デンマークのSecuniaは現地時間12月10日，Webブラウザ「Opera 7.x」のセキュリティ・ホールを公表した。今回のセキュリティ・ホールを突かれると，ファイルをダウンロードする際に表示されるダイアログを偽装される可能性がある。このため，悪意があるサイト管理者は，危険な実行形式ファイル（例えばウイルス）を，開いても問題がないファイル種類に見せかけることができる。

　最新版「Opera 7.54u1」では解消されている。最新版では，これ以外のセキュリティ・ホールも修正されている（関連記事）。

　Opera 7.xは，ファイルのダウンロード・ダイアログ・ボックスを表示する際に，ファイル名とHTTPヘッダーの一つ「Content-Type」をきちんと検証しない。それが今回のセキュリティ・ホールである。このため，Webサーバーからブラウザ（Opera）に送信するHTTPヘッダー情報に細工を施すと，実際とは異なる情報をダイアログ・ボックスに表示してしまう。つまり，偽装されてしまう。

　具体的には，悪意があるサイト管理者は，例えばウイルスなどの危険な実行形式ファイルを，PDFファイルに見せかけてユーザーに開かせる（実行させる）ことができる。ダイアログ・ボックスのデフォルト設定は「保存（Save）」であるものの，PDFファイルようにいきなり開いても問題がないファイル種類に見せかけられると，ユーザーは「開く（Open）」を選択してしまう可能性がある。

　対策は，ノルウェーOpera Softwareが公開した最新版Opera 7.54u1にアップデートすること。Opera 7.54u1では，最近公開されたセキュリティ・ホールが複数修正されている。例えば，同じくSecuniaから現地時間12月8日に公開された「ポップアップ・ウインドウを“乗っ取られる”セキュリティ・ホール」も修正されている（関連記事）

　なお，Opera 7.54u1が公開されているのは英語版だけ。日本語版はない。英語版でも日本語ページは問題なく表示されるので，UIが英語でもかまわないユーザーは，英語版Opera 7.54u1にアップデートしたい。最新版より古いバージョンを使い続ける場合には，「信頼できないページからはファイルをダウンロードしない」「開いても問題がないファイル種類に見えても，必ず『保存』を選択する」――といった心がけで“防衛”したい。

◎参考資料
◆Secunia Research 10/12/2004--Opera Download Dialog Spoofing Vulnerability（デンマークSecunia）
◆Secunia Advisories--Opera Download Dialog Spoofing Vulnerability
◆Advisory: Opera security advisory 2004-12-10（ノルウェーOpera Software）
◆Opera 7.54 for Windows, English (US) version

（勝村　幸博＝IT Pro）