「Firefox にバッファオーバーフローによる新たな脆弱性」記事へのコメント

なんとも単純な

[deleted user (19654)]

今回の脆弱性を exploit する方法は非常に簡単のようで、
https:---------------------っていうだけです。

workaround も非常に簡単で、IDN を無効にするだけですから、
即刻対処しましょう。

Re:なんとも単純な

[Tsukitomo (22680)]

exploitするハイフンはキーボードから入力したものでなくて
「ソフトウェアハイフン」なる、コンピュータが出力する文字の
ようです。ただし、見た目には違いがないそうですが。
キーコードが違うんですかね。

--
Your 金銭的 potential. Our passion - Micro$oft

Tsukitomo（月友）

Re:なんとも単純な

[Anonymous Coward]

>キーコードが違うんですかね。

いや、キーコードが無いから、ソフトウェアハイフンなのでは？ あえて言うなら、文字コード？？

余計な話なのでAC

Re:なんとも単純な

[Angelica (23122)]

UnicodeのU+00ADのことですかね。

合成語などに使う常に見えているべきハイフンとは違い、単語の中の切れ目を示すために使われるもののようです。普段は隠れていて、単語の途中で改行をするときだけに現れるハイフン。

Re:なんとも単純な

[deleted user (19654)]

へえ。以前 texinfo のマニュアルを見ていたとき
@- [gnu.org]っていうのを見て感心したのですが、
Unicode 自体にもそういうのがあるんですね。

Re:なんとも単純な

[Anonymous Coward]

Advisory [security-protocols.com]に載ってるリンク先
www.security-protocols.com/firefox-death.html
を直接ダウンロードしてバイナリエディタで見ると確かに0xadが並んでます。

Re:なんとも単純な

[Anonymous Coward]

今回の脆弱性を exploit する方法は非常に簡単のようで、 https:---------------------っていうだけです。

これが組み込まれたHTMLメールを表示した時とか、読みたいRSSの記事を実際に表示すると、そのページにこれが含まれていた場合、Thunderbirdも影響受けそうだけど。
#題無い?

Re:なんとも単純な

[Anonymous Coward]

未対策のFirefox1.06(Linux)で上記のURLを(Firefox上でコピペ)開いてみました。
Googleに飛んだ(keyword:---------------------)だけで何も起きなかったです。

あと、http://www.security-protocols.com/firefox-death.html にもアクセスしました
が、これも同じです。

Sage1.3.5とTabMixPlus0.2.4を入れています。

# すぐ対策しましたよ、念の為。