IEなど複数のWebブラウザにCookie関連の脆弱性

Internet ExplorerやMozilla、Konquerorなど広範なWebブラウザに、Cookieに関する2種類の脆弱性が存在する。

» 2004年09月22日 23時11分 公開
[ITmedia]

 英Westpoint Securityは、Internet ExplorerやMozilla、Konquerorなどに存在する2種類の脆弱性について警告した。いずれも、Webサイト/アプリケーション利用時にユーザーを識別するCookieに関連するものだ。

 1つは、Cookieのオプションを悪用することで、本来は発行元Webサイトにアクセスしたときだけ送信されるはずのCookieが、それ以外のWebサイトにも送信されてしまうという問題である。「domain」属性オプションに対する制限が不十分なことが原因だ。

 この脆弱性を悪用されると、悪意あるサイトを通じてユーザーのWebブラウザに送り込まれたCookieを元に、セッションID(ユーザーの識別符)を用いて、正当なユーザーへのなりすましが可能になる。

 とはいえ、あらゆるWebサイトでこの問題が発生するわけではない。国別トップレベルドメイン(ccTLD:.jpなど)に、3文字以上のセカンドレベルドメインを組み合わせた場合に影響が及ぶ。ただし、ccTLDに「.com」「net」「.org」などのgTLDを組み合わせた場合はその限りではない。

 もう1つの問題は、本来ならばSSLで暗号化された安全なチャネルに送られるべきsecureフラグ付きのCookieが、保護されていないチャネルでも送信されてしまうというものだ。いわゆるMan-in-the-Middle攻撃(盗聴)によってCookie情報が不正に入手され、なりすましを許す可能性がある(関連記事)。

 1つめの問題については、脆弱性が指摘されたWebブラウザのうちKonqueror用のパッチが公開されているほか、Mozillaでも、まもなくこの問題の修正プログラムを用意する見込みというが、IEについては解決策を模索中という。また2つめの問題点は、Webブラウザ側だけでは対応が難しく、Webアプリケーション側の変更も必要になる可能性が高い。当面は、不審なリンクをクリックしないようにして自衛するしかない。

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ