WindowsのXMLコアサービス（MSXML）の未修整の脆弱性を突く実証コードが先週末に公開され、Webベースの大規模な攻撃に発展する恐れが高まっている。マイクロソフトからは、この問題を回避する一時的な措置として「Fix It」が提供されているので、Internet Explorer（IE）をご使用の方は、早急に「Fix It」を適用し、攻撃に備えていただきたい。
MSXMLは、Internet Explorer（IE）やMicrosoft Office製品などに含まれている、XMLドキュメントを扱うためのライブラリのこと。MSXMLのバージョン3～6には、初期化されていないメモリー上のオブジェクトにアクセスしてしまう問題があり、悪用されると、任意のコードが実行されるおそれがある。
今回公開されたコードは、IE経由でこの脆弱性を突くもの。このコードを仕掛けたWebサイトを、アクティブスクリプトが有効なIEで閲覧すると、不正なプログラムをユーザーの確認なしで実行してしまう。
この脆弱性を修正するパッチは、今のところ提供されていないが、当面の回避策を適用する「Fix It」が同社から提供されている。下記のサポート技術情報の「Fix itで解決する」のセクションにある「有効にする」と書かれた側の「Fix It」ボタンを押し、画面の指示に従うと、IE経由の攻撃を回避できるように、MSXMLの動作の一部に変更を加える設定が自動的に行われる。「無効にする」と書かれた側の「Fix It」ボタンを押して指示に従うと、適用した回避策を無効の状態に戻すことができる。
MSXMLの脆弱性は、Webサイトを閲覧するだけでウイルスに感染してしまう、ドライブバイダウロード攻撃に好んで使われるタイプの脆弱性なので、ディフォルトブラウザにIEを使用している方は、必ず「Fix It」を適用し、攻撃を受けてもウイルス感染に至らないよう備えておいていただきたい。
（2012/6/20 ネットセキュリティニュース）
【関連URL】
・セキュリティアドバイザリ (2719615)（マイクロソフト）
http://technet.microsoft.com/ja-jp/security/advisory/2719615
・サポート技術情報（2719651）（マイクロソフト）
http://support.microsoft.com/kb/2719615/ja
・Microsoft Windows 等の脆弱性の回避策について(KB2719615)(CVE-2012-1889)（IPA）
http://www.ipa.go.jp/security/ciadr/vul/20120618-windows.html
【関連記事：ネットセキュリティニュース】
・MSXMLの未修整の脆弱性を狙うゼロデイ攻撃発生、MSがアドバイザリ公開（2012/06/15）