JRE（Java Runtime Environment：Java実行環境）の未修整の脆弱性を悪用した攻撃が発生しているとして、セキュリティ企業や機関が注意を呼びかけている。修正版が提供されるまでの間は、WebブラウザのJavaプラグインを無効化しておくことをお勧めする。
JREは、Java（ジャバ）というプログラミング言語で書かれたプログラムを実行するために必要なソフトウェア。JavaScriptとは全くの別もので、ブラウザ内で動くアプリケーション（アプレット）と、単体で動く通常のアプリケーションの両方をサポートしている。
今回見つかった脆弱性（CVE-2012-4681）は、FireEyeが26日付のブログで明らかにしたもの。ブラウザ内で動くアプレットには、さまざまなセキュリティ上の制限がかけられているが、今回見つかった脆弱性を悪用すると、この制限を超えて外部からプログラムをダウンロードしたり、実行したりすることができ、システムに悪質なプログラムをインストールされてしまうおそれがある。
攻撃コードは一般公開されており、すでに「BlackHole Exploit Kit」に実装されたとの情報もある。「BlackHole Exploit Kit」は、閲覧者のパソコンをウイルスに感染させるために、ブラウザやプラグインなどのさまざまな脆弱性攻撃をしかける攻撃ツールのひとつ。国内では、改ざんされた正規サイトから誘導される攻撃サイトで、しばしば、このツールが使われている。サイトを閲覧するだけでウイルスに感染してしまう、いわゆる「ドライブバイダウンロード」と呼ばれる攻撃だ。JREの脆弱性は、ドライブバイダウンロード攻撃で最も多く用いられており、攻撃ツールへの実装により急速な拡大が懸念される。
影響を受けるのは、最新版であるJRE 7 Update 6およびそれ以前のバージョン。JRE 6については、現行の攻撃コードは影響しないが、同じ脆弱性を抱えている可能性はある。オラクルからの修正版提供は、現時点では未定だ。修正版が提供されるまでの間は、以下の手順を参考に使用しているWebブラウザを設定し、Javaアプレットが実行されないよう、プラグインを無効化しておくことをお勧めする。
■Internet Explorer
１）[ツール]アイコンをクリックし[アドオンの管理]を選択、または[ツール]メニューの[アドオンの管理]を選択し、「アドオンの管理」画面を表示する。メニューに[アドオンの管理]がない場合は、[ツール]メニューの[インターネットオプション]で「インターネットオプション」画面を開き、[プログラム]タブの[アドオンの管理]ボタンをクリックすると、「アドオンの管理」画面が表示される。
２）IE8/9は、「アドオンの管理」画面の「アドオンの種類」から[ツールバーと拡張機能]を選択し、[すべてのアドオン]を選択。IE6/7は、[Internet Explorerで使用されたアドオン]を選択し、すべてのアドオンを表示する。
３）Javaプラグイン（「Java Plug-in…」など）を選択し、IE 8/9は、[無効にする]ボタンをクリックする。IE 6/7は、設定欄の[無効]を選択する。
■Firefox
１）[Firefox]ボタンの[アドオン]、または[ツール]メニューの[アドオン]、またはキーボードの[Ctrl]＋[Shift]＋[A]を押し（3つのキーを同時に押す）、「アドオンマネージャ」ページを開く。
２）アドオンマネージャの[プラグイン]パネルを選択する。
３）Javaプラグイン（「Java Platoform…」「Java Plug-in…」など）の[無効化]ボタンをクリックする。無効化されると、ボタンは[有効化]に変わる。
■Google Chrome
１）アドレスバーに「chrome://plugins/」と入力し（「」は不要）、「プラグイン」ページを開く。
２）Javaプラグイン（「Java…」）の「無効にする」をクリックする。無効化されると、リンクは「有効にする」に変わる。
（2012/8/29 ネットセキュリティニュース）
【関連URL】
・Oracle Java 7 に脆弱性（JVN）
http://jvn.jp/cert/JVNTA12-240A/
・Zero-Day Season is Not Over Yet[英文]（FireEye）
http://blog.fireeye.com/research/2012/08/zero-day-season-is-not-over-yet.htm
l
・Quick Bits about Today's Java 0-Day[英文]（SANS Institute）
http://isc.sans.edu/diary.html?storyid=13984
・Attackers Pounce on Zero-Day Java Exploit[英文]（Krebs on Security）
http://krebsonsecurity.com/2012/08/attackers-pounce-on-zero-day-java-exploit
/
・Oracle Java Unspecified Code Execution Vulnerability[英文]（Secunia）
http://secunia.com/advisories/50133/
・Unpatched Java exploit spreads like wildfire[英文]（Sophos）
http://nakedsecurity.sophos.com/2012/08/28/unpatched-java-exploit-spreads-li
ke-wildfire/