マイクロソフト、「IE 8」のXSSフィルタに関する脆弱性を再び修正へ

　Microsoftは米国時間4月19日、「Internet Explorer（IE）8」に組み込まれたフィルタの脆弱性を6月に修正すると発表した。このフィルタはクロスサイトスクリプティング（XSS）攻撃を防止するために設けられたものだが、実際には、まさにこのXXS攻撃をウェブサイト上で仕掛ける際に悪用されかねない脆弱性を抱えていたという。

　Microsoftでは、IEのXSSフィルタを6月にアップデートし、スペインのバルセロナで現地時間の4月12日から15日にかけて開催されたカンファレンスBlack Hat Europeにおいて研究者が警告した脆弱性を修正する予定だ。研究者はプレゼンテーションで、このフィルタの問題を悪用し、GoogleやMicrosoftの検索サイト「Bing」、およびTwitterなどのサイトに悪意のあるコードを仕込むことができる点を指摘した。

　Microsoftにとって、IE 8のXSSフィルタに関するセキュリティ上の問題を修正する試みとしては、今回が3回目となる。

　「XSSフィルタに関するBlack Hat Europeのプレゼンテーションでは、かねて明らかになっており、2010年1月のIEに対するセキュリティアップデート（MS10-002）で対応した脆弱性が話題にのぼった」と、David Ross氏はThe Microsoft Security Response Center（MSRC）ブログに書いている。

　その後、Microsoftは2010年3月に、深刻度が「緊急」のアップデート（MS10-018）を実施した。

　Ross氏は、6月に予定されているアップデートで「Black Hat Europeでのプレゼンテーションで示された、SCRIPTタグ攻撃のシナリオに対処する予定」だとしつつ、以下のように記している。「IEのXSSフィルタに関する問題について言えば、研究者が発見したシナリオは、XSSフィルタリング技術が組み込まれた現行のブラウザすべての同技術について、応用可能なものだ」