[connect24h:3112] [FYI]IE execution of arbitrary commands without Active Scripting or ActiveX (GM#001-IE)

[Hiroshi Chonan <chonan@xxxxxxxxxxxxxxx>]

長南です。

ここ数日IE関連の問題が連日報告されていますが、久々に大きい弱点が報告された
ようです。

●IE execution of arbitrary commands without Active Scripting or ActiveX (GM#001-IE) 
http://www.st.ryukoku.ac.jp/~kjm/security/memo/2002/03.html#20020301_ie
(セキュリティホールmemoの小島さん)
http://archives.neohapsis.com/archives/bugtraq/2002-02/0354.html
(bugtraqの当該メール)

ActiveXの脆弱性はIE4の時にも大きく騒がれましたが今回はそのXML版のようです。
今の段階ではパッチがでていないようなので、悪意のあるHTMLやメールによって
任意のコマンドが実行できるという第一級の弱点です。リンクを辿るだけで
deltreeやHDDフォーマットされてしまうようなHTMLやMailが氾濫する可能性も
あり、注意が必要かもしれません。
なお、大元のbugtraqのメールでは記述法やデモサイトもあります。(私の環境でも
再現しました)


---
// 長南 浩(Hiroshi Chonan) /                        (株)データシステム米沢
//   chonan@xxxxxxxxxxxxx / 営業本部 営業企画部 研修マルチメディアグループ
//                       /        TEL: 0238-37-6051(代)  FAX: 0238-37-6056

--[PR]------------------------------------------------------------------
　　　　Powered by FreeML　　　　 -- http://www.freeml.com/ --　　　　
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp