複数のウェブブラウザに「JavaScriptダイアログボックス」の脆弱性

IE、Mozilla、Firefox、Opera、Apple Safari などに脆弱性が発見されました。

要は、Javascriptを利用してポップアップでダイアログボックスを表示する際に「どのサイトから出されたものかがわからない」という（ほぼ）仕様があるので、ちょっとしたことで簡単に悪用でき、ユーザを混乱させることができてしまうものです。

危険度は下から2番目の"Less critical"レベルなものの、現状のブラウザはほとんどこれができてしまうので注意が必要です。簡単に説明すると以下のようになります。

１．悪質サイトのページ内にある「まともなページ（銀行など）」へのリンクを訪問者がクリックします。
（「クリックしたら発動」する仕掛けが施されています。）

２．当然、前面にまともなサイトが開きますが、そのタイミングでダイアログボックスが出てきます。

３．まともなサイトを開いた直後に出てきた＝そのサイトから出てきたものだと勘違いしてしまう。
（ここでうっかりそのダイアログボックスに情報を入れると悪質サイトに情報が送られてしまいます。）

▽ 関連情報
■英文：SecuniaのWebサイトにある、本件の脆弱性体験ページ（翻訳）
■英文：Microsoftが6月21日に発行したセキュリティアドバイザリ（翻訳）

---

---

トラックバックURL：