Internet Explorerの脆弱性を悪用するセロデイ攻撃、影響範囲拡大へ？


　IEブラウザのバージョン６、７、８に影響があるスタイルシートがらみの脆弱性（ぜいじゃくせい）[CVE-2010-3962]。DEP（データ実行防止機能）がデフォで有効になってるバージョン８は、ほぼ悪用ムリみたい。


　最新版でも対処されてないゼロデイ状態なウイルス感染攻撃になってるそうすが、限定的な攻撃ということで、先週の段階だと定例更新で修正する予定としてます。（11月定例更新には含まれず）
・ Internet Explorer の新たな脆弱性を調査中。セキュリティ アドバイザリ 2458511 を公開。 （マイクロソフト 日本のセキュリティチーム TechNet Blogs）


　が、そーもいかなくなった感じ～？ イメージ 1
・ Internet Explorerのゼロデイ脆弱性を悪用するドライブ・バイ・ダウンロード攻撃を確認 （IBM Tokyo SOC Report）
・ Heads up... 0-day in an exploit kit （AVG Blog）


　IBM東京SOCの報告では、ドライブバイ・ダウンロード攻撃・・・つまりはハッキングされたホームページを単に見ただけで強制的に不正なページへと誘導されセロデイな攻撃コードを読み込まされちゃう。


　フリーでもおなじみAVGの報告では、有名な”エクスプロイトキット”（ホームページ経由で強制的にウイルス感染させる不正なWebアプリケーション）の１つが、さっそくこのセロデイな攻撃コードを採用したことを報告。