MozillaのFTPビューにXSS脆弱性 19
ストーリー by yourCat
1.0にはいろいろあるな…… 部門より
1.0にはいろいろあるな…… 部門より
Wildcat曰く、"Eiji James Yoshida氏によりMozilla FTP View Cross-Site Scripting Vulnerabilityが発見されました (bugtraq-jpの投稿のアーカイブもありますが、ここは日本語対応が甘くて文字化けしますね…)。この穴は結構怖いです。クッキーを盗まれるだけならまだしもFTPサイトに繋いだ時に出るファイルへのリンクが偽ファイルに繋がっているかも知れないという、かなり強烈なやつです。最新のMozilla 1.1 Betaを使うかJavaScriptを無効にすれば回避できるそうです。"
Galeon for Linux (スコア:3, 参考になる)
なお、対策済Mozilla(直リンク) [mozilla.org]
このように使うとよいかも。
.::.:... .::....: .::...:: .::.:.:: .::..:.: .:::..:.
I 1 2 B H4[keR. :-)
Re:Galeon for Linux (スコア:1)
どのようなバグなのかもよーくわかりました。
今後気をつけます。（涙）
恥ずかし…（苦笑）
-- しろやぎ ゆう
JS止めただけでは完全ではない（と思う (スコア:1, 参考になる)
ないので JSを止めるだけではダメだと思います。
今のところ、1.1 Beta か nighlty build、あるいは
手でパッチ当ててビルド... Bug# 何番だろう。
Re:JS止めただけでは完全ではない（と思う (スコア:2, 参考になる)
site policy の設定で回避できると思います。
たとえば site policy で bugzilla.mozilla.org は許可して
それ以外は禁止すると、bugzilla.mozilla.org以下のページでは
JSは動きますがデモにある ftp.mozilla.org を使ったコードは
動作しません。
http://www.mozilla.gr.jp/ml/logs/moz-users/4800/4884.html [mozilla.gr.jp]
Re:JS止めただけでは完全ではない（と思う (スコア:0)
mozilla/netwerk/streamconv/converters/nsIndexedToHTML.cpp [mozilla.org]
rev 1.28 の修正 [mozilla.org]っぽいですね。
該当する bug 154030 [mozilla.org] は権限がなくて内容が見れませんが。
日付が 6/25 だったので、
こう立て続けに出てしまっては (スコア:1)
まずいですね
まあ瞬時に直されているバージョンがあるというのがMozillaのいいところでもあるのですが
信頼の低下は必至ですね・・
Re:こう立て続けに出てしまっては (スコア:1, 興味深い)
> 信頼の低下は必至ですね・・
Mozillaにセキュリティホールが無いなんていう妄想はどこにもなかったと思いますが。
むしろ「いかなるソフトウエアにもバグやセキュリティホールは付き物」で、
それを「誰が」「どのようにして」対処するのかが重要なのであり、
IEと違って「ベンダーが直さなくても誰かが直せる」という緩やかな対処ができるのがMozillaの存在価値では。
Re:こう立て続けに出てしまっては (スコア:0)
Re:こう立て続けに出てしまっては (スコア:0)
FTP View 周りは多少の違いはあれど IE, Mozilla, Opora
それぞれで問題があったようで。
http://www.geocities.co.jp/SiliconValley/1667/advisory02.html
http://www.geocities.co.jp/SiliconValley/1667/advisory03.html
http://www.geocities.co.jp/SiliconValley/1667/advisory04.html
Re:こう立て続けに出てしまっては (スコア:1)
This problem was first corrected in Windows 2000 Service Pack 3. [microsoft.com]との事なので、他のプラットフォーム、バージョンでも順次修正があるのでしょう。
Operaにも (スコア:1)
がいしゅつ (スコア:1)
デモを見たが… (スコア:0)
# Wazilla 1.0のまま設定だけいじって暮らしてくのはさすがに危険かなぁ…。早いところMozilla 1.01とか出してくれないかな。そうすればWazillaも追随してくれる…という話だった気が。
Re:デモを見たが… (スコア:0)
ポイント余ってるモデレータのひと、0以下まで下げてくれ。
Squid を通してアクセスすると (スコア:0)
他の Proxy は試していないので分かりません。
何故『修正版」をリリースしたりはしないのでしょう？ (スコア:0)
いくらnightlyなどで取得できるとはいえ、リリースしたほうが利用者の信頼を高めると思うのですが…
Re:何故『修正版」をリリースしたりはしないのでしょ (スコア:1)
後継ということでしょうか。だとすれば、それは
人手が足りないから、ということのようです (T_T)
ただいま 1.0.x 系列のメンテナンスに手を挙げれば、
任される可能性が高いかも :-)
1.0.1 関連の動向についてのバグは、このへんかな。。
Make mozilla 1.0.1 not suck
http://bugzilla.mozilla.org/show_bug.cgi?id=158377 [mozilla.org]
Mozilla 1.0.1 Release Notes Tracking Bug
http://bugzilla.mozilla.org/show_bug.cgi?id=155243 [mozilla.org]
- Ryuzi Kambe -
Re:何故『修正版」をリリースしたりはしないのでしょ (スコア:0)
どこもかしこも人手不足ですね。。。
残念ながらプログラムを書くような事はできない人なんで、
じっとみまもります。。。