Firefox，Mozilla，Thunderbirdに関する12件のセキュリティ・ホールが公開，最新版で修正

高橋信頼

2005.01.24

　Mozilla Foundationは1月21日（現地時間），Firefox，Mozilla，Thunderbirdに関する12件のセキュリティ・アドバイザリを公開した。個人データが盗まれる恐れのある重要度「高」のセキュリティ・ホールを含む。いずれのセキュリティ・ホールも，既に公開されている最新版のソフトウエアでは修正されている。

　重要度が「高」のセキュリティ・ホールは7件ある。

　「"javascript:"を含むライブブックマークによって個人データが盗まれる」という問題は，Firefoxの初期のバージョンが影響を受ける。Firefox 1.0では修正されている。Firefoxの初期のバージョンでは，"javascript:"や"data:"URLをライブ・ブックマーク（RSSにより更新情報を取得し表示するブックマーク）として使用できた。そのため，それらのURLが実行されることにより，ページ内のCookieやデータを盗まれる可能性がある。また，ライブ・ブックマーク更新時に特権の高いページ(about:configなど)を表示していた場合，ユーザーのマシン上で任意のコードが実行される可能性がある，というもの。

　「ブラウザが非プロキシサーバー(SSL/HTTPS)からのプロキシ認証にも応じる」という問題は，FirefoxおよびMozilla Suiteが影響を受ける。Firefox 1.0およびMozilla Suite 1.7.5では修正されている。ブラウザでプロキシを設定している場合，設定したプロキシ・サーバーだけでなく，SSL接続を使用したあらゆるサーバーからの407プロキシ認証要求に応じてしまうというもの。これにより，NTLMやSPNEGO証明書が組織外に漏えいしてしまう可能性がある。

　「メールクライアントがCookieの要求に応じる」という問題は，Thunderbird 0.6から0.9，Mozilla Suite 1.7から1.7.3が影響を受ける。Thunderbird 1.0およびMozilla Suite 1.7.5で修正済み。HTTPでコンテンツが読み込まれた際に，"network.cookie.disableCookieForMailNews"の設定を無視してCookieの要求に応じていたというもの。メッセージに含まれたCookieが，ユーザーの行動の追跡に利用される恐れがある。

　「"javascript:"を含むリンクによってInternet Explorerが起動される」という問題は，Thunderbirdが問題を受ける。Thunderbird 0.9で修正されている。"javascript:"を含むリンクをクリックすると，Firefoxがデフォルト・ブラウザに設定されていても，WindowsではInternet Explorerが起動してしまうというもの。そのためInternet Explorerのセキュリティ・ホールを攻撃される恐れがある。

　「スクリプトによって発生させられたイベントによってコンテンツが確認なしにダウンロードされる」という問題は，Firefoxが影響を受ける。Firefox 1.0では修正されている。悪質なサイトが，ユーザーの知らないうちに実行可能ファイルその他の悪質なソフトウエアをWindowsのデスクトップに保存したり，ディスクを溢れさせてしまう可能性がある。

　「悪質な "news:"URLの処理過程でヒープオーバーランが生じる」という問題は，ThunderbirdおよびMozilla Suiteが影響を受ける。Thunderbird 0.9およびMozilla Suite 1.7.5で修正されている。

　「他のタブから入力内容が盗まれる」という問題は，FirefoxとMozilla Suiteが影響を受ける。Firefox 1.0およびMozilla Suite 1.7.5で修正されている。背後に隠れたタブのコンテンツが，信頼できるサイトによって開かれたように見せかけた確認ダイアログを表示させたり，入力フォーカスを密かに背面のタブに移してユーザーの入力した情報を盗み出そうとする可能性があるというもの。

　重要度「中」のセキュリティ・ホールは2件。FirefoxとMozilla Suiteに影響する「意図的に発生させられた中クリックイベントによってクリップボードの内容が盗まれる」。Firefox，Thunderbird，Mozilla Suiteに影響する「添付ファイルが一時的に誰でも読み取り可能な状態で保存される」。後者はマルチ・ユーザーのマシンでなければ問題はない。

　重要度「低」のセキュリティ・ホールは3件。FirefoxとMozilla Suiteに影響する「"view-source:"URLを使って安全なサイトの鍵アイコンが偽装される」，「バイナリファイルのダウンロードによって安全なサイトの鍵アイコンが偽装される」，「新しいタブに開かれたリンクによってローカルファイルが読み込まれる」。

　いずれの問題も，最新版のFirefox 1.0およびMozilla Suite 1.7.5，Thunderbird 1.0では修正されている。

（高橋　信頼＝IT Pro)