| ★阿修羅♪ > ＩＴ8 > 418.html ★阿修羅♪ |
|
| Tweet |
Firefoxのバグの実証コードが公開
http://www.itmedia.co.jp/enterprise/articles/0510/18/news018.html
実証コードを公開したWhitedust Securityは、「致命的なバグではないかもしれないが、DoS攻撃を利用してより深刻な攻撃を仕掛けられる可能性がある」と指摘している。
2005年10月18日 09時17分 更新
Mozilla Firefoxブラウザの致命的でないバグを利用して、サービス停止（DoS）攻撃を引き起こすことができると、Whitedust Securityが指摘している。
同サイトはこの主張を証明するための脆弱性実証コードと単純なテストリンクを公開した。
このコードが利用するバグはMozillaにとって既知のものだ。これは8月からMozillaのバグトラッキングシステムである「Bugzilla」に掲載されていた。
このBugzilla Bug 303433は初めsecurity-protocols.comのトム・フェリス氏が報告し、「この不正な形式の.htmlページでFirefox 1.0.6のsegfaultsが起きる」というタイトルが付けられている。
セキュリティ企業Secuniaは10月10日にこのバグに関するアドバイザリを掲載し、「Mozilla Firefox IframeサイズのDoSの脆弱性」という題と「Not critical（致命的でない）」という評価を付けている。
このバグは現行版のFirefox 1.0.7およびそれ以前のバージョンに影響するようだ。Firefox 1.5のβ2でこのバグは修正されている。
「ブラウザを繰り返しクラッシュさせられるというのは致命的なバグではないかもしれないが、もっと時間があればDoS攻撃を利用してより深刻な攻撃を仕掛けられる可能性がある」とWhitedustのマーク・アンダーソン氏。「もしもこのバグがブラウザをクラッシュさせることにしか利用できないとしたら、どちらかと言えばささいなものであり、致命的と評価するには至らない」
一部には、ブラウザのクラッシュは実際にはDoSではないと主張する向きもいるが、アンダーソン氏の意見はそれとは異なっている。
「定義に従えば、このバグは明らかにDoSだ。ブラウザをクラッシュさせることで、このバグはユーザーの閲覧行為を中断させ、実質的にはすべてのアクティブなセッションを破壊して、サービスを停止する」（同氏）
原文へのリンク http://www.internetnews.com/security/article.php/3556816
題名には必ず「阿修羅さんへ」と記述してください。