マイクロソフトは7月3日，Internet Explorer（IE）のセキュリティ・ホールを突く攻撃を回避するためのプログラムを公開した。プログラムを実行すると，攻撃に利用されるActiveX コントロール「ADODB.Stream」を無効にする。これにより，「Download.Ject」のような攻撃コードの影響を回避できるようにする（関連記事）。同プログラムはWindows 2000／XP／Server 2003用。同社のページからダウンロードできるほか，Windows Updateからも適用できる。

　IEの修正パッチをすべて適用していても，Webページを閲覧するだけで被害を受ける攻撃コードが出回っている（関連記事1，関連記事2）。攻撃コードが埋め込まれたページをIEで閲覧すると，悪意のあるプログラムをダウンロードおよび実行させられる。その結果，ユーザーが入力した重要情報を盗み出される可能性などがある。

　攻撃コードは，IEの「クロスドメインの脆弱性」と呼ばれるセキュリティ・ホールと，Windowsに含まれるActiveXコントロールの一つであるADODB.Streamを使う。そこで今回マイクロソフトが公開したプログラムは，Windowsの設定を変更して，IEからADODB.Streamを使えなくすることで，攻撃を回避できるようにする。

　今回のプログラムを適用しなくても，レジストリ・エディタ（Regedit）を使って特定のレジストリ・キーを作成すれば，IEからADODB.Streamを呼び出せないようにできる。ただし，レジストリの操作には危険が伴う。今回公開されたプログラムは，この操作を自動的に行う。

◎参考資料
◆Download.Ject に関する情報（マイクロソフト）
◆Critical Update for Microsoft Data Access Components - Disable ADODB.Stream object from Internet Explorer (KB870669) - 日本語
◆Internet Explorer で ADODB.Stream オブジェクトを無効にする方法（マイクロソフト）
◆Internet Explorer で ADODB.Stream オブジェクトを無効にする方法（JPCET/CC Vendor Status Note）

（勝村　幸博＝IT Pro）