Internet Explorer の新たな脆弱性

セキュリティ
ie vulnerabilities

IE のセキュリティ設定は全て[高] にしたほうが良いかも で書いた話の続き。
今回の脆弱性を利用したテストコードで任意のコードが実行されるか確認できます。IE のセキュリティ設定を[高] にした上で、Active スクリプトなどを有効にしている状態のSleipnir 1.66@WindowsXP SP1 では、JavaScript をオンにしただけでは何も起こらず、JavaScript とActiveX の両方をオンにするとテストコードが実行されてしまうことが確認できました。
一応、JavaScript やActiveX などをデフォルトでオフにしておいて、必要に応じてオンにする、という使い方をすることで、いきなり実行されてしまう、ということはある程度回避できると思いますが、「JavaScript + ActiveX をオンにしないと見られないコンテンツ(面白いFlash 等)が置いてあるページに悪意あるコードを仕込んでおく」 というシナリオでは全く意味を成さないです。
完全に他のブラウザに移行することが難しい(めんどくさい) などの場合でも、危なそうなページを見るときはまずFirefox で確認するなど、ブラウザの併用も考えても良いかも。
こういう話題のときに良く出てくる代替ブラウザのひとつとして、Deepnet Explorer というのがあるのですが、セキュリティ対策が結構なされてるみたいで、IE コンポーネントを使ってないみたいだし(IE コンポーネント使っていました)、検討に値するかも。

ついでに。Sleipnir の後継ブラウザは6月頃リリース予定だとか。ブラウザエンジンはIE コンポーネント + Gecko になるのか、Gecko オンリーになるのか。期待。

(2005/01/11 19:48 追記)

(2005/01/12 13:01 追記)

上記とは別の、Sleipnir 1.66@WindowsXP SP2 環境では"c:\windows" のフォルダ名を変えていたので、今回のテストページは完全には実行されませんでした。でも、この部分を"%SystemRoot%" とかに書き換えられたら普通に実行されてしまいそうな気がする。
(2005/09/19 00:09 追記)
コメントでDeepnet Explorer に関する記述間違いをご指摘頂いたので確認の上、訂正しました。ありがとうございます。
1.5 を入れて試してみたのですが、確かに右クリックしたら思いっきりIE のコマンドウィンドウが出ますね…。あぁ恥ずかしい。
で、日本語化とかできないのかなー、と探していたら早速見つけたのでリンク。現在のパックは1.4.1 あたり用で、1.5 にはまだ対応していないようです。