[harden-mac:0252] Re: IE5(Mac Classic) で Cookie に関する問題

[ISHIKAWA Yasuhisa <vm@xxxxxxxxxxxxxxxxxx>]

石川です。検証が遅くなりまして済みません。

# 森さんの投稿には別に返事をしたいので、最初のJunnamaさんの投稿に
# replyしておきます。

以下の４つの環境でJunnamaさんのスクリプトを検証してみましたが、全てに
於いて実行可能、という結果でした。

○Mac OS X 10.2.2＋IE 5.2.2
[harden-mac:0251] の森さんの様に、
file://localhost/Users/username/Desktop/MACIE_XSS_TEST.me
で実行。

○Mac OS X 10.1.5＋IE 5.2.2
上と同じ環境。

○Mac OS 9.2.2＋IE 5.1.6
ダウンロードフォルダとして「Macintosh HD/Desktop Folder」が選択できな
かったので、スクリプトの方を適当な場所に変更して実行

○Mac OS X 10.2.2＋Classic環境（Mac OS 9.2.2）上のIE 5.1.6
上と同じ環境。

で、以下、検証してみた印象など。
------------------------------------------------------------
○IE 5.1.4（MS02-019）以降に対処されたはずの“file://〜”での
　ファイル指定実行に関して
今回のJunnamaさんの手法、つまり今まで森さんや太洋さんなどと検証してきた
ものと違うスクリプトを使うだけで、webページ上のスクリプトからローカル
ファイルにアクセスできたという事から考えて、IE 5.1.4での対処は、
やはりBugtraqに投稿された
・Macinosh IE file execuion vulerability
http://archives.neohapsis.com/archives/bugtraq/2002-01/0276.html
の手法への対処でしかなかったんだろうと思います。

他にもwebページのスクリプトからローカルファイルにアクセスする方法や
ローカルファイルのJavaScriptから実行できることが色々有るんじゃないか
という気がしています。

とにかく、JunnamaさんによるCookie取得・転送の脅威とは別に、ローカル
ファイルを指定してJavaScriptを実行できるのは、これもとても不味いかと。
------------------------------------------------------------
○ヘルパーアプリに関して
この件、ヘルパーに関係なく実行できてしまうのもかなり不味いですね。
Junnamaさんの検証環境ですと拡張子“.me”のファイルは、IEのデフォルトだと
・ヘルパーアプリ＝TextEdit（もしくはSimpleText）
・ダウンロード先＝ダウンロードフォルダ
・処理方法＝ファイルに保存する
になっていて、「MACIE_XSS_TEST.me」も確かに

% /Developer/Tools/GetFileInfo ~/Desktop/MACIE_XSS_TEST.me 
file: "MACIE_XSS_TEST.me"
type: "TEXT"
creator: ""
attributes: avbstclinmed
created: 12/16/2002 18:36:43
modified: 12/16/2002 18:36:43

で、ただのテキストファイルですから、悪意あるwebページさえ用意できれば、
あとはIEの設定次第だけですね。
IEがデフォルト設定のままの方も多そうですから、手元での対処は当然としても
早くMSに直して貰いたい所です。
------------------------------------------------------------
○IEの「Cookies」初期設定に関して
# これに関しては確証の得られていないことなんですが、一応ご報告。
私はIEの「Cookies」の設定で、
・Cookieを受信した時：「サイトごとに警告する」
にして運用しております。
通常は「状態」として「受け入れない」のサイトがたくさん登録されていて
「有効」と「受け入れる」が少々、といった状態なのですが、Junnamaさんの
スクリプトを走らせた後に「Cookies」の設定を見直すと「受け入れない」が
全て無くなっており「有効」と「受け入れる」のサイトのみになっておりました。

-- 
石川 泰久／vm_converter
vm@xxxxxxxxxxxxxxxxxx



--[PR]------------------------------------------------------------------
　　　＞大好評！　★ＡＤＳＬ最速の１２Ｍは、ＫＤＤＩのＤＩＯＮ！★
　モデムレンタル料金を含めた、月額料金がなんと！　⇒３，３７０円／月
　　　　　　これは『Yahoo!BB12M』と同額！（ＤＩＯＮセット割適用時）
さらに『かけつけ設定サポート』でパソコン出張設定無料のキャンペーン中！
　　　　　  http://ad.freeml.com/cgi-bin/ad.cgi?id=b3Xg8
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp