ITmedia エンタープライズ:Firefoxの脆弱性、IE経由で悪用される恐れ

FirefoxUSL://ってのがあるんだ・・・しらなかった。それを使えば任意のコマンドも実行可能とのこと。

仏FrSIRTなどが7月10日に公開したアドバイザリーによると、FirefoxWindowsにインストールする過程で導入されるURLハンドラの「FirefoxURL://」に、設計上のエラーが存在する。
リモートの攻撃者がこの問題を悪用すると、ユーザーをだましてIEで細工を施したページを閲覧させることにより、任意のコマンドを実行し、システムを完全に制御することが可能になる。

Exploitも出ているそうで、FireFoxerさんたちは、FireFoxURL://を削除する等の措置が必要ですね。

SANS Internet Storm Centerでは、IE経由でこの問題が悪用される仕組みについて分析している。それによると、FirefoxではURLハンドラのインストールに関連してコマンドラインへのアクセス防止措置を取っているとみられるが、IEがこのURLハンドラを呼び出して、Firefoxがインストールしたハンドラ経由でコマンドラインにアクセスできる手段を提供してしまう。その結果、FirefoxがインストールされたマシンのIEユーザーが危険にさらされるという。

この問題を突いたエクスプロイトも最近公開されたという。