[harden-mac:0255] Re: IE5(MacClassic) でCookie に関する

[ISHIKAWA Yasuhisa <vm@xxxxxxxxxxxxxxxxxx>]

石川です。

Toshiyuki Mori <BXE02022@xxxxxxxxxxx> wrote:

> こんにちは。森です。
> 
> Junnamaさんからはリンクの報告というかたちでメールを
> いただきまして、わたしもここをお勧めしたのでした。

有難うございます。
> 
> 実験したところ、OS X版IE 5.2.2でもcookieの読み取りは
> できました。OS Xの場合、外から開かせるには、
> file://localhost/Users/username/Desktop/MACIE_XSS_TEST.me
> という形になるので、ユーザ名がわからないとダウンロード
> した場所が特定できませんけど。マウントさせる方法なら
> 簡単に実行できますね。

そうですね。つくづく強制自動ダウンロードを回避する手段の無い
Mac版のIEは、どうにかして欲しいものだと思います。
# もちろん今回の件も。

> 似てますが、こちらはOS X版でもできてしまいましたね。

思いっきり誤解していたようですね。お恥ずかしい。
[harden-mac:0252] の自分の検証結果から考えるに、Mac版のIEを使って
いる限り、Mac OS, Mac OS X, Mac OS X Server全てに影響があるの
ではないかと思います。
IE 5より前ではどうなのか解りませんが...

> どちらかというと、ユーザ認証をcookieの記録で行うような
> サイトが狙われるんじゃないでしょうか。ずっと入れっぱなし
> ですからね。アップルストアとかどうでしたっけ？

AppleStoreはWebObjectsを使っていましたよね。
WebObjectsでのセッション管理については、↓の記事位しか知りませんが...

○ZDNet Mac：倉橋浩一、じつはWebObjectsで飯食ってます：
　よくある質問シリーズ(1) セッション管理
http://www.zdnet.co.jp/macwire/0210/30/h_kurahashi.html

> さて、本題と離れますが、Junnamaさんとのやりとりで、
> MSの窓口の件、日本語での投稿ができるんですね。
> 
> http://register.microsoft.com/mswish/suggestion.asp

そうですね。
○マイクロソフト セキュリティ チームに連絡を取る（TechNet）
http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/default.asp
から、「マイクロソフト製品のセキュリティを向上させるための提案をしたい」を
選択すると、そのページに跳ぶんですよね。

AppleのTell USに投げるつもりで「さっさと強制自動ダウンロード直せ！」と
投げるのも良いかもしれません :-)
# これなら脆弱性報告じゃなくて提案・要望だし。


-- 
石川 泰久
vm@xxxxxxxxxxxxxxxxxx

--[PR]------------------------------------------------------------------
【英語に自信がある？】──────────→[ 自信ない〜 ]
　　　　　↓　　　　　　　　　　　　　　　　　　　↓
　　　 [ Yes! ] 　　　　　　　　　　　[ ヒントがあるから大丈夫！]
　　　　　↓←──────────────────┘
▼南の島へ行けるかも!? => http://ad.freeml.com/cgi-bin/ad.cgi?id=b3ZxC
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp