■
■Firefox|Mozilla|Netscapeでダウンロードもしくはセキュリティーのダイアログ偽装方法がみつかる
Firefox 1.0, Mozilla 1.7.5 and Netscape 7.1 on Windows XP SP2 で、download dialog ないし security dialog の偽装が可能であるとのこと。ベンダーには３ヶ月ほど前に報告されているもののベンダーパッチはまだありません。
PoC(実際の手法)と防御方法がともに公開されています。とりあえずの防御策をしておくと良いでしょう。
防御策としては、URLアドレス欄で「about:config」とし、dom.disable_window_flipをダブルクリックして値をfalseからtrueに変更します。
なお、タブブラウジング拡張をいれてある人でも念のため上の防御策はしておいたほうが良いと思います。
原因としては、モーダルなダイアログが、必ず一番手前に表示され、そのダイアログを悪意あるサイトにより上手に偽装されるところにあります。このため、正規のダイアログの上にかぶさってしまうかもです。（正確な検証と報道を待ちたいです。）
モーダルなダイアログ関連はIEでしばしば脆弱性の指摘がなされていたところでもあり、もって他山の石となせ、という諺の適用がなされていると嬉しかったかもです。
危険性は少ないのかなぁ…単体ではですね。
セキュリティー系メーリングリストで、より有効な対処策が以下のように紹介されていました。
The real solution is to force toolbar+menubar+addressbar on for all JavaScript pop-ups, at least as a default option setting. This would also fix the recently publicised problem with targeting other sites' pop-up windows for phishing.
Setting most of dom.disable_window_open_feature.* to true (and making it impossible to remove browser "decorations" from browser windows) is a pretty efficient (even if not 100% bullet-proof) way to thwart this kind of attack. As well as other GUI spoofing attacks.
ついでだからこのさい、ポップアップするウインドウにはツールバーとメニューバーとアドレスバーを表示しておけばいい、ということらしいですね。ステータスバーについてもよろしく。
about:configで、この種のユーザインターフェース偽装を防止する方法について、この日記の過去の日付けにも書いてあります。
