【翻訳】Firefox における MIME Confusion Attack の防止 - Mozilla Security Blog 日本語版

この記事は、2016 年 8 月 26 日付で Mozilla Security Blog に投稿された Mitigating MIME Confusion Attacks in Firefox（筆者: Christoph Kerschbaumer）の翻訳です。この翻訳は公式なものではありません。詳しくはこちらをご覧ください。 web サーバが Content-Type を指定しなくとも、web ブラウザはファイルの内容をスキャンしてファイル形式を判別することができます。例えば、スクリプトを受信するリクエストを Firefox から web サーバに投げた結果、web サーバが "image/jpg" の Content-Type でスクリプトを返した場合でも、Firefox は本来のファイル形式を判別できるのでスクリプトが実行されます。この技術は俗に「MIME スニッフィング」と呼ばれて

[n2s]

ええっ、むしろFirefoxにもこの問題あったんだ…

[efcl]

"X-Content-Type-Options: nosniff" がFirefox 50でやっと機能するように

[Jxck]

FireFox 50 からついに X-Content-Type-Options: nosniff をちゃんと見るようになった。