「firefoxのiframeに脆弱性？」記事へのコメント

えーっと

[Anonymous Coward]

そんなiframe仕込まれる時点で、親フレームのサイトがおかしいだろ?
ってこと？

Re:えーっと

[Anonymous Coward]

それもあるし、そもそも警告を出すのはロケーションバーに表示されたURLを見間違うおそれがあるからだけどiframe内のページのURLはロケーションバーに出ないだろ、というのもある。
この問題に関するBugzillaのバグ
https://bugzilla.mozilla.org/show_bug.cgi?id=570658 [mozilla.org]

Re:

[Anonymous Coward]

ですよねえ。

これでこの話は終了かと。

Re:

[Anonymous Coward]

そんなiframe仕込まれる時点で、親フレームのサイトがおかしいだろ?
ってこと？

Facebookみたいにiframe多用するソーシャルアプリだと結構危険じゃないかな？

Re:

[Anonymous Coward]

親フレームのサイトが改竄されちゃうのも問題だけど、そのサイトを
踏んだFirefoxユーザのマシンに対して、なんら気付かれることなく何かを
注入することが可能って話だよね。

FlashとかPDFとかの脆弱性を使えば、iPhoneのSafari並みに危険な攻撃が
可能になるんじゃないかな。

単体では脆弱性じゃないと判断できても、他のプラグインの脆弱性と組み合わせると
ハイリスクな脆弱性になるのだから、Mozillaのセキュリティに対する意識が低い
というのがよくわかる事例ですね。

ぶっちゃけ、FirefoxよりIE8のほうがセキュリティに強いのは間違いない。

Re:

[Anonymous Coward]

それはiframeすら関係のない話では？
flash埋め込み等にはない、iframeならではの危険性、それもurlに@が使用できることでの危険性が何かあるのでしょうか？
flash埋め込むよりiframe埋め込む方が簡単とか、flashオフにしてる人はいてもiframeオフにしてる人はいないとか、そんな話でしょうか？
どの様なことを想定した話なのかさっぱり分かりません。

Re:

[Anonymous Coward]

大きさが０のiframeで攻撃スクリプトやファイルを読み込ませて、
閲覧者へ全く表示もせず、注意喚起もせずに感染させることが
できるんじゃないの？
って言う話。

ていうか、そんな単純な話を想像しきれないの？

Re:えーっと

[Anonymous Coward]

攻撃スクリプトは直接埋め込めないけどiframeなら埋め込み可能って話でしょうか？
でもそれってfirefox関係ないですよね。
iframeが埋め込み可能なのはそのサイトの問題で、iframeで他サイトのページが埋め込めるのはiframeの仕様で、攻撃スクリプトで感染してしまうのはブラウザのjavascriptエンジンやプラグインの問題で、BASIC認証式のurlをiframeで使ったときに警告が出ないのとは関係ないです。
というか、通常のurlのiframeで出ない警告が、@の付いたBASIC認証式のurlの場合に必要な理由はなんでしょうか？@の有り無しでどのような危険性が出るのでしょうか？何のための警告なのでしょうか？
そういうところの理解が大切だと思うんだけど。

Re:

[Anonymous Coward]

ホスト名を誤認したまま個人的な認証情報をロケーションバーで直接入力しない限り、フィッシングにはやはり繋がらないのでは？
因って、(#1812422) [srad.jp]で述べられているように警告ダイアログも前述の場合以外は表示する必要がないと思う

Re:

[Anonymous Coward]

そんなの全然脆弱性じゃない。素人はすっこんでたほうがいいよ。