IEの欠陥により、Google Desktopに情報漏洩の危険性

oddmake曰く、"eWeek記事や本家記事にもなっているが、ITmediaの記事によるとInternet ExplorerとGoogle Desktop を使っているユーザの個人情報を盗むことができる方法をイスラエルのマタン・ギロン氏が発見し、自身のWebページで詳細に解説したという。最新のパッチがあたっていて、デフォルトのセキュリティ設定の状態のIEとGoogle Desktop v2を使っている状態で脆弱性の実証コードは動作したという。マイクロソフトによると、この脆弱性によってユーザが攻撃を受けた例はまだ確認されていないということだ。事は重大であるので、信頼できないWebページは訪問したりせず、パッチやMSのsecurity advisoryなどで対処法が示され次第、各自対処を行なって欲しい。"

Google だけじゃなく

[deleted user (19654)]

問題は IE の CSS 読み込みで問題があるということなので

＞Gillon used the Google Desktop utility to prove his findings, but in theory, any domain
＞or application that depends on the IE cross-domain security model is vulnerable.

とあるように、Google Desktop は一例にすぎず、
理論的には IE のクロスドメイン防御に頼っているものはすべて
悪用され得るようです。

＞"Thousands of Web sites can be exploited, and there isn't a simple solution against
＞this attack at least until IE is fixed," Gillon said.

危険性のあるサイトはかなり多いようです。
「Google Desktop に危険性」というタイトルは
ちょっと危険を過小評価しているかもしれませんね。

Googleは実証用コードへの対策をした模様

[Anonymous Coward]

どうやらGoogle側で対策(Googleデスクトップへのリンク部分がCSSのコメントになるようにしている)したようで、
マタン・ギロン氏が公開している実証用コードがIEでも動作しなくなっています。
あと、あくまで実証用コードが動かなくなっただけであり、脆弱性は依然として存在しますので、

＞とあるように、Google Desktop は一例にすぎず、
＞理論的には IE のクロスドメイン防御に頼っているものはすべて
＞悪用され得るようです。

という状況は変わっていないことにご注意を。

Re:Google だけじゃなく

[Anonymous Coward]

だよなあ。このタイトルじゃ、GoogleDesktopだけ？じゃあGoogleDesktopの脆弱性じゃねーの？って勘違いする。

IEっていまだに

[Aruku2005 (29364)]

イントラエリアとインターネットエリアを
うまく処理していない所があります。

いや、プロキシ設定でローカルをしていしても
若干誤動作しているし、その時javascriptやプラグインが
動作しないし

この間リリースされていたFireFoxは大丈夫でした。

もしかして、既知の問題(仕様)に嵌ってません？

[kei100 (5854)]

＞イントラエリアとインターネットエリアを
＞うまく処理していない所があります。

もしかして、自動構成をONにしてますか？
だとしたら、仕様かもしれません。
IEの自動Proxy設定とセキュリティ・ゾーン [atmarkit.co.jp]を一度お読みになられると良いかと。

＞いや、プロキシ設定でローカルをしていしても
＞若干誤動作しているし、その時javascriptやプラグインが
動作しないし

Norton InternetSecurity2004等の広告ブロック等はHTMLにJavaScriptを追加・変更することで実現してるのでそれの副作用という可能性もあります。
一度、本当にIEが原因なのかを疑ってみるのもオススメします。
Firefoxで影響が出なかったのは広告ブロックのフックが機能しなかったという可能性も・・・

一度、本当にIEが原因なのかを疑ってみるのもオススメします。

[Aruku2005 (29364)]

＞＞一度、本当にIEが原因なのかを疑ってみるのもオススメします。
この辺はチェック済みなのでＩＥ側に問題ありそうです。
ＦｉｒｅＦｏｘ側はちゃんと処理してるっぽい。

Re:IEっていまだに

[Elbereth (17793)]

1.5が出た今でもよく見かけるんだけど、

× FireFox
○ Firefox

なんか・・・

[kei100 (5854)]

去年も似たような話題があったなぁ・・・ [srad.jp]
# って自分のポストした記事だったorz

Re:なんか・・・

[Elbereth (17793)]

実は、1年ちょい前にGoogleDesktopがでてきた時のストーリーで、予想してました [srad.jp]??。

Googleがそう考えてなくても‥

[Anonymous Coward]

PC内部の情報をかき集めるGoogle Desktop＋PC外部と接続できるIEが組み合わさっていて
ユーザがこれを分離できない、っていう時点ですでに『危険』だと思う。

もちろん、『だからGoogle Desktopはダメなんだ』ってことはない。
使うことを選択したのは、他ならぬユーザ自身なのだから。

Re:Googleがそう考えてなくても‥

[yasiyasi (5450)]

> 使うことを選択したのは、他ならぬユーザ自身なのだから。

「そのような危険な状態になりますが、それでも利用しますか？」と、
危険性を教えられた上で、それでもなお選択したのならば、ユーザー自身に責任の一端を負わせられると思いますがね。

Re:Googleがそう考えてなくても‥

[Anonymous Coward]

分かってる人はパッと見でヤヴァくね？って思えるけど、
企業側にしてみれば自ら「潜在的に危険」とは言えんわな。

今回の場合であれば「俺のせいじゃないけど」がせいぜい。

Re:それをいうなら

[makochi13 (25998)]

IE使わなきゃいいんだろ？楽勝。

Google だけじゃなく [srad.jp]とかGoogleは実証用コードへの対策をした模様 [srad.jp]も参考にね。

Re:要は

[Inetgate (22498)]

最初にこの記事をIE flaw lets intruders into Google Desktop [com.com]で見た時は、Firefox+GoogleDesktopなら関係ないのでわ？ と思ってました。

Re:要は

[Anonymous Coward]

かく言う私は、Google Desktopを使っていなけりゃこのニュースを知らなかった訳で…