アカウント名:
パスワード:
https://japanese.engadget.com/2018/09/10/mac-app-store-adware-doctor/ [engadget.com]
Mac に本来存在するはずのサンドボックスが回避されて情報収集がされました。
ブログ記事によれば、Adware DoctorはMacのサンドボックス機能（ファイルを仮想環境に隔離し、外にあるデータなどに影響を与えないようにするしくみ）を回避し、ChromeやFirefox、Safariのブラウザ履歴を取得するとのこと。
サンドボックスが回避された（脆弱性があった）のにも関わらず、脆弱性の修正もなければ、そのアプリの販売自体も1か月近く続けられました。
Wardle氏らはAdware DoctorがApp Storeのルールとガイドライン（データ収集に関
> トレンドマイクロが糞フトメーカーなのは周知の事実
限界オタクには周知の事実でも企業向け製品のシェアは13年連続ナンバーワンだそうですが、勝手に企業秘密を送信したりしないってどうやって信頼できるんでしょうね。他人事ながら心配になってきます。
トレンドマイクロのパスワードマネージャは、JavaScriptとNode.jsを用いて構築されており、ローカル環境上でウェブサーバを起動し、APIコマンドを受け付けるようになっているものの、外部（インターネット）からウェブサーバにアクセス可能で、任意のコマンド実行が可能でした。GoogleのOrmandy氏は、この脆弱性を発見するのに30秒程度しかかからなかったそうです。
パスワードマネージャが、ウェブサーバを含んでいて、外部からのアクセスも受け付ける状態だった。もうこれは素人でもやらないようなレベルが低いを通り越した超超超低レベルの脆弱性です。
https://japan.zdnet.com/article/35 [zdnet.com]
トレンドマイクロのパスワードマネージャはIE・Firefox・Chromeなどあらゆるブラウザに対応するためローカルに構築されたHTTPサーバとブラウザアドオンが通信する仕組みになっているのだよなので、HTTPサーバ自体は仕様上必要なものなのだ
問題点はlocalhostのみから接続を受け付けるべきだったのに任意のIPアドレスからの接続を受け付けてしまった点だけ
という2つの条件が揃った限定的なケースでのみ悪用可能な脆弱性なので、被害者はそう多くないのでは
> なので、HTTPサーバ自体は仕様上必要なものなのだ
ダウト。今時は native messaging で作るものだよ。
> IE・Firefox・Chromeなどあらゆるブラウザに対応するためIEはnative messagingサポートしてない。
今時はIEサポートしない、のであれば> 今時は native messaging で作るものだよ。もまた間違いではない。
ちなみにEdgeは UWPアプリとのみ native messaging 通信できる模様
日本の企業(?)に、今どきのIT技術を求めるとか馬鹿じゃないの？
＞日本の企業(?)書き方からして分かってると思うけど中国の会社だよ。形式上であっても東京に本社があるってのが商売上重要なんでしょうね。
台湾を中国といっていいのかは、日本人としては微妙なラインだ。
だがしかし、蓮舫が台湾国籍を持っていたことをもって「中国の工作員だ」といっていたのでネトウヨ論的には台湾＝中国として扱うべきなのかな。
注）あなたがネトウヨと言ってるわけではありません。
トレンドマイクロは台湾人の創業者らがアメリカで設立した会社で、その後台湾に移転したりしたのち、日本に本社を移した。なんで日本はトレンドマイクロが好きなんだろうね。日本語対応力が良かったからかな。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
UNIXはシンプルである。必要なのはそのシンプルさを理解する素質だけである -- Dennis Ritchie
Mac のサンドボックスが回避されたことが一番問題 (スコア:5, 参考になる)
https://japanese.engadget.com/2018/09/10/mac-app-store-adware-doctor/ [engadget.com]
Mac に本来存在するはずのサンドボックスが回避されて情報収集がされました。
ブログ記事によれば、Adware DoctorはMacのサンドボックス機能（ファイルを仮想環境に隔離し、外にあるデータなどに影響を与えないようにするしくみ）を回避し、ChromeやFirefox、Safariのブラウザ履歴を取得するとのこと。
サンドボックスが回避された（脆弱性があった）のにも関わらず、脆弱性の修正もなければ、そのアプリの販売自体も1か月近く続けられました。
Wardle氏らはAdware DoctorがApp Storeのルールとガイドライン（データ収集に関
Re: (スコア:0)
> トレンドマイクロが糞フトメーカーなのは周知の事実
限界オタクには周知の事実でも企業向け製品のシェアは13年連続ナンバーワンだそうですが、勝手に企業秘密を送信したりしないってどうやって信頼できるんでしょうね。他人事ながら心配になってきます。
Re: (スコア:5, 参考になる)
トレンドマイクロのパスワードマネージャは、JavaScriptとNode.jsを用いて構築されており、
ローカル環境上でウェブサーバを起動し、APIコマンドを受け付けるようになっているものの、
外部（インターネット）からウェブサーバにアクセス可能で、任意のコマンド実行が可能でした。
GoogleのOrmandy氏は、この脆弱性を発見するのに30秒程度しかかからなかったそうです。
パスワードマネージャが、ウェブサーバを含んでいて、外部からのアクセスも受け付ける状態だった。
もうこれは素人でもやらないようなレベルが低いを通り越した超超超低レベルの脆弱性です。
https://japan.zdnet.com/article/35 [zdnet.com]
Re: (スコア:0)
トレンドマイクロのパスワードマネージャはIE・Firefox・Chromeなどあらゆるブラウザに対応するため
ローカルに構築されたHTTPサーバとブラウザアドオンが通信する仕組みになっているのだよ
なので、HTTPサーバ自体は仕様上必要なものなのだ
問題点はlocalhostのみから接続を受け付けるべきだったのに任意のIPアドレスからの接続を受け付けてしまった点だけ
という2つの条件が揃った限定的なケースでのみ悪用可能な脆弱性なので、被害者はそう多くないのでは
Re:Mac のサンドボックスが回避されたことが一番問題 (スコア:1)
> なので、HTTPサーバ自体は仕様上必要なものなのだ
ダウト。今時は native messaging で作るものだよ。
Re:Mac のサンドボックスが回避されたことが一番問題 (スコア:1)
> IE・Firefox・Chromeなどあらゆるブラウザに対応するため
IEはnative messagingサポートしてない。
今時はIEサポートしない、のであれば
> 今時は native messaging で作るものだよ。
もまた間違いではない。
ちなみにEdgeは UWPアプリとのみ native messaging 通信できる模様
Re: (スコア:0)
日本の企業(?)に、今どきのIT技術を求めるとか馬鹿じゃないの？
Re: (スコア:0)
＞日本の企業(?)
書き方からして分かってると思うけど中国の会社だよ。形式上であっても東京に本社があるってのが商売上重要なんでしょうね。
Re: (スコア:0)
台湾を中国といっていいのかは、日本人としては微妙なラインだ。
だがしかし、蓮舫が台湾国籍を持っていたことをもって「中国の工作員だ」といっていたのでネトウヨ論的には台湾＝中国として扱うべきなのかな。
注）あなたがネトウヨと言ってるわけではありません。
トレンドマイクロは台湾人の創業者らがアメリカで設立した会社で、その後台湾に移転したりしたのち、日本に本社を移した。
なんで日本はトレンドマイクロが好きなんだろうね。
日本語対応力が良かったからかな。