PR

 イスラエルのGreyMagic Softwareは現地時間6月3日,Webブラウザ「Opera」にアドレス・バーを偽装できるセキュリティ・ホールがあることを明らかにした。Opera 7.xには,Webサーバーに置かれたファビコン(favicon)をアドレス・バーに表示する機能があるが,他のブラウザとは異なり,ファビコンのサイズをチェックせずに表示する。このため,URLを画像として含む横長のファビコンを表示させて,ユーザーを欺くことができる。対策はOpera 7.51にアップデートすること。ただし,日本語版はまだリリースされていない。

 Internet Explorer(IE)には,ユーザーが特定のWebページ(URL)を「お気に入り(favorites)」に登録した際に,そのページの製作者が意図する画像(アイコン)を「お気に入り」メニューに表示させられる機能がある(マイクロソフトの技術情報)。このアイコンを「ファビコン(favicon:Favorite Iconの略)」などと呼ぶ。具体的には,ユーザーが「お気に入り」に登録しようとすると,IEはそのWebサイトに置かれたファビコン(例えば,favicon.ico)を取得し,「お気に入り」に表示する。ファビコンが置かれていないページでは,デフォルトのアイコン(IEのマーク)が表示される。

 一度ファビコンが取得されれば,次にそのページにアクセスした際には,アドレス・バーにも,そのファビコンは表示されるようになる。この機能はIE独自のものであり,IEだけがサポートしていた。

 しかし最近では,Operaなどの他のブラウザも,この機能をサポートしている。Operaの場合にはIEとは異なり,「ブックマーク」に登録しなくても,ファビコンが置かれているサイトのページにアクセスすれば,アドレス・バーには自動的にファビコンが表示される。今回,Operaのこの機能に,セキュリティ・ホールが見つかった。

 IEなどでは,ファビコンに使える画像サイズに制限があるが,Operaには制限はない。つまり,画像のサイズをチェックしないのである。これが,今回公表されたセキュリティ・ホールである。このため,横長の画像をファビコンとしてアドレス・バーに表示させられてしまう。横長のファビコン中に,画像としてURLを記述しておけば,それはそのままアドレス・バーに表示されるので,ユーザーには現在アクセスしているページのURLのように見える。

 写真は,GreyMagic Softwareが公開するデモ・ページにOpera7.11日本語版でアクセスした際のアドレス・バーの表示である。実際には,同社のサイト「http://www.greymagic.com」に置かれたページにアクセスしているのだが,「http://www.this-is-a-fake.address」にアクセスしているように見える。アドレス・バーにマウス・カーソルを当てると分かるが,この文字列は画像であり,ファビコンの一部である。

 ノルウェーOpera Softwareでは,このセキュリティ・ホールを修正した最新版Opera 7.51を現地時間6月3日にリリースした。しかしながら,リリースされたのは英語版だけで,日本語版の最新版は7.23である。このセキュリティ・ホール自体は,直接攻撃を許すようなものではないので,7.23以前を使っていても慌てる必要はない。とはいえ,“フィッシング”などのオンライン詐欺に悪用することは可能なので,このようなセキュリティ・ホールがあることを認識し,十分注意してほしい(関連記事)。

◎参考資料
GreyMagic Security Advisory GM#007-OP(GreyMagic Software)
Opera 7.51 for Windows Changelog(Opera Software)
Opera Browser Favicon Displaying Address Bar Spoofing Vulnerability(Secunia)

(勝村 幸博=IT Pro)