Firefoxの脆弱性解説

先の『Firefoxにおけるサイバー攻撃』で簡単な序説をしましたが
ここでは「Firefox」の主な特徴説明と問題点、
当該ウェブブラウザにおける犯罪動向などを記事にしておきますねｗ

念のため、最初に言っておきますが・・・
「Firefox」は優秀なブラウザであり、特別に脆弱性が顕著に出回ってる・・・
ということではないので誤解なきように願います　<m(__)m>

11/27、WEB報道された。。。

http://headlines.yahoo.co.jp/hl?a=20071127-00000035-zdn_ep-sci

Firefoxに危険度「高」の脆弱性、最新版にアップデートを
11月27日13時0分配信 ITmediaエンタープライズ

　仏セキュリティ機関FrSIRTは11月26日、Mozilla Foundationの「Firefox」ブラウザおよび「Seamonkey」スイートで3件の脆弱性が発見されたと報告した。危険度は4段階中最も高い「Critical」としている。

　1つ目の脆弱性は、不正な形式のデータを処理する際にメモリ破損エラーが生じるというもの。攻撃者がこれを悪用すると、ユーザーをだまして不正なWebページに誘導することで、ブラウザをクラッシュさせたり、任意のコードを実行することが可能になる。

　2つ目の脆弱性は、「window.location」プロパティを設定する際に競合状態が起きることが原因。この脆弱性を悪用すると、クロスサイトリクエストフォージェリ（CSRF）攻撃を実行できるという。

　3つ目の問題は、「jar:」を処理する際のエラーが原因で起きる。この問題を突かれるとクロスサイトスクリプティング（XSS）などの攻撃を仕掛けることが可能になる。Mozillaは既にこの脆弱性を認めている。

　これらの脆弱性はバージョン2.0.0.9以前のFirefoxと、バージョン1.1.6以前のSeamonkeyに影響する。

　Mozillaはこれらの脆弱性を修正したFirefox 2.0.0.10をリリース済み。脆弱性を修正したSeamonkey 1.1.7も近くリリースされるもよう。

要は『Firefoxをご利用の方は急いでバージョンアップ』してください！！！
。。。と、いうことですね(~o~)

ココ最近・・・というか、WINがXPからVistaになった頃から
扱い辛い、ビスタの過度な？！セキュリティーにより
ウェブブラウザをFirefoxやSafariに替える人が急増している・・・
ＷＥＢ上で顔文字の使用が出来ない・・・というのも要因のひとつになっている。

さてさて、この「Firefox」自体はソースコードを開発し公開しているウェブブラウザだが
Ｗｉｎに引けをとらない優秀なブラウザである。
Windows版、Mac OS X版、 Linux Tarball版。。。などＷＥＢ上で提供しているが
・・・ただ、Ｗｉｎとの相性は決して良いとはいえない・・・であろう（注：オレ的見解）

Firefoxの主な特徴としては。。。

◆　Geckoエンジン搭載 

◆　Firefox Add-ons　　アドオン (好みに合わせて機能を追加できる)
 
　　Firefox に新たな機能を追加したり、
　　ちょっとした変更を加えるための小さなプログラム。
　　検索エンジン や各国語の スペルチェック辞書、
　　Firefox のデザインを変えられる
　　テーマ、そして様々な拡張機能 を利用できる。 

◆　タブブラウザ（ひとつのウィンドウ内で複数ページを開ける）機能

◆　ポップアップロック機能

◆　ツールバー統合したGoogle検索

◆　RSSリーダーを統合したライブブックマーク機能

◆　ツールバーやサイドバーを高度にカスタマイズできる
　　（テーマをダウンロードし、好きな概観にできる）

◆　ActiveX,VBScriptからの侵入ウィルス（ワーム系、トロイ系）の影響を受けない

。。。と、いうところだろうｗ

ニュースに書かれている小難しい数々の単語を要約すると
要は、エンコーディングスキームなるものを利用することで、
攻撃者はフィッシング詐欺を行うための偽サイトを構築することができる。
。。。ということです(=_=)

ブラウザのアドレスバーのなかでは・・・
詐称されたリンクが正当なURLのように見えますが、
しかし、このリンクは信頼のおけるサイトではなく、
IDN処理で同じアドレスに解析されるドメインを持った偽のウェブサイトに
ユーザーを誘導してしまう。。。ということです（。OcO）

犯罪にレベルをつけることは如何な事かとは思うが
少なくとも。。。これまでオレが「悪質サイト検証」してきた
低レベル悪質犯（知能面）などとは一線を引かなければいけない
『サイバー犯罪のプロ』が、ビジネスで偽サイトを構築していると考えてほしい！

これらは近年「悪質コード」と「サービスの開発」や
「配布」などの利用を手掛ける傾向がますます強まっている・・・

サイバー犯罪は、金目当てで高度なツールキットを使い仕掛けてくるケースが増えている。
こうしたツールの代表例が「MPACK」であり
偽サイトを開設するためのフィッシングツールキットなども
アンダーグラウンドで売買されているという・・・から恐怖である(=_=)

こうした中、信頼されているサイトの脆弱性を悪用するケースも大幅に増えている。
この手口は、金融機関やソーシャルネットワーキングサイト（SNS）、
転職サイトといった正規サイトに不正コードを挿入し、
サイトを閲覧したユーザーのコンピュータを悪質プログラムに感染させる
・・・というものである。

特にＳＮＳは、多数のユーザーに利用されているので
「なりすまし」や「詐欺」に利用できる個人情報が多数入手できることから、
攻撃者に重宝されているともいわれている・・・

さて次に、WINとFirefoxにおける不具合の事について述べておこうｗ
IE（Internet Explorer）とFirefoxをインストールしている人は要注意と喚起しておきたい！

セキュリティホールなるものは、
どのＯＳでもブラウザでも付き物と思っていて間違いない・・・
それぞれのソースコード開発会社は自分のところの脆弱性については
早急な対応と修正を行うのだが・・・
互いの間で起き得ている脆弱性については『なすぐりあい』してしまう？！
どっちにセキュリティホールが多いとか、修正までの対処時間が短いとか
そんな単純なレベルの話ではないのが現実である（オレ的私見である）

現に「WIN環境」で「IE」と「Firefox2.0以降」の両方をインストールしている
ユーザーに共通してセキュリティリスクが存在していることも周知の事実である・・・

攻撃者は、悪質なサイトをユーザーにIEで閲覧させることで、
「firefoxurl://」というURLハンドラを利用しながら、
ブラウザとウェブ上の特定のリソースとの間でやりとりをさせることが可能になる。
この結果、ユーザーのシステムが遠隔地から悪用される可能性がある。。。ということですね

対応策？！安全策？！。。。ムズいところですが・・・
オレが思いつく程度ですが・・・

◆　WINユーザーは素直に「IE」一本化をする。（「Firefox」をアンインストール）

◆　どっしても「Firefox」を使いたければ、デフォルトのブラウザを「Firefox」に設定し
　　「IE」を使わないようにする。

◆　ＵＲＬ（ＵＲＩ）に対し、不用意なアクセスをしない。

一本化以外は・・・いずれも決定的対処とまではいかないが
多少は危険度が下がるでしょうねぇｗ

WINの『Internet Explorer』とMozillaの『Firefox』
不相性プログラムの発生は。。。どちらにも非がある？！

双方共を使ってるユーザーに責任がある？！

ともあれ☆両社に早急な対策と修正パッチの配布を望むものである！！！

最後に☆１２月に入り年末商戦ならぬ「詐欺サイトの横行」「フィッシング詐欺」など
サイバー犯罪の黒い影は急激に増えてきます！！！
当該Yahoo！Blogsにおいても・・・例年の如く？！
ワケワカメなリンク書き込みのコメも増える事が安易に想像できますので
十二分な注意を払いながらブログライフをお楽しみください（祈）

≪ご注意≫
　
　この記事に際しての責務と相手サイトへの干渉は記事作者であり
　管理者のBOSSことBLOG主の私にあることを宣言しておきます(-ω-)/