最終更新時刻:2008年5月16日(金) 13時43分

IEとFirefoxをインストールしている人は要注意--「非常に重大」なセキュリティリスク

文:Dawn Kawamoto(CNET News.com)
翻訳校正:編集部

2007/07/11 13:57  

 「(Internet ExplorerとFirefoxの)どちらにも非がある」

 「Internet Explorer」のゼロデイエクスプロイトについて当初はMicrosoftを非難していたセキュリティ研究者たちが今、このように述べている。この問題はウェブブラウザ「Firefox」のユーザーにも影響するからである。

 IEと、Firefoxのバージョン2.0以降をインストールしているユーザーは、「非常に重大」なリスクにさらされている。攻撃者は、悪質なサイトをユーザーにIEで閲覧させることで、「firefoxurl://」というURLハンドラを利用しながら、ブラウザとウェブ上の特定のリソースとの間でやりとりをさせることが可能になる。この結果、ユーザーのシステムが遠隔地から悪用される可能性がある。

 IEの問題を発見したセキュリティ研究者のThor Larholm氏とセキュリティ企業大手のSymantecは米国時間7月10日、この問題についてIEを非難した。その一方で、Secuniaの最高技術責任者(CTO)Thomas Kristensen氏は、これをバージョン2.0以降のFirefoxで発生する問題として、警告を掲示している。

 SymantecのSecurity Response Centerでディレクターを務めるOliver Friedrichs氏は、「問題の原因は、双方にある。非常に複雑なアプリケーションが2つあり、これらがうまく連携していないためにセキュリティ上の問題が発生した。それぞれスタンドアロン製品としては安全だが、一緒になるとそうでなくなる」と語った。

 Larholm氏はある読者のコメントに対し、「今回の件ではFirefoxがアタックベクトルになっている。しかし、Internet Explorerもコマンドラインへの入力をチェックし、適切に文字をエスケープしていないという点において、非難されてしかるべきだ。FirefoxがURLハンドラとしてDDE(Dymamic Data Exchange)を利用し、コマンドラインに引数が付加される可能性を回避すべきだったことは確かだ。しかし、IEも外部アプリケーションを安全に起動できなくてはならない」と語った。

 Friedrichs氏の指摘によると、10月にバージョン2がリリースされたFirefoxは人気を博しているが、IEはWindows OSに付属しているため、大半のFirefoxユーザーのPCにはIEもインストールされているという。

 この問題のリスクに直面している人の数は膨大な可能性があると、同氏は加えた。

 一方、SecuniaのKristensen氏は、「新しいURIハンドラは、『firefoxurl:// 』が呼び出されたときに、サイトがFirefoxを強制的に起動できるように、Windowsシステムでサポートされた。『ftp://』や『http://』などがほかのアプリケーションを呼び出すのと同じだ」と語っている。

 しかし、FirefoxのURIハンドラには登録方法に問題があり、「firefoxurl://」を起動すると、(プログラムを呼び出して特定のタスクを実行するための)パラメータが、MicrosoftのInternet ExplorerなどのアプリケーションからFirefoxにすべて渡されてしまう。

 攻撃者が「chrome」コンテキストを使い、Firefoxで実行可能なコードをユーザーのシステムに挿入する場合があるとKristensen氏は述べる。chromeとは、表示ページの外側にあるフレームのユーザインタフェース部品のこと。

 Kristensen氏は、「Windowsは、アプリケーションにとって危険な入力を適切に把握する手段を持ち合わせていないため、URIハンドラの登録は慎重に行うべきである。たとえば、Windowsは『chrome』という文字列がFirefoxにとって危険なことを知るすべを持ち合わせていない」と語っている。

 悪質なウェブサイトを回避する以外にも、システム管理者がFirefox URLのURLハンドラを削除したり、Firefoxによるchrome入力の受け入れ方法を変えることができると、Kristensen氏は語っている。

この記事は海外CNET Networks発のニュースを編集部が日本向けに編集したものです。海外CNET Networksの記事へ

特集

「データポータビリティ」の行方--グーグル、Facebook、マイスペースの施策を検証
マイスペース、Facebook、グーグルといったメジャーな企業が次々とデータポータビリティ技術を発表しているが、こうした技術の並立はデータの共有化ではなくて市場の分断化に向かう恐れはないのか。
西暦2050年のテクノロジ世界--IBMの研究者5人が予測
南カリフォルニア大学はIBMと協力して、芸術、科学、技術の交点を模索するプロジェクトを開始したが、その第1回のイベントでIBMの5人の科学者が2050年の人間の生活を予測した。

オピニオン

■インタビュー

躍進する中国最大のビデオ共有サービス56.com--YouTubeと異なる強みと戦略躍進する中国最大のビデオ共有サービス56.com--YouTubeと異なる強みと戦略
次世代YouTubeとも言われている中国56.comのPresidentであるJay Chang氏に、急成長を遂げた背景や今後の戦略、中国のビデオサービス事情、規制、日本企業による出資など多岐にわたって聞いた。
今夏に新はてなブックマーク登場--その進化と情熱今夏に新はてなブックマーク登場--その進化と情熱
はてなブックマークが今夏にも初めてのリニューアルを迎える。開発を担当するはてな執行役員 最高技術責任者の伊藤直也氏に、はてなブックマークの現状、課題、新バージョンのポイントなどを聞いた。

■コラム

人気を集めるモバイルコンテンツにも変化の波人気を集めるモバイルコンテンツにも変化の波
モバイルコンテンツ市場においては、音楽とゲームが大きな2本柱になっている。しかしその人気コンテンツは、時とともに移り変わっている。
倍々ゲームのDeNAは高成長持続へ倍々ゲームのDeNAは高成長持続へ
DeNAは、好調な2008年3月期の連結決算と2009年3月期の連結業績見通しを発表し、改めて同社の成長力の強さが確認されたかたちで株価先高期待感が高まっている。
ドイツの出版社が「ウィキペディア」を書籍化、出版へドイツの出版社が「ウィキペディア」を書籍化、出版へ
ドイツの大手出版社がオンライン百科事典「ウィキペディア」の主要な項目を収録した百科事典を9月に出版する計画を発表した。そして、記事の執筆者は本来もらうべき印税をだまし取られているのではないかという議論が巻き起ころうとしている。

企画特集

-Simplify IT- ITをシンプルに 連載第2回-Simplify IT- ITをシンプルに 連載第2回
PowerEdgeサーバ〜Windows Server 2008モデル登場
リスティング広告における競争優位性の維持リスティング広告における競争優位性の維持
ビジネスに直結したSEM戦略の最適化を検証していく
内部統制対策を実現するIT運用管理ツール内部統制対策を実現するIT運用管理ツール
IT運用管理手法として注目が高まる、ITILによる運用管理を紹介

ブログネットワーク

アルファブロガー

クロサカタツヤの情報通信インサイトミャンマーと四川省の災害に寄せて
クロサカタツヤの情報通信インサイト
福徳俊弘のリッチ&リーチメディア論日米欧にみるメディア利用特性の差
福徳俊弘のリッチ&リーチメディア論
村上敬亮 情報産業の未来図絵画の価格高騰 〜批評家は間違えられない
村上敬亮 情報産業の未来図
ケータイ時代のスタンダードPRADA phoneパーティー
ケータイ時代のスタンダード
末吉隆彦 ロケーションウェアの「空」と「実」Where2.0 2008が開催されます(5/12-14)
末吉隆彦 ロケーションウェアの「空」と「実」
渡辺聡・情報化社会の航海図MSFT、GOOGの決算とYHOO買収の動向
渡辺聡・情報化社会の航海図
佐々木俊尚 ジャーナリストの視点「実名」と「特定」は別のものだ
佐々木俊尚 ジャーナリストの視点

読者ブロガー

電子政府パブリックコメントの抜粋コメント欄の仕様
電子政府パブリックコメントの抜粋
デジタルコンテンツビジネスの最前線MEFFYS 2008 〜携帯につながるコントローラーZeemote〜
デジタルコンテンツビジネスの最前線
坂本多聞のインサイドアウト[速報]米CBSが米CNETを買収
坂本多聞のインサイドアウト
個人・少人数制作アニメーション現代記 - 真狩祐志ヤフーでニコニコする方法:「ニコニコ動画のSilverlight版」
個人・少人数制作アニメーション現代記 - 真狩祐志
プライバシンキングCNET版個人情報持ち出し従業者に損害賠償
プライバシンキングCNET版
スパコン漫遊日記地球シミュレータ後継機
スパコン漫遊日記
中小ソフトハウスが下請け脱却を目指す時に読むブログ作らないソフトウェアが求める世界とは・・・
中小ソフトハウスが下請け脱却を目指す時に読むブログ

リサーチ

■リサーチコラム

モバイル検索エンジン「利用者像」に関する調査--半数近くのユーザーの利用頻度が増える
モバイルユーザーのインターネット利用時間や検索の利用頻度に変化があったのかを調査した。その結果、10代〜30代でモバイルインターネット利用者の伸びが高まっており、すべての年代でモバイル検索エンジン利用が高まっている傾向にあることが分かった。
モバイル検索エンジンの利用に関する調査--モバイルでは複数キーワードでの検索が多用される
モバイル検索エンジンの利用に関する調査を行った結果、モバイル検索のキーワード数は、2つが50.5%、1つが36.6%で、PC検索とは異なる検索方法が見られることが分かった。
職場でのネット利用に関する調査--ネットユーザー、職場では広告をクリックしない
職場でのネットを利用する際、「気分転換」や「暇つぶし」が目的となることが最も多いという調査結果が出た。また、自宅と職場では、広告の認知率やクリック率に顕著な差があるという。

■調査レポートダウンロード

DOAの視点から見たシステム分割 〜SOAのサービス単位をどのように考えればよいか〜
【プラボ注目度ランキング】日本初の家電商品を希望価格で予約購入可能な新ECサイト「プラボ」の注目商品をランキング形式で紹介! (2008/4/19~2008/4/25)

■調査発表

PoE無線接続ポイントの出荷数は2012年に1100万ユニット以上と予測
ビジネス市場での採用で前進するSaaS
米国ICインサイツ社のファウンドリサプライヤのトップランキング

CNET Japan セレクション

マイクロソフト、「XP SP3」の提供を延期--未対応の問題発見で
マイクロソフトは米国時間4月29日、未対応な問題が新たに発見されたことを理由に「Windows XP Service Pack 3(SP3)」のリリースを延期したことを発表した。
次世代DVD戦争は終結も…、進まぬBlu-rayプレーヤーの普及
HD DVDとBlu-rayを巡る次世代DVDの規格争いは終結したものの、その後も、勝ち残ったBlu-rayプレーヤーの販売台数が大幅に伸びるといった状況にはなっていない。高い販売価格がネックとなり、依然として一般的な消費者からは敬遠されている。
ニコニコ動画とAR(現実拡張)技術が可能にする「ニコニコ現実」という未来
ニコニコ動画の大きな特徴の1つが、他のユーザーと一緒に動画を見ているかのように感じられる擬似同期性だ。この手法は、ほかのサービスでも応用できるのだろうか。
ドコモが持つ「1人負け」への危機感--ロゴ変更の裏にあるもの
NTTドコモはブランドロゴを7月より変更し、既存顧客重視の姿勢に転換する。なぜドコモはこの時期にブランドロゴを変更する必要があったのか。そして、今後どのような成長戦略を描いているのだろうか。
数量限定アップルストアご当地グッズ--全7種類、このGWにコンプリートする?
リラックマやキティちゃん、まりもっこりなど、全国各地限定の“ご当地グッズ”は数多くある。日本ならではの試みとして、全国7カ所にあるアップルストア限定発売のiPodケースが登場した。
もっと楽しい検索を--百度の技術を統括する元はてな社員
中国の検索サービス「百度」が日本で正式サービスを開始してから約3カ月が過ぎた。百度株式会社のたった1人の日本人エンジニアである水野貴明氏に、日本版百度のコンセプトや、検索エンジンを悩ませるスパム事情、日本市場で成功する秘訣などを聞いた。

今日の見どころ

PCで宇宙探査--「WorldWide Telescope」レビュー

北京五輪会場と大会を支える技術チーム--開催をひかえ進む準備

写真で見る「PRADA Phone by LG(852i)」

レビュー

[特集] Windows Vista SP1搭載の最新PCラインアップ
Windows Vista SP1搭載PCを選ぶ理由は何か。ここではWindows Vista SP1のメリットとおすすめPCを紹介しよう
[特集]2008年春 ビデオカメラフルラインナップ
「画質」でも「記録メディア」でも、さらには「保存方法」でも選べる今シーズンのビデオカメラ。その機能と
[レビュー]一番小さなホームシアター--パイオニア、サラウンドヘッドホン「SE-DRS3000C」
9.1chの重厚長大なシステムから、2.1chのコンパクトサイズまで、ホームシアターは今、あらゆる方向に商品を
顔認識の発展とひと味違うモデルの台頭--コンパクトデジタルカメラの動向を探る
コンパクトデジタルカメラが一般ユーザーに行き渡って久しい。一時は“デジカメの成長は終わった”などとも言
楽しさで選ぶか、個性を取るか?--デジタル一眼レフカメラ お薦めモデル
文字入力でネットを操るインターネットマシン--ソフトバンクモバイル「Internet Machine SoftBank 922SH」
今週の新製品総チェック:「PRADA Phone」がついに日本上陸
[レビュー]5万9800円の格安ミニノートPC--工人舎SAシリーズ「SA5KX08AL」
[レビュー]防水Xactiセカンドステージへ--三洋電機「Xacti DMX-CA8」

CNET_ID

メンバー限定サービスをご利用いただく場合、このページの上部からログイン、またはCNET_ID登録(無料)をしてください。