MicrosoftのInternet Explorer(IE)にある脆弱性を悪用して、Googleのデスクトップ検索ツールを利用するユーザーの情報を盗み出す方法を、イスラエルのあるセキュリティ研究者が発見した。
このMatan Gillonという研究者は米国時間11月30日、このハッキング方法に関する解説を公表したが、それによるとIEがCSS(Cascading Style Sheets)を処理する方法にバグがあるという。CSSとは複数のウェブページに共通のスタイルを設定する手法を指す。CSSを使ったウェブページのデザイン手法は、数多くのサイトで利用されている。
この概念実証手法は、あるソフトウェアの脆弱性が、PC上に存在するすべてのプログラムに影響を与える一例で、これらのプログラムのなかにはGoogle Desktopも含まれる。
「IEのなかにある設計上の脆弱性により、攻撃者がユーザーのプライベートデータを取得したり、リモートドメイン上でユーザーに成り代わって操作を行えるようになる」とGillonは説明している。同氏はこの問題を示すためにあるウェブページを作成した。IEでこのページにアクセスすると、Google Desktopが勝手に「パスワード」というキーワードで検索をかけ、その結果を取得してしまうという。
この脆弱性を悪用するためには、攻撃者が被害者を悪質なウェブページに誘い込む必要がある。「何千ものウェブサイトが悪用される可能性があり、少なくともIEが修正されない限り、この攻撃を簡単に防ぐ方法はない」(Gillon)
Microsoftでは現在この問題について調査を進めている。同社によると、これはInternet Explorerのクロスドメイン保護に影響を与える問題だという。「攻撃者がこの脆弱性を悪用して、特定の設定の別サイトにおかれたコンテンツに、脆弱性のあるサイトからアクセスできてしまう可能性がある」(Microsoftの声明)
Microsoftはまだこの脆弱性を悪用するエクスプロイトコードを確認していないが、同社は状況の監視を続けていくという。同社によると、この問題に関するセキュリティアップデートもしくは勧告が出される可能性があるという。
GoogleでもGillonの発見した問題について調査を進めている。同社広報担当のSonya Boralvは「この問題は確認したばかりで、まだ調査中だ」と電子メールによる声明のなかで述べている。
Gillonの作成したサンプルは、IEの脆弱性を利用してGoogle Desktopを勝手に使うものだが、この脆弱性や他のソフトウェアにあるバグを悪用すれば、事実上どのアプリケーションにもひそかにアクセスすることが可能だという。
セキュリティ研究者のTom Ferrisは、「これはIEが抱えているほかの脆弱性と同じようなものだが、ただしGoogle Desktopでデータを取得するためにGillonが考えた方法は独創的だ。Quickenのデータやデータベースファイルなどを盗むのに、これを悪用できることは確実だ」と語っている。
eEye Digital SecurityのセキュリティプロダクトマネジャーSteve Manzuikも同意見だ。
「これは間違いなくIEの脆弱性であり、Googleのバグではない。Google Desktopを使ってデータを取得してはいるが、それを可能にしているのはIEだ」(Manzuik)
Gillonによると、この脆弱性があるのはIEだけで、FirefoxやOperaでは見つかっていないという。同氏はIEユーザーに対し、保護措置としてJavaScriptを無効にするように勧めている。
この記事は海外CNET Networks発のニュースを編集部が日本向けに編集したものです。海外CNET Networksの記事へ