パスワードを忘れた？ アカウント作成
Close
8669 story

MozillaにSSL証明書偽装の脆弱性 71

ストーリー by Oliver
直したらユーザの手元に届けないとね 部門より

kamuy 曰く、 "cipherのアドバイザリとSecuniaのアドバイザリによると、MozillaおよびMozilla Firefoxにて、SSLによる暗号化通信のための証明書を偽造してなりすまし(いわゆるPhishing詐欺)が可能となる脆弱性が確認されたとのこと。キャッシュの仕組みに問題があるらしいのですが、コレが成功すると「鍵」アイコンも表示されてしまうというモノのようです。未だにmozilla本家でも特に告知はなされていないようですが、現在のところ対策パッチ等は出ていないらしいので注意が必要です。
(CNET Japanの記事, 窓の杜の記事)"

Mozillazineによるとバグ#253121は修正済だが、このパッチを含むバージョンはリリースされていない。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

MozillaにSSL証明書偽装の脆弱性 More

  • UI偽装の脆弱性もありますぜ (スコア:2, 参考になる)

    by Anonymous Coward on 2004年08月01日 21時14分 (#599486)
    MozillaのUIを偽装可能な脆弱性 [slashdot.org]の方が気になる。
    Firefoxのテストケース [nd.edu]見る限りでは、何でもあり状態…

    • これもNightlyでは修正済みの模様 (スコア:3, 参考になる)

      by gy0 (3393) on 2004年08月01日 23時16分 (#599601) 日記
      それを受けて，総論としてXUL実行のポリシー管理が緩くて危ない(からきちんとしようぜ) [mozilla.org]，という向きがあるようですね．

      信頼できない外部サイトからローカルのchromeを参照させない [mozilla.org]，
      という各論部分に関しては既にResolved Fixed．
      むろんMilestoneはまだですが，今回の話題の問題の修正された版では
      こちらも修正された状態で出るかと．
      --
      gy0
      シェア
      親コメント

    • Re:UI偽装の脆弱性もありますぜ (スコア:2, 参考になる)

      by Anonymous Coward on 2004年08月02日 17時34分 (#599986)
      UI 偽装の脆弱性については、予防策のひとつとして、

      http://pc5.2ch.net/test/read.cgi/software/1090992937/127
      > user_pref("dom.disable_window_open_feature.location", true);
      > を user.js に仕込んでおけば window.open で
      > アドレスが隠されることはないから spoof に対して最低限の予防になる。
      >
      > user_pref("dom.disable_window_flip", true);
      > user_pref("dom.disable_window_move_resize", true);
      > user_pref("dom.disable_window_open_feature.menubar", true);
      > user_pref("dom.disable_window_open_feature.minimizable", true);
      > user_pref("dom.disable_window_open_feature.resizable", true);
      > user_pref("dom.disable_window_open_feature.scrollbars", true);
      > user_pref("dom.disable_window_open_feature.titlebar", true);
      > user_pref("dom.disable_window_open_feature.toolbar", true);
      > user_pref("dom.disable_window_open_feature.status", true);
      > この辺もやっとくのが吉。

      というものがあるようです。参考まで。
      シェア
      親コメント

  • とりあえずの対策 (スコア:2, 参考になる)

    by Tsukitomo (22680) on 2004年08月01日 21時36分 (#599505) 日記
    もじら組BBS [mozilla.gr.jp]やえむもじら [xrea.com]によると、とりあえずJavascriptをOFFにすることで問題は回避できるようです。

    で、えむもじらによると
    Mozilla News の記事では、"Patched versions of the Suite and Firefox will be available soon." となっているので、もうじき修正版がリリースされるみたいですね。
    だそうです。

    # オタではないけど、Mozillaユーザとしての第一声を挙げてみた。
    --
    Your 金銭的 potential. Our passion - Micro$oft

    Tsukitomo（月友）
    • ていうか、要するに昔からの鉄則
      「プラグインONの状態で閲覧する時は、いかなるブラウザであろうと
      　よく解らないサイトに立ち入らない」で対策できるのでしょうけどｗ

      • Re:とりあえずの対策 (スコア:1)

        by U-Chan (6901) on 2004年08月02日 14時10分 (#599921)
        Javascript ならすぐ ON/OFF 出来るけど、プラグインの方を ON/OFF するのに何か便利な方法があったりしたら知りたいなぁ……と思っている今日この頃。
        あれば、普段は全部 OFF で、いるものだけ ON にするんだけど。
        シェア
        親コメント
      • >プラグインONの状態で閲覧する時は、いかなるブラウザであろうとよく解らないサイトに立ち入らない

        そんな法則聞いたこと無いけど。ていうか見られない･先に進めないページ続出で不便ジャン。

  • 1.8系では？ (スコア:1)

    by KAMUI (3084) on 2004年08月01日 21時54分 (#599519) 日記
    現在 1.8 alpha2 が公開されていますがこちらの方も問題アリなんでしょうか？

    • Re: Warpzilla 1.8a3 nightlyでは (スコア:2, 参考になる)

      by SassyOS2 (8523) on 2004年08月01日 23時15分 (#599600) ホームページ 日記
      Oliverさんのタレコミの注釈にあるBugzilla Bug 253121 [mozilla.org]については，testcase [mozilla.org]で確認できます。

      Mozilla 1.8a3 Nightly
      Mozilla/5.0 (OS/2; U; Warp 4.5; en-US; rv:1.8a3) Gecko/20040729
      では修正されているのを，たった今確認しました。(^^;

      たぶんマイナーアップデートをリリースするより，次の1.8alpha3できちんと修正する方にしたのでしょう。でも次のリリースの見通しは立たなくても，せめて告知くらいはしてほしいなあ＞Mozilla.orgさまっ

      # もしやMozilla.orgには，人手と予算が足りないのか？
      # 半月前に頼んだMozilla Tシャツもまだ届かないし（それは違うかも）

      シェア
      親コメント
    • Mozilla 1.4.2
      Mozilla/5.0 (OS/2; U; Warp 4.5; en-US; rv:1.4.2) Gecko/20040730

      こちらも修正されていました。ただOS/2版FireFoxにはnightlyがリリースされないので，FireFoxについては不明です（言い訳モード）

      シェア
      親コメント

  • タレコミ文の誤り (スコア:1)

    by jbeef (1278) on 2004年08月01日 23時12分 (#599598) 日記
    タレコミには
    SSLによる暗号化通信のための証明書を偽造してなりすまし
    とありますが、この脆弱性の悪用で、証明書が偽造されるわけではありません。本物サイトの本物証明書を誤って偽サイトの画面とともに表示してしまうというのが、この脆弱性でしょう。
    • どんなことをするとあぶないのかMicrosoftの「絵でみるセキュリティ情報」ぐらいにわかりやすく説明してくんろ。

      • Re:なにいっているのかさっぱりわからない (スコア:3, 参考になる)

        by jbeef (1278) on 2004年08月01日 23時56分 (#599629) 日記
        信用できないサイト（もしくは信用できない電子メール）からのリンクをたどって、自分が知っているサイトらしき画面にたどり着いたとき、その画面が、本物のその知っているサイトであると信用する（パスワードや個人情報を入力する必要があるなどの目的で本物サイトであることを確認する）には、以下のいずれかを確認する必要があるが、今回の脆弱性を悪用した罠がしかけられていると、2番目の方法では偽物と本物を区別できないということです。
        1. URLを見て、ドメイン名が知っているサイトと同一であり、https:// になっている。
        2. ブラウザの錠アイコンがロックされていることを確認し、そこをクリックするなどして証明書を表示させ、その内容が知っているサイトの組織名と一致しているか確認する。
        シェア
        親コメント

      • 形式だけは真似てみましたが、 (スコア:3, おもしろおかしい)

        by Anonymous Coward on 2004年08月02日 7時57分 (#599755)
        > 「絵でみるセキュリティ情報」ぐらいにわかりやすく
        絵でみる…は「わかりやすい」と言うよりは「何もわからない」物だと思うのですが、形式だけ真似てみました。内容はテキトーなので信用しないでください。もちろん絵はありません。

        > どんなことをするとあぶないのか
        は、「どんな風に攻撃されるのですか?」を見て…も、ほら、わからないでしょ?(違

        ----

        絵でみるセキュリティー情報
        Bug#253121
        ウェブブラウザ用のセキュリティー更新

        登録日:2004/08/02
        更新日:2004/08/02

        どの製品を使っている人が関係しますか?

        下記の製品を使っている人が関係します。この情報をよく読んで、修正されたプログラムをインストールしてください。
        ・Mozilla 1.4.2
        ・Mozilla 1.7/1.7.1
        ・Mozilla 1.8a2
        ・Mozilla Firefox 0.9.1/0.9.2

        使用しているウェブブラウザのバージョンはメニューの[ヘルプ(H) ][製品名 について] で確認してください。
        注意:製品名には Mozilla などの製品名が記載されます。

        どのくらい危険な問題ですか?更新プログラムはインストールした方が良いですか?

        |注意|警告|重要|**緊急**|
        低←----------------→高
        (AC注:決して信用しないでください。鉛筆を転がして決めました。)

        このページの登録時には直接の被害はまだACには報告されていません。ACの転がした鉛筆はこの問題が悪用される可能性が高いと考えています。修正バージョンがリリースされたら、すぐに対策することをお勧めします。

        このセキュリティー問題の危険性(深刻度)は緊急レベルです。
        修正バージョンがリリースされたら、すぐに対策をしてください。
        各レベルの違いについての詳しい説明は こちら [microsoft.com] へ

        どんな風に攻撃されるのですか?

        Webページに危険なプログラムを忍ばせます。→Webページを見ると攻撃を受けます。
        (AC注:つまり、鍵のかかったアイコンが不正に表示される段階の事を言っています。)

        注意:ここに挙げたものは想定される一部の方法ですので、ご注意ください。

        攻撃されると、どんなことが行われますか?

        クレジットカード番号やパスワードなどが盗み見られます。

        注意:これは考えられる被害の一部です。

        対策するには、どうすれば良いですか?

        Mozilla Foundationから修正されたプログラムがリリースされたらダウンロードしてインストールします。

        Mozilla Foundation [mozilla.org]から修正されたプログラムがリリースされたらダウンロードしてインストールしてください。
        (AC注:あるいは、修正されたナイトリービルドをインストールしてね。)
        ダウンロードとインストールの手順については、はじめての Mozilla 1.4 第二部 [mozilla.gr.jp]を御覧ください。

        コンピュータをより安全に利用するための基本的なセキュリティ対策方法については こちら [microsoft.com] へ

        修正されたプログラムが正しくインストールされたことを確認する方法は?
        メニューの[ヘルプ(H)][製品名 について]で、修正されたプログラムが正しくインストールされたかを確認することができます。
        注意:製品名には Mozilla などの製品名が記載されます。
        (AC注:shellblock.xpiみたいな修正って「about:configから…」とか言わなきゃいけないから面倒だね。)

        操作手順については通常のメニュー操作の手順に従ってください。

        もう少し詳しく知りたい方は・・・

        タレコミにあるリンクをたどってね。
        シェア
        親コメント

  • Firefox 0.9.3 (スコア:1)

    by mizna (8774) on 2004年08月05日 4時36分 (#601434) 日記
    タレこむまでのこともないので、ここに書いてしまいますが、
    Firefox 0.9.3が来てます。
    http://ftp.mozilla.org/pub/mozilla.org/firefox/releases/0.9.3/ [mozilla.org]

    MozillaZine Forumsのスレ [mozillazine.org]によると、
    > Fixes are:
    >
    > Bug 253121 - lock icon and certificates spoofable with onunload document.write
    > Bug 249004 - Importing false CA certificate leading to error -8182 (perm DoS), especially exploitable by email
    > Bug 251381 - new libpng buffer overflow vulnerabilities
    > Bug 250906 - null (%00) in filename fakes extension (ftp, file)
    とのこと。

    また、UAがGecko/20040803となっています。
    --
    "Stupid risks are what make life worth living!" -- Homer Simpson

  • まったくどの Web browser も次々に脆弱性が発覚しま (スコア:0)

    by Anonymous Coward on 2004年08月01日 21時24分 (#599497)
    やはり最強は emacs-w3m でしょ。
    僕は Emacs の中で暮らしている人間なんで
    日常の生活ではこの Web browser
    (Text browser) が欠かせません。
    これなしでは生きていけませんね。
    みなさんにもお勧めしますよ。
typodupeerror

Stay hungry, Stay foolish. -- Steven Paul Jobs