「OBJECT」タグの脆弱性につづき、Internet Explorer（IE）にまた新たな脆弱性が見つかった。今回報告されたのは、MHTMLリダイレクトの脆弱性により、本来スクリプト中からは取得できないはずの他のサイトのコンテンツが取得できるというもの。ユーザーがネットバンクなどにログインしている場合、悪用されるとアカウント情報などが盗み取られる可能性がある。
デンマークのSecuniaは5段階の下から2番目「Less critical」で、仏FrSIRTは4段階の下から2番目「Moderate Risk」で警告。Secuniaは、アクティブスクリプトの無効を回避策として挙げている。
ここでいう「リダイレクト」は、サイトのコンテンツが移動した場合などに、サーバがブラウザに対して移動先のURLを示す返答を返す処理のこと。ブラウザはこれを受け取ると、自動的に移動先のページを開く。細工した返答とスクリプトを組み合わせると、セキュリティ上アクセスが制限されているはずの他のドメインのコンテンツにアクセスできてしまうため、情報が盗まれる可能性がある。
Secuniaの回避策も有効だが、ネットバンクなどにいったんログインしたら、ログアウトしてブラウザを閉じるまでは、他のサイトにはアクセスしないというのが、この種の脆弱性による漏えいから身を守る基本だ。
（2006/05/01 ネットセキュリティニュース）
■各社の警告
・Internet Explorer mhtml Redirection Disclosure of Sensitive Information（Secunia）
http://secunia.com/advisories/19738/
・Microsoft Internet Explorer mhtml Cross Domain Information Disclosure Vulnerability（FrSIRT）
http://www.frsirt.com/english/advisories/2006/1558
■ネットセキュリティニュース関連ニュース
・IEに新たな脆弱性見つかる～コード実行の恐れ（2006/04/26）