GoogleがChromeの「高リスク」セキュリティホールを修正

文：Ryan Naraine（Special to ZDNet.com）翻訳校正：石橋啓一郎

2009-01-30 11:07

　GoogleがChromeに対する優先度の高いパッチを公開した。これは、ユーザーをクロスサイトスクリプティングとデータ盗難の危険にさらす3件のセキュリティ上の脆弱性を修正するものだ。

　Google Chromeのベータ版と安定版は、バージョン1.0.154.46にアップデートされ、Adobe Readerプラグイン（2件の別個の脆弱性）と、V8 JavaScriptエンジンに存在する同一生成元ポリシのチェックをバイパスされる可能性のあるバグを修正した。

　要点は次の通りだ。

CVE-2007-0048およびCVE-2007-0045: Adobe Readerプラグインのオープンパラメタクロスサイトスクリプティング脆弱性に対する回避策

Google ChromeはAdobe ReaderプラグインからのNetscape Plugin API（NPAPI）リクエスト中にあるjavascript:から始まるURLの要求を拒否するようになった。
深刻度：中。この問題により、PDF文書が任意のサイトのスクリプトを実行することが可能となっていた。

V8 JavaScriptエンジンに存在するバグにより、一定の状況下で同一生成元ポリシのチェックをバイパスすることが可能となっていた。
深刻度：高。ページ中の悪意のあるスクリプトが、異なる生成元からの他のフレームの完全なURLを読むことが可能であり、他の属性やデータも読まれる可能性がある。この問題により、あるウェブサイトの秘密情報が第三者に開示されてしまう可能性がある。

　このパッチでは、Yahoo MailおよびWindows Live Hotmailに関する問題についても修正している（リリースノートを参照）。

　他の記事も参照して欲しい。

この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ