編集部からのお知らせ
オススメ記事選集PDF:MAツールのいま
「これからの企業IT」の記事はこちら

「Adobe Flash」を狙った攻撃ツールで個人情報盗難の恐れ--グーグルなどサイトを修正

Liam Tung (CNET News) 翻訳校正: 水書健司 長谷睦 (ガリレオ)

2014-07-10 10:55

 広く使われているウェブツール「Adobe Flash」を悪用する新たな「兵器化されたエクスプロイト」が発生し、これによりGoogle、Twitter、Tumblrなどが、問題点の修正を迫られた。この弱点はすでに良く知られたもので、これを利用すると攻撃者はユーザーのデバイスから個人情報を抜き取ることができる。

 Googleの研究員、Michele Spagnuolo氏が「Rosetta Flash」と名付けたこの攻撃ツールは、JSONP(JSON with Padding)を使用する訪問者の多いウェブサイトを攻撃する。JSNOPは、異なるドメイン間でデータを共有するサイトにおいて、ブラウザの制限を回避するためにウェブプログラマーに用いられている。

 Rosetta FlashはFlash(.swf)ファイルの弱点を利用して、クロスサイトリクエストフォージェリ(CSRF)エクスプロイトを実行させ、特定のサイトを訪問したマシンからデータを盗む。この攻撃で注目すべき点は、対象が特定のブラウザまたはオペレーティングシステムに限定されないことだ。


提供:Michele Spagnuolo氏

 この攻撃に対して脆弱だったGoogleのサービスには、「Google Accounts」「google.com」「Google Maps」などがあるが、同社はSpagnuolo氏がこの「兵器化されたエクスプロイト」の詳細を公開する前に問題を修正した。

 TwitterとTumblrも、すでにこの脆弱性の修正を実施した。だが、Spagnuolo氏によると、「Instagram」と「eBay」にも同様の脆弱性があったという。

 Facebookの広報担当者はZDNetに対し、Instagramもこの問題に対する修正を実行したと述べた。さらにこの担当者によれば、Instagramは当該ホスト名に利用者のデータを保存していないため、このバグによって利用者の個人情報が危険にさらされることはなかったという。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

ホワイトペーパー

新着

ランキング

  1. クラウドコンピューティング

    AWSが提唱する、モダン分析プラットフォームのアーキテクチャと構築手法

  2. クラウドコンピューティング

    AWS資料、ジョブに特化した目的別データベースを選定するためのガイド

  3. セキュリティ

    Zero Trust Workbook--ゼロ トラストの先にある世界を知るためのガイダンス

  4. セキュリティ

    「ゼロトラスト」時代のネットワークセキュリティの思わぬ落とし穴に注意せよ

  5. クラウドコンピューティング

    データ駆動型の組織でビジネスの俊敏性を実現するには?戦略的な意思決定とイノベーションを両立へ

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]