「IEをターゲットにした0-day攻撃が発生中」記事へのコメント

ActiveXの有効化

[moca (33770)]

最初からとか何かのおまけでパソコンに入ってるActiveXとかもうきりがないから
IE上で初めて使われるActiveXは、初回にダイアログor通知バーを出すとかしたらいいんじゃないかな。

Re:ActiveXの有効化

[MkII (26282)]

その手の警告とかダイアログが出たって
盲目的に「はい」を押すように飼いならされてるので
意味ないと思います。

解雇通知

[megadb (11654)]

＞その手の警告とかダイアログが出たって
＞盲目的に「はい」を押すように飼いならされてるので
＞意味ないと思います。

そしてこんな攻撃にさらされる。

人間の脆弱性を突いた攻撃 [atmarkit.co.jp]

Re:

[Anonymous Coward]

> IE上で初めて使われるActiveXは、初回にダイアログor通知バーを出すとかしたらいいんじゃないかな。
その機能ならすでにあります(ただしイケメンIE7以降に限る)。「ActiveXオプトイン」でぐぐってみてください。

Re:ActiveXの有効化

[moca (33770)]

情報ありがとうございます。
FirefoxユーザになったのでIE7以降は知りませんでした。

ということは実質この0-dayがユーザーの許可なしに表示しただけで実行されるには
XP以前でかつIE6以前のユーザのみ。
ということなんですね。
IEユーザならぜひ7,8にアップデートしてほしいところです。

あと「ダイアログor通知バー」と書きましたが、「情報バー」とすべきでした。
ただFirefoxのIETabユーザは情報バーが実装されていないので、どちらにせよ注意ですが。

Re:ActiveXの有効化

[Anonymous Coward]

ということは実質この0-dayがユーザーの許可なしに表示しただけで実行されるには
XP以前でかつIE6以前のユーザのみ。
ということなんですね。

MicrosoftのアドバイザリではIEのバージョンやActiveXオプトインについて一切言及していなかったのでその点について確信が持てなかったのですが、ISC SANSの脆弱性情報 [sans.org]に攻撃コード(の一部)が載っていたので試してみたところ、確かに情報バーが出てブロックされました。

ただ、ゼロデイ攻撃を受けたときにどんなメッセージが出るのかあらかじめ知っていないと「このWebサイトは、'Microsoft Corporation'からの'ActiveX control for streaming video'アドオンを実行しようとしています。Webサイトとアドオンを信頼し、アドオンの実行を許可するには、ここをクリックしてください...」というメッセージを見てうっかり実行を許可してしまうかもしれません。発行者はMicrosoftですし。

回避策のパッチを当てると、情報バーも出ずに問答無用でブロックされます。