パスワードを忘れた？ アカウント作成
Close
15268 story
Java

QuickTimeのJava処理に脆弱性 52

ストーリー by Acanthopanax
QuickTimeはいろいろある 部門より

QuickTimeのJava処理に脆弱性のあることが公表された(Matasano Chargenブログ記事)。Secuniaのセキュリティ勧告では、この脆弱性の危険性は5段階評価で上から2番目の“Highly critical”となっている。悪意あるウェブサイトを閲覧することにより任意コードを実行される恐れがあるという。問題が確認されたのは、Mac OS X上のQuickTimeと、SafariまたはFirefoxとの組み合わせだが、他のプラットフォーム(Windows)およびブラウザでも影響を受ける可能性があるとのこと。現状での対策は、ブラウザでJavaを切っておくこと、信頼できないウェブサイトを閲覧しないこと、とされている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

QuickTimeのJava処理に脆弱性 More

  • PNGなんかもQuickTimeに関連付けられちゃって、毎回「Q」マークが表示されて困ることがありました。
    明示的に関連付けを変更したはずなのに、いつの間にかいろんな拡張子が再度QuickTimeに関連付けられていたりすることも。
    やたらいろんなところにでしゃばてくるRealPlayerほどじゃないけど、もうちょっと控えめにしてくれれば良いのになぁ、と思います。
    --
    屍体メモ [windy.cx]

    • Re:QuickTimeはもうちょっと控えめに (スコア:1, 興味深い)

      by Anonymous Coward on 2007年04月26日 16時52分 (#1148740)
      そんなあなたにQuickTime Alternative
      シェア
      親コメント

    • Re:QuickTimeはもうちょっと控えめに (スコア:1, 興味深い)

      by Anonymous Coward on 2007年04月26日 18時08分 (#1148770)
      お行儀の悪ささえなければQuickTimeをインストールしてもいいかという気がするんですが
      いつまでたっても修正されないそうしたマルウェア的な振る舞いは戦略のひとつなんじゃないかとすら思いますね。

      QuickTime Alternativeだと変な常駐ソフトなどの不要コンポーネントは確かにインストールされないんですが、プラグイン関連付けのお行儀の悪さなど、必要コンポーネントが持つ不具合はそのまま受け継がれてるのが難点。
      シェア
      親コメント

  • すばらしい対策ですね（ぼうよみ (スコア:3, すばらしい洞察)

    by Anonymous Coward on 2007年04月26日 9時53分 (#1148520)
    ＞信頼できないウェブサイトを閲覧しないこと、とされている。

    できていれば、万全ですね。

    それよりも、QTをアンインストールすることって方がお勧めできると思う。

    • Re:すばらしい対策ですね（ぼうよみ (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2007年04月26日 10時31分 (#1148533)
      全くだね。なんでこのストーリーにはQTを捨てるって選択肢がないんだろう。
      IEの場合はIEを捨ててFirefoxを使う、と書かれる点も含めて説明請う。
      シェア
      親コメント
      • Mac OS Xの場合、QuickTimeはコア技術のひとつですので、
        QuickTimePlayerを使わないように心がけるくらいならともかく、
        QuickTimeそのものをアンインストールすることは不可能だからです。

        Windowsを使っている方なら、QuickTimeを捨てることが、
        根本的な解決になると思います。
        #iTunes+iPodが動かなくなるかもしれませんが。
        シェア
        親コメント

        • Mac OS Xの場合、QuickTimeはコア技術のひとつですので、 QuickTimePlayerを使わないように心がけるくらいならともかく、 QuickTimeそのものをアンインストールすることは不可能だからです。

          MicrosoftはWindowsのIEに関してまさにそう主張してるはずですが、「IEを捨てる」はなぜ選択肢になるのでしょうか。

          • MicrosoftはWindowsのIEに関してまさにそう主張してるはずですが、「IEを捨てる」はなぜ選択肢になるのでしょうか。

            シェルとしてのエクスプローラがWindowsのコア技術であり、
            それがIEと密接な関係にあるというのはまさにその通りと認識していますが、
            それを必ずWebブラウザとして使わなければ不都合があるようなものではないですよね。
            現実にFirefoxなどの代替Webブラウザがあって、ユーザにはそれを選択できる自由があります。
            それが「IEを捨てる」という選択肢かと思います。
            IE不要論者にしてもエクスプローラまで使うなと言っているわけではないと思います。
            #もしそうなら、対抗馬としてFirefoxの名前が挙がることはないはずです。

            Mac OS XにおけるQuickTimeはグラフィックコンポーネントであって、QuickTime Playerのみを指すわけではありません。
            一般的なWindowsユーザーがエクスプローラをシェルとして使わざるを得ないように、
            Macユーザーは「QuickTimeを捨てる」という選択肢を事実上採れないのだということを書きたかっただけです。
            QuickTime Playerを捨てることならMacでも実現可能です。

            #蛇足ながら、別にAppleを擁護しているわけではないです。上のような事情があるので、むしろさっさと対応してほしい。
            シェア
            親コメント
        • > > IEの場合はIEを捨ててFirefoxを使う、と書かれる点も含めて説明請う。

          やりなおし。
    • >それよりも、QTをアンインストールすることって方がお勧めできると思う。

      5年前ならともかく、携帯オーディオ機器のデファクトスタンダードがiPodになったいま、その選択肢の選択は困難かと。
      「Windowsを使わない」「MS-Officeを使わない」といったオプションの選択が、不可能ではないにせよ、困難であるように。
      シェア
      親コメント
    • そういう発想なら、いつも大きなセキュリティーホールがあって実際に
      悪用されているWindows自体をアンインストールした方がいいのでは？

      • Re:すばらしい対策ですね（ぼうよみ (スコア:4, すばらしい洞察)

        by Anonymous Coward on 2007年04月26日 19時22分 (#1148796)
        いくらAppleのが駄目製品だということが明らかにされたからって、
        「いつも大きなセキュリティホールがあって」なんていうデタラメを
        書いて、Windows批判に転嫁しようとしても無駄です。

        セキュリティホールに対するAppleの対応は悪すぎです。

        Symantecの調査レポート [cnet.com]が参考になります。

        2006年後半のセキュリティホールの発見数と、平均パッチ開発期間は、
        Windowsが39個で21日、
        RedHat Linuxが208個で58日、
        Mac OS Xが43個で66日。

        Appleの脆弱性に対する対応は、MSの３倍以上もかかっています。

        Appleの場合、信者ともいわれるユーザの存在が、Appleを甘やかして
        いると考えられます。
        質の悪い製品を売り、質の悪いサポートでも、ユーザは怒らない。
        支持してくれる。
        だから、そんなに急いだり、しっかり作らなくてもいいと。

        シェア
        親コメント
        • 平均という全く無意味な数字だけ並べるのは、よくあるごまかしです。
          セキュリティホールは、深刻さにより優先度が変わるものであり、
          Mac OS Xでは深刻なものは非常に少ない上、セキュリティパッチは
          質が問われるもので早く出せば良いというのは的外れです。悪用され
          ていないものやほとんど影響の無いものが後回しにされるのは当然です。
          確実な方が優先されます。それに対して、Windowsの場合は悪用されて
          から出すという後手に回っている上に、セキュリティパッチの質が悪い
          ことが多いので、出ても充てない人が多いという矛盾が生じています。
          利用率が低いという意味では放
      • でも、マカーの中でもhacker な方々は好んでBootcamp でXP だのVista だのをApple のハードウェアにインストールしたがるようですが。そこんとこ理解できません。

    • 悪用されました。 (スコア:0)

      by Anonymous Coward
      Google広告の悪質サイトにQuickTimeのゼロデイ攻撃 [itmedia.co.jp]が含まれていたようです。

      Googleのスポンサーリンクは、信頼できるわけではないということと、
      Appleの製品の欠陥による実際の被害が出ていることに注意です。

      おそらく実際の被害を受けるのはWindowsユーザだと思われるため、
      Appleがどれくらいの誠意を示して何日くらいで対応するのか
      注目したいところ。

  • もうAppletは廃止でいいよ (スコア:2)

    by Anonymous Coward on 2007年04月26日 7時46分 (#1148485)
    AJAXやFlashの普及で、Appletは事実上用済みでしょう。
    未だにVM起動時にはブラウザを固まらせるし、機能も限られているし、役に立ちません。

    • Re:もうAppleは廃止でいいよ (スコア:4, おもしろおかしい)

      by Anonymous Coward on 2007年04月26日 8時29分 (#1148494)
      AJAXやFlashの普及で、Appleは事実上用済みでしょう。
      未だにVM起動時にはブラウザを固まらせるし、機能も限られているし、役に立ちません。


      と読んでびっくり...。
      シェア
      親コメント
    • AJAXやFlashと比べてどちらが便利かはさておくとして、お役所のサイトなんかでJava必須（しかもバージョンまで指定、オマケにその指定バージョンに致命的なセキュリティ欠陥があったりする）なところがあるので、しばらくは絶滅しないでしょう。
      # 一太郎みたく地味に生き残ると思う
      • お役所のサイトでも、各部局がてんでばらばらに開発投げるもんだから、推奨される（そしてときどき本当にそのバージョンでしか動かない）Javaのバージョンが同じ役所の提供するオンラインシステムで異なるなんてことがあります。どないせいっちゅうねん。
        --
        屍体メモ [windy.cx]
        シェア
        親コメント

        • どないせいっちゅうねん。

          全部のバージョン入れれば? 特定バージョンを要求するのに利用者に特定バージョンだけをインストールさせてプログラム側でバージョン指定しないのは単なる手抜きです。

          最新版でも動くように作れという主張と違って、すべてのバージョンで動作保証ができないという逃げ口上も使えません。むしろ、だったら動作保証しているバージョンを明示的に要求するようプログラム側で処理しないのは何で? となります。

        • Javaランタイムも複数バージョンのインストールが可能で、
          指定のバージョンでアプレットを動作させることが出来ますよ。

          Javaに限らず、.net 2.0では動作せず、.net 1.1でないと動かない.netアプリがあったりと、
          何時になっても下位互換性の問題は解決されないですね。

          アプリ毎に指定するバージョンのランタイムをインストールする解決方法は、
          ユーザからしてみれば非常に面倒です。

          • 指定のバージョンでアプレットを動作させることが出来ますよ。

            例えば、1.4.2と1.5.0と6.0がインストールされた環境で、アプレットを1.4.2で動かせるってこと？
            PowerChute Business EditionのWebインタフェースが1.4.2指定で（ｒｙ

            #とりあえずAC
        • どないせいっちゅうねん。
          そのためにVMをタダで配ってるんです
    • アプレットの問題じゃなくてQTの問題なんじゃね？
      社内用リッチクライアント用途にアプレットは今でも有用だし。
    • JavaScriptもFlashも度々セキュリティーホール が明らかになる訳ですが...。
    • そうかな？
      個人的にはJavaよりも、商用実装の塊っぽいFlashの方が困る。

      # 一応AC

  • 必死なのはわかるがw (スコア:0)

    by Anonymous Coward on 2007年04月26日 10時18分 (#1148528)
    これってWebdeveroper で　javaを無効にする にしてるからなぁ
    MacでのQuickTimeってMediaPlayerだから不必要にはならないだよね
    flvを単独で再生際も使うしな

    ＃未だにWindowsの奇妙なバグの方が脅威だと思っている。
typodupeerror

「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」