Mozilla、ID管理サービス「Persona」の脆弱性を修正

悪用された場合、攻撃者が他人のGmailまたは米Yahoo.comのメールアドレスを使ってPersonaをサポートしているWebサイトにログインし、そのユーザーになりすますことができてしまう恐れがあった。

[鈴木聖子，ITmedia]

　Mozillaは10月2日、シングルサインオンに使われるID管理サービス「Persona」に脆弱性が発覚し、対処したことを明らかにした。この脆弱性を悪用された場合、攻撃者が他人のGmail.comまたは米Yahoo.comのメールアドレスを使ってPersonaをサポートしているWebサイトにログインし、そのユーザーになりすますことができてしまう恐れがあったという。

　Personaは、ユーザーが選んだメールアドレスを使ってほかのWebサイトにサインオンできるようにするサービス。利用者はサイトや端末ごとに複数のユーザー名とパスワードを管理する必要がなくなる。

　脆弱性は、このサービスに使うメールアドレスが本人のものであることを確認するために導入された「Identity Bridging」という機能に存在していた。MozillaはGmailと米YahooのメールアドレスをPersona用に使っているユーザーの本人確認のために、この機能を使っていたという。

　脆弱性を悪用された場合、攻撃者がPersonaをだまして署名のないパラメータを信頼させることが可能だったとされる。脆弱性の影響を受けるのはPersonaを実装しているサービスやサイトのみで、Gmailや米Yahooのメールサービスのセキュリティが脅かされるわけではないとMozillaは説明している。

　Mozillaは9月24日にセキュリティ研究者から報告を受け、10月1日までにPersonaをアップデートして脆弱性を修正した。9月10日から10月2日のログ記録を調べた結果、この脆弱性が悪用されていないことを確認したとしている。