| ★阿修羅♪ > ＩＴ8 > 526.html ★阿修羅♪ |
|
| Tweet |
(回答先: Firefox 1.5にブラウザを使用不能にさせられる脆弱性 投稿者 サトミ 日時 2005 年 12 月 09 日 04:00:05)
Google Desktopユーザーもあぶない、IEの脆弱性で情報漏出のおそれ
http://japan.cnet.com/news/sec/story/0,2000050480,20092120,00.htm
Joris Evers（CNET News.com）
2005/12/05 10:28 Trackback(11)
MicrosoftのInternet Explorer（IE）にある脆弱性を悪用して、
Googleのデスクトップ検索ツールを利用するユーザーの情報を盗み出す方法を、
イスラエルのあるセキュリティ研究者が発見した。
このMatan Gillonという研究者は米国時間11月30日、このハッキング方法に関する解説を公表したが、それによるとIEがCSS（Cascading Style Sheets）を処理する方法にバグがあるという。CSSとは複数のウェブページに共通のスタイルを設定する手法を指す。CSSを使ったウェブページのデザイン手法は、数多くのサイトで利用されている。
この概念実証手法は、あるソフトウェアの脆弱性が、PC上に存在するすべてのプログラムに影響を与える一例で、これらのプログラムのなかにはGoogle Desktopも含まれる。
「IEのなかにある設計上の脆弱性により、攻撃者がユーザーのプライベートデータを取得したり、リモートドメイン上でユーザーに成り代わって操作を行えるようになる」とGillonは説明している。同氏はこの問題を示すためにあるウェブページを作成した。IEでこのページにアクセスすると、Google Desktopが勝手に「パスワード」というキーワードで検索をかけ、その結果を取得してしまうという。
この脆弱性を悪用するためには、攻撃者が被害者を悪質なウェブページに誘い込む必要がある。「何千ものウェブサイトが悪用される可能性があり、少なくともIEが修正されない限り、この攻撃を簡単に防ぐ方法はない」（Gillon）
Microsoftでは現在この問題について調査を進めている。同社によると、これはInternet Explorerのクロスドメイン保護に影響を与える問題だという。「攻撃者がこの脆弱性を悪用して、特定の設定の別サイトにおかれたコンテンツに、脆弱性のあるサイトからアクセスできてしまう可能性がある」（Microsoftの声明）
Microsoftはまだこの脆弱性を悪用するエクスプロイトコードを確認していないが、同社は状況の監視を続けていくという。同社によると、この問題に関するセキュリティアップデートもしくは勧告が出される可能性があるという。
GoogleでもGillonの発見した問題について調査を進めている。同社広報担当のSonya Boralvは「この問題は確認したばかりで、まだ調査中だ」と電子メールによる声明のなかで述べている。
Gillonの作成したサンプルは、IEの脆弱性を利用してGoogle Desktopを勝手に使うものだが、この脆弱性や他のソフトウェアにあるバグを悪用すれば、事実上どのアプリケーションにもひそかにアクセスすることが可能だという。
セキュリティ研究者のTom Ferrisは、「これはIEが抱えているほかの脆弱性と同じようなものだが、ただしGoogle Desktopでデータを取得するためにGillonが考えた方法は独創的だ。Quickenのデータやデータベースファイルなどを盗むのに、これを悪用できることは確実だ」と語っている。
eEye Digital SecurityのセキュリティプロダクトマネジャーSteve Manzuikも同意見だ。
「これは間違いなくIEの脆弱性であり、Googleのバグではない。Google Desktopを使ってデータを取得してはいるが、それを可能にしているのはIEだ」（Manzuik）
Gillonによると、この脆弱性があるのはIEだけで、FirefoxやOperaでは見つかっていないという。同氏はIEユーザーに対し、保護措置としてJavaScriptを無効にするように勧めている。
題名には必ず「阿修羅さんへ」と記述してください。