スポンサーサイト

上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。

--年--月--日 スポンサー広告 トラックバック:- コメント:-

Google Desktop、IEのせいで情報流出のおそれ

 Google Desktopが悪いのかIEが悪いのか・・・。どちらにしろGoogle Desktopを使っている人は気をつけた方がよいです。

 ・Google Desktopユーザーもあぶない--IEの脆弱性で情報漏出のおそれ(CNET Japan)

 MicrosoftのInternet Explorer(IE)にある脆弱性を悪用して、Googleのデスクトップ検索ツールを利用するユーザーの情報を盗み出す方法を、イスラエルのあるセキュリティ研究者が発見した。

 このMatan Gillonという研究者は米国時間11月30日、このハッキング方法に関する解説を公表したが、それによるとIEがCSS(Cascading Style Sheets)を処理する方法にバグがあるという。CSSとは複数のウェブページに共通のスタイルを設定する手法を指す。CSSを使ったウェブページのデザイン手法は、数多くのサイトで利用されている。

 この概念実証手法は、あるソフトウェアの脆弱性が、PC上に存在するすべてのプログラムに影響を与える一例で、これらのプログラムのなかにはGoogle Desktopも含まれる。

 「IEのなかにある設計上の脆弱性により、攻撃者がユーザーのプライベートデータを取得したり、リモートドメイン上でユーザーに成り代わって操作を行えるようになる」とGillonは説明している。同氏はこの問題を示すためにあるウェブページを作成した。IEでこのページにアクセスすると、Google Desktopが勝手に「パスワード」というキーワードで検索をかけ、その結果を取得してしまうという。

 この脆弱性を悪用するためには、攻撃者が被害者を悪質なウェブページに誘い込む必要がある。「何千ものウェブサイトが悪用される可能性があり、少なくともIEが修正されない限り、この攻撃を簡単に防ぐ方法はない」(Gillon)

 Microsoftでは現在この問題について調査を進めている。同社によると、これはInternet Explorerのクロスドメイン保護に影響を与える問題だという。「攻撃者がこの脆弱性を悪用して、特定の設定の別サイトにおかれたコンテンツに、脆弱性のあるサイトからアクセスできてしまう可能性がある」(Microsoftの声明)

 Microsoftはまだこの脆弱性を悪用するエクスプロイトコードを確認していないが、同社は状況の監視を続けていくという。同社によると、この問題に関するセキュリティアップデートもしくは勧告が出される可能性があるという。

 GoogleでもGillonの発見した問題について調査を進めている。同社広報担当のSonya Boralvは「この問題は確認したばかりで、まだ調査中だ」と電子メールによる声明のなかで述べている。

 Gillonの作成したサンプルは、IEの脆弱性を利用してGoogle Desktopを勝手に使うものだが、この脆弱性や他のソフトウェアにあるバグを悪用すれば、事実上どのアプリケーションにもひそかにアクセスすることが可能だという。

 セキュリティ研究者のTom Ferrisは、「これはIEが抱えているほかの脆弱性と同じようなものだが、ただしGoogle Desktopでデータを取得するためにGillonが考えた方法は独創的だ。Quickenのデータやデータベースファイルなどを盗むのに、これを悪用できることは確実だ」と語っている。

 eEye Digital SecurityのセキュリティプロダクトマネジャーSteve Manzuikも同意見だ。

 「これは間違いなくIEの脆弱性であり、Googleのバグではない。Google Desktopを使ってデータを取得してはいるが、それを可能にしているのはIEだ」(Manzuik)

 Gillonによると、この脆弱性があるのはIEだけで、FirefoxやOperaでは見つかっていないという。同氏はIEユーザーに対し、保護措置としてJavaScriptを無効にするように勧めている。


 IEに関して一番腹が立つのは、IEを削除しようとするとWindowsの機能自体に影響を及ぼしてしまうため削除が出来ないことです。IEの脆弱性の影響を受けるのは事実上Windowsを使っているほとんどの人ということになるのでしょう。
 
 ちなみに記事の最後の方に、「保護措置としてJavaScriptを無効にする」ことを勧めていますが、最近のWebサイトでJavaScriptを使わないサイトはほとんどないのでは?なんて思いますがどうでしょう?ブログもほとんど使っていますよね?
スポンサーサイト




出来れば二つほどクリックをお願いします。→ FC2 Blog Ranking







2005年12月05日 IT トラックバック:- コメント:2

IE7が出る出ると言われていて結局正式版は今年出ませんね。
http://pcweb.mycom.co.jp/articles/2005/02/16/rsa/
http://arena.nikkeibp.co.jp/trend/zoom/20050826/113265/

2005年12月05日 worldwalker URL 編集

 残り少ないですが、出る見込みはありませんね。
 結局出たとしても他のブラウザに追いつくだけでしょうね。

2005年12月06日 さいごう URL 編集












管理者にだけ公開する

上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。