• BPnet
  • ビジネス
  • IT
  • テクノロジー
  • 医療
  • 建設・不動産
  • TRENDY
  • WOMAN
  • ショッピング
  • 転職
  • ナショジオ
  • 日経電子版
  • PR

  • PR

  • PR

  • PR

  • PR

ニュース

IEやMozillaにアドレス・バーを偽装されるセキュリティ・ホール

IEではセキュリティ設定を回避される恐れあり

勝村幸博 2004/06/14 ITpro

 6月11日以降,Internet Explorer(IE)やMozillaに見つかったセキュリティ・ホールがメーリング・リストなどに投稿されている。悪用されると,実際アクセスしているサイトとは異なるURLをアドレス・バーに表示させられる。IEの場合には,「インターネットゾーン」のページを,制限が緩い「イントラネット」ゾーンや「信頼済みサイト」ゾーンで解釈させられる恐れがある。オンライン詐欺である「フィッシング」に悪用される可能性が高いセキュリティ・ホールである(関連記事)。対策は,とにかく「怪しいリンクをクリックしない」「リンクで誘導されたWebページに,個人情報を安易に入力しない」ことに尽きる。

 セキュリティベンダーであるデンマークSecuniaは,これらのセキュリティ・ホールに関する情報をWebページで公開している(情報1情報2)。同社の情報によると,IE 6やMozilla 1.xには,URLの取り扱いに問題がある。このため,例えば,リンクに含めたURLに細工を施せば,そのリンクをクリックしたユーザーのIEやMozillaのアドレス・バーに,実際アクセスしているページとは異なるURLをアドレス・バーに表示させられる。

 具体的には,「http://[trusted_site](ある文字列)[malicious_site]/」とすれば,アドレス・バーには「http://[trusted_site](任意のスペース)[malicious_site]」のように表示させられる。このため,実際にアクセスしているのはmalicious_siteのページだが,trusted_siteのページにアクセスしているように見える。

 しかもIEの場合には,単にアドレス・バーを偽装されるだけではなく,セキュリティ設定を回避される可能性がある。上述の例では,アクセスしているサイトがmalicious_siteであっても,trusted_siteのセキュリティ設定が適用されるからだ。具体的には,malicious_siteのページがインターネットゾーンのページであっても,trusted_siteをイントラネットゾーンやの信頼済みサイトゾーンに登録している場合には,イントラネットゾーンや信頼済みサイトゾーンのページとしてmalicious_siteのページが解釈されてしまう。

 とはいえ,どのサイトでも今回のセキュリティ・ホールを悪用できるわけではない。上記の例では,malicious_siteのドメインがwildcard DNSをサポートしていて,なおかつ不適切な「Host」ヘッダーを受け入れる場合のみ,悪用が可能であるという。

 アドレス・バーなどを偽装するセキュリティ・ホールは次々と見つかっている。このため,ベンダーの修正パッチが追いついていないのが現状だ。今後も同様のセキュリティ・ホールは見つかるだろう。ユーザーとしては,怪しいリンクをクリックしないことはもちろん,アドレス・バーなどの「見た目」を過信しないことが重要だ。Secuniaでは,対策として「信頼できないWebページやメールのリンクはクリックしない」「アドレス・バーのURLは手で入力する」ことを挙げている。IEについては,「すべてのゾーンでセキュリティ・レベルを『高』にする」ことも挙げているが,Secunia自身が「This will impair functionality on many web sites」と書いているように,あまり現実的ではないだろう。

◎参考資料
Internet Explorer Security Zone Bypass and Address Bar Spoofing Vulnerability(Secunia)
Mozilla Browser Address Bar Spoofing Weakness(Secunia)

(勝村 幸博=IT Pro)

あなたにお薦め

連載新着

連載目次を見る

今のおすすめ記事

ITpro SPECIALPR

What’s New!

経営

アプリケーション/DB/ミドルウエア

クラウド

運用管理

設計/開発

サーバー/ストレージ

ネットワーク/通信サービス

セキュリティ

もっと見る