ニュース
» 2005年12月07日 17時04分 UPDATE

Google Desktop、IEの脆弱性回避のため修正

IEの未パッチの脆弱性によって生じる問題からユーザーを保護するため、Googleは、Google Desktopに修正を加えた。

[Ryan Naraine,eWEEK]
eWEEK

 MicrosoftのWebブラウザ、Internet Explorerのまだパッチがリリースされていない設計上の脆弱性によって生じる問題からユーザーを保護するため、Googleは、Google Desktopアプリケーションに「修正」を加えた。

 この問題は、イスラエルのハッカー、マタン・ギロン氏が発見して報告したものだ。Google Desktopもしくはほかのインターネットに接しているアプリケーションを用いて、悪意ある攻撃者が簡単な方法で、ユーザーの情報をこっそり入手してしまう恐れがある。

 「顧客を保護するため、製品に修正を加えた」とGoogleの広報担当者、ソニヤ・ボラルフ氏は述べた。

 同氏は、Google Desktopに加えられた修正の詳細については明らかにすることを拒んだ。

 ボラルフ氏によると、防御のためユーザーが何らかの行動を取る必要はない。というのも、リモートアクセスを通じた攻撃をブロックするための変更は「Google側で」行われたからだ。

 ギロン氏が公開したコンセプト実証コードを含むアドバイザリーによると、この脆弱性はすべてのパッチを適用したIEで、セキュリティ/プライバシー設定がデフォルトのままの状態のときに存在する。

 Microsoftも脆弱性の存在を確認しており、今後リリースするIEのアップデートに修正を織り込むことを約束した。

 この脆弱性を悪用するには、攻撃者はただターゲットを悪意あるWebサイトに誘導すればよい。

 「典型的なクロスサイトスクリプティングの脆弱性と同じように、IEに存在するこの設計上の脆弱性は、攻撃者がユーザーのプライベートなデータを入手したり、リモートドメインでユーザーに成り代わって操作を実行できるようにしてしまう」とギロン氏。

 ギロン氏はこの問題を、クロスドメインセキュリティモデルに違反する、IEのデザイン上の問題だと説明している。

 同氏は、IEが適切にCSSファイルを解釈せず、有効ではないCSSファイルのインポートを許してしまうことを発見した。

 これにより攻撃者は、CSSファイルとして不適切な形でインポートされるリモートサイトから、HTMLやスクリプトコードを表示させる道を得ることになる。そして、こうしたWebサイトは、問題を悪用するサイトとは別のドメインに存在する。

 「何千ものWebサイトが悪用されかねない。そして、少なくともIEが修正されるまで、この問題に対する簡単な解決策は存在しない」(ギロン氏)

 同氏はIEのユーザーに対する一時的な回避策として、JavaScriptを無効にするか、他のWebブラウザを利用するよう推奨している。

原文へのリンク

Editorial items that were originally published in the U.S. Edition of “eWEEK” are the copyrighted property of Ziff Davis Enterprise Inc. Copyright (c) 2011. All Rights Reserved.

Loading

ピックアップコンテンツ

- PR -

注目のテーマ

マーケット解説

- PR -