Kazuho@Cybozu Labs: E4X-XSS 脆弱性について
« 安全な JSON, 危険な JSON (Cross-site Including?) | メイン | JSONP - データ提供者側のセキュリティについて » 2007年01月10日 E4X-XSS 脆弱性について Firefox でサポートされている JavaScript 拡張 E4X (ECMA-357) では、JavaScript 内に XML とほぼ同様のマークアップ言語を記述できるようになっています。しかし、マークアップ言語の解釈にはいくつかの違いがあり、この点をついたクロスサイトスクリプティングの可能性が (相当に小さいものの) 存在します。攻撃者は、 ウェブアプリケーションに E4X として解釈した場合に実行コードとして解釈されるコードを注入 (XSS) し、 1 のコンテンツを <script> タグを用いて参照するような別のウェブサイトを用意し、攻撃対象にアクセスさせ
Firefoxのゼロデイコードは「冗談」だった？
Firefoxの脆弱性を突くコードを公表したセキュリティ研究者が態度を一転、大げさだったと認め、「関係者の皆さんに申し訳ない」と謝罪している。 MozillaのFirefoxブラウザに複数のコード実行脆弱性があるというハッカーの主張は、度を越した悪ふざけかもしれない。 2人のセキュリティ研究者――ミシャ・スピーゲルモック氏とアンドリュー・ビールソイ氏――がFirefoxのJavaScript実装に深刻な脆弱性があり、PC乗っ取りを許す恐れがあると警告したToorConのプレゼンテーションの後で、Mozillaのエンジニアは、この問題のリスクはサービス拒否（DoS）攻撃に限定されていると指摘した。 Six Apartの開発者であるスピーゲルモック氏は今は、ToorConでの発表は「おもしろくする」ためのもので、同カンファレンスで披露したコードではコード実行攻撃はできないと話している。 同氏の
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
unknownplace.org - 2007/06/05 - TwitBin はなんちゃって Firefox 拡張
