アカウント名:
パスワード:
OutlookとかにHTMLメールを送りつける攻撃が成立する?
IEコンポーネントとEdgeは全く別の存在でしょ。
>コードを一部変更することで、Internet Explorerでも動作するようだ。
うお、マジか。やっぱり記事はちゃんと読まなきゃいけないね。めんご。
もしかしてOutlookってhtmlメールを無条件にhtmlとしてレンダリングするの?いやまさかそんな恐ろしいMUAが世の中にあるわけ・・・ないよね???
JavaScriptが動かないのであれば今回の件に関しては大丈夫かねー。
Java Scriptは動かなくはないが、そもそも限られた機能しか無いから攻撃しようがない。#WordのHTML機能ではCookie生成自体できないと思われる。
もうサポート切れしている古いOutlookならIEコンポーネントだが、とはいえかれこれ25年も前からJava Scriptに動作制限やり始めている。Cookieが作れるほど古いバージョンともなると制限のないIEでさえ今回のスクリプトが動くかどうかも怪しい。
信頼済みサイトなどに登録されているサイトからのメールであってもMTAにおけるIEコンポーネントではインターネットゾーンで扱われるのでは?
故にインターネットゾーンの設定によるということが基本となりそのうえでMTAの実装によって許可されることが異なってくる・HTML表示/非表示・画像表示/非表示・スクリプト有効/無効・etc...
内容読むとけっこうヤバそうな脆弱性な感じもするが、たいして話題になってないってことは大丈夫なんだろう(他人任せ感容易な攻撃シナリオがないのかな 知らんけど
2つある鍵のうち1つが開けられるようになっていた位の問題。それはもちろん…WebサービスがCookieにパスワードを復元可能な状態で保存するような洒落にならん事をしていたら一発アウト。
特定条件下で任意のコードが実行可能になるようないつもの問題と比べると…影響範囲は広いがそれだけで実害が出るわけではない。早めに直すに越した事はないが、トラブル起こすくらいなら時間かけて直してほしいような類の問題。
修正しないとも言ってないがな。
後ろを見れば、「修正しようとは思ってるけど、いつになるかわからないし修正できないかもしれない」なのは分かりきってるのにね。
そこはカイジの利根川メソッドでいってほしかった
修正するとは言ってないから。
既出?
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日々是ハック也 -- あるハードコアバイナリアン
IEコンポーネントで動くのかしら (スコア:0)
OutlookとかにHTMLメールを送りつける攻撃が成立する?
Re: (スコア:0)
IEコンポーネントとEdgeは全く別の存在でしょ。
Re: (スコア:0)
>コードを一部変更することで、Internet Explorerでも動作するようだ。
Re: (スコア:0)
うお、マジか。
やっぱり記事はちゃんと読まなきゃいけないね。めんご。
Re: (スコア:0)
もしかしてOutlookってhtmlメールを無条件にhtmlとしてレンダリングするの?
いやまさかそんな恐ろしいMUAが世の中にあるわけ・・・ないよね???
Re: (スコア:0)
2000年ぐらいから MUA ではは、レンダリングはするけど、その中に含まれる javascriptの実行だとか 画像のダウンロードだとか「表示」に関わるもの以外は何も実行しないという方になってきてる。
Re: (スコア:0)
JavaScriptが動かないのであれば今回の件に関しては大丈夫かねー。
OutlookはWordコンポーネント (スコア:0)
Java Scriptは動かなくはないが、そもそも限られた機能しか無いから攻撃しようがない。
#WordのHTML機能ではCookie生成自体できないと思われる。
もうサポート切れしている古いOutlookならIEコンポーネントだが、とはいえかれこれ25年も前からJava Scriptに動作制限やり始めている。
Cookieが作れるほど古いバージョンともなると制限のないIEでさえ今回のスクリプトが動くかどうかも怪しい。
Re: (スコア:0)
信頼済みサイトなどに登録されているサイトからのメールであっても
MTAにおけるIEコンポーネントではインターネットゾーンで扱われるのでは?
故にインターネットゾーンの設定によるということが基本となり
そのうえでMTAの実装によって許可されることが異なってくる
・HTML表示/非表示
・画像表示/非表示
・スクリプト有効/無効
・etc...
よくわからんが (スコア:0)
内容読むとけっこうヤバそうな脆弱性な感じもするが、たいして話題になってないってことは大丈夫なんだろう(他人任せ感
容易な攻撃シナリオがないのかな 知らんけど
Re: (スコア:0)
2つある鍵のうち1つが開けられるようになっていた位の問題。
それはもちろん…WebサービスがCookieにパスワードを復元可能な状態で保存するような洒落にならん事をしていたら一発アウト。
特定条件下で任意のコードが実行可能になるようないつもの問題と比べると…
影響範囲は広いがそれだけで実害が出るわけではない。
早めに直すに越した事はないが、トラブル起こすくらいなら時間かけて直してほしいような類の問題。
Re: (スコア:0)
修正しないとも言ってないがな。
Re: (スコア:0)
後ろを見れば、「修正しようとは思ってるけど、いつになるかわからないし修正できないかもしれない」なのは分かりきってるのにね。
Re: (スコア:0)
そこはカイジの利根川メソッドでいってほしかった
Re: (スコア:0)
修正するとは言ってないから。
Re: (スコア:0)
既出?