9月にGoogleのブラウザChromeがリリースされてからわずか数時間後、セキュリティ研究者Aviv Raff氏が、2つの脆弱性を組み合わせることができることを発見した。これは、Apple Safariのセキュリティホールと、Javaのバグを組み合わせることによって、ユーザーをだましてChromeから直接、実行ファイルを実行させることができるというものだ。（ここで、Google Chromeのユーザーをだまして、警告の表示なしにJAR（Java Archive）ファイルをダウンロードさせ実行させる方法を示したデモを見ることができる）
Googleはようやく、この脅威を真剣に捉え、実行可能なファイルに対するダウンロード時の動作を変更した新たなバージョンのChromeを開発者に対しリリースしたようだ。
changelogには、次のようにある。
- このバージョンでは、危険な種類のファイル（実行ファイル）が自動的にダウロードされる際には、警告メッセージを表示する機能を追加している。
- ファイルはダウンロードディレクトリ一時的な名前で保存され（dangerous_download_xxx.download）、ユーザーには警告メッセージと、ダウンロードしたファイルを保存するか破棄するかをたずねるボタンが表示される。
- 破棄が選択された場合には、ダウンロードファイルは削除される。保存が選択された場合には、ダウンロードは通常通りに継続される。
- ユーザーの確認を受けなかった危険なダウンロードファイルは、シャットダウン時に削除される。
次の記事も参照して欲しい。
Google Chrome vulnerable to carpet-bombing flaw
Google Chrome, the security tidbits
この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ
