現在地: セキュリティセンター > Mozilla Foundation セキュリティアドバイザリ > MFSA 2010-12

Mozilla Foundation セキュリティアドバイザリ 2010-12

タイトル: ラップされたオブジェクト上で addEventListener と setTimeout を使用することによる XSS
重要度:
公開日: 2010/02/23
報告者: moz_bug_r_a4
影響を受ける製品: Firefox、Thunderbird、SeaMonkey

修正済みのバージョン: Firefox 3.6.2
  Firefox 3.5.8
  Firefox 3.0.18
  Thunderbird 3.0.2
  SeaMonkey 2.0.3

概要

適切にラップされたオブジェクトを使用することで、MFSA 2007-19 の修正を回避できることが、Mozilla セキュリティ研究者の moz_bug_r_a4 氏によって報告されました。Firefox 3.6 以前のバージョンでは、攻撃者がこの問題を利用して、元の MFSA 2007-19 の手法と同様に、任意のサイトに対してクロスサイトスクリプティング (XSS) 攻撃を仕掛けることが可能でした。Firefox 3.6 では、搭載されているブラウザエンジンに行われた本件と無関係の変更によって完全な DOM アクセスは成功せず、攻撃は同一生成元を越えたフレームもしくはウィンドウからのキー入力イベントの補足に限られています。しかし、それらのイベントは、Web フォームに入力されたパスワードなど機密情報を不正取得するのに十分と思われるものでした。

Thunderbird はメールメッセージ内での JavaScript の実行を許可していませんが、Web コンテンツ (RSS フィードや、アドオンを通じてアクセス可能なその他のコンテンツ) を開いた場合はリスクを伴います。

参考資料