Mozilla Foundation セキュリティアドバイザリ 2006-47
- タイトル
- ドメインを超えたネイティブ DOM メソッドの乗っ取り
- 重要度
- 高
- 公開日
- 2006/07/25
- 報告者
- Thor Larholm
- 影響を受ける製品
- Firefox
- SeaMonkey
- 修正済みのバージョン
- Firefox 1.5.0.5
- SeaMonkey 1.0.3
概要
悪質な Web ページによって、他のドメインの document オブジェクト上のネイティブ DOM メソッドが乗っ取られ、ターゲットとされたページ上でスクリプトが呼び出されたとき、攻撃者が用意したスクリプトが実行される可能性があります。これは、ログイン Cookie やパスワードなどの機密情報をターゲットとされたページから盗み出したり、ログインしているユーザに代わってアクションを実行するのに利用される可能性があります。
他のすべてのプロパティや document ノードへのアクセスチェックは正しく行われます。このクロスサイトスクリプティング (XSS) 攻撃は、document.getElementById() など、トップレベルの document オブジェクトの標準的な DOM メソッドを使っているページに限られます。これには、多くの人気サイト、特にリッチなインタラクションをユーザに提供している新しいサイトが含まれます。
この脆弱性は Firefox 1.5 の開発期間中に混入したもので、Firefox 1.0 および Mozilla Suite 1.7 には影響しません。
注意: Thunderbird は Firefox と同じブラウザエンジンを利用しており、JavaScript が有効になっている場合には影響を受けます。デフォルト設定では無効になっており、メールを表示する際は JavaScript を実行させないよう強く推奨します。
回避策
修正版にアップグレードするまで JavaScript を無効にしてください。Thunderbird などのメールクライアントでは JavaScript を有効にしないでください。
参考資料
https://bugzilla.mozilla.org/show_bug.cgi?id=343594
https://bugzilla.mozilla.org/show_bug.cgi?id=339918
CVE-2006-3802