「Firefox にバッファオーバーフローによる新たな脆弱性」記事へのコメント

IEがいい。

[Anonymous Coward]

やっぱりIEがいいですね。 なんだかんだ言っても不具合があれば迅速にパッチをリリースしてくれるし、 世の中のhtmlはIEが標準と言っても過言ではないですし。 無理に他のブラウザ使うこと無いと思います。

Re:IEがいい。

[vn (10720)]

やっぱりIEがいいですね。なんだかんだ言っても不具合があれば迅速にパッチをリリースしてくれるし、

Highly critical (今回の Firefox の脆弱性と同じレベル) かつ、
2年以上もパッチを出さずに放置している問題 [secunia.com]がありますね。
どこをどう解釈すると「迅速」という言葉が出てくるんでしょうか?

Re:IEがいい。

[vnn (28520)]

それはIEではなく特定のActiveXの脆弱性です。
そうではないと言うのであればそれを証明しなさい。

さあ、どうぞ。私はACではありませんよ。

# お前は次に[どうせACと同じだろ]という

Re:IEがいい。

[vn (10720)]

すごい。これが vnn 氏の最初のコメントですか。
ちょっと大物になったみたいな、正直なところ悪くない気分です。

冗談はさておき、その脆弱な ActiveX プラグインを無警告で
インストールし実行してしまう可能性があるということは、
IE の脆弱性でもあると言わねばな

Re:IEがいい。

[Zade (7722)]

MSによって、正しく電子署名されているプラグインを無警告で実行する事自体は、別段問題ではないと思います。
設定如何で警告を出すようにすることもできますし（IE6のデフォルトでは警告が出るようになっていたと記憶しています）
無効にする事もできます。

問題は、そのインストールされるActiveXがアレだという点で
Fixするのであれば、そのActiveXプラグインのバ

Re:IEがいい。

[vn (10720)]

問題は、そのインストールされるActiveXがアレだという点で
Fixするのであれば、そのActiveXプラグインのバグのほうでしょう。
やはりIEの脆弱性というには、いささか無理があるように思えます。

ActiveX プラグインを改

Re:IEがいい。

[Zade (7722)]

話を逸らされているように思えますが…？

ある一つの、ActiveXプラグインの脆弱性を挙げて、それが改修されていないからと言って
IE自体に脆弱性があると結論付けるのは、無理があるのではないですか？
と言っているのです。

勿論、該当のActiveXプラグインについては、早急に修正する必要があります。
2年間も放置するとはもってのほかです。この点はMSは責められてしかるべきでしょう。

--
一応、この件についても私見を述べさせて戴きます

> 脆弱な

Re:IEがいい。

[vn (10720)]

「ActiveX プラグインを回収する」ということの意味を甘く考えていませんか?
この場合、善意のユーザの手元から脆弱なファイルを消去するだけでは
全然不十分なのです。

悪意があって、ActiveX の脆弱なバージョン(しかも Microsoft の署名付き) を
故意にばらまこうとしている連中の手から、データを奪い取る必要

Re:IEがいい。

[Anonymous Coward]

以前、VeriSign が Microsoft の署名を不審者に発行する [impress.co.jp]ということがありました。

このような特殊な事例に限らず、署名は発行元が信頼できるというだけで、署名されたプログラム自体が信頼できるということではありません。 署名の有無に関わらず、あるプログラムをインストールし、実行するという判断は Windows や IE といった環境に限らず、管理者が適切に行う必要があります。

この流れを受けて、現在では Microsoft はデフォルトで ActiveX コントロールを無闇にインストールさせない [takagi-hiromitsu.jp]ように対策を取っています。必要のない ActiveX コントロールまで自動でインストールするという設定は明らかにユーザの責任です。

ところで、Firefox にはソフトアップデートで信頼しているサイトからの拡張をバージョンアップできますが、多くの拡張には署名さえ付いていません [sakura.ne.jp]。 拡張自体は自己責任で導入したとしても Wiki などで配布されている拡張がハイジャックされれば、わずか数クリックで悪意あるコードがインストールされてしまう可能性があるのではないでしょうか？

仕組み自体は大変便利な機能ですが、現状では問題も多いように思います [srad.jp]。