[harden-mac:0256] Re: IE5(MacClassic) でCookie に関する

[ISHIKAWA Yasuhisa <vm@xxxxxxxxxxxxxxxxxx>]

石川です。

Junnama Noda <junnama.noda@xxxxxxxxxxx> wrote:

> Junnama Nodaです。
> 
> # 昨日、違うアドレスから送って、はじかれてしまった...

# ↓この行だけML管理人として書きます。
済みません。登録者しか投稿できないようになっております。_o_

> 念のために付け加えますと、悪意のある攻撃者は偶然を待ったりはしません。
> サイトの構成パターンにもよりますが、Cookieが転送されてきたら自動処理でログイ
> ン〜個人情報の確認・修正ページなんかへアクセス、情報を保存する、あるいは
> Cookieが転送されてきた瞬間に電子メールで攻撃者へ知らせるという手法をとるでし
> ょう。（さすがにそこまで実証しようとは思いませんが、可能なサーバーがあること
> は確かです）
<snip>
> これは、XSS脆弱性の攻撃パターンを考えればわかることで、特段目新しいことでも
> ありません。仕込むサーバーにしても、ダイヤルアップサーバーとかフリーサーバー
> とかを使うことが考えられるでしょう。
> 
> # でもまぁ、でき得る、というのと、行なわれている、いうのは違いますから...

XSS脆弱性と同様のパターンが適用できますし、悪意あるファイルのダウンロード
からCookie転送などなどまで全て自動でできますから、確かに攻撃者はアクティブ
に振舞うことができるとは思います。

ただ、
・Macユーザが少ないため、攻撃者にとって対象とするメリットが少ない。
・（今回の手法だと）悪意のあるファイルをダウンロードさせなければならない為、
　通常のXSS脆弱性よりも成立が難しい。
（サイトの用意が必要、XSSより面倒、）

といった点で成立させるのに必要な攻撃側のコストが通常のXSS脆弱性より高く
つくのではないかと思います。

もちろん、予めブラウザを振り分けておいて「Windows＋IEならこのページでXSS、
Mac＋IEならあのページでダウンロードさせて...」とかすれば、MacもWindowsも
関係なく攻撃対象にできますが、そんな手間をかける位ならWindowsユーザだけ
相手にしてた方が効率も良いでしょうし。

ですので、この件を甘く見るつもりは全く無く、むしろMac版のIEから綺麗に
Cookieが抜かれる貴重な脆弱性と思っているのですが、[harden-mac:0250]で
述べたように「利用できる確率が少なそう」と考えております。

もちろん、IEのデフォルト設定の方も多いでしょうし、Cookieのマネジメントを
徹底していない方も多いでしょうから、本気で取り組めば利用できないことは
ないと思います。

# 以前にもどこかで書いた覚えがあるのですが、私でしたら、いかにも魅力的な
# ソフトを開発したと見せかけ、各種ソフトウェア紹介サイトで告知する様に
# 手配し、ダウンロードが始まっても不審がられないようにすると思います。
# もしくはそれこそ「ReadMe」ファイルを紛れ込ませるか。
 
> # ちょっとしばらくページを削除しておいた方がいいですかね。
> # Microsoftからなんかのアクションがあるか（あまり期待していないのですが）待
> # ってみようかと...

コメント部に対してですが。
申し訳ないとは思いつつ、Junnamaさんのexploitのファイル名を先のメールに
書いてしまったので、その内にファイル名で検索されるとひっかかってしまう
ようになるかもしれません。
最近は悪質なロボットもいますし、Microsoftの対応なりJunnamaさんの手元での
情報公開が行われるまでは、削除もしくはリネームをしておいた方が良いかと
思います。

# MSの対処が見込めないと、Mac版IEでは常にJavaScriptオフか、IEを捨てるか、
# ですかね。私自身は常にJavaScriptオフではありますが...。
# Mozillaなどの様に、JavaScriptからCookieへのアクセスを拒否できる様に
# するのも一つの手なのかなぁ。


-- 
石川 泰久
vm@xxxxxxxxxxxxxxxxxx

--[PR]------------------------------------------------------------------
■ぼみやんのそれいいやん！■
　
　ウィふり新企画 第２段はじまり〜！　オープニングを飾るのは、、、
　
▼南の島へ行こう！ => http://ad.freeml.com/cgi-bin/ad.cgi?id=b3Zz9
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp