JVNVU#923508: Microsoft Internet Explorer 6 にクロスドメインの脆弱性

Microsoft Internet Explorer 6 には、クロスドメインの脆弱性が存在します。結果として、許可されていない他ドメインのコンテンツへアクセスされる可能性があります。

Microsoft Internet Explorer では、フレーム間の情報のやりとりを制御するために、Internet Security Manager Object によって URL がどのゾーンやドメインに属するのか、どのようなアクションが許可されるかを規定しています。

Internet Explorer 6 には、特定の手法でフレームに表示するページロケーションを変更された場合、適切にクロスドメインセキュリティモデルが機能しない脆弱性が存在します。

なお、本脆弱性に関する実証コードが公開されています。

第三者によって細工された HTML ドキュメント(ウェブページや HTML 形式のメール)をユーザが閲覧した場合、他のフレームで表示している他ドメインのコンテンツにアクセスされる可能性があります。

対策方法は公開されていません
2008年06月30日現在、対策方法は公開されておりません。

以下の回避策を行うことで想定される影響を軽減できる可能性があります。

ベンダ	リンク
マイクロソフト	Windows Internet Explorer 7

US-CERT Vulnerability Note VU#923508
Microsoft Internet Explorer 6 contains a cross-domain vulnerability

2008.06.30における脆弱性分析結果緊急

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される	中
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

JVNVU#923508 Microsoft Internet Explorer 6 にクロスドメインの脆弱性 緊急