マイクロソフト、「IE」のCSS処理に関する脆弱性を調査中と発表

　Microsoftは米国時間11月23日、「Internet Explorer（IE）」に存在する可能性がある脆弱性について調査していることを明らかにした。これは、セキュリティ関連のメーリングリストに投稿されたエクスプロイトコードで、このコードが仕込まれたウェブサイトにアクセスすると、ユーザーのコンピュータが乗っ取られる可能性があるとされる。

　Microsoftは、このエクスプロイトコードの影響を受けるのは「IE 6」と「IE 7」で、「IE 8」は影響を受けないことを確認したとしており、「問題となっている脆弱性を利用しようとした攻撃例やユーザーへの影響は、今のところ確認されていない」と声明の中で述べている。

　このエクスプロイトコードは、「Bugtraq」というメーリングリスト上で20日に公開されたものだが、コードについての解説などは掲載されていない。

　「このエクスプロイトは、Internet Explorerによるカスケーディングスタイルシート（CSS）情報の使用方法に存在する脆弱性を突いている。CSSは、多くのウェブページでサイトのコンテンツの表示を定義するのに使用されている」と、Symantecは21日付けのブログ記事で記している。

　「今のところ、このエクスプロイトの確実性は低いと見られているが、完全に機能する確実性の高いものが近いうちに出回るものと見られている」とSymantecは述べている。同社はIEのユーザーに対し、Microsoftがこのセキュリティホールに対応したパッチを公開するまでは、ウイルス対策ソフトウェアを最新の状態に保ち、JavaScriptを無効にし、信頼できるウェブサイトだけにアクセスするよう求めている。

　被害を受けたと思われる場合は、MicrosoftのConsumer Security Support Centerにアクセスするとともに、米インターネット犯罪苦情センター（Internet Crime Complaint Center：IC3）に報告し、米連邦捜査局（FBI）または該当国の警察機関に連絡してほしいとMicrosoftは述べている。米国内の居住者であれば、MicrosoftのPC Safety Customer Service and Support（1-866-727-2338）に電話することもできる。

　7月には、IEの緊急レベルの脆弱性が発見されたのを受けたMicrosoftは、定例（つまり、米国時間で毎月第2火曜日に発表するセキュリティ情報）外で異例の緊急セキュリティ更新プログラムを提供した。