futuremix

Secunia Advisories によると、Internet Explorer (IE) にまたアドレスバーを偽装できる欠陥が見つかったそうです。

今年に入ってから IE だけでなく、Opera や Mozilla / Firefox にもアドレスバーやステータスバーを偽装できる欠陥が次々と見つかっています。IE は 7月30日に累積パッチが出て、既に悪用されている CAN-2004-0549 などが修正されたわけですが、すぐに別の欠陥が見つかってしまったわけです。

問題の脆弱性についてはすでに実証コードが公開されています。試したところ、一瞬エラーが出ますが、その後表示されたウィンドウには見事に yahoo のアドレスが表示されてしまいました。

対策としては ActiveScript をオフにする、アヤシいサイトには近づかない、くらいでしょう。既知のアドレスバー偽装問題が解決された Opera 7.54 を使う手もありますが、日本語版は 7.53 のままです。Mozilla / Firefox は最新版でも XUL を利用した UI 偽装は修正されていませんので注意してください。