パスワードを忘れた？ アカウント作成
Close
2096 story

Netscape/MozillaにCookie漏洩のセキュリティホール 21

ストーリー by wakatono
早期のアップデートを 部門より

jbeef曰く、" Marc Slemko氏（Apache HTTPサーバプロジェクトのメンバでもある） が 現地時間の21日に公表した情報によると、Netscape 6.2およびMozilla 0.9.xに、任意サイトのcookieの盗み出しが可能なセキュリティホールがあり、Netscape 6.2.1およびMozilla 0.9.7で修正されているとのこと。「ｈttp://example.com%00passport.com/」 といった、「%00」を挿んだURLにアクセスすると、passport.com向けに発行されたcookieがexample.comへ送信されてしまうという。"

"原因はおそらく、null文字が、cookieの処理ルーチンでは文字列の終端文字として扱われず、リモートホストへのアクセス処理では終端文字として扱われたためといったところだろう。 類似のセキュリティホールとしては、2000年5月にIEに発覚した Open Cookie Jar(MS00-033)がある。

12月上旬にNetscape 6.2.1がリリースされたことは知っていたが、セキュリティfixだとは知らされなかった私は、アップデートしていなかった。 Netscapeのセキュリティノートのページにも何も書かれていなかった。Marc Slemko氏の説明によると、1月中旬になって、こっちのページに、6.2.1がセキュリティfixだったことが公表されたという。"

わりとありがちなバグといってしまえばそれまでだが、危険は危険。心当たりの人はアップデートを。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Netscape/MozillaにCookie漏洩のセキュリティホール More

  • 0.01のupの時は重要な修正？ (スコア:3, 興味深い)

    by sham (4555) on 2002年01月23日 18時29分 (#56638)
    0.1あがったときは、入れる／入れないの判断のため、どんな機能が
    かわったかの情報は欲しいですが

    0.01の時は、セキュリティホールの修正だけなので、詳細が
    わかるわからないにかかわらず充てるべきバージョンアップだと
    思いますよ。
    要らぬ機能の追加も心配ないですしね。

    かといって、詳細の公開をしなくていいわけではないので、
    内容を理解すべき人向けには公開すべきですね。

    ネスケはバージョンがあがると、問題がある。修正しないといけない。
    って事がわかりやすくて、初心者には勧めやすいです。

    それにひきかえＩＥだと、どのパッチをあてたらいいか、けっこう
    悩む。

    By シャム
  • 発見から公表までのタイミングを整理： 「各国語版、各OS版が出揃うまで、脆弱性情報を公表しない」という考え方はアリなのかもしれない。揃うまでどれもリリースしないという考え方もアリかもしれないが、できたものから早く出したいということもあるかもしれない。どうすべきなのだろう？

    オープンソースプロジェクトの場合、報告されたセキュリティホール情報をプロジェクトメンバーの誰までに見せてよいかという問題もある。誰でも閲覧可能な場に問題点の情報を投げ込むのは、避けた方がよいかもしれないが、できるだけ多くのメンバーに見てもらって、迅速に対応したいという面もある。どうすべきなのだろう？

    • 「各国語版、各OS版が出揃うまで、脆弱性情報を公表しない」という考え方はアリなのかもしれない。揃うまでどれもリリースしないという考え方もアリかもしれないが、できたものから早く出したいということもあるかもしれない。どうすべきなのだろう？
      一見、fix版登場時に「このリリースには詳細を明らかにしないがSecurity fixが含まれているため、至急のアップグレードを推奨する」とアナウンスすればいいような気もしますが、本当にそうなんでしょうか？

      「前回のリリースには既知のセキュリティ問題が含まれている」というのがこの行動を行ったときに明らかになる情報ですが、無用の混乱を避ける意味でも最初に告知しないほうがいいような気もします。どうせ（善悪の区別を問わず）セキュリティホールを探すような人はこの情報があろうと無かろうと自分で探すでしょうし。

      そういう意味でも、今回の「リリース時にセキュリティ修正であるとは告知しない」というのは原則にはそぐいませんが、非常に普及したソフトウェアではある意味正しいような気もします。

      ただし、問題が周知になってしまったセキュリティホールについてはその限りではなく、修正版と告知すべきだと思います。こういうケースでのNetscape社の対応はちょっとおかしいと思わないでもないです。

      シェア
      親コメント

    • 以前に書いたのですが、とりあえず、mozilla.org ではこのような取り決め [srad.jp]があるようです。

  • セキュリティフィックスに限らず、バグ等を含めた積極的な情報開示をしていただけないと、ユーザとして非常に困惑することがあります。アプリのバグに振り回される？のに、ベンダーさんからの情報が探しにくいのでは。^^;;
    バージョンが上がったら黙ってバージョンアップ、というのもアリですけど。もう少し積極的な広報があってもいいような気がしなくもないです。
    • これ、 Netscape のサイトだけ見てセキュリティフィックスだと判断できる日本人(正確には日本語以外分からない人)、いないんじゃないの？
      今いろいろ探してみたけど、日本語による説明、載ってないよ。

      ほえほえ....英語読むの疲れるのに....
      シェア
      親コメント
    • Netscape 6系に限ってはですが、かなりの部分が Mozilla
      なので mozilla.org の方の情報がそのまま Netscape 6系に
      も当てはまります。

      だからといって mozilla.org の情報があれば Netscapeの
      情報発信は必要ないとは思いませんが、使う側のひとつの
      知恵としてmozilla.org も視野に入れておくというのは
      アリかと思います。

      • Re:ベンダーによる積極的な情報開示を希望 (スコア:1, すばらしい洞察)

        by Anonymous Coward on 2002年01月23日 18時55分 (#56654)
        と書いているだけでは芸も無いので
        Netscape へ feedback 投げてきました。

        以前に見たときは日本語でも書くことが
        出来たような覚えがあるのですが、
        なんか英語のフォームしかなかったので
        大したことは書けませんでしたが。

        みんなで意見を送れば、なんか変わるんじゃ
        ないですかね。
        シェア
        親コメント

  • ようやく、というか (スコア:2, 興味深い)

    by dai75 (557) on 2002年01月23日 14時57分 (#56545) 日記
    Mozilla は今まではちゃんと表示できるできないのレベルで、実装レベル(バグ)でのセキュリティホールは追いきれていなかったように思います。

    ようやくここまで来たかな。
    これから結構ボロボロと出てきそうな気がする。

    とはいえ IEよりは OS へアクセスする範囲が狭いので(File IOくらい?)、根本的には安全でしょう。
    --
    -- wanna be the biggest dreamer
    • >Mozilla は今まではちゃんと表示できるできないのレベルで、実装レ
      >ベル(バグ)でのセキュリティホールは追いきれていなかったように思
      >います。
      確かにおっしゃる通りですね。
      ところで話は変わりますが、Linux及びFreeBSD版のMozilla又はNetscape Navigator 4.79はあるのですが、何故OpenBSD版のMozillaは未だにリリースされる気配がないのでしょうか。今現在、仕方ないのでIE6から当サイトを閲覧させて頂いております。
      OpenBSDには、w3mとLynXといった優れたテキスト形式のブラウザがあるのですが、たま～にムラムラッとしてきた時に少なく

      • Re:ようやく、というか (スコア:1)

        by mark (4383) on 2002年01月24日 8時47分 (#56800)
        > OpenBSDには、w3mとLynXといった優れたテキスト形式のブラウザが …中略… 少なくとも画像だけでも綺麗に鑑賞できるブラウザが欲しいです。



        w3m のページ         [biglobe.ne.jp]インライン画像の表示

        これは?
        ちょっと依存するものがあるようですが、X が使える状態ならどこでも動くと思いますけど。
        シェア
        親コメント

      • Re:ようやく、というか (スコア:1)

        by take0m (4948) on 2002年01月24日 10時12分 (#56817) 日記
        File I/Oだけで十分に危険な気もしますが・・・
        シェア
        親コメント
      • OpenBSD版がリリースされないのか、とのことですが、
        確か mozilla.org にある FreeBSD/NetBSD版は
        外部の人間が build したものを contribute した
        ものです。 FreeBSD nightly-build は日本の人が
        やってるとかなんとか。

        なのでパワーのある OpenBSDな方々が build して
        contributeしていただければ他の OpenBSDな人が
        幸せになるのではないかと。
        • もし外部の人間が、NetBSD/FreeBSD用に作ったものであれば、OpenBSDでも頑張れば何とかいけそうですが、問題はOpenBSDプロジェクトの究極の目標を満たしているか否かということ一つのようですね。

          ただ単に、portを用意する

  • 0.9.7では直っている (スコア:1)

    by shimpei (1499) on 2002年01月23日 13時17分 (#56513)
    元記事を見ると、モジラ使いは最新版の0.9.7まで上げれば安心らしいです。

  • いちお、 (スコア:1)

    by Dot.Zeile (1169) on 2002年01月23日 17時02分 (#56596) 日記
    Security Newsのページ [netscape.com]には今回の件の記述がありますが、いつからここにあったのかはわかりません。日付くらい入れておけばいいのになあ。
typodupeerror

UNIXはシンプルである。必要なのはそのシンプルさを理解する素質だけである -- Dennis Ritchie