「IEとOEに任意コマンド起動の欠陥」記事へのコメント

問題なのは

[tix (7637)]

OBJECTタグのCODEBASE属性にコマンドのパス名を指定するだけで動いてしまうため、セキュリティ設定でアクティブスクリプトやActiveXを無効にしていても動いてしまう

これは正確ではありません。 object 要素の codebase 属性に任意のプログラムが指定できてしまうというのは既知の弱点で、 Force Feeding [ryukoku.ac.jp] （2000年6月）でも使われています。

Force Feeding のときは、別の弱点と組み合わせることで ActiveX も active scripting も無効な環境でも攻撃が成功してしまいましたが、今回の指摘も同様です。今回は The Pull 氏 [osioniusx.com]が active scripting が有効なら同じ弱点 [rr.com]

--
鵜呑みにしてみる？

Re:問題なのは

[jbeef (1278)]

調べてみました。

object 要素の codebase 属性に任意のプログラムが指定できてしまうというのは既知の弱点で、

それも正確ではないようです。

まず、OBJECT要素のCODEBASE属性でコマンドを起動できるのは、仕様のようです。 ただし、それは、そのHTMLがローカルファイルである場合にだけです。 ローカルファイルに同様のHTMLを書いて開くと、現在でも再現します。（ローカルファイルのHTMLからコマンドを起動する方法は他にもあり、推測可能なパス名のファイルに任意のデータを置けてはならないというのは、Windowsの基本的なセキュリティ仕様です（これ以上は今は語れない…気づいた人もここではつっこまないで！）。）

「Force Feeding」

Re:問題なのは

[tix (7637)]

object 要素の codebase 属性に任意のプログラムが指定できてしまうというのは既知の弱点で、

それも正確ではないようです。

jbeef さんの書かれたとおりです。 HTML ファイルに object 要素を書いて codebase 属性に実行ファイルを指定したおいた場合、 HTML ファイルも実行ファイルもローカルにある場合は実行されますが、それ以外の組み合わせでは「未署名の ActiveX コントロールのダウンロード」を有効にしているかどうかで動作が決まります（実行ファイルが署名されていない calc.exe などの場合）。ローカルなファイルで実験していたため、勘違いしました。ご指摘ありがとうございます。

この動作が仕様だ、というのは、どこかに書かれているでしょうか。ご存知だったら教えてください。

ところで、 OBJECTのCODEBASEでは起動するコマンドに引数を渡せないのでたいした危険がないとする説があるようですが、その点はどうでしょうか？

「コマンドライン引数なしで起動できるプログラムはたいてい*対話型*のプログラムで、ユーザに何の確認もなしに危険な処理を行うことはないだろう」という意味ならそうかもしれません。もちろん可能なら回避策を施したほうが、安全とか快適という意味でよいと思いますが。

--
鵜呑みにしてみる？