「IE6/SP2に致命的な3つの脆弱性」記事へのコメント

MozillaとFirefox、ダウンロード時のダイアログボック

[Anonymous Coward]

http://internet.watch.impress.co.jp/cda/news/2005/01/06/5957.html

影響度が違うとは言え、特定の脆弱性情報だけを載せるのは、無理があるような。
まとめて記事にできると、良いのですがね。

Re:MozillaとFirefox、ダウンロード時のダイアログボ

[Anonymous Coward]

どしどしタレコミましょう。無いときは自分で、もアレゲ魂です。

で、この「MozillaとFirefox、ダウンロード時のダイアログボックスに脆弱性 [impress.co.jp]」、簡単に言えば、

1. 有限幅のダイアログボックスに非常に長い「ダウンロード元」ドメイン名を表示するためにはURLのどこかを省略表示する必要があるが、
2. その際にドメイン名の「尻側」を省略表示すると、結果としてダウンロード元ドメイン名の末尾が隠れてしまう。
3. これを利用して、非常に長いサブドメイン名を使ってメインドメイン名を意図的に隠すことができる。サブドメイン名を工夫してやれば（表示環境に依存するが）一見「信頼できそうなドメイン名」部分だけを表示させることも可能→ドメイン名詐称可能の脆弱性

というもので、うわー“ドメイン名の省略の仕方”なんてーのまで立派な脆弱性になるのかよWebアプリ開発の中の人も大変だな、とか思いましたのですよ。

けどこれ、ドメイン名(URL)の「尻側」を省略表示すると脆弱性に繋がり得るというのはわかったけど、では「頭側」の省略表示なら問題がないのかと言われると、それはそれで問題があるように思えるのですよね。スキーム名が見えなくなる、とか。

この問題、どう解決しているのでしょうか。教えて偉い人。

Re:MozillaとFirefox、ダウンロード時のダイアログボ

[monaoh (12125)]

すくなくともWindows版では、今でもファイルのURL欄をドラッグすれば省略されている部分も見えます。ただ、ぱっと見省略されている事すらわからず、その先を見る方法も分からないという点が問題なのでしょう。

そもそも無理して一行で表示しようとするのが間違いなのでは？ Textareaみたいに複数行のコントロールを使い、スクロール可能な事を利用者に通知すればいいんじゃないかと思います。

Re:MozillaとFirefox、ダウンロード時のダイアログボ

[TameShiniTotta (19794)]

んー、1行とかウィンドウサイズなんかに拘らず、
強制的に全部表示させるのが正解かと。
スクロールバーがあったって普通イチイチスクロールさせないですし。
（現状でURL欄をドラッグしないのと理屈は同じ）

Re:MozillaとFirefox、ダウンロード時のダイアログボ

[attu (959)]

全部表示させるスペースがない場合が問題だと言ってるんですよ。

強制的に、ったってねぇ。
まさかモニタからはみ出すわけには・・・

画面サイズもユーザ依存だし、現状で確実に全部表示させようと思ったら
スクロールさせるしかないと思いますけど。

Re:MozillaとFirefox、ダウンロード時のダイアログボ

[Anonymous Coward]

Webアプリ開発の中の人も大変だな、とか思いましたのですよ。

Webアプリ開発？は関係ないでしょ。 ブラウザ開発の間違い。