セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」を公開 - 日本のセキュリティチーム - Site Home - TechNet Blogs

IT セキュリティ

（情報元のブックマーク数）

2014年05月02日にMS14-021でセキュリティパッチが、Microsoftから出ました。今回は特別にXP対応とのことです。

三輪さんによる、ここも参照のこと

同社は１日、この欠陥を修正するプログラムの配布を始めた。ＩＥなどのソフトの自動更新機能が有効になっている場合は、修正プログラムが自動的に適用される。自動更新機能が無効になっている場合は、修正プログラムをＭＳのサイトから手動でダウンロードする必要がある。 米マイクロソフトは閲覧ソフト「ＩＥ」の欠陥を修正した（写真はＩＥの画面） 　ＭＳは「手動で更新する場合はできるだけ速やかに修正プログラムをダウンロードした上で、自動更新機能を有効にすることを強く勧める」としている。

米マイクロソフト、閲覧ソフト「IE」欠陥を修正 :日本経済新聞

MS14-021をリリース。XPも緊急に従いリリース(これ放置したら、被害を受けて、被害を受けた人が攻撃者になることが高いと、MSが踏んだからだろうな）

本日、セキュリティ アドバイザリ (2963983) (4 月 26 日 (米国日付) 公開) で説明している Internet Explorer の脆弱性に対処するセキュリティ更新プログラムをセキュリティ情報 MS14-021 として公開しました。 今回の脆弱性への対応において、特例として、Windows XP 上のInternet Explorer 用セキュリティ更新プログラムも公開いたしました。(Windows Embedded を含む) Windows XP をご利用の一般ユーザーが、いまだ非常に多い状況を受けての特別な措置です。Windows XP のサポートは終了していますので、Windows 8.1 などへの最新の Windows に早急に移行することを強く推奨いたします。 なお、Windows XP を含め、本脆弱性を悪用する攻撃が広まっている状況ではありませんのでご安心ください。本脆弱性の影響に関しては、これまでの所、大きすぎる懸念が広がっていると考えております。攻撃は非常に限定的ですので、ご安心ください。

セキュリティ アドバイザリ (2963983) の脆弱性を解決する MS14-021 (Internet Explorer) を定例外で公開 – 日本のセキュリティチーム

VGX.DLLのACL設定をした人は戻しておくように！

セキュリティ アドバイザリ (2963983) の回避策「VGX.DLL に対するアクセス制御リスト」を行ったコンピューターは、セキュリティ更新プログラムをインストールする前に解除する必要があります。詳細は、セキュリティ情報 MS14-021の [更新プログラムに関する FAQ] を参照して下さい。なお、他の回避策を行っているコンピューターでは、セキュリティ更新プログラムのインストール前に解除する必要はありません。ただし、回避策により制限された機能等を元に戻すために、インストール後に適宜解除設定を実施してください。

セキュリティ アドバイザリ (2963983) の脆弱性を解決する MS14-021 (Internet Explorer) を定例外で公開 – 日本のセキュリティチーム

IEのバージョン画面で設定を確認とのこと。

アップデートの適用を確認するには、IEのバージョン情報画面の“更新バージョン”が今回の更新プログラムと同様の“KB2964358”になっているかチェックしましょう。

http://weekly.ascii.jp/elem/000/000/218/218573/

なぜXPのパッチを出したか、こんなにたくさん書かれています。必読。

パッチが出たからって、モダンでセキュアな新しいOSにアップグレードすることをやめないで！って書かれていますね。

Even though Windows XP is no longer supported by Microsoft and is past the time we normally provide security updates, we’ve decided to provide an update for all versions of Windows XP (including embedded), today. We made this exception based on the proximity to the end of support for Windows XP. The reality is there have been a very small number of attacks based on this particular vulnerability and concerns were, frankly, overblown. Unfortunately this is a sign of the times and this is not to say we don’t take these reports seriously. We absolutely do.

Just because this update is out now doesn’t mean you should stop thinking about getting off Windows XP and moving to a newer version of Windows and the latest version of Internet Explorer. If you are on Windows 7, upgrade to Internet Explorer 11. Our modern operating systems provide more safety and security than ever before. The latest version of Internet Explorer has increased support for modern web standards, better performance, and expanded the ability to deliver an immersive experience from within the browser. In other words, cool stuff that you need even if you didn’t know you need it. And when you turn on auto update, we make sure your computer and your browser get better all the time.

Updating Internet Explorer and Driving Security – The Official Microsoft Blog

こっちも同じ。

We have made the decision to issue a security update for Windows XP users. Windows XP is no longer supported by Microsoft, and we continue to encourage customers to migrate to a modern operating system, such as Windows 7 or 8.1. Additionally, customers are encouraged to upgrade to the latest version of Internet Explorer, IE 11. You can find more information on the Microsoft Security Bulletin summary webpage.

Security Update Released to Address Recent Internet Explorer Vulnerability – MSRC

クライアントがPATCH NOW、サーバはCritical

Overview of the May 2014 Microsoft patches and their status.

InfoSec Handlers Diary Blog - Microsoft Announces Special Patch for IE 0-day (Win XP included!)

日本語でも出してたんですね。

今回の脆弱性への対応において、特例として、Embedded 含む Windows XP 上の Internet Explorer 用セキュリティ更新プログラムも公開することを決定いたしました。

Windows XP をご利用の一般ユーザーが、いまだ非常に多い状況を受けての特別な措置です。Windows XP のサポートは終了していますので、Windows 8.1 などへの最新の Windows に早急に移行することを強く推奨いたします。

セキュリティ アドバイザリ (2963983) の脆弱性を解決する MS14-021 (Internet Explorer) を定例外で公開 – 日本のセキュリティチーム

関連URL

ここから下は、パッチが出る前の情報です。

回避策だけはやっておきましょう。。。

このアドバイザリは、Internet Explorer において確認されている脆弱性の説明、および脆弱性から保護するための回避策を提供しています。ユーザーが、影響を受けるバージョンの Internet Explorer で特別に細工されたウェブサイトを閲覧した場合に、リモートでコードが実行される可能性があります。攻撃者によりこの脆弱性が悪用された場合、攻撃者が現在のユーザーと同じユーザー権限を取得する可能性があります。
この脆弱性の悪用状況は、現在のところ Internet Explorer 9, Internet Explorer 10, Internet Explorer 11 を対象とした限定的な標的型攻撃のみを確認しています。アドバイザリに記載の製品をご使用のお客様は、アドバイザリで説明している回避策を実施されることをお勧めします。

セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」を公開 – 日本のセキュリティチーム

回避策でてますね。

回避策 1: EMET を導入する

セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」を公開 – 日本のセキュリティチーム

回避策 2: Vector Markup Language (VML) を無効化する

セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」を公開 – 日本のセキュリティチーム

回避策 3: 拡張保護モードを有効にする

セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」を公開 – 日本のセキュリティチーム

IPAからも情報出てますね。

Microsoft 社のアドバイザリ（2963983）では 6 つの回避策（Workarounds）が提示されています。いずれか 1 つを実施してください。企業や組織においては、回避策による業務システム等の影響有無を検証し、適切な回避策を選択してください。回避策の中から 2 つを紹介します。

更新：Internet Explorer の脆弱性対策について(CVE-2014-1776)：IPA 独立行政法人 情報処理推進機構

■本脆弱性に対するトレンドマイクロの対応状況
弊社製品の対応については、以下の製品Q&Aでまとめています。
製品Q&A：Internet Explorer（IE）で確認された新たなゼロデイ脆弱性「CVE-2014-1776」について
弊社製品での対応状況に関する最新情報は本製品Q&Aにて随時公開いたします。

サポート情報 : トレンドマイクロ

Deep Securityでは、HTTP_CVE-2014-1776_IE_EXPLOITで検知。

Trend Micro Deep SecurityおよびTrend Micro 脆弱性対策オプション（ウイルスバスター コーポレートエディション プラグイン製品）をお使いのお客様は、最新のセキュリティアップデートを実施し、上記ルールを適用してください。

Trend Micro Deep Discovery では、以下のルールでこの脆弱性を攻撃する通信を検知が可能です。

ルール「HTTP_CVE-2014-1776_IE_EXPLOIT」

ウイルスバスターコーポレートエディションやゲートウェイ製品などは、トレンドマイクロ製品に搭載されているWebレピュテーションを有効にすることで、弊社で確認した不正サイトをブロックすることができるようになります。

Internet Explorer（IE）で確認された新たなゼロデイ脆弱性「CVE-2014-1776」について | サポート Q&A：トレンドマイクロ

うははははｗｗｗｗ

深刻な脆弱性が見つかったInternet Explorer（IE6〜11）を巡り全国各地の社内がコントでカオス

深刻な脆弱性が見つかったInternet Explorer（IE6～11）を巡り全国各地の社内がコントでカオス : 市況かぶ全力２階建

ユーザが回避策設定ツールを出しているらしいです。

修正プログラムの提供を待つ間に、ソフトウェア技術者の西村誠一氏（@khb02323）が、この脆弱性の対策ができるフリーソフト「IE_Remove_VGX_DLL Ver0.1」を公開した。VGX.DLLの登録と解除（後述）が簡単にできるというもので、西村氏の運営するウェブサイトでダウンロードできる。

「Internet Explorer」の脆弱性、日本人ユーザーが対策ソフト公開 - CNET Japan

[twitter:@ntsuji]たんGJ！！

平たく言うと、「Microsoft Outlook、Microsoft Outlook Expressで攻撃を行うようなHTMLメールを受信したとしても攻撃は排除されます。」と、言っています。 しかし、大切なのは最後の一行です。電子メール内のリンクをクリックしてしまった場合はその限りではない、ということが書かれています。 IE以外のその他のブラウザを利用していたとしても、既定のブラウザをIEのままにしていると、電子メール中のリンクをクリックした際にそのアドレスをIEで開いてしまうことになります。これが脆弱性を利用するサイトだったとしたら……あとは言うまでもないですね。こちらを合わせて設定変更するように促さなければ、折角の対策が「頭隠して尻隠さず」といった結果を生んでしまう可能性があります。

セキュリティのトビラ(12) IE脆弱性の"緩和策"と、ユーザへの正しい伝え方を考える | マイナビニュース

関連URL

screenshot