PR

 情報処理推進機構(IPA)セキュリティセンターおよびJPCERTコーディネーションセンター(JPCERT/CC)は5月26日,「mailto URL スキーム」を適切に取り扱わないメール・ソフトがあることを警告した。mailtoのリンクをクリックすると,ユーザーが気付かない形で「CC」や「BCC」のメール・アドレスが設定される可能性がある。対策は,ソフト・ベンダーが公開する修正パッチなどを適用すること。CCやBCC欄を表示する設定にしておくことも効果的である。

 mailto URL スキームは,Webページにおいてメール・アドレスを記述するために使われるもの。mailto URL スキームを使えば,ユーザーがリンクをクリックしただけで,デフォルトのメール・ソフトが起動し,新規のメール作成画面が表示される。このとき,作成画面のあて先(To)や件名(Subject),本文(Body)欄には,ページ作者の指定したアドレスや文字列が埋め込まれて表示される。

 これらに加えて,CCやBCCのアドレスについてもmailto URL スキームで指定できる。しかしながら,メール・ソフトによっては,CCやBCCを表示しない設定にしている場合には,mailtoでCCやBCCのアドレスを指定されていても画面には表示しない。つまり,ユーザーが意図しないあて先へメール(のコピー)が送信される可能性がある。

 JVNによると,メール・ソフトの適切な振る舞いとしては,mailtoで指定された情報については,ユーザーが確認できるように表示すべきとしている。また,メール配送に関係するヘッダー(例えばCCやBCC)を mailto URL スキームの記述に基づいて設定することは不適切であるとしている。

 今回の問題について「該当製品なし」と記述されているマイクロソフトのOutlook Expressで試したところ,BCCを表示しない設定にしていても,BCCを指定するmailtoリンクをクリックすると,BCCの欄が表示された。

 JVNの情報によると,今回の問題が確認されているメール・ソフトは,Edcom「EdMax」ジャストシステム「Shuriken Pro3/Pro4」オレンジソフトの「Winbiff」,リムアーツの「Becky! Internet Mail(ただし旧バージョンのみ)」,サイトー企画の「鶴亀メール」(5月26日現在)。ただし,鶴亀メールについては,初期設定ではBCCを表示するようになっており,非表示にする場合には警告メッセージが表示されるという。ベンダーによっては,問題を修正するモジュールや修正済みバージョンを公開しているので,それぞれのサイトなどを確認してほしい。

 なお,IPAでは「この問題は,コンピュータそのものへの直接的な被害にはつながりませんが,利用者への注意喚起を目的として公表した」としている。

◎参考資料
JVN#FCAD9BD8 メールクライアントソフトにおける mailto URL scheme の不適切な解釈

(勝村 幸博=IT Pro)