2016年から存在

「Firefox」が操作不能になる脆弱性　ダイアログが“無限”に出現

「Firefox」を操作できなくなる脆弱性が、2019年11月に報告された。この脆弱性は過去に修正が試みられたにもかかわらず、これを悪用した攻撃が引き続き発生しているという。それはなぜなのか。

公開 2019年12月28日 08時30分

更新 2019年12月28日 08時52分

著者

Michael Heller

[TechTarget]

印刷する

　Webブラウザ「Firefox」に脆弱（ぜいじゃく）性が見つかった。攻撃者がこの脆弱性を悪用すると、Firefoxの認証ダイアログを無限に表示させることができる。実際の悪用例も観測されているという。この脆弱性が発見されたのは最近のことだが、少なくとも2016年から同様の脆弱性が存在していたことが明らかになった。

　この脆弱性を悪用した攻撃は、ユーザーに悪質なWebサイトを訪問させて警告を出し、「Authentication Require」（認証が必要）の文言を記したダイアログを表示する。ユーザーはそのダイアログを閉じることも、「キャンセル」ボタンを押すこともできず、新しいダイアログが無限に増殖し続けて、実質的にユーザーが利用中のFirefoxから締め出されてしまう。

併せて読みたいお薦め記事

Webブラウザを安全に使うために

Webブラウザのセキュリティ問題

　この脆弱性を発見したのは、セキュリティ企業Malwarebytesで脅威インテリジェンス担当責任者を務めるジェローム・セグラ氏だ。「これは人の心理的な隙を突く『ソーシャルエンジニアリング』攻撃につながる可能性がある」とセグラ氏は説明する。Webブラウザをロックする攻撃は一般的に、PCにダメージを与えるためではなく、ユーザーを脅すためのソーシャルエンジニアリングの手口として利用される。

　「Windows」「macOS」「Linux」向けのバージョン「Firefox 70」が、この脆弱性の影響を受ける。セグラ氏は実際に、この脆弱性が悪用されていたとも指摘する。

同種の脆弱性は2016年から存在　なぜ放置されていたのか

　セグラ氏は2019年11月4日、Firefoxの普及を図るMozillaのバグ報告サイト「Bugzilla」に、この脆弱性を報告した。この報告に開発者のパウル・ズルケ氏がコメントを投稿し、2019年8月2日に自らが報告した脆弱性と重複していると説明した。

　ズルケ氏はバグ報告に「この脆弱性によってFirefoxはロックされ、タブもウィンドウも閉じることができなくなる」と記載した。これは技術サポート窓口を装ったWebサイトで悪意のあるダイアログをユーザーに操作させる「サポート詐欺」に利用されているという。

　セグラ氏は今回見つかったFirefoxの脆弱性について、2019年7月公開の「Firefox 68」に盛り込まれた、過去の脆弱性に対する修正を回避したものだと指摘する。この修正では、ユーザーがダイアログで2回キャンセルを選択すると、認証ダイアログのポップアップがブロックされるようになった。

　Bugzillaに寄せられた報告によると、同様のFirefoxの脆弱性は、少なくとも2016年から存在していたという。このFirefoxの脆弱性が、形を変えながらこれほど長い間存在していた理由は「分からない」とセグラ氏は述べる。Webブラウザを操作不能にする攻撃は、一般的に正規の機能を悪用する。「ユーザーエクスペリエンスに関わる部分を修正すれば、安定性が犠牲になったり、機能が使えなくなったりすることもある。今回の脆弱性もそうした問題に関わるため、特に修正が難しいようだ」（同）

攻撃の回避方法

　今回明らかになった攻撃手法は、認証ダイアログに加えてスプーフィング（なりすまし）を確認するためのダイアログを追加することによって、Mozillaの対策を回避したとみられる。ズルケ氏はバグ報告で、ユーザー設定の変更により、スプーフィング確認ダイアログを無効にする解決策を提案した。

　悪質なWebサイトに対して、Firefoxは報告に基づき警告マークを付与する。今回の攻撃で悪用されるWebサイトを開いた場合、ユーザーはFirefoxを強制終了するか、影響を受けるウィンドウやタブを終了させながらEscキーを押してダイアログを消す必要がある。ただし、もしユーザーが「タブ復旧」（Firefoxを終了したときに開いているタブを次回の起動時にも開く）オプションを有効にしている場合、悪質なWebサイトを開いているタブを素早く閉じなければ、そのWebサイトによって再びFirefoxが操作不能になる。

　セグラ氏はバグ報告で、対策として「攻撃をブロックできる拡張機能の導入」「サポート詐欺に使われることが多いトップレベルドメイン（TLD）へのアクセスのブロック」を挙げた。「Firefox 72」で、今回の脆弱性の対策が盛り込まれる見込みだ。

印刷する