過去ログ表示


過去ログ 51 を表示

トピック内全 23 記事中の 1 〜 10 番目を表示
[ 最新記事及び返信フォームをトピックトップへ ]
このトピックの全ページ / [0] [1] [2]

ステータスバー偽装の脆弱性
(#7216) このトピック中1番目の投稿

Mozilla 1.6 Beta でも、ステータスバー偽装の脆弱性を確認。
http://internet.watch.impress.co.jp/cda/news/2003/12/11/1451.html
下のページの http://www.cnn.com/US/ へのリンクで確認できます。
http://d.hatena.ne.jp/hoshikuzu/20031210#p7
Mozilla でも早めに修正してほしいところ(Nightlyは未確認)。

Re[1]: ステータスバー偽装の脆弱性
(#7217) このトピック中2番目の投稿

> Mozilla 1.6 Beta でも、ステータスバー偽装の脆弱性を確認。
> http://internet.watch.impress.co.jp/cda/news/2003/12/11/1451.html
> 下のページの http://www.cnn.com/US/ へのリンクで確認できます。
> http://d.hatena.ne.jp/hoshikuzu/20031210#p7
> Mozilla でも早めに修正してほしいところ(Nightlyは未確認)。
CVS-HEADでも確認できたため、セキュリティMLに投げました。

Re[2]: ステータスバー偽装の脆弱性
(#7218) このトピック中3番目の投稿

linux Mozilla 1.5 でも MacOS-X 10.2.8のMozilla 1.4 でもJavaScriptナシで
ブラウザ下のステータスバー表示も偽装されました。
ただリンク先URLのプロパティーの確認では正確な値が表示されますね。

飛んだ先のURL表示はURL欄に正確に出ます。某ブラウザはもっと悲劇なのかな〜

Re[1]: ステータスバー偽装の脆弱性
(#7219) このトピック中4番目の投稿

> Mozilla 1.6 Beta でも、ステータスバー偽装の脆弱性を確認。
> http://internet.watch.impress.co.jp/cda/news/2003/12/11/1451.html
> 下のページの http://www.cnn.com/US/ へのリンクで確認できます。
> http://d.hatena.ne.jp/hoshikuzu/20031210#p7
> Mozilla でも早めに修正してほしいところ(Nightlyは未確認)。

Operaでは "@" の前の部分をユーザ名と解釈してダイアログボックスを
表示してユーザに確認を求めるようです。
Mozilla のユーザプリファレンス設定でユーザ名を含むURLに飛ぶ場合に
Operaのようにダイアログボックスを表示するオプションはないので
しょうか?

Re[2]: ステータスバー偽装の脆弱性
(#7220) このトピック中5番目の投稿

mozillaZine にも記事が出ましたね。
http://www.mozillazine.org/talkback.html?article=4078
bug No. も出てました。
http://bugzilla.mozilla.org/show_bug.cgi?id=228176
[%00 in a URL causes incorrect display of hovered link in status bar]

> Operaでは "@" の前の部分をユーザ名と解釈してダイアログボックスを
> 表示してユーザに確認を求めるようです。
> Mozilla のユーザプリファレンス設定でユーザ名を含むURLに飛ぶ場合に
> Operaのようにダイアログボックスを表示するオプションはないので
> しょうか?

mozilla/default/pref/*.js を見ましたがそれらしきものはなさそう。
これで議論されてるのかな。
http://bugzilla.mozilla.org/show_bug.cgi?id=122445
[Spoof prevention: Warn if username/password in link (url) looks like a hostname]


Re[3]: ステータスバー偽装の脆弱性
(#7222) このトピック中6番目の投稿


> Operaのようにダイアログボックスを表示するオプションはないのでしょうか?
アドレスが長くても、アドレスバーの内容を全部簡単に見られるようにもして欲しいです。
ここの頁でも、http:// ... cbbs.cgi?mode=one&namber=72 までしか見えないので、
60文字を超える長いアドレスのサイトなら、後に %00%%01%@ を付けて擬装できる可能性があるので。

>> ステータスバー偽装
そもそも W3C での、%00%%01%@ の扱い、解釈はどうなのでしょうか?
%00%%01%@ 前までをリンク先アドレスにすれば ステータスバー = 飛び先となり、脆弱性はなくなるのですが^^



Re[1]: ステータスバー偽装の脆弱性
(#7231) このトピック中7番目の投稿

%00 in a URL causes incorrect display of hovered link in status bar
http://bugzilla.mozilla.org/show_bug.cgi?id=228176
にすでにパッチが出ています。


Re[2]: ステータスバー偽装の脆弱性
(#7232) このトピック中8番目の投稿

> %00 in a URL causes incorrect display of hovered link in status bar
> http://bugzilla.mozilla.org/show_bug.cgi?id=228176
> にすでにパッチが出ています。
>
でそれをどうやればいいの?
WindowsにインストールされているMozillaが
ちゃんと修正されるの?
パッチがあっても適用できなきゃないのと同じ。

パッチ
(#7233) このトピック中9番目の投稿

>>%00 in a URL causes incorrect display of hovered link in status bar
>>http://bugzilla.mozilla.org/show_bug.cgi?id=228176
>>にすでにパッチが出ています。
>>
> でそれをどうやればいいの?

ソフトウェア開発に関して知識をお持ちの人なら Bugzilla の該当バグレポート
とかパッチそのものを見ていたければ判るかと思いますが、その辺りがあまり
お詳しくない人向けに説明します。


> WindowsにインストールされているMozillaが
> ちゃんと修正されるの?
> パッチがあっても適用できなきゃないのと同じ。


Windows Update や MS のサイトからダウンロードする修正プログラムを
パッチと呼ぶことがありますが、同じパッチでも種類が異なるものが
あるのです。

Bugzilla に提出されるパッチの殆どすべてば、開発中のソースコードに
対する差分です。 コンパイル・ビルド済のバイナリコードに対する差分
ではありません。

よって、WindowsにインストールされているMozilla(インストール済の
Mozilla)を修正するためには、直接的には使うことはできません。

ただ、それのパッチをソースコードに取り込んだ修正済の Mozilla が
そのうちリリースされるとは思います。1.6 か 1.5.1 か知りませんが。

あるいは自分でソースコード+パッチをビルドするか、他の誰かが
ビルドしてくれるのを待つか、あるいは誰かがバイナリのパッチを
出してくれるのを待つか。



Re[4]: パッチ
(#7235) このトピック中10番目の投稿

> あるいは自分でソースコード+パッチをビルドするか、他の誰かが
> ビルドしてくれるのを待つか、あるいは誰かがバイナリのパッチを
> 出してくれるのを待つか。
バイナリに対してのセキュリティパッチがないのであれば、
セキュリティ面ではInternetExplorerと大差ないですね。


[ 次のトピック内容10件 ]
このトピックの全ページ / [0] [1] [2]

返信不可


- Child Tree -