PR

 デンマークSecuniaなどは現地時間12月30日,Mozilla 1.7.3以前に見つかったセキュリティ・ホールを公表した。細工が施されたURLを読み込む(リンクをクリックする)と,バッファ・オーバーフローが発生してMozillaが落ちてしまう。任意のプログラムを実行させられる可能性もあるという。対策は,最新版のMozilla 1.7.5にバージョンアップすること。

 今回のセキュリティ・ホールを発見したのは,「iSEC Security Research」と呼ばれるグループ。Mozilla関連のセキュリティ・ホールを報告する「Bugzilla」にも報告されていた。

 各組織やベンダーの情報によると,Mozilla 1.7.3以前には,NNTP(Network News Transfer Protocol)のURLを処理する部分にバッファ・オーバーフローのセキュリティ・ホールが存在する。このため,「news://」で始まる,とても長いURLを読み込むと,Mozillaがハングアップしてしまう。

 また,任意のプログラムを実行させられる可能性もあるという。ただし,Mozillaをハングアップさせる検証コードは公開されているものの,任意のプログラムを実行させるようなコードは公開されていない。

 今回報告されたセキュリティ・ホールは,最新版1.7.5では解消されている(関連記事)。このため,Mozilla 1.7.5にバージョンアップすることが対策となる。

◎参考資料
Heap overflow in Mozilla Browser <= 1.7.3 NNTP code.
Mozilla 1.7.5
mozillaZine : Mozilla 1.7.3 以前に NNTP セキュリティ問題
NNTP Security Flaw in Mozilla 1.7.3 and Below
Mozilla "MSG_UnEscapeSearchUrl()" Buffer Overflow Vulnerability
Bugzilla Bug 264388 Heap overflow in MSG_UnEscapeSearchUrl
Mozilla news:// Link Overflow

(勝村 幸博=IT Pro)