Mozilla Foundation セキュリティアドバイザリ 2006-08

タイトル

「AnyName」による同調とアクセスコントロールの脆弱性

重要度

低

公開日

2006/02/01

報告者

Brendan Eich

影響を受ける製品

Firefox

Thunderbird

SeaMonkey

修正済みのバージョン

Firefox 1.5.0.1

SeaMonkey 1.0

概要

E4X の実装によって「AnyName」という内部オブジェクトが導入されましたが、これが過失により Web コンテンツに対してさらされていました。この単独のオブジェクトは、協力関係にある 2 つのドメインによって、他のウィンドウやフレームへの直接アクセスを防ぐ同一生成元制限を回避するための通信手段として利用される可能性があります。これは、他のウィンドウのコンテンツの同一生成元違反には利用できず、単純に相互にアクセス可能な記憶領域として利用可能なものでした。E4X は Firefox 1.0 および Mozilla 1.7 ではサポートされていません。

注意: Thunderbird 1.5 は JavaScript が有効になっている場合に影響を受けます。JavaScript はデフォルト設定では無効になっており、メールを表示する際は JavaScript を実行させないよう強く推奨します。デフォルト設定では影響を受けません。

回避策

修正版にアップグレードしてください。Thunderbird と SeaMonkey メールでは JavaScript を有効にしないでください。

参考資料

https://bugzilla.mozilla.org/show_bug.cgi?id=322312
CVE-2006-0299