Opera 7に多数のセキュリティホール 42
いくら速くてもね 部門より
jbeef曰く、"INTERNET Watchが既に伝えているように、Opera 7に5つのセキュリティホールがあることがGreyMagicによって報告された。
1つ目の脆弱性は、JavaScriptのドメインを越えたアクセスの問題(過去のOperaの事例参照)で、悪意ある者は、新たに開いたウィンドウ上でメソッドをオーバーライドするという方法により、任意のスクリプトをそのウィンドウ上で実行させることができ、このときスクリプトは表示中のページのドメイン上で実行されるため、cookieやローカルファイルの盗み出しが可能というもの。
2つ目は、Opera 7にはconsole.htmlというファイルに例外メッセージを出力する機能があるのだが、メッセージ文字列に対して「<」と「>」はエスケープされるものの「"」がエスケープされないため、「"style=...」と書くことでそこに任意のJavaScriptコードを埋め込むことができてしまい、ローカルファイルの盗み出しが可能というもの。
3つ目は、先月紹介したIEの脆弱性の2つ目と同じ原理で、画像単体をURLで指定して表示させたときに内部で生成されるHTMLにクロスサイトスクリプティング脆弱性があるというもの。
4つ目は、他のブラウザでは、historyオブジェクトは、back()やforward()といったメソッドを持つだけなのだが、Opera 7はpreviousとnextというプロパティ(前と次のURL)も提供しているため、Webページ作成者は、訪問者がそれ以前にどこを見ていたかを知ることができてしまうというもの。
5つ目は、Opera 7には、console.htmlのメッセージを得るopera.errorMessage(i)というメソッドがあり、これが任意のサイトのHTMLから呼び出せるため、過去の例外メッセージを他人に取得されてしまう。メッセージにはURLが含まれているので、過去に訪れたページ(のうち例外を発生させたところ)のことを他人に知られてしまうというもの。
1つ目はともかく、2つ目の脆弱性はクロスサイトスクリプティング対策の基本であるし、3つ目は他のブラウザの事例を見ていればわかること。4つ目や5つ目なんぞは何も考えちゃいない様子がうかがえる。回避策はJavaScriptを無効にすること。"
とりあえず (スコア:2, 参考になる)
チェックを外したらJavaScriptOFFです。
これだけあると、他にも無いかと気になるなー
taka4
早速7.01が (スコア:2, 参考になる)
日は復た、昇る。----昇日
Re:早速7.01が (スコア:0)
Re:早速7.01が (スコア:0)
セキュリティー情報 (スコア:2, 参考になる)
ご参考までに。
ここの情報を信用するならば、7.01で5つの穴はふさがれているそうです。
--- Melloques Les Covdrasey ---
約束より発表が早すぎた? (スコア:2)
ですがGrey Magicは2日早くこのセキュリティホールについての発表を行ってしまったので、Opera社は慌てていつものftpのディレクトリに7.01をアップロードしたようです。公式アナウンスがまだ出ていなかったり、Downloadのページからダウンロード出来るOperaが未だに7.00だというのは、このあたりが関係しているのではないかと推測しています。
Re:約束より発表が早すぎた? (スコア:2, 参考になる)
リスクとか (スコア:1, すばらしい洞察)
顧客の全てがBUGTRAQを見てるわけじゃないからね。
この点はMSを見習って欲しい。
Re:リスクとか (スコア:0)
0から書き直したら過去の教訓も0にもどりました、なーんてオチはいいかげん勘弁してくれ…
こうなったら、telnet でhttpしゃべるしかない!(のか?)
Re:リスクとか (スコア:2, すばらしい洞察)
何がなんでもセキュリティホールなんてなかったことにしたいのだとしか思えません。MSがさんざん叩かれたのを見ているはずなのに、そこからなにも学んでいないのでしょうか……。叩かれる前にユーザにセキュリティホールを告知していたら、「セキュリティ情報をきちんと開示する会社」という評判を勝ち得ることもできたでしょうに……。
Re:リスクとか (スコア:0)
> Feb. 5, 2003: Opera 7 security update
> Opera 7.01 addresses the security vulnerabilities reported by Grey Magic
と書いてあって、Gray Magic の脆弱性情報の公開ページへの
リンクが貼ってあるんですが、これでは不十分なのでしょうか?
いや、自分の言葉で脆弱性の内容を書け、という気もするのですが……
Operaのみなさま (スコア:1)
二度とMacOS X版をリリースしようなどと思わないで下さい。(笑)
Re:Operaのみなさま (スコア:0)
Re:Operaのみなさま (スコア:1)
Re:Operaのみなさま (スコア:0)
Re:Operaのみなさま (スコア:0)
いちいち言わなくてもいいことを言ってしま企業文化なんですかねえ。
Re:Operaのみなさま (スコア:0)
#251880のDot.Zeile氏のコメントにしても、Opera7のストーリーに書くにしては、
ちょっと不親切だと思いますね。
#252010で氏自身がフォローされていますが、現存するOpera7はWin32用ですし、
このストーリーを読んでる人全員に、ZD
Re:Operaのみなさま (スコア:1)
この話は別にZDNet Macだけでしか伝えられていないわけではなく、速報 [zdnet.co.jp]も詳細記事 [zdnet.co.jp]も出てましたし、当日はちゃんと全体のトップページ [zdnet.co.jp]にも見出しが出ていましたよ。でなきゃ私だって気がつかない。
これが、Surfin' Safari [mozillazine.org]にしか書いてない話だったら私だってちったあ反省しますが…
まあ、Macに興味のない人は見逃しがちなニュースかもしれないけどね。Operaについてコメントしようってんだからこれくらいのことは知ってるだろうと思ったんですよ。それにインパクト狙いのジョーク含みの発言にあまり情報を書きすぎるのも無粋だし、と思ったんだがなあ。
Re:Operaのみなさま (スコア:1)
Re:Operaのみなさま (スコア:0)
うう・・・ (スコア:0)
仕方ない。危険を覚悟でIEを使い続けるか・・・。
Re:うう・・・ (スコア:1, すばらしい洞察)
便利さ(機能)と脆弱性は表裏一体であることを肝に念じておくべきですな。
この世に存在するソフトウエアはどれも神様が書いたものではないのですから、機能を追い求めればそれだけ脆弱性が潜在する可能性もまた高まるわけです。
言い換えれば、機能を諦めてJava/Javascript/ActiveXのいずれも動作しないブラウザを利用するか、そうでなければ機能豊富なブラウザを使ってこまめにパッチをチェックしながら日頃のアップデートを欠かさないか、どちらかしか選択肢はありません。
Re:うう・・・ (スコア:3, すばらしい洞察)
この「便利さ」というのは、往々にして作成者側だけの「便利さ」であることが多いという点にも留意する必要があるでしょう。作成者側の都合だけで(あるいは無知のために)必要もないのにスクリプトを強要するようなサイトがなくなればw3mのようなブラウザでも不便を感じることは少なくなるでしょう。
問題は、スクリプト機能のないシンプルな(「低機能」な)ブラウザにとって住みにくい世の中に、WWWがなってしまった、ということにもあるでしょう。
Re:うう・・・ (スコア:1)
IEには昨年の12/31の時点でパッチの出ていないセキュリティホールが19個 [pivx.com]ありますが?
Re:うう・・・ (スコア:0)
Re:うう・・・ (スコア:0)
Re:うう・・・ (スコア:1)
信頼済みサイトに追加したサイトで何か問題があっても、自分で追加したのだしというか。
Re:うう・・・ (スコア:0)
ところがクロスサイドスプリプティングってのは制限つきサイトのコードでも信頼済みサイトの権限で動くから問題。
またIEの今までのバグだと、たとえ制限つきサイトから落としたものでも、別の権限で動いたりとか。
Re:うう・・・ (スコア:1)
Re:うう・・・ (スコア:1)
# 一度ハードディスクをフォーマットされれば判ります[笑]
# こんな穴はIEだけでしょ?
notice : I ignore an anonymous contribution.
Re:うう・・・ (スコア:0)
> # こんな穴はIEだけでしょ?
いいえ [google.co.jp]。
Re:うう・・・ (スコア:0)
本気で聞いてる? (スコア:0)
たぶん、テキストブラウザが一番安全だと思うよ。
テキストブラウザが嫌でJavaScriptも使いたいなら、
どんなブラウザを使っていようが同じ事。
常に脆弱性の情報
Re:本気で聞いてる? (スコア:1)
まぁ問題になるのは JavaScript だけではないしね。
Re:本気で聞いてる? (スコア:1)
w3m でも Cookies は盗まれて [srad.jp]いますね。JavaScript がないだけ不安要素が少ないのは事実ですが。
少なくとも Cookies に関して云えばそもそも Cookies を使わなければ盗まれても困らないですな。
現実的には Cookies パスワードの入力の省略とかアクセス解析の為の利用者追跡の為にしか使われていないみたいですし。
# 下手をするとパスワードなんてディスプレイに付箋紙で…。
Re:本気で聞いてる? (スコア:2, すばらしい洞察)
/.のユーザ登録もできなくなります・・・
多くの会員制サイトが認証システムを考え直す必要も出てきますね。
taka4
Re:本気で聞いてる? (スコア:0)
セッション管理は Cookie 使いたいなぁ。 URL に埋め込んで HTTP_REFERER で洩れたりするのも嫌やし。
Re:うう・・・ (スコア:0, おもしろおかしい)
もうsecrity fixでたよ。 (スコア:0)
どこに? (スコア:0)
# 普通の人はftp直接眺めたりしません
Re:どこに? (スコア:1)