2016年から存在「Firefox」が操作不能になる脆弱性 ダイアログが“無限”に出現

「Firefox」を操作できなくなる脆弱性が、2019年11月に報告された。この脆弱性は過去に修正が試みられたにもかかわらず、これを悪用した攻撃が引き続き発生しているという。それはなぜなのか。

[Michael Heller，TechTarget]

　Webブラウザ「Firefox」に脆弱（ぜいじゃく）性が見つかった。攻撃者がこの脆弱性を悪用すると、Firefoxの認証ダイアログを無限に表示させることができる。実際の悪用例も観測されているという。この脆弱性が発見されたのは最近のことだが、少なくとも2016年から同様の脆弱性が存在していたことが明らかになった。

　この脆弱性を悪用した攻撃は、ユーザーに悪質なWebサイトを訪問させて警告を出し、「Authentication Require」（認証が必要）の文言を記したダイアログを表示する。ユーザーはそのダイアログを閉じることも、「キャンセル」ボタンを押すこともできず、新しいダイアログが無限に増殖し続けて、実質的にユーザーが利用中のFirefoxから締め出されてしまう。

併せて読みたいお薦め記事

Webブラウザを安全に使うために

• ChromeやFirefoxの「危険なアドオン」とは？　脅威と対策を解説
• 「Firefox」vs.「Chrome」“信者”には分からない安全なブラウザの見極め技
• cookieのプライバシー対策、便利さとセキュリティのバランスをどう考えるか

Webブラウザのセキュリティ問題

• 画面を閉じても止められないWebブラウザ攻撃手法「MarioNet」の危険性
• カスタムWebフォントで偽装されたフィッシングページが出現

　この脆弱性を発見したのは、セキュリティ企業Malwarebytesで脅威インテリジェンス担当責任者を務めるジェローム・セグラ氏だ。「これは人の心理的な隙を突く『ソーシャルエンジニアリング』攻撃につながる可能性がある」とセグラ氏は説明する。Webブラウザをロックする攻撃は一般的に、PCにダメージを与えるためではなく、ユーザーを脅すためのソーシャルエンジニアリングの手口として利用される。

　「Windows」「macOS」「Linux」向けのバージョン「Firefox 70」が、この脆弱性の影響を受ける。セグラ氏は実際に、この脆弱性が悪用されていたとも指摘する。

同種の脆弱性は2016年から存在　なぜ放置されていたのか