Softpediaの記事)。CVE-2020-0674はスクリプトエンジン(jscript.dll)がIEで...moreメモリ内のオブジェクトを処理する方法に存在する。この脆弱性を悪用してメモリ破損を引き起こすことで、現在のユーザーのコンテキストで任意コードの実行が可能になるという。ターゲットを限定した攻撃が確認されており、攻撃者が電子メールなどを通じて特別に細工したWebサイトにアクセスするようターゲットを誘導するといったシナリオが提示されている。回避策としてはtakeownコマンドでjscript.dllの所有者になり、caclsコマンドでeveryoneのアクセス権を「なし」にするというもの。jscript.dllでは同様の脆弱性が過去にも発見されており、回避策も同様の内容だ。元に戻すにはcaclsコマンドでeveryoneのアクセス権を失効させればいい。Microsoftでは更新プログラムをインストールする前に変更を元に戻しておくことを推奨している。IEはデフォルトでjscript9.dllを使用するため、jscript.dllをスクリプトエンジンとして使用するWebサイト以外は回避策の影響を受けないとのこと。9~11が影響を受ける。脆弱性の深刻度はクライアント系Windowsで「重大」、サーバー系Windowsで「中」となっている。この脆弱性に対する更新プログラムは月例更新で提供する計画のようだ。Store」版のコードベースが統合される。これにより、両方のバージョンに同じ新機能を追加できるようになる。Framework」に対応し、他の「Office」アプリの機能の移植も容易になるという。Gecko」といった現在では特に意味のない情報が含まれる一方、ブラウザー...moreバージョンやOSバージョンなどフィンガープリンティングに使われる可能性のある情報も含まれる。70で削除されている。Googleのサービスを含めUAによってブロックされたり、正常に表示されなかったりすることもある。Edgeは接続先に応じてUAを切り替えて別のブラウザに偽装している。UAの凍結は過去にSafariチームが試みているが、UAに応じたコンテンツのネゴシエーションに代わる方法がなく、一部の変更を取り消したという。Hints(UA-CH)がUA文字列の代替になると考えているそうだ。81で「navigator.userAgent」を非推奨とし、WebサイトがJavaScriptでUAを取得しようとするとコンソールに警告を出力する。83ではWebブラウザのバージョンを凍結し、OSバージョンを統合する。85ではデスクトップOSを示す文字列をデスクトップ版Webブラウザを示す共通のものにし、モバイルOS/デバイスを示す文字列は画面解像度ごとに共通化するとのこと。UA凍結について、Safariは上述の通り既に実施しているが、MicrosoftやMozillaも支持しているそうだ。MozillaではFirefoxへのUA-CH実装に消極的なようだ。Sandbox」の構想を発表した際、サードパーティーのトラッキングcookieをブロックするとフィンガープリンティングなど不透明な手法の利用が進んでプライバシーがかえって低下すると述べていた。先日Chromeでのサードパーティーcookie廃止計画を発表した際にも、同様の説明を繰り返している。