IEの脆弱性でユーザーデータが盗まれる可能性--セキュリティ研究者が報告

Joris Evers(CNET News.com) 2005年12月05日 15時02分

  • このエントリーをはてなブックマークに追加

 MicrosoftのInternet Explorer(IE)にある脆弱性を悪用して、Googleのデスクトップ検索ツールを利用するユーザーの情報を盗み出す方法を、イスラエルのあるセキュリティ研究者が発見した。

 このMatan Gillonという研究者は米国時間11月30日、このハッキング方法に関する解説を公表したが、それによるとIEがCSS(Cascading Style Sheets)を処理する方法にバグがあるという。CSSとは複数のウェブページに共通のスタイルを設定する手法を指す。CSSを使ったウェブページのデザイン手法は、数多くのサイトで利用されている。

 この概念実証手法は、あるソフトウェアの脆弱性が、PC上に存在するすべてのプログラムに影響を与える一例で、これらのプログラムのなかにはGoogle Desktopも含まれる。

 「IEのなかにある設計上の脆弱性により、攻撃者がユーザーのプライベートデータを取得したり、リモートドメイン上でユーザーに成り代わって操作を行えるようになる」とGillonは説明している。同氏はこの問題を示すためにあるウェブページを作成した。IEでこのページにアクセスすると、Google Desktopが勝手に「パスワード」というキーワードで検索をかけ、その結果を取得してしまうという。

 この脆弱性を悪用するためには、攻撃者が被害者を悪質なウェブページに誘い込む必要がある。「何千ものウェブサイトが悪用される可能性があり、少なくともIEが修正されない限り、この攻撃を簡単に防ぐ方法はない」(Gillon)

 Microsoftでは現在この問題について調査を進めている。同社によると、これはInternet Explorerのクロスドメイン保護に影響を与える問題だという。「攻撃者がこの脆弱性を悪用して、特定の設定の別サイトにおかれたコンテンツに、脆弱性のあるサイトからアクセスできてしまう可能性がある」(Microsoftの声明)

 Microsoftはまだこの脆弱性を悪用するエクスプロイトコードを確認していないが、同社は状況の監視を続けていくという。同社によると、この問題に関するセキュリティアップデートもしくは勧告が出される可能性があるという。

 GoogleでもGillonの発見した問題について調査を進めている。同社広報担当のSonya Boralvは「この問題は確認したばかりで、まだ調査中だ」と電子メールによる声明のなかで述べている。

 Gillonの作成したサンプルは、IEの脆弱性を利用してGoogle Desktopを勝手に使うものだが、この脆弱性や他のソフトウェアにあるバグを悪用すれば、事実上どのアプリケーションにもひそかにアクセスすることが可能だという。

 セキュリティ研究者のTom Ferrisは、「これはIEが抱えているほかの脆弱性と同じようなものだが、ただしGoogle Desktopでデータを取得するためにGillonが考えた方法は独創的だ。Quickenのデータやデータベースファイルなどを盗むのに、これを悪用できることは確実だ」と語っている。

 eEye Digital SecurityのセキュリティプロダクトマネジャーSteve Manzuikも同意見だ。

 「これは間違いなくIEの脆弱性であり、Googleのバグではない。Google Desktopを使ってデータを取得してはいるが、それを可能にしているのはIEだ」(Manzuik)

 Gillonによると、この脆弱性があるのはIEだけで、FirefoxやOperaでは見つかっていないという。同氏はIEユーザーに対し、保護措置としてJavaScriptを無効にするように勧めている。

この記事は海外CNET Networks発のニュースを編集部が日本向けに編集したものです。海外CNET Networksの記事へ

  • このエントリーをはてなブックマークに追加
関連キーワード
セキュリティ

関連ホワイトペーパー

SpecialPR

  • デジタル変革か?ゲームセットか?

    デジタルを駆使する破壊的なプレーヤーの出現、既存のビジネスモデルで競争力を持つ
    プレイヤーはデジタル活用による変革が迫られている。これを読めばデジタル変革の全体像がわかる!

  • ビジネスの継続的な成長を促す新たなITのビジョン

    多くの企業においてITに求められる役割が、「守り」のコスト削減から「攻め」のビジネス貢献へとシフトしつつある。その中でIBMが提唱する新たなビジョンEnterprise Hybrid ITとは?

連載

CIO
研究現場から見たAI
ITは「ひみつ道具」の夢を見る
内製化とユーザー体験の関係
米ZDNet編集長Larryの独り言
今週の明言
「プロジェクトマネジメント」の解き方
田中克己「2020年のIT企業」
松岡功「一言もの申す」
林 雅之「デジタル未来からの手紙」
谷川耕一「エンプラITならこれは知っとけ」
Fintechの正体
内山悟志「IT部門はどこに向かうのか」
情報通信技術の新しい使い方
三国大洋のスクラップブック
大河原克行のエンプラ徒然
コミュニケーション
情報系システム最適化
モバイル
通信のゆくえを追う
セキュリティ
セキュリティの論点
ネットワークセキュリティ
スペシャル
座談会@ZDNet
Dr.津田のクラウドトップガン対談
CSIRT座談会--バンダイナムコや大成建設、DeNAに聞く
創造的破壊を--次世代SIer座談会
企業決算を追う
「SD-WAN」の現在
展望2017
IBM World of Watson
de:code
Sapphire Now
VMworld
Microsoft WPC
HPE Discover
Oracle OpenWorld
Dell EMC World
AWS re:Invent
PTC LiveWorx
古賀政純「Dockerがもたらすビジネス変革」
さとうなおきの「週刊Azureなう」
誰もが開発者になる時代 ~業務システム開発の現場を行く~
中国ビジネス四方山話
より賢く活用するためのOSS最新動向
「Windows 10」法人導入の手引き
Windows Server 2003サポート終了へ秒読み
米株式動向
実践ビッグデータ
日本株展望
ベトナムでビジネス
アジアのIT
10の事情
エンタープライズトレンド
クラウドと仮想化