本文書は、Windows NT World誌に寄稿した記事の原稿を、IDGジャパン編集部殿の許可を得た上で掲載したものです。 |
今回はInternet Explorer 5.0におけるセキュリティ上の不具合である、「Scriptlet.TypeLib問題」について解説する。この問題は1999年の8月に報告されたもので、既に修正モジュールもマイクロソフトから提供されており、話題としてはやや古い感がある。しかし、不正なWebサイトに不用意にアクセスすることがいかに危険か、またHTML形式の電子メールやネットニューズ記事にどのような脅威が存在するかを理解する上で、非常に役立つわかりやすい題材であるため、今回あえてとりあげた。 |
Scriptlet.TypeLib問題を一言で表すと、本来、「スクリプトを実行しても安全」ではないと設定されるべきActiveXコントロール「Scriptlet.TypeLib」が、誤って標準で「スクリプトを実行しても安全」であると設定されていたということである。 「スクリプトを実行しても安全」という設定は通常、ユーザのコンピュータ上に害を及ぼす可能性のないコントロールに対して行なわれるため、このように設定されたコントロールは基本的にユーザに対する確認なしに実行するようになっている。 図2はIE5.0の「インターネットオプション/セキュリティ」におけるインターネットゾーンの標準セキュリティ設定を表しているが、 ![]() 図2 IE5.0のインターネットゾーン標準セキュリティ設定
となっているのがわかる。すなわち、IE5.0でインターネット上のWebにアクセスする場合、「安全」とマークされていないコントロールのスクリプト実行はIE5.0の標準設定で「無効」であるため実行されないが、「安全」とマークされているコントロールは基本的に無条件で実行してしまうのである。 Scriptlet.TypeLibコントロールには、ユーザのコンピュータ上でファイルを操作(作成、変更等)する機能があり、コンピュータに害を与える危険性を潜在的に持っている。それにも関わらず、このコントロールは「スクリプトを実行しても安全」であると誤ってマークされている。そのため、Scriptlet.TypeLibコントロールの機能を悪用したWebページにIE5.0でアクセスすることにより、アクセスしているユーザの権限で操作可能な範囲においてユーザのコンピュータ上にファイルが作られたり、あるいはファイル内容が変更されたりしてしまう可能性がある。 この問題が発生するのは、基本的にはIE5.0がインストールされているWindows NTマシンおよびWindows 95/98マシンである。 |
さてここまではWebアクセスによるScriptlet.TypeLib問題の危険性を述べてきた。しかしHTMLのスクリプトやActiveXコントロールに起因する問題は、基本的にはそれらを処理する機能を持つような電子メールクライアントソフト、ネットニューズクライアントソフトにおいて、共通して発生する。端的な例が、IEに付属するOutlook Expressである。 Outlook ExpressはHTML形式の電子メールやネットニューズ記事を処理する際に、標準ではIEの「インターネットゾーン」のセキュリティ設定に基づいて、セキュリティの制御を行なう(図4)。 ![]() 図4 Outlook Expressの標準セキュリティゾーン設定 そのため、Outlook ExpressでHTMLメールやHTML記事を読むことは、インターネット上のWebページにアクセスするのと同レベルの危険性が伴なう。すなわち、今回のScriptlet.TypeLib問題を悪用したHTML形式電子メールや、HTML形式ネットニューズ記事をOutlook Expressで見た場合、その瞬間に不正なファイルを作成されてしまう危険性がある。ただ単に、メールや記事を「見た」だけで、である。 これがどれほど深刻であるかは、言うまでもない。添付ファイルのウィルスやトロイの木馬であれば、感染するためにはユーザがその添付ファイルを「開く」必要があるため、基本的にはダブルクリック等で意識して開かない限り感染しない。しかしHTMLのスクリプトの場合は、標準設定では「見た」だけで動作を開始するのである。 Outlook Express以外でも、同様の機能を持つ電子メールソフトやネットニューズソフトを使用している場合は注意が必要である。 |
マイクロソフトはこのScriptlet.TypeLib問題に対し、詳細なセキュリティ情報-MS99-032(英語)を発行し、修正モジュールを提供している。このセキュリティ情報および修正モジュールは、同時期に報告された「Eyedog問題」と合わせて、「"Scriptlet.typelib" および "Eyedog" 問題」というタイトルで提供されている。ちなみにこの「Eyedog問題」は、Scriptlet.TypeLib問題と同様ActiveXコントロール「Eyedog」の標準設定に起因する問題、およびEyedogのバッファ・オーバーフロー問題の二つからなり、Windows版のIE4.0とIE5.0に影響があるとされている。![]() この修正モジュールを適用することで、Scriptlet.TypeLib問題およびEyedog問題両方を修正することができる。セキュリティ情報-MS99-032のFAQによると、この修正モジュールは基本的に以下の2つを実行する。
前述の通り、IE5.0におけるインターネットゾーンの標準セキュリティ設定では「スクリプトを実行しても安全」とマークされていないコントロールは実行されないため、インターネットWebサイトへのアクセスにおいてはScriptlet.TypeLibコントロールは動作しない。ローカルイントラネットゾーンも同様である。信頼済みサイトゾーンにおいては、実行は許可されるがその前にユーザへの確認のメッセージが表示されるようになる。 |
以下は、マイクロソフトが発行しているIE5.0に関するセキュリティ情報の一覧(本原稿執筆時点)である。
これらの問題について、マイクロソフトは修正モジュールを提供しているか、もしくは今後提供する予定である。修正モジュールが提供され次第、適用することをお奨めしたい。だがたとえ修正モジュールを適用したとしても、過去の例を見る限り、また同様のセキュリティ問題が発覚する可能性は非常に高いと考えた方が良いだろう。 上記のIEに関する問題一覧を見ればわかるが、これらの問題のほとんどはActiveXコントロール、Java、JavaScriptといった動的なWebコンテンツに関連するものである。すなわち、信頼できないWebサイトにアクセスするに際して動的なWebコンテンツの実行を制限してしまうことにより、多くの場合IEセキュリティ問題を利用した攻撃から身を守ることができると考えられる。これは、動的Webコンテンツに関連するセキュリティ問題の修正モジュールが提供されるまでのワークアラウンド(回避策)としても有効である。マイクロソフトも、Javascript Redirect問題のワークアラウンドとして以下を推奨している(本原稿執筆時点でまだ修正モジュールが提供されていない)。 ![]()
これにより、ユーザが明示的に「信頼する」として信頼済みサイトゾーンに追加したWebサイト以外に対しては、そのWebサイトにアクセスすることで自動的に不正なスクリプトが実行してしまう危険は回避される。いわゆるホワイト・リスト・アプローチである。ちなみにIE5.0ではゾーンにサイトを追加する場合、例えば http://*.microsoft.com のような指定ができるので、DNSドメイン単位で「信頼する」ことも容易にできる。 インターネットゾーンのセキュリティ設定をどこまで厳しくするかは、基本的にユーザあるいはユーザが所属するサイトの判断であろう。ただし上記の「アクティブスクリプト」は最低限「無効」にすることが推奨される。 Outlook Expressは前述の通り、HTML形式のメッセージを処理する際にIEのインターネットゾーンのセキュリティ設定に基づいて、セキュリティの制御を行なう。そのため、インターネットゾーンのセキュリティ設定を厳しくすることで、HTML形式の電子メールやニューズ記事によるセキュリティ攻撃の脅威を低減させることができる。あるいは、Outlook Expressのオプションのセキュリティ設定で、セキュリティゾーンを「制限付きサイトゾーン」に変更することによって、安全性を確保することも可能である。繰り返しになるが、HTML形式の電子メールやニューズ記事によるセキュリティ攻撃は極めて危険性が高い。適切な対策を早期に施されることをお奨めする。 |
1999年10月執筆
セントラル・コンピュータ・サービス株式会社
塩月 誠人