December 12, 2003

 各種webブラウザにURLを偽装できる脆弱性

IEをはじめとする各種webブラウザで、実際に開くページのアドレスと異なるアドレスが表示される不都合が見つかりました。これを悪用すると、本物そっくりのネットバンキングの偽ページなどを作り、利用者を騙して個人情報を入手するなどの詐欺行為が可能になります。

下のリンクをクリックすると不具合をテストできます。
注：このテストで、お使いのPCに危害を与える意図はありません。

不具合のテスト

テストで何が起こるのか？（不具合のあるブラウザの場合）

  • リンクにポインタを合わせる→ステータスバーに「http://www.microsoft.com」と表示されます
  • リンクをクリックする→アドレスバーに「http://www.microsoft.com」と表示されるが、コンテンツは「http://www.apple.com」が表示されます

下の表はセキュリティホール memoの表と、bitterbit.orgによるテスト結果を合わせたものです。

2003.12.13 10:21更新：Safari1.0の結果を訂正しました。Safari1.0をお使いの方ご注意ください。

【凡例】○：偽装されない、×：偽装される

ブラウザアドレスバーステータスバープロパティ (ページ情報)
IE 5.01 SP3 + hotfix×××
IE 5.5 SP2 + hotfix×××
IE 6 SP1 + hotfix×××
Netscape 7.1○×○
Mozilla 1.5○×○
Opera 7.23○○N/A?
Safari 1.0○×○
以下はbitterbit.orgによるテスト結果
Mozilla 1.3.1 MacOS9(Unoffical)○×○
iCab 2.9.7J PPC○○N/A
IE5.1.7J MacOS9○×N/A

不具合への対策

  • 不具合のあるブラウザは利用しない
  • 不具合を解消するパッチが配布されるまでは、ネットバンキングやショッピングは控える
  • どうしても、ネットバンキングやショッピングが必要な場合は、不具合のないブラウザを利用する
  • パッチが望めない場合、不具合のないブラウザへの乗り換えを検討する
  • リンクをクリックする前に、URLをコピーしエディタなどにペーストして精査する（初心者には難しい）
  • web上でむやみに個人情報を登録しない

この問題に関する情報源

投稿者 bitterbit : December 12, 2003 03:07 PM