2016年から存在

「Firefox」が操作不能になる脆弱性　ダイアログが“無限”に出現

「Firefox」を操作できなくなる脆弱性が、2019年11月に報告された。この脆弱性は過去に修正が試みられたにもかかわらず、これを悪用した攻撃が引き続き発生しているという。それはなぜなのか。

公開 2019年12月28日 08時30分

更新 2019年12月28日 08時52分

著者

Michael Heller

[TechTarget]

印刷する Googleで優先するソースとして追加

　Webブラウザ「Firefox」に脆弱（ぜいじゃく）性が見つかった。攻撃者がこの脆弱性を悪用すると、Firefoxの認証ダイアログを無限に表示させることができる。実際の悪用例も観測されているという。この脆弱性が発見されたのは最近のことだが、少なくとも2016年から同様の脆弱性が存在していたことが明らかになった。

　この脆弱性を悪用した攻撃は、ユーザーに悪質なWebサイトを訪問させて警告を出し、「Authentication Require」（認証が必要）の文言を記したダイアログを表示する。ユーザーはそのダイアログを閉じることも、「キャンセル」ボタンを押すこともできず、新しいダイアログが無限に増殖し続けて、実質的にユーザーが利用中のFirefoxから締め出されてしまう。

併せて読みたいお薦め記事

Webブラウザを安全に使うために

Webブラウザのセキュリティ問題

　この脆弱性を発見したのは、セキュリティ企業Malwarebytesで脅威インテリジェンス担当責任者を務めるジェローム・セグラ氏だ。「これは人の心理的な隙を突く『ソーシャルエンジニアリング』攻撃につながる可能性がある」とセグラ氏は説明する。Webブラウザをロックする攻撃は一般的に、PCにダメージを与えるためではなく、ユーザーを脅すためのソーシャルエンジニアリングの手口として利用される。

　「Windows」「macOS」「Linux」向けのバージョン「Firefox 70」が、この脆弱性の影響を受ける。セグラ氏は実際に、この脆弱性が悪用されていたとも指摘する。

同種の脆弱性は2016年から存在　なぜ放置されていたのか

　セグラ氏は2019年11月4日、Firefoxの普及を図るMozillaのバグ報告サイト「Bugzilla」に、この脆弱性を報告した。この報告に開発者のパウル・ズルケ氏がコメントを投稿し、2019年8月2日に自らが報告した脆弱性と重複していると説明した。

　ズルケ氏はバグ報告に「この脆弱性によってFirefoxはロックされ、タブもウィンドウも閉じることができなくなる」と記載した。これは技術サポート窓口を装ったWebサイトで悪意のあるダイアログをユーザーに操作させる「サポート詐欺」に利用されているという。

　セグラ氏は今回見つかったFirefoxの脆弱性について、2019年7月公開の「Firefox 68」に盛り込まれた、過去の脆弱性に対する修正を回避したものだと指摘する。この修正では、ユーザーがダイアログで2回キャンセルを選択すると、認証ダイアログのポップアップがブロックされるようになった。

　Bugzillaに寄せられた報告によると、同様のFirefoxの脆弱性は、少なくとも2016年から存在していたという。このFirefoxの脆弱性が、形を変えながらこれほど長い間存在していた理由は「分からない」とセグラ氏は述べる。Webブラウザを操作不能にする攻撃は、一般的に正規の機能を悪用する。「ユーザーエクスペリエンスに関わる部分を修正すれば、安定性が犠牲になったり、機能が使えなくなったりすることもある。今回の脆弱性もそうした問題に関わるため、特に修正が難しいようだ」（同）

攻撃の回避方法

　今回明らかになった攻撃手法は、認証ダイアログに加えてスプーフィング（なりすまし）を確認するためのダイアログを追加することによって、Mozillaの対策を回避したとみられる。ズルケ氏はバグ報告で、ユーザー設定の変更により、スプーフィング確認ダイアログを無効にする解決策を提案した。

　悪質なWebサイトに対して、Firefoxは報告に基づき警告マークを付与する。今回の攻撃で悪用されるWebサイトを開いた場合、ユーザーはFirefoxを強制終了するか、影響を受けるウィンドウやタブを終了させながらEscキーを押してダイアログを消す必要がある。ただし、もしユーザーが「タブ復旧」（Firefoxを終了したときに開いているタブを次回の起動時にも開く）オプションを有効にしている場合、悪質なWebサイトを開いているタブを素早く閉じなければ、そのWebサイトによって再びFirefoxが操作不能になる。

　セグラ氏はバグ報告で、対策として「攻撃をブロックできる拡張機能の導入」「サポート詐欺に使われることが多いトップレベルドメイン（TLD）へのアクセスのブロック」を挙げた。「Firefox 72」で、今回の脆弱性の対策が盛り込まれる見込みだ。

印刷する

この記事の著者

Michael Heller

「Firefox」が操作不能になる脆弱性　ダイアログが“無限”に出現

併せて読みたいお薦め記事

Webブラウザを安全に使うために

Webブラウザのセキュリティ問題

同種の脆弱性は2016年から存在　なぜ放置されていたのか

攻撃の回避方法

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「Firefox」が操作不能になる脆弱性 ダイアログが“無限”に出現

併せて読みたいお薦め記事

Webブラウザを安全に使うために

Webブラウザのセキュリティ問題

同種の脆弱性は2016年から存在 なぜ放置されていたのか

攻撃の回避方法

この記事の著者

関連記事

ChromeやFirefoxの「危険なアドオン」とは？ 脅威と対策を解説

画面を閉じても止められないWebブラウザ攻撃手法「MarioNet」の危険性

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「Firefox」が操作不能になる脆弱性　ダイアログが“無限”に出現

同種の脆弱性は2016年から存在　なぜ放置されていたのか

ChromeやFirefoxの「危険なアドオン」とは？　脅威と対策を解説