Apple、『Safari 4.0.4』で『WebKit』の脆弱性などに対応

11月13日10時31分配信 japan.internet.com

Apple は11日、Web ブラウザ『Safari 4』のセキュリティ更新版『Safari 4.0.4』を公開した。『Mac OS X』版と『Windows』版の両方を更新しており、識別番号で数えて7件の脆弱性に対応したものだ。

その中で、Safari の中核描画エンジン『WebKit』に関するものは3件あり、深刻度の高い問題だと思われる。特に興味深いのは、Google と Apple がこれらの脆弱性のうち、あるものと別のあるものについて、それぞれどのように認識したかという点だ。両社とも、自社ブラウザの主要な描画インフラとして WebKit を採用している。

問題のうちの1件は、クロスサイト リクエスト フォージェリ (CSRF) 攻撃の恐れがある脆弱性で、WebKit において、ある場所のページから別の場所にあるリソースにアクセスする方法に問題がある。

Apple の勧告では、次のように説明している。「WebKit は (別の場所にある) リソースにアクセスするため、後者のサーバーにプリフライト リクエストを送信する。WebKit ではプリフライト リクエストにおいて、(リソースを) 要求するページが指定したカスタム HTTP ヘッダーを含んでおり、これによって CSRF 攻撃が容易になりかねない」

これはかなり深刻な問題で、私見では実行するのもそれほど難しいことではない。WebKit に関する脆弱性という事実が、この問題をさらに厄介なものにしている。『iPhone』や『Google Chrome』にも影響を及ぼす可能性があるからだ。Apple の勧告によれば、同社自身が該当の脆弱性を発見したという。

なお Google は5日、数多くのセキュリティ問題に対応した Chrome の更新版を公開済みだ。

Safari 4.0.4 における他の WebKit の脆弱性に、FTP ディレクトリ表示処理の問題がある。Apple は勧告のなかで、脆弱性を報告した人物として Google の Michal Zalewski 氏の名前を挙げている。Apple によれば、悪意をもって細工した FTP サーバーにアクセスすることで、任意コード実行などにつながる恐れがあるという。

そして WebKit における重大な脆弱性の残り1件は、HTML 5 の音声や動画コンテンツの読み込みに関する問題だ。この脆弱性により、ユーザーが読み込み機能を無効化していても、遠隔コンテンツを読み込んでしまう恐れがある。