Firefoxのメモリ破壊の脆弱性（CVE-2011-0073）に関する検証レポートを発表（NTTデータ先端技術）

脆弱性と脅威セキュリティホール・脆弱性

13 views

2011.7.15 Fri 17:00

NTTデータ先端技術株式会社は7月14日、FirefoxのnsTreeRangeオブジェクトにおけるメモリ破壊の脆弱性（CVE-2011-0073）に関する検証レポートを公開した。これは、FirefoxのnsTreeRangeオブジェクトの処理に起因するもので、Firefoxが削除されたオブジェクトを誤って処理してしまうことによりメモリ破壊を引き起こす可能性がある。この脆弱性により、細工されたWebページの閲覧などで、ローカルユーザと同じ権限が奪取される危険性がある。想定される被害としては、ローカルユーザ権限での情報取得、改ざん、または、ワームやスパイウェアなどの悪意あるプログラムをシステム内にインストールされることが考えられる。同社では今回、この脆弱性の再現性について検証した。

検証は、Windows XP Professional SP3およびFirefox 3.6.12を検証ターゲットシステムとして実施した。検証は、ターゲットシステムにFirefoxを通じて、細工されたWebページを閲覧させ、Firefoxの脆弱性を利用した攻撃コードを実行することで任意のコードを実行させるというもの。検証に用いたコードは、ターゲットシステム上から特定のサーバ、ポートへコネクションを確立させるように誘導し、システムの制御を奪取するもの。検証の結果、誘導先のコンピュータ（Debian）上にターゲットシステム（Windows XP）のプロンプトが表示された。これにより、ターゲットシステムの制御の奪取に成功したことが検証された。
（吉澤亨史）

http://security.intellilink.co.jp/article/vulner/110714.html

Firefoxのメモリ破壊の脆弱性（CVE-2011-0073）に関する検証レポートを発表（NTTデータ先端技術）

特集

アクセスランキング

極東開発工業子会社の日本トレクス、不正アクセスによるシステム障害を発表

カルビーのプロ野球チップス関連サービス「PhotoGoods」で個人情報漏えいの可能性

セキュリティホール情報＜2001/08/06＞

「キョードー東京チケットオンライン」にて一部の顧客情報が別のユーザーに表示される不具合（キョードー東京）

関西学院大学で学生の個人情報が閲覧可能な状態に、非常勤講師が外部SNSサービス「hyocom」を利用