【ネット/ブラウザ】Mozilla：Firefox 3に早くもゼロデイの脆弱性、任意のコード実行の恐れ[08/06/19]

★ゼロデイ発覚も史上最速か：Firefox 3に早くもゼロデイの脆弱性、任意のコード実行の恐れ

Firefox 3.0の正式リリースから約5時間後に、深刻な脆弱性が報告されたという。

　リリースされたばかりのMozillaブラウザの最新版Firefox 3に、早くも深刻な脆弱性が見つかった。

　TippingPointは6月17日付で、Firefoxのゼロデイの脆弱性に関するアドバイザリー予告をサイトに
掲載した。深刻度は「高」となっている。パッチ公開まで脆弱性の詳しい内容は公開しない方針。

　TippingPointはFirefox 3.0の正式リリースから約5時間後に、この脆弱性に関する情報を研究者から
入手し、確認したという。

　脆弱性はFirefox 3.0と2.0.xに存在する。悪用された場合、ユーザーがメールに記載されたリンクを
クリックしたり、悪質なWebページを閲覧したりすると、攻撃者が任意のコードを実行できるようになる。

　Mozillaには既に通報済みで、現在対応に当たっているという。

ソース：ITmedia エンタープライズ　2008年06月19日 08時48分 更新
http://www.itmedia.co.jp/enterprise/articles/0806/19/news034.html
関連スレッド：
【ネット】Firefox 3、正式リリース開始1日目に驚異のダウンロード数 [08/06/19]
http://news24.2ch.net/test/read.cgi/bizplus/1213833316/
【ネット】Mozilla、Firefox 3 をリリース　Firefox 2 よりも2から3倍速い［08/06/18］
http://news24.2ch.net/test/read.cgi/bizplus/1213755278/

RCの段階で報告しとけよ。。。

ダウンロード数世界記録への挑戦、、、とかやってたから、

今回は罪が重いな。


そういう煽りがなければ、初物には手を出さずに様子を見るのが、
ネットの常識なのに。

>>3
馬鹿かお前は
あれだけの規模のソフトでバグ全部取れた例が過去に一つでもあったか
人柱がいないと出ないバグも多々ある

よし。3.01でもう一度ギネスに挑戦だ。
つまりもう一度はじめからやり直しってことだな。

いや、3.01の分も合算しちゃえばさらにギネスに近づくな。
なに、黙ってればわかりゃしないって。

>>3
> 脆弱性はFirefox 3.0と2.0.xに存在する
旧版使ってて良かったか？

またネガティブキャンペーンか

>>4
え、じゃあギネスに挑戦と銘打って、単に人柱集めてたって言いたいの？
そいつはまた潔い詐欺まがいだな。

ゲイツ君「おやおや、大変ですね。　HA-HA-HA」

>>8
たった11行の基本関数に40年来のバグがあったの知ってるか
この程度の行数で40年かかってんのに
中規模以上のソフトでバグが一度も出ないわけがない

これがIEだと全力で叩くのがオタｗ

>>8
バグが無いのが当たり前の理想郷があるなら俺を連れてってくれ
それはどこにあるんだ？

　1ヶ月も放置プレーなIEより、オープンで良い。

以前からあるバグだから3になってできたものならいざ知らず。
とりあえず早く修正してくれ

>>10
>>12
いや、俺は「ギネスに挑戦」するくらいなら、少なくとも３日で見つかるような
脆弱性は無いくらいの自信があるのかと思ってただけ。
バグ取りするための人柱集めに「ギネスに挑戦」したってことはどちらも認める
んだよね？

俺は「バグ無し」じゃないとソフトを出す権利が無いなんて言ってないからな。

>>4
だから普通初物は人バシラーが試してバグ出しをするものだってことだろ？
それを一般人にも入れるように煽ったんだから。

バグはしょうがないと思う。それをどんだけ早く埋めるかだと思うんだがどうよ。

よくわからんが、俺は困ってない

>>15
三日ってリリースからだろ
2.xからあったバグなんだが

火狐民涙目火病ｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

壷使えねえんだけど。

>>19
ああ、要するに使ってる人が少なかったから２でも脆弱性が見つからなかった
ってこと？で、人気が出たら粗が出てきたって？
何かMacみたいだな。

個人的にはIEの方が好き、好き好き好き。
火狐は画像を表示するのが苦手過ぎで使えん。

>>22
研究者からの情報提供だけど
これ人が増えたことと関係あるの？
研究者がギネスでホイホイ乗せられてきたとか言うなよｗｗｗ

>>23
Fx3、画像表示するのも速いんだが。
しばらくしてからでも試してみれば？

結局どんなブラウザにもゼロデイ攻撃の可能性が
あるんで，基本的な用心（へんなリンクを踏むな）
は欠かせないってことだな．

26 名前をあたえないでください sage 2008/06/19(木) 21:42:07 ID:FUdYl4yW
    >>3 >9 >17 >22
    調べたらマジで笑えた
    Zero Day Initiative（リリース直後になるべく速く脆弱性を解決する報告に報奨金を与える制度）
    の賞金が出る期間になるまで黙って待ってたみたいね
    解決にはMozilla側でRCの時点でより高額の懸賞金をかけるしかない


IDがFUDなのがまたよい

さすが Firefox, ぜい弱性なら どこにも負けませんね(笑)。

バグの無いソフトウェアなんてこの世にあるわけないし。
いい加減バグ＝絶対悪の論調は勘弁してほしい。
お前らの好きなスイーツと同じに見えるんだがな。

macだと火狐使いにくいんだよなー。配置も崩れるし。
しかしsafariはセキュリティーが・・・

アドレスバーに
chrome://browser/content/browser.xul
を打つと炎狐の拡張性の一端が垣間見える

このタイミングで知らせる研究者（笑）に悪意を感じるｗ

脆弱性なんて補強すればいいんだよ！！！！
(´；ω；｀)モバジラ・・・仕事しろ・・・

>>29
バグと脆弱性は全然違うから

任意のコードを実行できるって書いてあるから、悪性サイトにアクセスするだけで
最悪、HDD内のファイルのアップロード、ダウンロード、削除、フォーマットなど
いろいろできる。中身が公開されていないので、よくわからんが。

たぶん、この感じだと、別の誰かがパッチ公開前に悪性コードを公開しそうな予感だし、
SQLインジェクションも発生しそう
脆弱性もまだまだ見つかりそうだし

やっぱり、性悪説を仮定すると、オープンソースは諸刃の剣だよ。

速い。

ダウソには協力したけど、もう少し人柱待ちだな
アドオンが対応してないと2.xから移行する気になれないし

アドオンも使えないのに、さっそく乗り換える池沼が居ると聞いて

SageとIE Viewは対応してるからあんまり困らないな。

SageとGreasemonkeyが対応済みだからノープロブレム

Opera使ってるからどうでもいい。
いつもFxの新バージョン使おうと迷ってるうちに
タイミング良くリリースしてくれるから困る

>>2
まったくだｗ
まぁ、すぐｱｯﾌﾟﾃﾞｰﾄくるだろ

Firefoxというブラウザが死ぬほどむかつく件
http://pc11.2ch.net/test/read.cgi/mysv/1213709937/l50

Firefox使う人間は、ただ通ぶりたいだけで以下のような事実を知らない。
実際に知識のある人間からすれば、Firefoxユーザはただの馬鹿。

・ブログやSNSなどのほとんどのサイトでFirefoxはIEより重い
　（早いのは初回の表示のみ。2回目、3回目の表示ではIEのほうが段違いに速い。firefoxのhttpヘッダno-cacheのルール無視のため。）
・サイトへの負荷が高い。（他のユーザに迷惑かけまくり。結果サイトを無意味に重くする。）
・悪質なアドオンの多さ。
　　○使ってる人間が知らないうちにサイトを攻撃してる可能性もある。
　　○広告排除などサイト運営を困難にする。有用なサイトは、広告無しの慈善サイトばかりではない。

>>42
それはサーバー管理者の視点だな。

ユーザーから見れば何らの問題もない。

ダウンロードはしたが、インストールしていない俺は勝ち組

Firefoxもシェアが増えれば、攻撃の対象になってくる。その際、オープンソースなら、ソース読めば脆弱性を探せるから名。IEの脆弱性探すより遙かに容易。

>>45
で、君は見つけたことあるの？
傍から見てると、重要なうｐだてが来ないとわかっているIEの方がターゲットにしやすい気がするけどな

さあ、俺はやったことないけど、とりあえずソースをstrcpyでgrepしてみるとか、オープンソースならではだと思うが。
バイナリしか提供されないIEはいちいち解析しないといけないわけだから、遙かにセキュア。
もちろん、IEとFirefoxのソースコードの品質が同等と考えればだけれど。
まあ、アドオンとかまで含めれば、どう考えてもFirefoxをセキュアに保つのは難しいだろうな。

>IEとFirefoxのソースコードの品質が同等と考えれば ソースコードの品質が高まりやすいのがオープンソースのメリットなのに それをいきなり無視すんなよｗ strcpyなんか使おうものなら瞬時にツッコミが入って配布前に修正されるだろ。

＞　脆弱性はFirefox 3.0と2.0.xに存在する。

紛らわしい書き方するなゴミ
まるで「たった5時間で脆弱性見つかりましたよ＾＾」
みたいに聞こえるだろうが

発見されたら、safariのように放置するか
さっさと修正するかだろ。

オープンソースオタの中でソースを見たことある奴は数パーセント
オープンソースオタ≒クズ

IE で脆弱性が発見されたときはさんざん叩くのに、こういう場合は規模が
でかいソフトだから仕方がないですか。ものは言いようですね。
あと、ギネスに挑戦とかいってトラフィックを無駄に増やしてどうするのよ。

き・・・脆弱性

脆弱！脆弱ゥ！

Apple、MSが勧告したセキュリティ問題に対応した「Safari」v3.1.2を公開
http://www.forest.impress.co.jp/article/2008/06/20/safari312.html

3にしてから調子悪い
落とさなきゃ良かった死ね

ひ・・・脆弱

グリンピースドザの姑息なやり方にﾜﾛﾀw

ゲーム参入してからＭＳ叩きほんと増えたな
どうでもいいけど

ギネスに挑戦なんてアホな事やってるからフラグたったんだろ

どっかのベストアルバムといい記録に挑戦するとろくなことしねぇ

>>52
IEとFIEWFOXを同列で語るなｗ

火狐ってさ
先にテキスト読み込ませて「ほら早い」とか言ってる糞ブラウザーでしょ？ｗ

JavaScriptも早いよ、レンダリングは先読み関係ないんじゃない？

>>47
>バイナリしか提供されないIEはいちいち解析しないといけないわけだから、遙かにセキュア。

完全に逆だと思うがねｗ
暗号でも何でも、内容がオープンで広く晒されているほど”潜在的脅威”のリスクは無くなる。

初物を安易にインストールして文句言うなよ。
俺も入れたけど。

PCは素人だが、なんか知らんが話題になってるからファイアーフォックス入れてみた。
IEより早いのは確実だな。
ひ・・・脆弱

>66
多分先にレイアウトを決めてから一気に描画っぽい。

というかどうやってテキスト以外のブツを先に読めと（ｒｙ

やっぱりsafariしか選択肢は無いね。
他のは全部ゴミみたいなもんだなｗ

M$が異例の「ヤバイから使うな」コメントを出したsafariなんてもう、ゴミ同然・・・

ウソでは損害賠償が不可避だからね。

IEみたいに、「SP1」が出るまで待ったほうが良さそうだな。
IE7の調子が悪くなったから、乗り換えようと思ってたのに。

>>68
それはAppleのゼロデイ対策のお粗末さに対する皮肉かw

SafariはContent-typeじゃなくてファイルの中身で判断するから危険です＞＜

safariは唯一IEより酷い最低のソフト。

>>34
意味わかってねーだろｗ
コピペかな？

>>34
たぶん、この感じだと、別の誰かがパッチ公開前に悪性コードを公開しそうな予感だし、
SQLインジェクションも発生しそう
脆弱性もまだまだ見つかりそうだし

おぃおぃ、知ったかぶりこいてんじゃねぇよｗｗｗｗ
なんでクライアント側でSQLインジェクションなんだよ。
無能吐き散らしてんじゃねぇよｗｗｗｗｗｗ

>>74-75
なぁ落ち着けよｗｗｗｗｗ
くやしいのはわかるからさｗｗｗｗｗ

Ubuntu（OS）
http://www.ubuntulinux.jp/
Debian（OS）
http://www.debian.or.jp/
openSUSE（OS）
http://www.novell.com/ja-jp/linux/

Linuxディストリビューションの比較
http://ja.wikipedia.org/wiki/Linux%E3%83%87%E3%82%A3%E3%82%B9%E3%83%88%E3%83%AA%E3%83%93%E3%83%A5%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3%E3%81%AE%E6%AF%94%E8%BC%83

Wine（Win互換API）
http://www.winehq.org/

OpenOffice（統合オフィス）
http://ja.openoffice.org/

Firefox&Thunderbird（ブラウザ＆メール）
http://www.mozilla-japan.org/

終わりだろMS

>>76

全く悔しくねえよ。

脆弱性なんてあるだろ。普通。
IEでもFirefoxでもどっちでも構わん。
マイクロソフトとオープンソースが、
派手に馬鹿競争を繰り広げてくれればいい。
こっちには、それが都合が良いだけだ。

34や76が無能さを撒き散らしているのが面白いだけだ。
いやぁ・・・無能な奴っておもろいｗｗｗｗ

>>78
そうだよな
脆弱性のないブラウザなんてないんだしな
そうなら速いほうがいいし

>>52
IEはMSが押し付けてくるから叩かれるんじゃないの?

>>64
内容がオープンだったにもかかわらずメジャーなバージョンアップ
で以前からあった不具合が見つからなかったわけですが。
全然リスクが無くなってませんよ。
これだからオープンソース信者は困る。

＞以前からあった不具合が見つからなかったわけですが。

リスクを完璧に「無くす」ことなんて出来ると思ってんの？
潜在的脅威というリスクが「減る」んだろ　

で、どんなきじゃくせいなんですか？

スレ開いて予想通りの庇いっぷりにﾜﾛﾀｗ
これがIEだったら１８０度正反対の展開だっただろうなｗｗｗｗｗｗｗ

失敗続きの奴とあんまり失敗しない優等生
まあそういうことだ

>>34
(ｍ9´▽｀)っ
>SQLインジェクションも発生しそう
ぷぎゃーと言わざるを得ない。

(っ´▽｀)っ
生きてて恥ずかしくないのかな･･･

>>85
これからですよ鼻持ちぶって世間を知らない優等生君の挫折の日々はｗｗｗ
とりあえず今回は挫折への第一歩なｗｗｗ

任意のコードを実行する脆弱性はXP以降NXBit対応CPUなら
boot.iniに「/noexecute=optout」指定しとけば大抵未然に防げるけどな

Safariよりナンボかマシ

Fx「脆弱性が見つかりました、修正するのでしばらくお待ちください」
Safari「我々はそれを脆弱性とは認識しません」

なんという隔たり

Opera「誰も構ってくれません(´；ω；`)」

セキュリティに関わる重要スレだから定期ageしとくか。

定期age！

どういうテストをやってきたんだろう？

ファイヤーフォックスって広告収入で
大金持ちの組織なのに肝心なところに
ケチりすぎだな。

IE「仕様です」

シェア上がってきてるから、Firefoxも狙われる可能性が高くなってきたな
Operaあたりなら、まだ狙われる確率低いだろうけど

Safariは・・・Mac OSX版Safariなら大丈夫だがWin版は・・・

>>34
SQLインジェクションって、FirefoxってSQLサーバが稼動してるのか？

この問題の酷いところは、
未だに
http://www.mozilla.org/projects/security/known-vulnerabilities.html
に一言も言及が無いことだな。

は？

>>98
いいえ、Oracleですよ

史上最低のブラウザ。それがFirefox

Firefoxが史上最低とは言わないけどGoogle社から資金提供受けて
多くの開発者がGoogle社から金を貰ってる事実がこの問題をより一層難解にしてる

ブロガー(笑)が決してAmazonの悪口を書かないのと一緒

さっさと直せ

Firefox普段は速くていいけど、Flash系の動画サイトの再生がIEよりガクつくね。
プラグイン別物なのか。

「既知の脆弱性」が明らかに存在するのに、
http://www.mozilla.org/projects/security/known-vulnerabilities.html
http://www.mozilla-japan.org/projects/security/known-vulnerabilities.html

に言及が無いのはどうしてなんだ？

＞パッチ公開まで脆弱性の詳しい内容は公開しない方針。

バーカ

ロシア語で考えるんだ！

よーわからんけど、age！

>>103
ほんと恐ろしいくらい話題にならないねー
もうWEB2.0つーかネット世論はKonozamaとGoogleの大勝利で終わりだわ

IEやWindowsの脆弱性も別にいちいち騒ぎにならないじゃん。
脆弱性の一つや二つでいちいち騒ぎ立てても仕方ないって事だろ。
実際にコードが公開されて被害があったわけでも無いし。

>>111
いつも騒ぎになってるじゃん
で自称”セキュア”で”開かれたブラウザ”のFirefox陣営は何やってるの？

普通に考えれば重大な脆弱性でもIEは日常茶飯事だからニュースになりません

ていうかこれ叩いてる奴は一つもバグ・脆弱性のないソフト使ってるんだ
俺にも教えてくれよ

なんだっけ昔メリッサとかはかなり騒ぎになったけどな。
あれぐらいじゃないと「騒ぎ」とは言えないのでは。
オープンソース派のIEやWindowsへの小言ぐらい受け流せと。

MS工作員はもう退社時間か

Safariは脆弱性の酷さと対応の遅さが問題でニュースになってたけど、
これは詳しいことが分からないからどの程度なのか分からん。

よーわからんけど、age！

おまえら知らないだろ
Fxとぷにるはgoogleのアドウェア入りなんだぜ

それはSafariっていうアップル製ウイルスよりも悪質なのか？

>>116
遅さどころか対応しないと明言したじゃないか

Googleに金玉握られるか、MSに金玉握られるか、
或いはその両方か、っていう違いしかねえよｗ

どうせなら両方だな3P

さ、3P！？

き、金玉！？

Firefox(笑)