FluxMozilla関係の情報に特化したブログです。(CVE-2009-2479)』で、MozillaがFirefoxの新たな脆弱性(CVE-2009-2479)に関して反論している。その骨子は、当該脆弱性を突いてFirefoxをクラッシュさせることはできるが、エクスプロイトによってリモートからサービス不能(DoS)攻撃を実行することはできないというものだ。3.0.x系列も同様の脆弱性を抱えている。したがって、影響を受ける範囲はかなり広いといえる。Centerはエクスプロイトの概念実証コード(PoC)が存在すると伝えているけれども、Mozillaが調査したところでは、攻撃者のコード実行を許すことはないという。問題となっている脆弱性は、非常に長いUnicode文字列をFirefoxが扱う際に露呈する。バッファの割り当て時に異常終了が発生するのだが、これはユーザー視点からはFirefoxのクラッシュとして現れる。3.5.xでは少なくとも一部の環境でクラッシュすることが確認済みだ。3.5.xの双方で常にクラッシュが起きる。Xの一部であるATSUIシステムライブラリ(テキスト処理担当)の内部で発生したクラッシュの影響を受ける形なので、他のアプリケーションでも同様の現象に見舞われる可能性が高い。Mozillaとしては既にAppleに報告しているが、現時点で修正は提供されていないので、Firefox側で緩和策を実装する予定だとしている。これらのクラッシュは、それ自体対処すべきものだとしても、真の問題はクラッシュ後に悪意のあるコードを実行できるかどうかであり、その点についてMozillaは否定的だ。3.5.2がリリースされる予定であることを考えると、緊急リリースとしての3.5.2が挟まれることはなく、現在のスケジュールどおりに開発が進行するものとみられる。3.0.x系列は、3.0.12が7月21日、3.0.13が9月1日となっているので、3.0.12には修正が間に合わず、かといって3.0.13まで一月半近くもバグを放置するのは問題があろう。こちらはスケジュールに変更が加えられそうだ。MozillaはLinux版Firefoxに言及していない。9158〜』のコメント欄で、ディストリビューションに依存するのでベンダーへの確認を要すると述べている程度である。はてなブログProMozilla関係の情報に特化したブログです。ZoneMoz-Fxりんごが好きなのでぃすとりかごとなり。@abp_jpUnreviewednorah'#Firefox更新情報Wikiブログ日々のつぶやきスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。