公開日:2014/02/18 最終更新日:2014/02/18

JVNVU#91275940
Microsoft XML DOM ActiveX コントロールに情報漏えいの脆弱性

概要

Microsoft が提供する XML DOM ActiveX コントロールには、情報漏えいの脆弱性が存在します。

影響を受けるシステム

  • Microsoft XML DOM ActiveX コントロール

詳細情報

Microsoft が提供する XML DOM ActiveX コントロールには、エラーコードからユーザの PC に関する情報が漏えいする脆弱性が存在します。

JVNVU#96727848 を使用した攻撃コードにおいて、本脆弱性が使用されています。

想定される影響

細工された HTML ドキュメントを閲覧することで、ユーザの PC に関する情報 (特定のファイルの存在など) が漏えいする可能性があります。

対策方法

2014年2月18日現在、対策方法は不明です。

ベンダ情報

参考情報

  1. CERT/CC Vulnerability Note VU#539289
    Microsoft XMLDOM ActiveX control information disclosure vulnerability
  2. Japan Vulnerability Notes JVNVU#96727848
    Internet Explorer に解放済みメモリ使用 (use-after-free) の脆弱性

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2014.02.18における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
認証レベル 匿名もしくは認証なしで攻撃が可能
攻撃成立に必要なユーザーの関与 リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される
攻撃の難易度 専門知識や運がなくとも攻撃可能

各項目の詳しい説明

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia