セキュリティ関連企業や機関は28日、WindowsのActiveXコントロール「WebViewFolderIcon」（Shell WebView：webvw.dll）の脆弱性を突く危険な実証コードが公開されたとして一斉に警告。マイクロソフトは29日、同脆弱性に関するアドバイザリを公開し、来月11日の月例アップデートで更新プログラムがリリース予定であることを明らかにした。
WebViewは、Windows Explorerなどでファイルやフォルダをアイコンやサムネイルで表示する機能を提供するWindowsの部品。今年７月、当該コントロールに整数オーバーフローの問題があることが指摘され、Internet Explorer（IE）をクラッシュさせる実証コードが公開されていた。当該脆弱性は、その後も修正されることなく２か月間放置されていたが、今月27日に同脆弱性を突いてコードを実行する実証コードが公開され、非常に危険な状態となった。信頼できないウェブサイトを閲覧すると、悪意のあるソフトウェアをインストールされる恐れがある。
マイクロソフトによると、影響するのはMicrosoft Windows XP、Windows 2000、Windows Server 2003の各バージョンだが、当該コントロールはサポートが終了しているWindows 98から提供されており、それらにも影響する可能性がある。すでに各社のウイルス対策ソフトが対応を始めており、信頼できないサイトやメールは開かないよう注意するとともに、ウイルス対策ソフトを最新の状態にしておくことをお勧めする。
マイクロソフトでは、IEを介した攻撃の一時的な回避策として、ActiveXコントロールの無効化やKill bitの設定を提示している。
ActiveXコントロールの無効化は、IEツールバーのインターネットオプション内にあるセキュリティレベルのカスタマイズで、「インターネット」と「イントラネット」ゾーンの「ActiveXコントロールとプラグインの実行」を「無効にする」または「ダイアログを表示する」に設定する。ゾーンのセキュリティレベルを「高」にすることでも、同様の設定が行われる。
Kill bitの設定は、レジストリを操作して特定のActiveXコントロールを無効化する方法だが、難易度が高く大きなリスクを伴う。詳しくは、マイクロソフトのドキュメントを参照していただきたい。ちなみに米SANS Instituteからは、WebViewのKill bitの設定・解除を行うツールが無償で提供されている。
（2006/09/29 ネットセキュリティニュース）
■マイクロソフト セキュリティ アドバイザリ (926043) Windows シェルの脆弱性により、リモートでコードが実行される（マイクロソフト）
http://www.microsoft.com/japan/technet/security/advisory/926043.mspx
■JVNTA06-270A：Microsoft Internet Explorer の ActiveX コントロール WebViewFolderIcon に脆弱性（JVN）
http://jvn.jp/cert/JVNTA06-270A/index.html
■FrSIRT Security Advisories - Microsoft Internet Explorer WebViewFolderIcon ActiveX Buffer Overflow Vulnerability[英文]（FrSIRT）
http://www.frsirt.com/english/advisories/2006/2882
■Microsoft Internet Explorer "WebViewFolderIcon" Integer Overflow[英文]（Secunia）
http://secunia.com/advisories/22159/
■Kill bit関連
・Internet Explorer で ActiveX コントロールの動作を停止する方法（マイクロソフト）
http://support.microsoft.com/kb/240797
・Setslice Killbit Apps[英文]（SANS Institute）
http://isc.sans.org/diary.php?storyid=1742
【ウイルス対策ソフトの対応】
・Exploit-CVE2006-3730（マカフィー）
http://www.mcafee.com/japan/security/virE.asp?v=Exploit-CVE2006-3730
・HTML_IESLICE.A（トレンドマイクロ）
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=HTML%5FIESLICE%2EA
・Bloodhound.Exploit.83[英文]（シマンテック）
http://www.symantec.com/enterprise/security_response/writeup.jsp?docid=2006-092815-5341-99