Mozilla Foundation、Firefoxの未解決の脆弱性を悪用した攻撃を確認
Mozilla FoundationにてFirefoxの未解決の脆弱性を悪用し、ロシアのニュースサイト上の広告に不審なコードが仕掛けられているのが確認され、同社はこの脆弱性に対応した更新版を公開した。
同社によると、Firefoxの未解決の脆弱性を突いて、不正なコードがロシアのニュースサイト上の広告に埋め込まれ、機密ファイルを検索してウクライナにあるサーバにアップロードされるようになっていた。今回確認されたFirefoxに存在する未解決の脆弱性はJavaScriptコンテキストの分離である同一生成元ポリシーとFirefoxのPDFビューアを強制するメカニズムの相互作用に起因する。この脆弱性は任意のコード実行は有効ではないが、ローカルのファイルコンテキストにJavaScriptペイロードを挿入することが可能で、これにより機密情報をローカルファイルにアップロード可能となっていた。同社はこの脆弱性を修正した Firefox 39.0.3と修正版のESR38.1.1を公開した。今回の攻撃では開発者にフォーカスしたファイルが攻撃対象となっていた。今回の攻撃ではローカルマシン上で実行されても痕跡が残らないため、対象のプログラムを使用していた場合にはパスワードを変更するよう推奨している。
