IE6〜8にゼロデイ脆弱性、攻撃コードも発見される

　あるAnonymous Cowardのタレコミによると、Internet Explorer 8に新たなゼロデイ脆弱性が発見されたという（FireEye）。

　Microsoftのセキュリティアドバイザリによると、対象となるのはIE6〜8で、9以降ではこの脆弱性の影響はないという。問題の脆弱性は、IEが削除されたメモリ、もしくは適切に確保されていないメモリに格納されたオブジェクトにアクセスしてしまうことで、任意のリモートコードを実行してしまうというもの。US-CERT Vulnerability Note VU#154201によると、特別に細工されたJavaScriptを実行させることで、不正なメモリアドレスに格納された命令を実行させることが可能になるとのこと。

　この脆弱性により、外交問題評議会（Council on Foreign Relations、CFR）が攻撃され、CFRのサイトが改変され悪意のあるコンテンツがホスティングされるという問題がすでに発生しているという（The Next Web）。The Next Webによると、この脆弱性とFlashおよびJavaを組み合わせたReturn Oriented Programming（ROP）による攻撃を行うコードが確認されているという。

　スラッシュドットのコメントを読む | セキュリティセクション | セキュリティ | インターネットエクスプローラ

　関連ストーリー：
Chromeに重大なゼロデイ脆弱性？発見者はGoogleに内容を伝えず 2012年11月23日
「ゼロデイ脆弱性」、存在に気が付くまでの期間は平均10ヶ月 2012年10月19日
Microsof は IE のゼロデイ脆弱性を 2 か月近く前から知っていたのか 2012年09月26日