「Adobe Flash」を狙った攻撃ツールで個人情報盗難の恐れ--グーグルなどサイトを修正

　広く使われているウェブツール「Adobe Flash」を悪用する新たな「兵器化されたエクスプロイト」が発生し、これによりGoogle、Twitter、Tumblrなどが、問題点の修正を迫られた。この弱点はすでに良く知られたもので、これを利用すると攻撃者はユーザーのデバイスから個人情報を抜き取ることができる。

　Googleの研究員、Michele Spagnuolo氏が「Rosetta Flash」と名付けたこの攻撃ツールは、JSONP（JSON with Padding）を使用する訪問者の多いウェブサイトを攻撃する。JSNOPは、異なるドメイン間でデータを共有するサイトにおいて、ブラウザの制限を回避するためにウェブプログラマーに用いられている。

　Rosetta FlashはFlash（.swf）ファイルの弱点を利用して、クロスサイトリクエストフォージェリ（CSRF）エクスプロイトを実行させ、特定のサイトを訪問したマシンからデータを盗む。この攻撃で注目すべき点は、対象が特定のブラウザまたはオペレーティングシステムに限定されないことだ。

提供：Michele Spagnuolo氏

　この攻撃に対して脆弱だったGoogleのサービスには、「Google Accounts」「google.com」「Google Maps」などがあるが、同社はSpagnuolo氏がこの「兵器化されたエクスプロイト」の詳細を公開する前に問題を修正した。

　TwitterとTumblrも、すでにこの脆弱性の修正を実施した。だが、Spagnuolo氏によると、「Instagram」と「eBay」にも同様の脆弱性があったという。

　Facebookの広報担当者はZDNetに対し、Instagramもこの問題に対する修正を実行したと述べた。さらにこの担当者によれば、Instagramは当該ホスト名に利用者のデータを保存していないため、このバグによって利用者の個人情報が危険にさらされることはなかったという。