・"なんて思ってたのですが、今回は脆弱性自体が"攻撃成立に必要な条件はない"という点と、XP終了という時期とで結構問題あると思います。

また、やはり十分な注意は必要だと考えますし、ゼロデイなので取り上げた次第です。


>>2bokkoshiさん
確かに普段利用してる安全そうなサイトだけなら大丈夫でしょうけれど、リンクは結構あちこちにあるので、やっぱり最初からIE以外のブラウザ使う方が安心でしょうね。



JVN#27443259 (いつもであったら)
http://jvn.jp/jp/JVN27443259/index.html
JVNVU#92280347 (今回の)
http://jvn.jp/vu/JVNVU92280347/index.html

「インターネット エクスプローラを使うな」ってどういうこと？　ワタシは今どうすべきか (1/3)
http://bizmakoto.jp/makoto/articles/1405/01/news030.html
IPA／Internet Explorer の脆弱性対策を更新・公開
http://ict-enews.net/2014/05/01ipa/

書込番号：17470692

[naranoocchan]

Windows XP IE6 はサポートしない！（ サポート終了 ）
↓
この際、Windows 7 以降（ 出来れば Windows 8.1 ）への乗り換えを推奨する！
↓
Windows 7 、8 、8.1 が売れる！
↓
マイクロソフトが儲かる！！！

考えすぎでしょうか…（汗）

書込番号：17470895

[クアドトリチケール]

ゼロデイの脆弱性は過去も何度かあって、珍しいことではないけど、だから、危険性が低いとかは全くない。
スレ主の報告通りに非常にヤバイ状態であるのは間違いない。

ムアディブ君、中途半端な知識と見解しか持ってないのに偉そうな口上は見てて恥ずかしいよ。
ええ加減にしろ！

書込番号：17471241

[沼さん]

http://support.microsoft.com/kb/2964358

これで，解消か？？？

書込番号：17471523

[inner-thoughts]

>>naranoocchanさん
やっぱり、それはみんな考えますよね
もしVistaの時に何も起こらなかったら尚更です(´・ω・｀ )

ただ、今回は特例でXPにもパッチが当てられるらしいです。
http://www.nikkei.com/article/DGXNASGN0201U_S4A500C1000000/


>>クアドトリチケールさん
でも、MS updateなどは重要,推奨,オプションの３つしかかなく、ホントに重要なのはどれかもわかりませんし、いつも重要ばかりで僕も感覚麻痺してる気が・・・(ノ´д)ノ。　
仕方ないかもしれません。


>>沼さん
これで一安心です。
流石にMSもやば過ぎると思って１週間以内にパッチ急いで作ったみたいですね。


【マイクロソフト セキュリティ情報 MS14-021 - 緊急】
https://technet.microsoft.com/ja-jp/library/security/ms14-021
【セキュリティ更新プログラムの展開】
Windows XP (すべてのエディション)　
Windows Server 2003 (すべてのエディション)
Windows Vista (すべてのエディション)
Windows Server 2008 (すべてのエディション)
Windows 7 (すべてのエディション)
Windows Server 2008 R2 (すべてのエディション)
Windows 8 および Windows 8.1 (すべてのエディション)
Windows RT および Windows RT 8.1 (すべてのエディション)

書込番号：17471770

[ＨＤＤヘルス]

OS:XPですが サポートは終わってます

IEの修正アップデートから出来ましたがたったの3.2MBですよ！！

こんなもので本当に修正できるんですか？　マイクロソフトは金儲けが目的
ビルゲイツは　3年前の災害に大きなお金の寄付をしているのか？

書込番号：17472044

[クアドトリチケール]

今日、11時のbs1ニュースで その修正版の話題が出てた、へぇー。
xpの修正版も作ってくれてるよ。

書込番号：17472236

[クアドトリチケール]

>こんなもので本当に修正できるんですか？

これについては、修正モジュールのファイルサイズと修正内容、重要度は全く関係ないです。

本来 ソフトのパッチって、レベルダウンを避ける為、機械語コードだったので、数バイト、大きくても数十バイトが普通だった。本当のツギアテだ。
パッチが数百バイトのサイズだったら、逆に品質を疑われた。

それが、ソースコードレベルの修正、モジュール全体置き換えで済ますようになったのは、Windows文化だろうか？

書込番号：17472281

[2bokkoshi]

ムアディブ様
これって、おかしいんですか・・・　　

確かに最初のものは、ブログです。でも、肩書が「マイクロソフト認定システムエンジニア」
となっていましたので、正しいんだ。と思ってしまいました。
もっとも、ブログなんで、この肩書き自体が自称なんですが・・・

でも、ＩＥ６〜１１全部ですから、「放置」の意味がどうであれ、１０年近くバグが
存在し続けた。ということなんですよね。

２番目は、主さまが御指摘くださいました、
＜「インターネット エクスプローラを使うな」ってどういうこと？　ワタシは今どうすべきか＞
に記載されております。

これ、ＹＡＨＯＯニュースです。
書いたのは、「Business Media 誠」。ここは、おバカなところなんですか〜
知らなかった〜

でも、ハッカーとかクラッカーの人達は、プロ中のプロなんで、こういうバグが
あることを知ると、（攻撃コード？　よくわかりませんが・・・）
悪意あるプログラムをWebサイトに仕掛けることなんか超簡単。

って、思っておりました。　　違うんですね〜　ちょっと、安心。。。

書込番号：17472977

[カメカメポッポ]

サポート終了後のXPのノーパソでUPデートできたけど、Microsoft Security EssentialsもUPデートできるんですね。

フルスキャンした後に手持ちのHDDに組み替えて、Win7を入れてみて使えそうか、しばらく使えそうか使ってみますけどね。・・・・対応アプリ、ドライバーが必要なショートカットキー類は全滅ですけどね。

書込番号：17476360

[スピードアート]

「Windows XP 用の悪意のあるソフトウェアの削除ツールと Microsoft Security Essentials の更新は、2015 年 7 月 14 日まで引き続きご利用いただけます。」と微妙な年月日がありますね。。。

書込番号：17476437

[naranoocchan]

＞…2015 年 7 月 14 日まで引き続きご利用いただけます…

＊ Windows 9 の発売時期と微妙に近いですね！（汗）

書込番号：17477270

[papic0]

＞＊ Windows 9 の発売時期と微妙に近いですね！（汗）

Windows9　の発売時期が公表されていました？


>「Windows XP 用の悪意のあるソフトウェアの削除ツールと Microsoft Security Essentials の更新は、2015 年 7 月 14 日まで引き続きご利用いただけます。」と微妙な年月日がありますね。。。

Windows Server 2003 R2のサポート終了日である2015/07/14に、WindowsXPとWindows Server2003という共通技術を使用したOS群へのサポートをすべて終了するということですから、合理性があります。

書込番号：17477449

[スピードアート]

papic0さん、なるほど迅速レスさすがです。

書込番号：17477519

[naranoocchan]

＞Windows9　の発売時期が公表されていました？

公表はされてませんが、マイクロソフトのことだから、2015 年 7 月 14 日ごろに合わせてくると推測しました！

書込番号：17477895

[inner-thoughts]

8以降の開発ペースおかしいし、Windows9は8.1update2相当じゃない事を祈るよ。

せめて９でメトロUIはWindowsの機能から有効無効選択できるようにして、そっちの動作もコントロールパネルに統合して欲しいな。

書込番号：17478445

[スピードアート]

次期でStartメニュー復活とか？、Vista以降でXPからのソフトランディングができていないことが影響しているのではないかと思います。

書込番号：17479373

[papic0]

naranoocchanさんクチコミ

レスありがとうございました。
>＞Windows9　の発売時期が公表されていました？
>公表はされてませんが、マイクロソフトのことだから、2015 年 7 月 14 日ごろに合わせてくると推測しました！

2015年4月発売説など、噂はありますが、マイクロソフトが、
他の既存製品のサポート終了時期に合わせて、直接関係の無い製品投入を行うということは、なさそうな気がします。

Windows9が提供されるなら、バックアップとリカバリの容易さと、既存OSとのドライバの互換性を高めてもらいたいところです。
Windows9が販売されても、すぐに買おうとは思わないですが。

書込番号：17479759

[naranoocchan]

＞inner-thoughtsさん

スレと違うコメントで申し訳ありません！

＞papic0さん、みなさん

噂レベル（推測）のことを決まりごとのようにコメントしてしまい、申し訳ありませんでした！

書込番号：17479902

[inner-thoughts]

>>naranoocchanさん
アプデでひとまずIE問題は解決しましたし、僕は気にしてませんよ。

書込番号：17480670

[カメカメポッポ]

ちょっと怖い？

会社のPCサポートグループから、リースPCでの対応方法、設定変更指示が発令されてましたが、不用意に外部のサイトにアクセスしないようにおまけ警告もありました。

まだ、十分じゃないのか？　社内特有の問題なのか？不明。

まあ、自宅のPCでは気にせず使ってますけどね。

書込番号：17487172

[スピードアート]

詰まるところ、現在の状況は「結果オーライ」なだけで、誰も真に危ないモードを厳密に把握していないことで、警告だけするということでしょう。

そもそも、バックドア的悪用は基本的にOSシステムのリモートアクセスとかの標準機能を使用して来ますので、最初に来られたらアンチウィルスソフトもほとんど無力でしょう。

で、大問題になった誤認逮捕のパターンデータがアンチウィルスソフトに反映されたのは、2ヶ月前後経過した犯行声明が出てからくらいで、では反映されるまでにその関連の他者の犯行があったかと言えば？なのが実際でしょう。

書込番号：17487804