米労働省の関連サイトが今月１日に改ざんされ、不正なプログラムを強制的にインストールしようとするドライブバイダウンロード攻撃が行われた問題で、Internet Explorer（IE）の未修正の脆弱性が悪用されていたことがわかり、セキュリティ企業などが注意を促している。マイクロソフトは4日、この問題に関するセキュリティアドバイザリーを公開した。
悪用された脆弱性は、IE 8が解放したメモリーにアクセスしてしまう問題で、細工されたWebサイトを閲覧するだけで、任意のコードが実行されるおそれがある。脆弱性が影響するのはIE 8のみで、他（IE 6/7/9/10）への影響はない。
IE 8は、Windows 7に搭載された標準ブラウザーで、Windows Vista/XPにも提供されている。IE 8を使用しているWindows 7ユーザーは脆弱性の影響を受けないIE 9/10に、Windows VistaユーザーはIE 9に、アップグレードすることをお勧めする。
IE 8を利用し続けなければいけない方は、アクティブスクリプトを無効にすることによって、攻撃を回避することができる。[ツール]メニューの[インターネットオプション]で、[セキュリティ]タブを選択し、インターネットおよびローカルイントラネットのセキュリティゾーンのセキュリティレベルを「高」に設定すると、これらゾーンでのアクティブスクリプトとActiveXコントロールを無効にすることができる。
アドバイザリーでは、同社が無償提供している脆弱性攻撃を緩和するツール「EMET（Enhanced Mitigation Experience Toolkit）」の利用も回避策のひとつとしてあげている。EMETにIEを監視させるための設定方法については、アドバイザリーを参照していただきたい。
攻撃は、まだ始まったばかりの段階だが、攻撃コードが公になっているため今後の攻撃拡大が懸念される。Windowsユーザーは、攻撃の影響を受けないように、何らかの回避策をとっていただきたい。
（2013/05/07 ネットセキュリティニュース）
【関連URL】
・Microsoft Security Advisory (2847140) Vulnerability in Internet Explorer Could Allow Remote Code Execution[英文]（Microsoft）
http://technet.microsoft.com/en-us/security/advisory/2847140