現在地 HOME > ＩＴ7 > 471.html
★阿修羅♪
|
現在地 HOME > ＩＴ7 > 471.html
★阿修羅♪
|
|
| Tweet |
「Mozilla，Firefox，Thunderbirdに新たに複数のセキュリティ・ホールを発見」，デンマーク【IT_Pro】
http://itpro.nikkeibp.co.jp/free/ITPro/USNEWS/20050302/156873/
[2005/03/02]
デンマークSecuniaは，Webブラウザ「Firefox」，「Mozilla」，電子メール・クライアント「Thunderbird」に見つかった複数のセキュリティ・ホールを現地時間3月1日に公開した。これらの弱点を突くことにより，ネットワーク内のユーザーがより高度な権限を持てるようになったり，外部の者によるスプーフィング攻撃，個人情報の窃盗，操作が行なわれる可能性があるという。
公開されたセキュリティ・ホールの多くは，SSLセキュア・サイトのアイコンから無効なタブのコンテンツまで，Webサイトにおけるさまざまな面の偽装を可能にするものだった。
その中のひとつとしてリモートからマシン操作が可能なるバグが公開された。Firefoxのプラグインの操作でテンポラリ・ディレクトリが作成されることにより弱点を突かれる原因となる。これを悪用することにより，MozillaまたはFirefoxを稼動しているユーザーの権限を利用してコンピュータから任意のディレクトリ，ファイルの削除が可能になるという。
また，ダイアログを悪用してユーザーを欺く可能性があるバグも見つかった。ダウンロード・ダイアログ「リンクに名前を付けて保存」に表示されるファイルの種類はURLを使って関連付けが行なわれるが，実際にダウンロードしたファイルを保存する場合にはHTTPヘッダーの「Content- Disposition」のファイル名が使用される。そのため，悪意のあるWebサイトは，これを利用して「リンクに名前を付けて保存」に表示されるファイル形式を偽って別の形式のファイルをダウンロードさせることができるという。
その他にも，自動的にフォームに記入する機能を利用してユーサーを欺き，個人情報やクレジット・カード番号などを引き出す可能性があるものも公開されている。
これらの脆弱性が存在するのは，Mozilla 0.x，1.0，1.1，1.2，1.3，1.4，1.5，1.6，1.7.x，Mozilla Firefox 0.x，1.x，およびMozilla Thunderbird 0.x，1.x。Secunia社は，これらの脆弱性の危険度をまとめて「中」と評価している。
Firefoxの脆弱性は修正され，Firefox 1.0.1のリリースが前週開始された。同社は最新版のダウンロードを勧めている。Firefox 1.0.1は， MozillaのWWWサイトから配布されている。
Mozillaの脆弱性は修正されているが，パッチが施された1.7.6はまだ正式には公開されていない。Thunderbirdもバグの影響を受けやすいが同じく修正されたバージョンはまだ公開されていない。Mozilla 1.7.6とThunderbird 1.0.1は同週リリースが予定されている。
◎関連記事
■米Mozilla Foundation，「Mozilla」「Firefox」などの開発状況を明らかに
■「『Firefox』のダウンロード数が2500万件を突破」，米Mozilla Foundation
■米Mozilla Foundation，「Firefox 1.1」最終版リリースを3カ月遅らせ6月に
■ MozillaやFirefoxにダウンロード・ダイアログを偽装されるセキュリティ・ホール
■米Mozilla Foundation，「Thunderbird」にフィッシング警告機能搭載へ
■デンマークのSecunia，「Mozilla」と「Firefox」のセキュリティ・ホールを相次いで報告
［発表資料（1）］
［発表資料（2）］
［発表資料（3）］
題名には必ず「阿修羅さんへ」と記述してください。