2014年4月26日、Microsoftから発表されたセキュリティアドバイザリー2963983において、まだパッチは提供されていないが、回避策として「VGX.DLLの無効化」が提示されている。 そもそも提示された回避策６つの中で、現実的で実効的なものは、この「VGX.DLLの無効化」だけだった。これを無効化することで、VML形式のベクター画像が表示できなくなる。やり方は、以下のとおり。
VGX.DLLの無効化方法
コマンドプロンプトが管理者権限で開かれたら、「”%SystemRoot%\System32\regsvr32.exe” -u “%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll”」を入力し、エンターキーを押して実行。64ビット版OSの場合は、「”%SystemRoot%\System32\regsvr32.exe” -u “%CommonProgramFiles(x86)%\Microsoft Shared\VGX\vgx.dll”」も実行。ダイイアログボックスで、下記のようなダイアログがでれば「OK」を押してダイアログボックスを閉じ、IEを再起動する。
そもそもVML形式とはなにか。マイクロソフトの回避策ページには、ベクター画像と書いてあったので、イラストレータで使用するようなベクター画像が使えなくなるのかと思ったが、そうではなく、VMLというIE９以前のバージョンでサポートされていたIE独自のベクター画像表示マークアップランゲージだった模様。
IE１０ではもう廃止されており、今では全くと言っていいほど使用されていない。詳しくは「とほほのVML入門」を参照されたし。久しぶりに「とほほ」見たわ！！
まず、上記のコマンド入力前にIEでとほほのVMLのページをみて、丸や四角といったVML画像が表示されているのを確認する。
コマンド入力後、IEを再起動してから同じページを見ると、VML画像が表示されなくなる。これで対応が完了。
コマンドが正しく認識されて、vgx.dllが無効化されたかどうかは、これで判定できます。 ちなみに、VMLはIEでしか見れないので、chromeやfirefoxでは何も表示されません。 全く、とんだ脆弱性だよ・・・・。
コメント