IEの欠陥により、Google Desktopに情報漏洩の危険性 31
ストーリー by GetSet
この組み合わせでの利用者は要注意 部門より
この組み合わせでの利用者は要注意 部門より
oddmake曰く、"eWeek記事や本家記事にもなっているが、ITmediaの記事によるとInternet ExplorerとGoogle Desktop を使っているユーザの個人情報を盗むことができる方法をイスラエルのマタン・ギロン氏が発見し、自身のWebページで詳細に解説したという。最新のパッチがあたっていて、デフォルトのセキュリティ設定の状態のIEとGoogle Desktop v2を使っている状態で脆弱性の実証コードは動作したという。マイクロソフトによると、この脆弱性によってユーザが攻撃を受けた例はまだ確認されていないということだ。事は重大であるので、信頼できないWebページは訪問したりせず、パッチやMSのsecurity advisoryなどで対処法が示され次第、各自対処を行なって欲しい。"
Google だけじゃなく (スコア:5, 参考になる)
＞Gillon used the Google Desktop utility to prove his findings, but in theory, any domain
＞or application that depends on the IE cross-domain security model is vulnerable.
とあるように、Google Desktop は一例にすぎず、
理論的には IE のクロスドメイン防御に頼っているものはすべて
悪用され得るようです。
＞"Thousands of Web sites can be exploited, and there isn't a simple solution against
＞this attack at least until IE is fixed," Gillon said.
危険性のあるサイトはかなり多いようです。
「Google Desktop に危険性」というタイトルは
ちょっと危険を過小評価しているかもしれませんね。
Googleは実証用コードへの対策をした模様 (スコア:5, 参考になる)
マタン・ギロン氏が公開している実証用コードがIEでも動作しなくなっています。
あと、あくまで実証用コードが動かなくなっただけであり、脆弱性は依然として存在しますので、
＞とあるように、Google Desktop は一例にすぎず、
＞理論的には IE のクロスドメイン防御に頼っているものはすべて
＞悪用され得るようです。
という状況は変わっていないことにご注意を。
Re:Google だけじゃなく (スコア:0)
IEっていまだに (スコア:5, 興味深い)
うまく処理していない所があります。
いや、プロキシ設定でローカルをしていしても
若干誤動作しているし、その時javascriptやプラグインが
動作しないし
この間リリースされていたFireFoxは大丈夫でした。
もしかして、既知の問題(仕様)に嵌ってません？ (スコア:5, 参考になる)
＞うまく処理していない所があります。
もしかして、自動構成をONにしてますか？
だとしたら、仕様かもしれません。
IEの自動Proxy設定とセキュリティ・ゾーン [atmarkit.co.jp]を一度お読みになられると良いかと。
＞いや、プロキシ設定でローカルをしていしても
＞若干誤動作しているし、その時javascriptやプラグインが
動作しないし
Norton InternetSecurity2004等の広告ブロック等はHTMLにJavaScriptを追加・変更することで実現してるのでそれの副作用という可能性もあります。
一度、本当にIEが原因なのかを疑ってみるのもオススメします。
Firefoxで影響が出なかったのは広告ブロックのフックが機能しなかったという可能性も・・・
一度、本当にIEが原因なのかを疑ってみるのもオススメします。 (スコア:1)
この辺はチェック済みなのでＩＥ側に問題ありそうです。
ＦｉｒｅＦｏｘ側はちゃんと処理してるっぽい。
Re:IEっていまだに (スコア:1, 余計なもの)
× FireFox
○ Firefox
なんか・・・ (スコア:3, おもしろおかしい)
# って自分のポストした記事だったorz
Re:なんか・・・ (スコア:3, すばらしい洞察)
Googleがそう考えてなくても‥ (スコア:1, 興味深い)
ユーザがこれを分離できない、っていう時点ですでに『危険』だと思う。
もちろん、『だからGoogle Desktopはダメなんだ』ってことはない。
使うことを選択したのは、他ならぬユーザ自身なのだから。
Re:Googleがそう考えてなくても‥ (スコア:3, すばらしい洞察)
「そのような危険な状態になりますが、それでも利用しますか？」と、
危険性を教えられた上で、それでもなお選択したのならば、ユーザー自身に責任の一端を負わせられると思いますがね。
Re:Googleがそう考えてなくても‥ (スコア:0)
企業側にしてみれば自ら「潜在的に危険」とは言えんわな。
今回の場合であれば「俺のせいじゃないけど」がせいぜい。
Re:それをいうなら (スコア:2, すばらしい洞察)
IE使わなきゃいいんだろ？楽勝。
Google だけじゃなく [srad.jp]とかGoogleは実証用コードへの対策をした模様 [srad.jp]も参考にね。
Re:要は (スコア:1)
Re:要は (スコア:0)