文:Robert Vamosi(Special to CNET News.com)
翻訳校正:編集部
2008/04/15 15:14
セキュリティ専門家Bill Rios氏は米国時間4月14日、Google Spreadsheetを利用したクロスサイトスクリプト(XSS)攻撃により、 Googleの全サービスが無防備になると発表した。XSSは利用者が入力したデータを正しくフィルタリングしていない合法サイトを利用した攻撃法で、攻撃者に悪意ある命令を実行される恐れがある。しかし、今回のケースでは、いずれかのxxxx.google.comサイトへのアクセス情報が漏れれば、Gmail、Docs、CodeなどのGoogleサービスへのアクセスにも影響が及ぶ。
GoogleはCNET News.comに電子メールを寄せ、「当社は利用者にかかわる情報の安全を極めて重視している。この脆弱性については速やかに対処し、公表される前に改修した。今のところ、この脆弱性が悪用された報告は受けていない」と述べ、Rios氏が公表した脆弱性は改修済みであると述べた。
同氏によると、Internet Explorerを使ってGoogle Spreadsheetを利用する際、サーバから戻されるHTTPレスポンスのコンテンツタイプを変更できたという。問題は、ある環境下でブラウザがコンテンツタイプヘッダを無視する点にある。同氏は、いかなるブラウザも条件によってはコンテンツヘッダを無視することがあり、したがってこれはGoogleだけの問題ではないと指摘した。
同氏のブログによると、Google Spreadsheetで最初のセルにalert (document.cookie)というスクリプトをHTMLタグで囲んで入力したという。これを保存して、CSVファイル形式のファイルとしてダウンロードしようとすると、コンテンツタイプはtext/plainとなる。文字列にHTMLが含まれているため、Internet Explorerはそれに基づき入力内容をHTMLとして解釈してしまうという。
したがって、一般のユーザーがこのURLを開いてしまうと、攻撃者のディスプレイにはalertダイアログボックスが表示され、ユーザーがそのとき利用していたGoogleセッションの情報が表示される。もしこのセッションクッキーはユーザーが利用するGmailやDocsなどのGoogleサービスでも有効だ。
この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ
あなたがプログラムを理解できない10の理由:第2回
西暦2050年のテクノロジ世界--IBMの研究者5人が予測
「iPod」が直面する市場変化--岐路に立つアップル
今夏に新はてなブックマーク登場--その進化と情熱
販売店ではMacをどう見ているか?--ヨドバシカメラ マルチメディアAkiba店マネージャに聞く
人気を集めるモバイルコンテンツにも変化の波
倍々ゲームのDeNAは高成長持続へ
ドイツの出版社が「ウィキペディア」を書籍化、出版へ
内部統制対策を実現するIT運用管理ツール
オンラインマーケティングの最重要課題
-Simplify IT- ITをシンプルに 連載第2回
絵画の価格高騰 〜批評家は間違えられない
PRADA phoneパーティー
MacBook Airだって、でかすぎやしません?
Intego Internet Security Barrier X5 重い...
サバイバルナイフ
X02NK(N95)レビュー その2
Opera 9.5のデバッグツールであるDragonflyを試す
テレビは「選んで見るもの」か「流しておくもの」か
3G iPhoneは5月発売?別のポータブル端末がWWDCで?
LinuxWorld Expo/Tokyo 2008 .orgパビリオンでOSS出展
マイクロソフト、「XP SP3」の提供を延期--未対応の問題発見で
次世代DVD戦争は終結も…、進まぬBlu-rayプレーヤーの普及
ニコニコ動画とAR(現実拡張)技術が可能にする「ニコニコ現実」という未来
ドコモが持つ「1人負け」への危機感--ロゴ変更の裏にあるもの
数量限定アップルストアご当地グッズ--全7種類、このGWにコンプリートする?
もっと楽しい検索を--百度の技術を統括する元はてな社員
写真で見る「PRADA Phone by LG(852i)」
分解、アップル「PowerBook G3」(Pismo)--シックな黒ボディーの中身をチェック
「技術界の七不思議」を考えてみる
[特集] Windows Vista SP1搭載の最新PCラインアップ
[特集]2008年春 ビデオカメラフルラインナップ
[レビュー]一番小さなホームシアター--パイオニア、サラウンドヘッドホン「SE-DRS3000C」
顔認識の発展とひと味違うモデルの台頭--コンパクトデジタルカメラの動向を探る
楽しさで選ぶか、個性を取るか?--デジタル一眼レフカメラ お薦めモデル
デザインで選ぶか、個性を取るか?--コンパクトデジタルカメラお薦めモデル
流行は手ブレ補正からライブビューへ--デジタル一眼レフカメラの動向を探る
文字入力でネットを操るインターネットマシン--ソフトバンクモバイル「Internet Machine SoftBank 922SH」
今週の新製品総チェック:「PRADA Phone」がついに日本上陸メンバー限定サービスをご利用いただく場合、このページの上部からログイン、またはCNET_ID登録(無料)をしてください。