マイクロソフトは、ハッカーが標的のデバイスにアクセスするためにChakra JavaScriptエンジンのゼロデイ・エクスプロイトを活用していることを知った後、EdgeブラウザのInternet Explorerモードへのアクセスを制限している。
マイクロソフトは、技術的な詳細は明らかにしなかったものの、脅威者がソーシャルエンジニアリングとChakraのエクスプロイトを組み合わせて、リモートでコードを実行していることを明らかにしました。
MicrosoftのEdgeセキュリティチームリーダーであるGareth Evansは、「Edgeセキュリティチームは最近、脅威者がEdge内のInternet Explorer（IE）モードを悪用して、疑うことを知らないユーザーのデバイスにアクセスしていることを示す情報を入手しました」と述べています。
Internet Explorerのサポートは2022年6月15日に終了しましたが、Microsoft Edgeには、一部のビジネスアプリケーションや政府機関のポータルで使用されている古い技術（ActiveXやFlash）とのレガシー互換性を保つためのIEモードがあります。
8月、Edgeのセキュリティチームは、脅威行為者がユーザーをIEモードでページを読み込むよう促す「公式のように偽装されたWebサイト」に誘導していることを知りました。
Chakraのゼロデイを悪用した後、攻撃者は2つ目の脆弱性を利用して特権を増加させ、ブラウザから脱出し、デバイスを完全に制御しました。
エバンス氏は、悪用された脆弱性の識別子を提供しておらず、Chakraの欠陥は未パッチであると述べた。
このリスクを軽減するため、Microsoftは、専用のツールバーボタン、コンテキストメニュー、ハンバーガーメニューの項目など、簡単な方法でEdgeのIEモードを有効にできる方法を削除しました。
IEモードを有効にしたいユーザーは、「設定」＞「デフォルトブラウザ」＞「許可」と進み、Internet Explorerを使用して読み込むページを定義する必要がある。
ソースは こちら：
この新しい制限は、IEモードの有効化をユーザーの意図的な操作にすることを目的としています。さらに、IEモードでの読み込みが許可されたWebサイトのリストにより、攻撃者が侵害を試みることは非常に困難になるはずです。
これらの変更は商用ユーザーには適用されず、企業ポリシーによって設定されたIEモードが引き続き使用される。
しかし、マイクロソフトはユーザーに対し、Internet Explorerのレガシーなウェブ技術から、より優れたセキュリティを提供し、信頼性が高く、パフォーマンスが改善された最新の製品に移行すべきであると注意を促している。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}
.ia_button {
width: 100%;
margin: 0px auto;
}
}
今年のセキュリティ検証イベントPicus BASサミット
Breach and Attack Simulation Summitに参加して、セキュリティ検証の未来を体験してください。一流の専門家から話を聞き、AIを搭載したBASが侵害と攻撃のシミュレーションをどのように変革するかをご覧ください。
セキュリティ戦略の未来を形作るイベントをお見逃しなく。
Comments