Google Desktop、IEの脆弱性回避のため修正

IEの未パッチの脆弱性によって生じる問題からユーザーを保護するため、Googleは、Google Desktopに修正を加えた。

[Ryan Naraine，eWEEK]

　MicrosoftのWebブラウザ、Internet Explorerのまだパッチがリリースされていない設計上の脆弱性によって生じる問題からユーザーを保護するため、Googleは、Google Desktopアプリケーションに「修正」を加えた。

　この問題は、イスラエルのハッカー、マタン・ギロン氏が発見して報告したものだ。Google Desktopもしくはほかのインターネットに接しているアプリケーションを用いて、悪意ある攻撃者が簡単な方法で、ユーザーの情報をこっそり入手してしまう恐れがある。

　「顧客を保護するため、製品に修正を加えた」とGoogleの広報担当者、ソニヤ・ボラルフ氏は述べた。

　同氏は、Google Desktopに加えられた修正の詳細については明らかにすることを拒んだ。

　ボラルフ氏によると、防御のためユーザーが何らかの行動を取る必要はない。というのも、リモートアクセスを通じた攻撃をブロックするための変更は「Google側で」行われたからだ。

　ギロン氏が公開したコンセプト実証コードを含むアドバイザリーによると、この脆弱性はすべてのパッチを適用したIEで、セキュリティ／プライバシー設定がデフォルトのままの状態のときに存在する。

　Microsoftも脆弱性の存在を確認しており、今後リリースするIEのアップデートに修正を織り込むことを約束した。

　この脆弱性を悪用するには、攻撃者はただターゲットを悪意あるWebサイトに誘導すればよい。

　「典型的なクロスサイトスクリプティングの脆弱性と同じように、IEに存在するこの設計上の脆弱性は、攻撃者がユーザーのプライベートなデータを入手したり、リモートドメインでユーザーに成り代わって操作を実行できるようにしてしまう」とギロン氏。

　ギロン氏はこの問題を、クロスドメインセキュリティモデルに違反する、IEのデザイン上の問題だと説明している。

　同氏は、IEが適切にCSSファイルを解釈せず、有効ではないCSSファイルのインポートを許してしまうことを発見した。

　これにより攻撃者は、CSSファイルとして不適切な形でインポートされるリモートサイトから、HTMLやスクリプトコードを表示させる道を得ることになる。そして、こうしたWebサイトは、問題を悪用するサイトとは別のドメインに存在する。

　「何千ものWebサイトが悪用されかねない。そして、少なくともIEが修正されるまで、この問題に対する簡単な解決策は存在しない」（ギロン氏）

　同氏はIEのユーザーに対する一時的な回避策として、JavaScriptを無効にするか、他のWebブラウザを利用するよう推奨している。

原文へのリンク