「IEのobjectタグにクラッシュや任意コード実行可能な脆弱性」記事へのコメント

昔からでしょ

[Anonymous Coward]

今に始まったわけじゃないし。

ActiveXって何に役に立ってるのでしょうかね。
アプリの起動だけじゃ使ってることにならないしね。

#本来はjavaパクリなんでしょうけど

Re:昔からでしょ

[Anonymous Coward]

Mozilla/Firefoxのchrome javascriptだって同じぐらい危ないぞ。
Mozillaの既知の脆弱性で危険度が高いのは概ねこれの悪用だし。

Re:昔からでしょ

[Anonymous Coward]

OSのAPIにアクセスするものと「同じくらい」って言うのは
無理があるのではないかな？ついでにぐぐると223件 [google.co.jp]しかない。

正しくは、「XULで記述されたchromeの中に埋め込まれたJavascript」かな。
ウェブページへのアクセス時に要求されるものではなく、ローカルに落として
適用・運用するものだから、やはり「同じくらい」には語弊がある。

いつ

Re:昔からでしょ

[Anonymous Coward]

確かにchrome javascriptは正式な用語ではない。しかし指している内容はその「chromeのXUL等で使用することを前提としたローカルファイルの読み書きやネットワークアクセスや外部プログラムの起動等が可能な特権付きjavascript」で合っている。これは本来は前提の通りローカルにインストールされたfirefoxの本体やそのextensionのみに与えられるべき特権だが、実際には信頼されてないウェブページ等が勝手に特権付きjavascriptを実行出来るという事態が度々発生している。

Known Vulnerabilities in Mozilla Products [mozilla.org]に挙げられている脆弱性の内、特権付きjavascriptの無断実行に関する物を以下に挙げる。C,H,M,Lは程度(C=critical, H=high, M=moderate, L=low)、バージョン番号の後の括弧内は脆弱性の総数、パーセンテージはhigh以上の脆弱性の内特権付きjavascriptの無断実行に関する物の占める比率である。

Fixed in Firefox 1.0 (C=2, H=2, M=2, L=3) 25%(1/4)
[C] MSFA 2005-12 [mozilla.org]
Fixed in Firefox 1.0.1 (C=2, H=3, M=5, L=6) 20%(1/5)
[H] MFSA 2005-26 [mozilla.org]
Fixed in Firefox 1.0.2 (C=1, H=1, M=0, L=1) 50%(1/2)
[H] MFSA 2005-31 [mozilla.org]
Fixed in Firefox 1.0.3 (C=3, H=2, M=4, L=0) 100%(5/5)
[H] MFSA 2005-34 [mozilla.org]
[M] MFSA 2005-35 [mozilla.org]
[H] MFSA 2005-36 [mozilla.org]
[C] MFSA 2005-37 [mozilla.org]
[M] MFSA 2005-38 [mozilla.org]
[C] MFSA 2005-39 [mozilla.org]
[C] MFSA 2005-41 [mozilla.org]
Fixed in Firefox 1.0.4 (C=3, H=0, M=0, L=0) 100%(3/3)
[C] MFSA 2005-42 [mozilla.org]
[C] MFSA 2005-43 [mozilla.org]
[C] MFSA 2005-44 [mozilla.org]
Fixed in Firefox 1.0 ... 1.0.4 (C=11, H=8, M=11, L=10) 57.84%(11/19)

このようにMozilla Firefoxの重大な脆弱性のうち半数以上が特権付きjavascriptの無断実行に関する物である。将来のバージョンで取りこまれる予定のbug 281988 [mozilla.org]、bug 296639 [mozilla.org]、bug 286651 [mozilla.org]等の対策はこの状況を緩和し特権付きjavascriptの無断実行の可能性を下げると考えられる。

あとFirefox 1.0.4にもウェブページから勝手に特権付きスクリプトを実行出来る脆弱性が有る。bug 294795とか。

質問

[Anonymous Coward]

それは、signed javascriptである程度回避できる質のもの
ではないのでしょうか？
それとも、signed javascriptであるかのように特権奪取できる
深刻なセキュリティ・バグ、という事なのでしょうか？

Re:質問

[Anonymous Coward]

それを言ったらIEのだって設定で回避できるわけだが。

Re:質問

[Anonymous Coward]

＞それは、signed javascriptである程度回避できる質のものではないのでしょうか？
＞それとも、signed javascriptであるかのように特権奪取できる
深刻なセキュリティ・バグ、という事なのでしょうか？

問題は大きく二種類に分けられる。

一つ目は、URLやテキストのサニタイジングの漏れだ。これはウェブアプリケーションのSQL injectionやXSSの問題に類似している。content(*1)から取得したURLやテキストを十分にチェックせずにchrome内で使用する事により発生する。これらは性質上根本的な対策を取りづらく厄介な問題だ。以下に具体例を挙げる。

MFSA 2005-37: Code execution through javascript: favicons [mozilla.org]