「Mozilla1.6リリース」記事へのコメント

テータスバー偽装の脆弱性は修正されました

[9DO (15174)]

IEにURLを偽装でき る脆弱性 [srad.jp]

このトピックで触れられている偽装が今回のバージョン1.6では修正されています。
Linux版では自分で確認(TLD10にtar.gzからインストール)。またW2k版で大丈夫だった
という報告がも [mozilla.gr.jp]

Re:ステータスバー偽装の脆弱性は修正されました

[Anonymous Coward]

という報告がもじら組のBBS [mozilla.gr.jp]にあがっています。

当該書き込みは↓を参照。

• Linux, MacOS X で確認 [mozilla.gr.jp]
• Windows 2000 で確認(その1) [mozilla.gr.jp]
• Windows 2000 で確認(その2) [mozilla.gr.jp]

Re:ステータスバー偽装の脆弱性は修正されました

[Anonymous Coward]

Mozilla 1.6 と Mozilla Firebird Nightly Build (2004011515) で実験してみました。

いずれの場合も JavaScript 版でなければ、ステータスバーの表示偽装は見破ることができるようです。 ただし、こじまさんによるデモページ [ryukoku.ac.jp]で紹介されているような Javascript 版の場合は、

• デモリンクにマウスカーソルを合わせると、 a 要素の href 属性に指定されている「http://www.citibank.com/」が表示される。
• デモリンクのプロパティを参照しても、同様に「http://www.citibank.com/」が表示される。
• デモリンクをクリックすると、 a 要素の onClick 属性中で指定されている「http://[e-mail]」に飛ばされる。

となり、デモリンクをクリックするまで、偽装を見破ることはできませんでした。 (もちろん、当該デモは Javascript が無効にされている環境では意味がありません。 a 要素の href 属性に指定されている「http://www.citibank.com/」に飛ぶだけです。)

もっとも、 Mozilla / Mozilla Firebird の場合は、偽装されるのはステータスバーだけなので、飛ばされた先でアドレスバーの表示(やページのプロパティ)を確認すれば、偽装されたページに飛ばされたことに気づくことは可能です。