Microsoft、VML関連の新たな脆弱性に関する回避策を公開

[ITmedia]

　米Microsoftは米国時間の9月19日、Windowsに発見された新たな脆弱性に関するセキュリティアドバイザリを公開した。

　同社はアドバイザリの中で、脆弱性が任意のコード実行につながるものであること、悪用コードが公開されている事実を確認していると述べ、10月10日に予定されている月例パッチ、もしくは攻撃が広く拡散する前に修正アップデートを提供できるよう準備を進めていくとしている。

　この脆弱性は、Windows OSのVector Markup Language（VML）の実装であるVgx.dllに起因するもの（関連記事）。その直前に明らかになった、ActiveXに起因する脆弱性とは別の問題だ。

　VMLタグの解釈が正しく行われないことが原因となり、バッファオーバーフローが発生する恐れがある。この結果、悪意あるWebサイトにアクセスするとマシンがクラッシュしたり、任意のコマンドを実行される可能性がある。パッチをすべて適用した状態のWindows 2000／XP、Windows Server 2003が影響を受ける。

　Microsoftはアドバイザリを通じて、攻撃からの回避策を4種類紹介している。

　1つは、Vgx.dllをレジストリから削除してしまうこと。ただしこの手段を執ると、VMLを用いた機能に支障が生じる恐れがある。2つめは、アクセスコントロールリスト（ACL）を編集してVgx.dllへのアクセス制御を強化すること。3つめは、IEのセキュリティ設定を変更し、インターネット／イントラネットゾーンでバイナリやスクリプトの実行を無効にすること。最後は、HTMLメールをそのまま表示させず、テキストとして表示するよう設定を変更することだ。

　またUS-CERTでは、信頼できないリンクを不用意にクリックしないことも回避策の1つだとしている。