ActiveX コントロールに新たな脆弱性

Microsoft は29日、Windows で新たな脆弱性が見つかったことを明らかにした。この脆弱性をつけば、クラッカーはユーザーのコンピュータにサービス拒否 (Dos) 攻撃を仕掛けることができる。

脆弱性は、Web ベースでデジタル証明書を登録するのに使用する『Certificate Enrollment Control』という ActiveX コントロールに見つかった。Web ページから (複雑な方法で) このコントロールを呼び出すことにより、ユーザーのシステム上の既存の証明書を削除できるという欠陥だ。本来このタイプの ActiveX コントロールでは、新しい証明書はインストールできても、既存の証明書にはアクセスできないように設計するべきだろう。

攻撃者はこの脆弱性を巧みに悪用することで、信頼済みルート証明書、EFS 暗号証明書、Eメール署名証明書など、システム上にある証明書を破壊し、ユーザーが関連のセキュリティ機能を利用できないようにすることができる。

この脆弱性は、Windows 98、98 SE、Me、NT4.0、2000、および XP に影響する。この脆弱性の解決を含む累積的な修正プログラムがすでに Windows Update からダウンロード可能だ。この修正プログラムは、Windows 2000および XP に同梱されている『SmartCard Enrollment Control』に見つかった深刻度の低い同様の脆弱性も解決する。