JVNVU#91275940: Microsoft XML DOM ActiveX コントロールに情報漏えいの脆弱性

Microsoft が提供する XML DOM ActiveX コントロールには、情報漏えいの脆弱性が存在します。

Microsoft が提供する XML DOM ActiveX コントロールには、エラーコードからユーザの PC に関する情報が漏えいする脆弱性が存在します。

JVNVU#96727848 を使用した攻撃コードにおいて、本脆弱性が使用されています。

細工された HTML ドキュメントを閲覧することで、ユーザの PC に関する情報 (特定のファイルの存在など) が漏えいする可能性があります。

2014年2月18日現在、対策方法は不明です。

CERT/CC Vulnerability Note VU#539289
Microsoft XMLDOM ActiveX control information disclosure vulnerability
Japan Vulnerability Notes JVNVU#96727848
Internet Explorer に解放済みメモリ使用 (use-after-free) の脆弱性

2014.02.18における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される	中
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

JVNVU#91275940 Microsoft XML DOM ActiveX コントロールに情報漏えいの脆弱性