Firefox 3.5のJavaScriptエンジンに未対策の脆弱性が発見される

あるAnonymous Coward 曰く、

Firefox 3.5.xに未対策の脆弱性が発見された。F-secureによると、この脆弱性を悪用することで、悪意のある攻撃者により任意のコードを実行される可能性がある。

この脆弱性はJavaScriptエンジンの処理のバグにより引き起こされるとのことで、Mozilla Security Blogによると、about:config等で「javascript.options.jit.content」を「false」に設定してJavaScriptエンジンのJIT機能を無効にすることで対策できるという。

また、この問題に対する修正を加えたFirefox 3.5.1が今月中にリリースされる予定のようだ（Releases — MozillaWiki）。

Firefox 3.0 は問題なし

[ryoryoryo (5621)]

ストーリーからリンクされているCritical JavaScript vulnerability in Firefox 3.5 at Mozilla Security Blog [mozilla.com]のコメント欄のやりとり

1. Hugo {Tuesday July 14, 2009 @ 1:39 pm}

Is 3.0.x code base vulnerable too? When was this vuln introduced? Thanks!

(中略)
 
8. Asa Dotzler {Tuesday July 14, 2009 @ 6:32 pm}

@Hugo, no this is not a bug in Firefox 3.0. It only affects 3.5 which includes the new JIT features in its JS engine.

によると、このバグは Firefox 3.5 限定の問題のようですね。

# Firefox 3.5 で JavaScript が高速化された原動力でもある
# JIT コンパイラのバグだから、という理解で大丈夫でしょうか？

Re:Firefox 3.0 は問題なし

[JULY (38066)]

> # Firefox 3.5 で JavaScript が高速化された原動力でもある
> # JIT コンパイラのバグだから、という理解で大丈夫でしょうか？

という理解で間違いないでしょう。

ちなみに、3.5.1 のリリースは、元々、今月中に予定されていたもので、この脆弱性のために、早ければ今週中にもリリースされそうな雰囲気だそうです

Mozilla Flux 2009-07-14 [hatena.ne.jp]
上記ページのコメント参照

Re:

[Anonymous Coward]

3.0でjavascript.options.jit.contentはデフォルトでfalseになってる。

Re:Firefox 3.0 は問題なし

[Anonymous Coward]

jitことTraceMonkeyは3.1以降に入ってるから、3.0以前では設定自体がないはずですけど。3.5のプロファイルを流用して残骸を見たんじゃ？

かわいそうなJIT

[Anonymous Coward]

3.5のリリースを遅らせた最大の功労者は、リリース後も足を引っ張り続けるのか。

Re:かわいそうなJIT

[Anonymous Coward]

お前なんか隅っこでジッとしてろ！
って事ですね

Re:

[Anonymous Coward]

しかも遅れている間に競争相手がどんどん進化してまったく太刀打ちできなくなっているという。
TraceMonkeyがV8やNitroに勝てないんじゃなくてcairoがSkiaに勝てないのかもしれませんが。

Re:

[Anonymous Coward]

そうやって過剰に意識するあまり、少しでも差を縮めようと色々やってたから遅れまくったんですけどね。 その結果、想像以上にバグが増えてしまってリリースを度々延期せざるを得なくなってしまった。

いくら小手先の修正を施したところで、期待するような結果など得られるはずもないのにねえ。

Exploit公開中

[Anonymous Coward]

攻略HTMLのサンプルが公開中です。

「未対策の脆弱性が発見」というだけでなく、「攻撃方法も公開中」であることを
考慮した上で、ユーザは対応しましょう。

Exploitのデモページを試してみました(w

[masakun (31656)]

タレコミでは脆弱性の詳細が不明だが、F-secureの同じページへリンクが張られていることからすれば「Firefoxメモリコラプション脆弱性」 [f-secure.jp](SecuniaではMozilla Firefox Memory Corruption Vulnerability [secunia.com])と呼ばれているもののようだ。その記事によると

Firefox 3.5のこの脆弱性は、JavaScriptコード処理を行う際のエラーに起因する。詳細については、我々の脆弱性情報を参照して頂きたい。SBerryが発見したこのエクスプロイトは、昨日、よく知られたエクスプロイト・サイトに投稿された。

よく知られたエクスプロイトサイトといえば、milw0rm.org だろう。

2009-07-13 Mozilla Firefox 3.5 (Font tags) Remote Buffer Overflow Exploit [milw0rm.org] HITS:24451

デモページ（http://www.milw0rm.org/exploit.php?id=9137）も準備されているので、現時点で最新のナイトリー(Firefox 3.5.1pre [mozilla.org]とFirefox 3.6 alpha1 [mozilla.org])でデモページを読み込んでみると、クラッシュこそしなかったが、しばらくすると

Warning: Unresponsive script
A script on this page may be busy, or it may have stopped responding. You can stop the script now.
or you can contimue to see if the script will complete.

というダイアログウィンドウが出て、script を止めることができた。なお他のコメント [srad.jp]によれば、Firefox 3.0.x では再現しないという話だが、うちの Firefox 3.0.11(on WindowsXP SP3/RAM 512MB)で読み込んだところフリーズした（症状としてはメモリを食い尽くす）。

【参考】Firefox 3.5.x に未パッチの脆弱性 [seesaa.net]

この脆弱性は Javascript の記述ミスにより引き起こされ ― 例えば HTML の fontタグ等 ―
悪用された場合、リモートコード実行に繋がり、メモリ破損を引き起こすものです。
version 3.5 で発見されましたが、それ以前のバージョンも影響を受ける可能性があるとのこと。
(※ コメントをいただいたあるむ氏と私の version 3.0.11 で実証コードを試してみましたが、
再現しなかったので、3.0.11 以前のバージョンは影響を受けない可能性が高いと思われます。)

--
モデレータは基本役立たずなの気にしてないよ

Re:Exploitのデモページを試してみました(w

[airhead (13423)]

毎度水を差すようで悪いとは思うんですが、

件のPoCではまずJavaScriptコードで、シェルコード（calc.exe起動）を含む約.375MBの文字列×600個の配列（単純計算でも最低約225MB）を作成しています。これは脆弱性を突いたときのコード実行の成功確率を高めるためで[*]、そうしておいてからJSエンジンの脆弱性（FONT要素の扱い）を突くJSコードを実行し、メモリ破壊を引き起こして先のシェルコードを実行するようになっています。
[*] 参考: MYCOMの記事PoCの内側 - Heap Spray(1) [mycom.co.jp], (2) [mycom.co.jp]）。

配列作成にはメモリを大量に消費しますし（環境にも寄るでしょうが）結構時間が掛かりますが、脆弱性を突く部分（その関数を呼び出す99行目もしくは100行目）を削るだけでメモリ破壊（クラッシュ）は起きません。逆に、メモリ破壊を起こすだけなら配列作成の部分（25-52行目）は要りませんし、メモリ大量消費は起こりません。

で、スクリプト実行が長時間続いたときの中断ダイアログが出て止めることができた/メモリを食い尽くしてフリーズというのは、まだ仕込みの段階で脆弱性を突くところまで行ってなかったのではないかと思います。せめて中断しなかった場合はどうか、自環境のメモリ量にあわせ配列を調整した場合はどうかなどを見ないと、試したことにはならないですよ。

kasperskyさん活躍

[sunnydaysundey (32697)]

件のexploitコードをローカルに保存しようとすると
カスペルスキーさんがえんえんと「危ないぜ！消そうぜ！」とダイアログ出してくれました。

# ファイルキープして放してくれない

javascript.options.jit.content

[Anonymous Coward]

javascript.options.jit.content ？そんなプロパティねーぞ
と思ったら、使ってるのは Firefox 3.0.11 だった。

発見者は他のバージョンにも影響するだろうと書いてたけど、
Firefox 3.0 には本当に影響しないのだろうか？

未対策の脆弱性を発見？

[Anonymous Coward]

「対策済みの脆弱性」が発見されることってあるのでしょうか？

Re:

[Anonymous Coward]

「未対策で攻撃方法が公開されている脆弱性の情報を発表」
というのを、どうにか問題を矮小化したくてそういう表現に
しちゃったのでしょうな。

これがIEで発見されたなら、もっとはっきり書くのに。

FirefoxはIEよりも脆弱性が確実に多いですが、未対応のまま
攻撃方法も公開される数はIEよりも少ないです。
このことだけが「FirefoxはIEより安全」と言える理由なので、
これが覆されると支持者は困るんです。

Re:

[Anonymous Coward]

＞FirefoxはIEよりも脆弱性が確実に多いですが
って言うだけならFx信者とまったくかわらないので、具体的にどれくらい多いのか資料の提示をお願いします。
＃「そんなの自分で調べろ」なんて言うのは通りませんよ。

Re:

[Anonymous Coward]

シマンテック：「Mozillaブラウザの脆弱性、IEを上回る」

http://japan.cnet.com/news/sec/story/0,2000056024,20087325,00.htm

これなんかは古いですがそのものズバリのタイトルの記事ですね
同種の指摘はこの頃から海外のセキュリティ関連の専門家からは度々され続けており

最近では月一回程度までに公開頻度の上がったFirefoxのリリースノートには
ほぼ毎回セキュリティ脆弱性の修正が含まれている。これでは脆弱性自体が少ないという主張は最早不可能です

既にFirefoxの方が脆弱性は少ないという主張は滅多に見られないほどトーンダウンし
発見された脆弱性への対応が早いという論調にシフトしているという見解は正しいでしょう

Re:

[Anonymous Coward]

Microsoftもまともになってきたし、最近はどっちでも一緒じゃないのかな。
シマンテックのような対策屋のソフトの方が脆弱なことも多いし。
ActiveXみたいな拡張機能もFirefoxにてんこ盛りだし。
数だけで計れるものでもないし、脆弱の度合いもいろいろ、修正速度もいろいろ。
過去の評価ばかりして今の再評価を忘れているひとたちが多すぎ。

Re:

[Anonymous Coward]

そのリンク先にはベンダ発表だとFirefoxが多く
セキュリティ監視会社の発表だとIEが多い
とありますね

Re:

[Anonymous Coward]

＞「対策済みの脆弱性」が発見されることってあるのでしょうか？

a)対策済だがそれを回避する方法が発見された
b)対策済だがその対策に脆弱性がが発見された
c)べ、べつに未対策だと思ったわけじゃないんだからねっ！