Firefoxのセキュリティ・ホールを突つくプログラムが出回でまわる

ITPro

2006.02.08

米べいUS-CERTの<a href="http://www.us-cert.gov/cas/techalerts/TA06-038A.html" target=_blank>Technical Cyber Security Alert</a>

[画像がぞうのクリックで拡大かくだい表示ひょうじ]

　米べいSANS Instituteは現地げんち時間じかん2月がつ7日にち，Webブラウザ「Firefox」のセキュリティ・ホールを突つくプログラムがネット上じょうで公開こうかいされているとして注意ちゅういを呼よびかけた。プログラムを悪用あくようされると，Firefoxが稼働かどうするマシン上じょうで任意にんいのプログラムを実行じっこうされる恐おそれがある。対策たいさくは，修正しゅうせい済ずみのFirefox 1.5.0.1にバージョンアップすること。JavaScriptを無効むこうにすることでも回避かいひできる。

　公開こうかいされているプログラム（Exploit）が突つくセキュリティ・ホールは，「Location および Navigator オブジェクト上じょうでの QueryInterface を使つかったメモリ破壊はかい」。これは，米べいMozilla Foundationが米国べいこく時間じかん2月がつ1日にちに公表こうひょうしたMozilla製品せいひん関連かんれんのセキュリティ・ホールの一ひとつである（関連かんれん記事きじ）。

　Mozilla Foundationの情報じょうほう（Mozilla Japanによる日本語にほんご訳やく）によれば，このセキュリティ・ホールはQueryInterfaceメソッドに関かんするもの。組くみ込こみオブジェクトのLocationおよびNavigatorでQueryInterfaceメソッドを呼よび出だすと，任意にんいのプログラムを実行じっこうできるようなメモリー破壊はかいが発生はっせいするという。

　今回こんかい公開こうかいされたプログラムはFirefoxを対象たいしょうとしたものだが，ThunderbirdとSeaMonkeyにも同様どうようのセキュリティ・ホールが存在そんざいする。

　ただしMozilla Foundationでは，このセキュリティ・ホールは「Firefox 1.5 および SeaMonkey 1.0 の開発かいはつ期間きかん中ちゅうにまぎれ込こんだもので，Firefox 1.0 や Mozilla Suite 1.7 以前いぜんのバージョンには影響えいきょうしないと思おもわれる」としている。デンマークSecuniaなどでは，このセキュリティ・ホールの影響えいきょうを受うけるのは，Firefox 1.5およびThunderbird 1.5としている。バージョン1.0よりも古ふるいSeaMonkeyも影響えいきょうを受うける（1.0は除のぞく）。

　対策たいさくは，セキュリティ・ホールを修正しゅうせいしたFirefox 1.5.0.1やSeaMonkey 1.0にバージョンアップすること。これらのバージョンでは，「Location および Navigator オブジェクト上じょうでの QueryInterface を使つかったメモリ破壊はかい」以外いがいの危険きけんなセキュリティ・ホールも修正しゅうせいされているので，できるだけバージョンアップしたい。

　修正しゅうせい版ばんが未み公開こうかいのThunderbirdでは，JavaScriptを無効むこうにすることが回避かいひ策さくとなる。デフォルトでは無効むこうになっているので，設定せってい変更へんこうしていなければ影響えいきょうを受うけない。

　セキュリティ組織そしきの米べいUS-CERTも現地げんち時間じかん2月がつ7日にち付づけで，「Firefox 1.5.0.1やSeaMonkey 1.0へアップグレードすること」「修正しゅうせい版ばんがリリースされていないMozilla製品せいひんではJavaScriptを無効むこうにすること」を強つよく勧すすめている。