by
Anonymous Coward
on 2010年01月20日 14時25分
(#1705941)
XP SP3/Vista SP1以降の場合、Microsoftが推奨しているようにIE8をインストールするだけでもいいと思います。Windows 7でデフォルト有効なのも、Windows 7の標準ブラウザはIE8だからです。 XP SP2/Vista無印の場合、Fixit [microsoft.com]をインストールする必要があります。このFixitはアプリケーション互換データベースの機能を使って、iexplore.exeでDEPを有効にします。 システムのプロパティからデータ実行防止の設定をOptOutにすればより安全になりますが、その分副作用(一部のアプリがDEPに止められて動かなくなる可能性)も大きいです。 Windows 2000では…IE 5.01に戻すのが非現実的な場合は代替ブラウザでも使っておくしかないでしょう。
マイクロソフトの現在までの調査で、Microsoft Windows 2000 Service Pack 4 上の Internet Explorer 5.01 Service Pack 4 は影響を受けず、Microsoft Windows 2000 Service Pack 4 上の Internet Explorer 6 Service Pack 1、Windows XP、Windows Server 2003、Windows Vista、Windows Server 2008、Windows 7 および Windows Server 2008 R2 上の Internet Explorer 6、Internet Explorer 7 および Internet Explorer 8 に脆弱性があることを確認しています。 (略) 問題を緩和する要素
データ実行防止 (DEP: Data Execution Protection)は、次のオペレーティングシステム上で動作する Internet Explorer 8 で既定で有効です。 Windows XP Service Pack 3, Windows Vista Service Pack 1, Windows Vista Service Pack 2, および Windows 7
Windows Vista およびそれ以降の Windows のオペレーティング システム上の Internet Explorer の保護モードは、この脆弱性の影響を制限します。
問題を緩和する要素とあるのにまるで回避策のような書き方はどうですかね。
しかし一方でこの脆弱性を突いた攻撃が
Web ベースの攻撃のシナリオでは、攻撃者がこの脆弱性の悪用を意図した Web ページが含まれている Web サイトをホストする可能性があります。さらに、侵害された Web サイトおよびユーザーが提供したコンテンツまたは広告を受け入れる、またはホストしている Web サイトに特別に細工したコンテンツが含まれ、この脆弱性を悪用する可能性があります。しかし、すべての場合において、これらの Web サイトに強制的にユーザーを訪問させることはできません。それに代わり、攻撃者はユーザーを攻撃者の Web サイトに訪問させようとする可能性があります。一般的には、ユーザーに電子メール メッセージまたはインスタントメッセンジャーのメッセージ内のリンクをクリックさせ、攻撃者の Web サイトへ誘導します。
DEP無効のPCなんていまどきあるの？ (スコア:0)
Re: (スコア:1, 参考になる)
Windows XP/VistaのデフォルトはDEP無効ですよ? あなたの脳内世界ではどうだか知りませんが、80%のユーザーが [internet.com]Flash Playerを最新にしていなかったりするのが現実です。
Re: (スコア:0)
Re:DEP無効のPCなんていまどきあるの？ (スコア:0)
XP SP3/Vista SP1以降の場合、Microsoftが推奨しているようにIE8をインストールするだけでもいいと思います。Windows 7でデフォルト有効なのも、Windows 7の標準ブラウザはIE8だからです。
XP SP2/Vista無印の場合、Fixit [microsoft.com]をインストールする必要があります。このFixitはアプリケーション互換データベースの機能を使って、iexplore.exeでDEPを有効にします。
システムのプロパティからデータ実行防止の設定をOptOutにすればより安全になりますが、その分副作用(一部のアプリがDEPに止められて動かなくなる可能性)も大きいです。
Windows 2000では…IE 5.01に戻すのが非現実的な場合は代替ブラウザでも使っておくしかないでしょう。
回避策それとも問題を緩和する要素？ (スコア:4, 参考になる)
＞XP SP3/Vista SP1以降の場合、Microsoftが推奨しているようにIE8をインストールするだけでもいいと思います。Windows 7でデフォルト有効なのも、Windows 7の標準ブラウザはIE8だからです。
マイクロソフトのセキュリティアドバイザリによれば
問題を緩和する要素とあるのにまるで回避策のような書き方はどうですかね。
しかし一方でこの脆弱性を突いた攻撃が
ことくらいは知っておいた方が役に立つと思う。
モデレータは基本役立たずなの気にしてないよ
Re: (スコア:0)
> ことくらいは知っておいた方が役に立つと思う。
それはIEの脆弱性に関するアドバイザリでテンプレのように貼られているだけで、むしろ情報量はほとんど0だと思います。Gumblarに感染したサイトを強制的に訪問させられることはないから怪しいサイトのリンクをクリックしなければ何の問題もないぜ! というなら話は別ですが。
Re:回避策それとも問題を緩和する要素？ (スコア:1)
Microsoft によるテンプレだっとしても、また愚かなユーザーに悪意あるリンクを踏ませる
なんてことはクラックする側にとっては朝飯前だったとしてもね。
すでに始まっている攻撃がどういうレベルのものかを知ることは実際的だと思う。
モデレータは基本役立たずなの気にしてないよ
Re: (スコア:0)
Re: (スコア:0)
IE6/7ではDEPを有効にすれば回避策になるけどDEPが最初から有効なIE8では緩和にしかならないというのはあまりに不自然なんですが。アドバイザリの文面を字面通りに受け止めすぎじゃありませんか。
そもそも「IE8にしろ」と言い出した [wsj.com]のはMicrosoftだし。本当に緩和にしかならないんだったら独仏政府の方が正しいってことですね。