Webブラウザにダイアログ“詐称の脆弱性あり”との主張
タレコミ by mew
mew 曰く、
Secuniaのアドバイサリで、複数のWebブラウザに「ダイアログボックスの提供元を詐称できる脆弱性」があるとの主張が公開された。Javascriptを用いてダイアログボックスを表示するとき、多くのWebブラウザでは、通常ダイアログボックス自身にまでは「それがどのサイトから提供されたか(どのようなサイトがそのダイアログボックスを表示したか)」は示されない。このような実装を悪用すると、あたかも信頼できるサイトから提供されているかのようなダイアログボックスを表示することができてしまうのだ、という。Secuniaによる実証ページも用意されている。
現時点で、以下のブラウザについてのアドバイサリが公開されている。
- Safari 1.x
- iCab 2.x
- Opera 7.x, 8.x
- Mozilla 1.7.x / Firefox 0.x, 1.x / Camino 0.x
- MSIE 6.x (5.x以下は不明)
- MSIE 5.x for Mac
対策は「信頼できるサイトを閲覧しながら(別ウィンドウで)信頼できないサイトを閲覧しないようにすること」。Javascriptに起因する問題なので、Javascriptなどの無効化でも良いと思われる。Secuniaによる重要度は5段階で下から2番目の less critical とされている。
脆弱性と言われれば確かにその通りなのだが、いささか偏執狂気味にも思えるこの主張を、皆様はどうお考えになりますか。