Internet Explorer 6（IE6）にコードが実行されるおそれのある未修正の脆弱性が見つかったとして、セキュリティベンダー各社が警告している。
報告されている脆弱性は、「DirectAnimation パスコントロール」のメソッドでヒープオーバーフローが発生するというもの。悪用されるとウェブサイトを閲覧するだけで、IEがクラッシュしたり任意のコードが実行されるおそれがある。
当該脆弱性は先月28日（現地時間、以下同）、パスコントロールのSplineメソッドでIEをクラッシュする実証コードが公開。今月13日にはKeyFrameメソッドを使用し、実際にコマンドを実行する実証コードが公開された。悪用される危険性が非常に高く、深刻な状況だ。
フランスのFrSIRTは13日、デンマークのSecuniaは14日、最も危険度の高い脆弱性と評価したアドバイザリを公開。FrSIRTは、「インターネット」と「イントラネット」のセキュリティゾーンで、アクティブスクリプトを無効にするよう促している。
【アクティブスクリプトを無効にする方法】
1)IEの[ツール]メニューから[インターネットオプション]を実行
2)[セキュリティ]タブを開き[インターネット]ゾーンを選択し、[レベルのカスタマイズ]ボタンを押す
3)[設定]リストにある[アクティブスクリプト]のラジオボタンを[無効にする]（または[ダイアログを表示する]）に設定し[OK]ボタン
4)[イントラネット]ゾーンも同様に設定し[OK]ボタンで設定終了
※標準設定では、「インターネット」「イントラネット」ゾーンのアクティブスクリプトは有効に、「制限付きサイト」は無効に設定されている。
※アクティブスクリプトを無効にすると、一部サイトでは閲覧時に不都合が生じることがある。
（2006/09/15 ネットセキュリティニュース）
■脆弱性情報（英文）
・Internet Explorer daxctle.ocx "KeyFrame()" Method Vulnerability（Secunia）
http://secunia.com/advisories/21910/
・Microsoft Internet Explorer "daxctle.ocx" KeyFrame Buffer Overflow Vulnerability（FrSIRT）
http://www.frsirt.com/english/advisories/2006/3593
・CVE-2006-4446：Spline()
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4446
・CVE-2006-4777：KeyFrame()
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4777