「Adobe Acrobat」の「Chrome」用拡張機能の教訓から

Chromeで発生した「Adobe Acrobat」自動インストール問題の真相

2017年1月の「Adobe Acrobat Reader DC」アップデート時に、「Google Chrome」に新しい拡張機能が自動的に追加され、しかもこの拡張機能に脆弱（ぜいじゃく）性が見つかった。この問題の教訓を考える。

公開 2017年06月15日 08時00分

更新 2018年03月01日 11時18分

著者

Michael Cobb

[TechTarget]

印刷する

　2017年1月「Adobe Acrobat Reader DC」のパッチ適用時、Windowsユーザーの「Google Chrome」に、WebページをPDFに変換する拡張機能「Adobe Acrobat」が自動的にインストールされ、多くの技術専門家やプライバシー専門家から批判を浴びた。どこに問題があったのか。ユーザーはどう対処すべきなのか。

　タイムリーなパッチ適用によってソフトウェアを常に最新の状態に保つことは、重要なITセキュリティ対策だ。だが多くのユーザーにとって、最新のセキュリティパッチをきちんとインストールしていくのは大変だ。そのため、今ではほとんどのソフトウェアベンダーが、ユーザーのマシンにパッチを自動的にプッシュするようになっている。

併せて読みたいお薦め記事

Webブラウザのセキュリティ対策

Webブラウザを狙うマルウェア

　Adobeは、毎月第2火曜日に自社製品のセキュリティアップデートを公開しており、それらはデフォルト設定では自動的にインストールされる。2017年1月10日に公開されたAdobe Acrobat Reader DCのアップデートは、29件の脆弱（ぜいじゃく）性を修正したが、それと同時に、Windows PCのGoogle Chromeに拡張機能のAdobe Acrobatもひそかにインストールした。ユーザーには、インストールをブロックするオプションは提供されておらず、この拡張機能は変更履歴にも記載がなかった。

　プライバシー専門家とユーザーは直ちにAdobeを批判した。この拡張機能はユーザーの許可なくインストールされただけでなく、デフォルトで匿名のテレメトリデータをAdobeに送信していたからだ。

　この拡張機能への不満を記したレビューが非常に多かったため、Googleのセキュリティ調査チーム「Project Zero」のリサーチャーであるタビス・オーマンディ氏は、この拡張機能のコードを調査した。すると、Document Object Model（DOM）ベースのクロスサイトスクリプティング（XSS）の脆弱性が存在し、JavaScriptコードが特権付きで実行される恐れがあることが分かった。その時点でChromeウェブストアの統計は、この拡張機能が3000万回以上インストールされたことを示していた。これだけユーザーがいれば、脆弱性を悪用しようとする者にとって魅力的なターゲットになる。

　この拡張機能は、WebページをPDFファイルに変換するものだが、ユーザーは、1月10日公開のAdobe Acrobat Reader DCのアップデートがインストールされた後で、最初にGoogle Chromeを開いた際に、この拡張機能に初めて気づいた。拡張機能が追加されたことをユーザーに知らせ、これを有効にするか、Google Chromeから削除するかを確認するプロンプトが表示されたからだ。

　Google Chromeのセキュリティメカニズムは、拡張機能の自動的な有効化をブロックし、追加時に確認プロンプトを表示するようになっている。このプロンプトでは、この拡張機能を有効にする場合、「訪問したWebサイトにある自分のデータへのアクセス」「ダウンロードの管理」「連携するネイティブアプリケーションと通信」をする権限を拡張機能に与えることになることが示されていた。もっとも、デフォルトでは「拡張機能を有効にする」ボタンが選択されていたため、ほとんどのユーザーは「有効にする」をそのままクリックしただろう。だが、この拡張機能を有効にしたユーザーは、XSS攻撃を受ける危険にさらされていたわけだ。

　オーマンディ氏はXSSの脆弱性をAdobeに報告した。同社はこの脆弱性を重大と見なし、数日後にその修正パッチを公開した。

　こうした経験に懲りて、もしユーザーがセキュリティパッチの自動インストールをやめてしまったら、頭の痛い問題だろう。ユーザーのデバイスが危険にさらされるだけでなく、インターネット全体の安全性低下にもつながるからだ。

　ブラウザの拡張機能には、コーディングがお粗末なものもあるというのがもっぱらの評判だ。本当に便利な機能を提供するものや、開発元が信頼できるものだけを有効にすべきだ。

　ユーザーがGoogle Chrome用Adobe Acrobat拡張機能のブラウザへのインストールを望まない場合は、管理者はグループポリシーを使って、インストールをブロックすることもできる。そのためには、あらかじめGoogle Chromeの管理用テンプレートを導入しておき、グループポリシー管理エディターで［コンピューターの構成］＞［ポリシー］＞［管理用テンプレート］＞［Google］＞［Google Chrome］＞［拡張機能］を開き、設定項目［拡張機能インストールのブラックリストを設定する］で、インストールを禁止する拡張機能IDとして、Adobe Acrobat拡張機能のChromeウェブストアID「efaidnbmnnnibpcajpcglclefindmkaj」を指定する。

　拡張機能や他のアプリケーションについては、確認プロンプトが表示されたときに、それらが要求する権限の内容を読み、理解した上で、有効にすることが重要だ。「有効にする」ボタンがデフォルトでハイライト表示されているからといって、そのままクリックしないようにしよう。

印刷する