IEとOutlookで任意のプログラムが実行される問題が発覚

製品・サービス・業界動向業界動向

2002.3.6 Wed 12:00

　Internet ExplorerとOutlook/Outlook Expressで、任意のプログラムが実行可能になる問題が発見された。この問題はHTMLに仕込まれたコードによって発生する物。innerHTML、insertAdjacentHTMLやouterHTMLにより、codebaseから任意のコマンドやプログラムを実行することが出来る。これにより、Webサイトを開いただけで、ハードディスクのフォーマットが行われる可能性があるなど、非常に危険な問題となっている。

　さらに、ActiveXやJavaをオフにしていても実行されてしまうため、十分な注意が必要とされる。少なくとも、Outlook/Outlook ExpressのユーザーはHTMLメールを受け取らない設定などにする必要があるだろう。

□ 関連情報

　SecurePoint
　IE execution of arbitrary commands without Active Scripting or
　ActiveX (GM#001-IE)
http://msgs.securepoint.com/cgi-bin/get/bugtraq0203/24.html

　SecuriTeam.com
　Executing Arbitrary Commands without Active Scripting or ActiveX
http://www.securiteam.com/windowsntfocus/5ZP0N2A6AQ.html

（詳しくはScan Daily EXpressおよびScan 本誌をご覧下さい）
http://vagabond.co.jp/vv/m-sdex.htm
http://vagabond.co.jp/vv/m-sc.htm

《ScanNetSecurity》