現在地: セキュリティセンター > Mozilla Foundation セキュリティアドバイザリ > MFSA 2015-117

Mozilla Foundation セキュリティアドバイザリ 2015-117

タイトル: NTLM 認証を通じた情報漏えい
重要度:
公開日: 2015/11/03
報告者: Tim Brown
影響を受ける製品: Firefox

修正済みのバージョン: Firefox 42

概要

Firefox が NTLM ベースの HTTP 認証を通じて、認証交換の一環としてタイプ 3 メッセージを送信する際に、ホスト名とおそらく Windows ドメインを露呈していることが、セキュリティ研究者の Tim Brown 氏によって報告されました。これは、リクエストを行っているシステムのホスト名が Workstation フィールドに使われていることに起因するものでした。攻撃者は悪質なページを作ってクライアントが知らないうちに情報を露呈する静的な NTLM リクエストを送信することが可能で、結果的に情報漏えいが生じる恐れがありました。この問題は、初期設定で NTLM v1 を無効化することで緩和されました。

参考資料