「Firefox」と「IE」にパスワード漏えいにつながる脆弱性--マイスペースも攻撃に

文:Tom Espiner(ZDNet UK) 翻訳校正:編集部 2006年11月24日 11時10分

  • このエントリーをはてなブックマークに追加

 Mozillaの「Firefox 2」およびMicrosoftの「Internet Explorer(IE) 7」に、攻撃者がパスワードを盗むのに悪用できる脆弱性が存在していることがわかった。

 発見者のRobert Chapin氏は、これを「Reverse Cross-Site Request(RCSR)」の脆弱性と呼んでいる。これはハッカーが偽のログインフォームを使って、ユーザーのパスワードおよびユーザーネームを盗むことを可能にする脆弱性だという。Firefoxの「Password Manager」が、保存したパスワードおよびユーザーネームをこのフォームに自動入力してしまうことが、問題になっている。

 入力されたデータは、ユーザーの知らないうちに攻撃者のコンピュータに送信されると、Chapin Information Services(CIS)のウェブサイトは説明している。

 Chapin氏によれば、同脆弱性を悪用した攻撃は、ソーシャルネットワーキングサイト「MySpace.com」ですでに試みられており、ユーザーが生成したHTMLコードを追加できるタイプのブログや掲示板を利用しているユーザーであれば、だれもが攻撃対象になり得るという。

 「FirefoxおよびIE両ブラウザのユーザーは、信頼しているブログサイトや掲示板を閲覧しているときでも、こうした方法で個人情報が漏えいするおそれがあることを認識すべきだ」(Chapin氏)

 MySpace上に仕掛けられていた攻撃を発見したセキュリティ企業Netcraftは、偽のログインページがMySpace自身のサーバでホスティングされていたことを明らかにしている。

 偽ページには、クロスサイトスクリプティング(XSS)やオープンリダイレクトといった外部コンテンツが使われている兆候が一切認められないため、「非常に本物らしく見え、セキュリティを重視しているユーザーでもだまされる可能性が高い」と、CISは述べた。

 攻撃は、プロファイルページから起動するようになっていた。攻撃者は特別なHTMLを使って、MySpaceの本物のコンテンツを見えないようにし、代わりにみずから用意した偽のログインフォームを表示したのだという。

 Chapin氏は、IEおよびFirefoxのいずれも、ユーザーがフォームデータを送信する前に送信先を確認する機能を備えていないため、RCSR攻撃はXSSより成功する確率が高いと話した。この攻撃は信頼できるウェブサイトで実行されるので、ブラウザも警戒しないのである。

 CISは2週間前、保存したユーザーネームおよびパスワードをFirefoxがRCSRフォームに自動入力する件について、Mozillaに報告していた。一方IEは、正規のログインフォームが表示されるのと同じページにRCSRフォームが現れないかぎり、保存していたユーザーネームおよびパスワードを自動入力することはないため、Firefoxより攻撃は起こりにくいという。

この記事は海外CNET Networks発のニュースを編集部が日本向けに編集したものです。海外CNET Networksの記事へ

  • このエントリーをはてなブックマークに追加
関連キーワード
セキュリティ

関連ホワイトペーパー

SpecialPR

連載

CIO
研究現場から見たAI
ITは「ひみつ道具」の夢を見る
内製化とユーザー体験の関係
米ZDNet編集長Larryの独り言
今週の明言
「プロジェクトマネジメント」の解き方
田中克己「2020年のIT企業」
松岡功「一言もの申す」
林 雅之「デジタル未来からの手紙」
谷川耕一「エンプラITならこれは知っとけ」
Fintechの正体
内山悟志「IT部門はどこに向かうのか」
情報通信技術の新しい使い方
三国大洋のスクラップブック
大河原克行のエンプラ徒然
コミュニケーション
情報系システム最適化
モバイル
通信のゆくえを追う
セキュリティ
セキュリティの論点
ネットワークセキュリティ
スペシャル
座談会@ZDNet
Dr.津田のクラウドトップガン対談
CSIRT座談会--バンダイナムコや大成建設、DeNAに聞く
創造的破壊を--次世代SIer座談会
企業決算を追う
「SD-WAN」の現在
展望2017
IBM World of Watson
de:code
Sapphire Now
VMworld
Microsoft WPC
HPE Discover
Oracle OpenWorld
Dell EMC World
AWS re:Invent
PTC LiveWorx
古賀政純「Dockerがもたらすビジネス変革」
さとうなおきの「週刊Azureなう」
誰もが開発者になる時代 ~業務システム開発の現場を行く~
中国ビジネス四方山話
より賢く活用するためのOSS最新動向
「Windows 10」法人導入の手引き
Windows Server 2003サポート終了へ秒読み
米株式動向
実践ビッグデータ
日本株展望
ベトナムでビジネス
アジアのIT
10の事情
エンタープライズトレンド
クラウドと仮想化