Firefox39.0.3以前が該当する脆弱性と、関連ニュースをメモ

2015年8月10日にニュースになったFirefoxの脆弱性をメモしておきます。

→ 「Firefox」のPDF Viewerに脆弱性--アップデートが公開 - ZDNet Japan

この脆弱性の特徴は以下。

 ・PDF Viewerの脆弱性を利用
 ・Android版Firefoxには該当しない
 ・PC上のファイルを検索してアップロードが可能になる脆弱性
 ・この脆弱性を利用する悪質な広告がロシアのニュースサイトに存在していた
 ・ファイルはロシアのウクライナにあるとされるサーバにアップロードされていた
 ・実行した形跡を残さない
 ・Firefox39.0.3にアップデートする事で対処可能


悪意あるコードを埋め込まれた広告によってPCの脆弱性を突かれるという、最近かなり目にする事が増えた被害ですが、今回はロシア絡みという事と、実行した形跡を残さないという事で怖さが増すニュースでした。

尚、ニュースと共にFirefoxのアップデートが発表されており、更新する事で脆弱性への対処が可能です。

■広告及び、プラグイン側の脆弱性を利用した被害など

次に、広告やブラウザのプラグイン機能を悪用した一例を挙げておきます。

▼2014/6/20
→ ニコニコ動画のニセFlashPlayer広告の原因はマイクロアド、悪質マルウェア配布の手口はこうなっている - GIGAZINE
Flash Playerのアップデート警告に見せかけた広告を表示させ、マルウェアをインストールさせた方法。
サイト利用者が多いだけに一時話題になりましたが、ニコニコ運営と広告業者の対応によって事態は早期に収拾しました。

▼2014/10/16
→ YouTubeを見た11万人以上がマルウェアに感染、原因は「広告」 - GIGAZINE
広告と、Java、IE、Flash Playerの脆弱性を利用してマルウェアをインストールさせた方法。
感染者が11万人以上も居たそうですが、それぞれのソフトのアップデートによって事態は収拾しました。

▼2015/05/18
→ 「Nuclear Exploit Kit」による攻撃を確認、広告配信ネットワークのユーザが被害に | トレンドマイクロ セキュリティブログ
広告とFlash Playerの脆弱性を利用した攻撃手段についての報告。
広告業者の対応によって事態は収拾しました。

これらの事例は、アクセスが多いサイトの広告が悪用されたというニュースですが、アクセスが少ないながら改ざんされたWebサイトを悪用するという方法も報告されています。

▼2015/07/23
→ Flash Playerの脆弱性を狙うWeb改ざん攻撃を多数確認 | トレンドマイクロ セキュリティブログ
Flash Playerの脆弱性を狙ったいくつかの手段についての報告。
改ざんされたサイトのiflame上に、悪意のあるコードを含むファイルを仕込んでおくという方法などが紹介されています。
目的は遠隔操作ツールを感染させるというもので、興味深いのは日本を狙っているという点でした。


■ブラウザサイドの対応
これらセキュリティ被害の原因には、Flash Playerの脆弱性が絡んでいる事が多い訳ですが、2015/07/13には、Firefoxが致命的な脆弱性を含んでいたFlash Playerを修正されるまで一時的にブロックするという強行手段に出て、話題になった事もありました。
→ Mozilla、FirefoxでFlash Playerを（一時的に）ブロック - ITmedia ニュース
こちらの記事によると、Google Chromeサイドでは既にFlash Playerの一部を規制している様です。

また、Google Chromeといえば、2015/04/14から配信されているバージョン42より、セキュリティ上の問題からNPAPI(Netscape Plugin Application Programming Interface)が無効化されており、Unityなどを使った一部ゲームのプレイが出来なくなりました。
→ Unity - Unity Japan Official Blog – Google Chromeで WebPlayer が起動できない件について
今のところは、手動でNPAPIをオンにする事で使えるようになりますが、バージョン45から完全に廃止される様です。

尚、ブラウザ自体の脆弱性にしてもプラグイン側の脆弱性にしても、ウイルス対策ソフトがゼロデイ攻撃を防げる事は殆ど無く、その後の対応にしても後手後手になる事が多いです。
ゼロデイ攻撃に関しては個人でどうにか出来る問題ではありませんが、その後発表される脆弱性のニュースに目を光らせたり、ブラウザなどを最新版にしておく事は重要です。

但し、最新のWindowsアップデートに関しては、度々起動しなくなるトラブルがニュースになるので様子を見たほうが良いかと思います。