『Firefox』に依然残る URI ハンドラ問題

ソースコードがオープンになっている場合でも、セキュリティ問題の修正は、1度、さらには2度手を入れても、対策が不十分になることもある。

Mozilla の Web ブラウザ『Firefox』の URI ハンドラの問題も、そういったケースのようだ。最初に問題になったハンドラの脆弱性は、Firefox が別の Web ブラウザから起動可能になる、というものだった。

その後、セキュリティ研究者の Billy (BK) Rios 氏と Nate Mcfeters 氏が、想定外の URI を用いてより一般的なハンドラを悪用する方法を見つけたと主張した。

両氏は、問題が依然として存在することを Mozilla Foundation に通知したと主張しているが、問題となっている脆弱性の存在を実演で示す実証コードについて、詳細を明らかにしていない。

Mozilla はこの問題に取り組んでいるが、修正パッチのリリース時期については明言していない。

Mozilla の最高セキュリティ責任者 Window Snyder 氏は、取材に応じた Eメールの中で「われわれは、最近明らかになったこの潜在的な問題を認識しており、精力的に調査しているところだ」と述べている。

両氏が指摘した問題は、Mozilla がすでに少なくとも2度修正を試みた問題と基本的には同じものだ。

この問題が最初に報告されたのは、7月10日前後だ。Mozilla は素早く対応し、7月18日にはこの問題の修正を含む『Firefox 2.0.0.5』を公開した。

Mozilla は当時、この問題を修正したとしながらも、Microsoft の『Internet Explorer』では同じ問題が未修正のまま残されているため、依然として問題となるおそれがあると主張していた。

その一週間後、Mozilla は依然として問題が存在することを認めた。そして7月31日に『Firefox 2.0.0.6』をリリースするという形で、もう1度修正を行なった。

Rios 氏は自身のサイト上で、コマンドの遠隔実行を招くおそれが Firefox 2.0.0.5 にあった点は解決されたが、問題の核心である、ファイルタイプの処理に関連する基本的な問題は未解決のままだと主張している。