IE以外のブラウザ

質問

ニュースでやっていたのですが、IEに問題がありIE以外のブラウザを利用するようにとか言っていましたが、
現在自分はSleipnir4を使用しています。
IE7互換で表示する
IE11モードで表示する
にはしないでBlinkで表示（既定）のまま利用してれば大丈夫ですか？
それともSleipnir4も危険ですか？

回答No.1

parts · ベストアンサー

数日ここを離れている間に、IEの話が話題になり、しかも増長されているのはびっくりです。テレビでやったのかな？テレビはある意味、怖い媒体です。

この情報が開示されたのは、4 月 28 日ですけど・・・既に何度か開示情報のアップデートが行われており、IEを使う場合でも対策も数種類が提供されています。当初は、メディアなど無関心でしたけど、今になって別のブラウザをという話は、どうなのでしょうね。
こういう情報は、一喜一憂しても仕方がないのですけど。もちろん、知っておくことと、対策を講じることは大事ですが、単に知って恐れさせるだけでは意味はありません。重要なのは、その実証コードが、どういう状況で作用するかです。その辺りを調べることが最優先です。

Ｑ／Blinkで表示（既定）のまま利用してれば大丈夫ですか？

Ａ／エンジンがＩＥのエンジンでないなら今回の件は問題はないと思います。ただ、Sleipnir4でも4月11日に脆弱性情報は出ており、アップデートが行われています。どれが安全というのは難しい話です。特に、トップ３ブラウザ以外は、脆弱性の修正が行われた後に、発表されることも多いですから、エクスプロイトコードが実際にゼロデイで使われたかどうかは分かりません。

個人的な意見として言えば、エンジンに独自ではない他社の技術を使っている場合は、そのソフト自体の脆弱性と、他社の脆弱性が一緒になる危険があります。また、少し利用者が少ないソフトだと、情報自体が遅いこともありますので、IEの話題で恐怖を感じるなら、そういう情報網と調べ方をしっかり身につけられた方が良いでしょう。

信頼性だけで考えるなら、ユーザーがきわめて多いソフトを利用した方が、大規模攻撃による感染リスクは低くなります。鰯の大群が捕食者から逃げるのと同じ理由です。

尚、今回の情報は、マイクロソフト社のアドバイザリで詳細が確認できます。
この情報に基づけば、基本的に攻撃者はユーザーと同じ権限権限を取得できます。原則としてユーザーが特権管理となるバイザーでない限りは、リモートコードから昇格したバイザー権限（ハイパーバイザ、スーパーバイザー）は取得できません。（WindowsVistaより後継では特権管理者権限はデフォルト無効です）

権限を掌握したとしても、任意のコードによってオートメーションでブラウザ外の処理をすることはできないと思われます。ただし、誘導広告などをユーザーにクリックさせるなどして、リモートコードを実行されることは可能であり、そこから権限を上位に引き上げることはできるかもしれません。
尚、サーバーOSについては、セキュリティ強化の構成に基づき、これらの実行リスクを低減できる（なくすことはできない）としています。
https://technet.microsoft.com/ja-jp/library/security/2963983

といったところです。
尚、これを利用した攻撃は、Flash Playerなどを利用しているケースが見られるようです。（サードパーティ情報。Adobeはこれに伴いアップデート情報を開示しています。）

この情報が、今になって大々的となったのは、実証コードが広まっている可能性があることで、サポート満了済みのIE6とXPに対する警告も含めたものと考えられます。

そうでないなら、定例アップデートが第2週目の火曜日（日本では水曜日）という状況で、それほど大きな話題にはなりませんからね。

いかがでしょうか？
ここまで、知れば影響がどこまで及ぶかは分かるかと思います。
要は、Vgx.dllを使いさえしなければ、これに関しては良いわけです。後は、攻撃者の意図する操作をしないことでしょう。（後者は巧みな誘導が伴うことがあり困難かもしれません）

最後に、脆弱は毎月アップデートを行う際には、いくつか発表されます。
マ社やアドビなどの利用者の多い基幹プラットフォームの場合は、既に攻撃が行われている場合や、実証コードが明らかな場合、それが深刻な場合は、開発元からアドバイザリが先に開示されることがあります。これは今日昨日始まったことではなく、実際には比較的よくあることです。

お礼

ありがとうございました

回答No.3

FMVNB50GJ

No2さんどうも、XPのIE更新プログラム。パソコン再起動。

Sleipnirと同じようなLunascape使っていたけど、既定のままで大丈夫だと思うよ。

マイクロソフト、今回は特例なんだろうな。

回答No.2

narashingo

今日、今回のIEの脆弱性対応の更新パッチが出たようですから、更新適用してください。
（Internet Explorerの脆弱性に対するアップデートが配信 WindowsXPも対象に）
http://weekly.ascii.jp/elem/000/000/218/218573/

お礼

ありがとうございました