Google Desktop ハッキング簡単レシピ〜その脆弱性が物語るもの (2)

＞＞　Google Desktop ハッキング簡単レシピ

Google Desktopに、XSSの脆弱性が2月に報告されている。このことは何を意味するかというと、Google DesktopのインストールされたホストのWebブラウザが、リモートからJavaScriptによりハイジャック可能だということだ。Webブラウザをハイジャックすれば、Web ブラウザ上でのキータイプの詐取や、Webブラウザを不正操作することなども可能になる。ここまで説明すれば、この脆弱性の影響度が、日常生活にも及びそうなことは容易に想像が付くだろう。

さて、本題はここからで、Google Desktopには、「Search Across Computers機能」という、非常に自由度が高く、拡張性豊かな機能を持っている。この機能がオンにすると、ローカルホスト内をインデックス化するだけでなく、ファイルをGoogle側にコピーすることで、リモートホストから検索可能な状態になる。

つまり、攻撃者はハイジャックした標的のWebブラウザを操ることで、攻撃者側で共有検索を可能にした「不正プログラム」に、容易にアクセス可能なのだ。この不正プログラムを標的のWebブラウザ経由で実行すると、不正プログラムは標的のシステムにインストールされ、そのシステムさえも制御することが可能となる。（これらを可能にしているのも、全てWeb2.0的技術の恩恵ともいえる。）

このとき…

【執筆：二根太】

──
（この記事には続きがあります。続きはScan本誌をご覧ください）
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec