Firefoxのメモリ破壊の脆弱性（CVE-2011-0073）に関する検証レポートを発表（NTTデータ先端技術）

脆弱性と脅威セキュリティホール・脆弱性

13 views

2011.7.15 Fri 17:00

NTTデータ先端技術株式会社は7月14日、FirefoxのnsTreeRangeオブジェクトにおけるメモリ破壊の脆弱性（CVE-2011-0073）に関する検証レポートを公開した。これは、FirefoxのnsTreeRangeオブジェクトの処理に起因するもので、Firefoxが削除されたオブジェクトを誤って処理してしまうことによりメモリ破壊を引き起こす可能性がある。この脆弱性により、細工されたWebページの閲覧などで、ローカルユーザと同じ権限が奪取される危険性がある。想定される被害としては、ローカルユーザ権限での情報取得、改ざん、または、ワームやスパイウェアなどの悪意あるプログラムをシステム内にインストールされることが考えられる。同社では今回、この脆弱性の再現性について検証した。

検証は、Windows XP Professional SP3およびFirefox 3.6.12を検証ターゲットシステムとして実施した。検証は、ターゲットシステムにFirefoxを通じて、細工されたWebページを閲覧させ、Firefoxの脆弱性を利用した攻撃コードを実行することで任意のコードを実行させるというもの。検証に用いたコードは、ターゲットシステム上から特定のサーバ、ポートへコネクションを確立させるように誘導し、システムの制御を奪取するもの。検証の結果、誘導先のコンピュータ（Debian）上にターゲットシステム（Windows XP）のプロンプトが表示された。これにより、ターゲットシステムの制御の奪取に成功したことが検証された。
（吉澤亨史）

http://security.intellilink.co.jp/article/vulner/110714.html

Firefoxのメモリ破壊の脆弱性（CVE-2011-0073）に関する検証レポートを発表（NTTデータ先端技術）

特集

アクセスランキング

“我々はもはやサイバーセキュリティの仕事をしているのではない”

通行中の市民がごみステーションで生活保護受給者の申請書を発見

翌週業界を去るサイバーセキュリティ研究者が 34 年のキャリアをふりかえり言ったこと

エフエム東京へのサイバー攻撃指摘する SNS 投稿、データの一部が流出した事実はあるが機密性の高い情報は含まれず

企業で検討したが正式導入しなかったアプリに不正アクセス、顧客の氏名と電話番号流出