IEに「クッキージャッキング」攻撃のおそれ--研究者が警告

　イタリアのセキュリティ研究者が「Internet Explorer」（IE）の脆弱性を発見した。これを悪用されると、PCからクッキーを盗み出され、パスワードのかかったウェブサイトにログインされるおそれがあるという。

　Rosario Valotta氏は「cookiejacking」というエクスプロイトについて、すべてのWindows上の全バージョンのIEにゼロデイ攻撃の脆弱性が見つかっており、ウェブサイトを問わずどんなクッキーも攻撃者にハイジャックされるおそれがあると述べている。

　Valotta氏はこの5月に、オランダのアムステルダムやスイスのセキュリティカンファレンスでデモを行った。クッキーを盗み出すにはユーザーにPC上でオブジェクトをドラッグアンドドロップさせる必要があることから、脆弱性の悪用にはソーシャルエンジニアリングが少し必要だと同氏は認めている。

　しかしReutersの記事によると、Valotta氏は「Facebook」のページ上にちょっとしたゲームを用意し、画面に表示される写真の女性を脱がすことを目的としてオブジェクトをドラッグアンドドロップさせたと説明している。この方法で、Facebookの認証情報をクッキー経由で簡単に奪えたという。

　Reutersの記事によれば、「Facebookでこのゲームを公開したところ、3日以内に80以上のクッキーがサーバに送られてきた。友達の数は150人だけなのだが」と、Valotta氏は話している。

　これに対しMicrosoftは、cookiejackingの現実世界における危険性はそれほど大きくないと見ている。

　Microsoftの広報担当者Jerry Bryant氏は、CNETに送られてきた文書の中でこう説明している。「必要とされるユーザー側の操作からすると、リモートからコードが実行されるおそれという点で、危険性の高い問題とは考えていない」

　「影響が生じるには、ユーザー側が悪意のあるサイトを訪問し、項目をクリックして画面上をドラッグする必要があり、また攻撃側は、ユーザーがすでにログインしているウェブサイトのクッキーに狙いを定めなければならない」と、Microsoftは言う。「疑わしいリンクや電子メールはクリックしない、インターネット設定のセキュリティレベルを高くするといった方法で、潜在的な問題から身を守ることをすべての顧客にお勧めする」