Firefox 3.5のJavascriptエンジンに未解決の脆弱性、悪質サイトで攻撃される恐れ

このエントリーをはてなブックマークに追加
1 ： 水芭蕉(埼玉県)：

Firefox 3.5に未解決の脆弱性、悪質サイトで攻撃される恐れ
Firefox 3.5のJust-in-time（JIT） JavaScriptコンパイラに脆弱性があり、悪用されると攻撃者に任意のコードを実行される恐れがある。


　Firefoxブラウザ最新版の3.5に、未解決の深刻な脆弱性があることが分かった。開発元のMozillaや
US-CERTは概略を公表し、パッチが公開までに回避策を取るよう呼び掛けている。

　Mozillaのセキュリティブログなどによると、脆弱性はFirefox 3.5のJust-in-time（JIT） JavaScriptコンパイラに存在する。
この脆弱性を突く悪用コードを仕込んだWebページをユーザーが閲覧すると、攻撃者が任意のコードを実行できる可能性がある。
US-CERTによれば、この問題を突いたエクスプロイトコードが既に出回っているという。

　Mozillaは当面の回避策として、JavaScriptエンジンのJITを無効にする方法を紹介している。ただしこの措置を取るとJavaScriptの
パフォーマンスが低下するため、脆弱性の修正パッチが公開されたら設定を元に戻すことが望ましい。これとは別に、セーフモードでFirefoxを実行する方法もあるという。

　パッチは現在開発中で、完成次第、配布する予定だとしている。

http://www.itmedia.co.jp/enterprise/articles/0907/15/news022.html
2 ： キブシ(アラバマ州)：2009/07/15(水) 15:24:28.47 ID:TPJZyGEP
Opera最強

Fx(笑)
3 ： リナリア アルピナ(東京都)：2009/07/15(水) 15:24:42.86 ID:6m8pM/tW
NoScript最強伝説
4 ： ベゴニア・センパフローレンス(東京都)：2009/07/15(水) 15:24:44.72 ID:9d958naT
IE使いでよかったー！
5 ： フイリゲンジスミレ(東京都)：2009/07/15(水) 15:25:05.94 ID:hv8Tf4W6
フラッシュ重く根
6 ： アルストロメリア(長屋)：2009/07/15(水) 15:26:47.65 ID:uhzwtauS
adblockとNoscriptの作者同士が喧嘩してたけど
結局どうなったん？
両方使ってるから、気になる
7 ： ジシバリ(東京都)：2009/07/15(水) 15:28:08.22 ID:6On3dT4k
カスタマイズ狂御用達（笑）
8 ： バーベナ(群馬県)：2009/07/15(水) 15:29:00.71 ID:2S83KDJC
O最伝
9 ： モモイロヒルザツキミソウ(群馬県)：2009/07/15(水) 15:30:09.98 ID:Ov/LwQb5
3.5更新してみたけど、相性が悪かったのか動作がおかしかったんで元に戻したわ。
ちょっと様子見。
10 ： バーベナ(東京都)：2009/07/15(水) 15:31:02.50 ID:xkhXYD7n
chrome入れてから起動してないな
11 ： カタクリ(群馬県)：2009/07/15(水) 15:31:36.17 ID:iS5xYaWS
firefoxってアドオンも含めた設定の保存てできんの？
再インストールのとき一から設定しなおし？
12 ： ジシバリ(愛知県)：2009/07/15(水) 15:31:37.64 ID:SBiurSTW
chromeはいい加減フォント変えれるようにしろや
13 ： スズメノヤリ(コネチカット州)：2009/07/15(水) 15:32:41.83 ID:Ia/QRhzV
やっぱこうなると思ってたよ
14 ： ナガバノスミレサイシン(コネチカット州)：2009/07/15(水) 15:33:18.71 ID:ngNezkFr
java切ってるから問題ない
15 ： オキナワチドリ(西日本)：2009/07/15(水) 15:36:06.80 ID:YB7bu+DM
>>14
おれもおれも
16 ： ミヤマアズマギク(神奈川県)：2009/07/15(水) 15:36:33.75 ID:vvfktgh5
今切った
17 ： スィートアリッサム(愛知県)：2009/07/15(水) 15:38:09.59 ID:IuvPW27Y
解決できないの？だっせｗ
18 ： ウバメガシ(北海道)：2009/07/15(水) 15:39:14.01 ID:/l7OdQY8
アドオンとか入れるの最初は楽しくて仕方ないけど
すぐ重くなるだけだと気付く
19 ： タマザキサクラソウ(catv?)：2009/07/15(水) 15:39:34.87 ID:E8EAjQMN
>>14
JavaScriptだって言ってるのにJava切ってどうすんだよ
20 ： ジシバリ(愛知県)：2009/07/15(水) 15:39:58.81 ID:SBiurSTW
>>18
低スペ乙　と言いたいところだがそこそこのスペックでも入れすぎて重くなることはあるね
10個ぐらいなら重くならん
21 ： バーベナ(関西地方)：2009/07/15(水) 15:40:48.63 ID:v0Z1cCow
実証コード
http://www.milw0rm.com/exploits/9137

コピペしてHTMLにすると試せる。Firefoxで開くと電卓が立ち上げる。
しかしVista/7だとこのコードは動作しない。
22 ： クレマチス・モンタナ(ネブラスカ州)：2009/07/15(水) 15:45:15.05 ID:1iqOfv5b
入れててよかったNo script
つーかVISTA最強すぐるｗｗｗｗ
23 ： シロイヌナズナ(埼玉県)：2009/07/15(水) 15:47:14.68 ID:hVCftZPi
IE タブミックスはなにしてんの？
24 ： クロッカス(catv?)：2009/07/15(水) 15:49:51.18 ID:puHHyKal
ふぉくすけかあいいよふぉくすけ
25 ： アメリカフウロ(福岡県)：2009/07/15(水) 15:52:56.72 ID:+QGE6sbm
そんなことより、TabMixPlusは早く3.5に対応しろ
26 ： ミヤマヨメナ(神奈川県)：2009/07/15(水) 15:54:08.76 ID:9FibzKm/
まだ3.0にしといて良かったぁ
27 ： ジロボウエンゴサク(dion軍)：2009/07/15(水) 15:54:53.12 ID:NIXk8bch
だからIE8で十分だってあれほど
28 ： ミヤマアズマギク(神奈川県)：2009/07/15(水) 16:01:26.41 ID:vvfktgh5
不便だからやっぱ入れた
29 ： バーベナ(神奈川県)：2009/07/15(水) 16:02:30.46 ID:LlIFf59y
Fx脆弱伝説
30 ： トウゴクミツバツツジ(京都府)：2009/07/15(水) 16:02:45.89 ID:258vfIj/
javascriptとjavaを混同してる馬鹿がこのスレにもいたか
31 ： オニノゲシ(関西地方)：2009/07/15(水) 16:02:45.61 ID:CvCVFvX5
l
32 ： カラスノエンドウ(東京都)：2009/07/15(水) 16:03:04.52 ID:d/GJfVH6
そんなことよりブックマーク登録時のウインドウ画面サイズ変更できるよう戻せよ
どれだけ改悪してんだ
33 ： ユッカ(長屋)：2009/07/15(水) 16:36:52.97 ID:8oJhjhYs
>>25
俺はTab Mix Lite CEで代用してる
34 ： 桜(コネチカット州)：2009/07/15(水) 16:40:50.16 ID:ngNezkFr
>>19
いや、スクリプトだよ。携帯からだと打ち込むの面倒臭いんよ。
35 ： バーベナ(北海道)：2009/07/15(水) 16:41:42.82 ID:gsxLiIyH
>>6
NoScriptの作者が折れた
AdBlock勝利
36 ： エニシダ(関西)：2009/07/15(水) 16:45:07.94 ID:hroQR1us
つべ以外NoScriptで完全拒否してるます
37 ： トキワハゼ(千葉県)：2009/07/15(水) 16:46:11.79 ID:6HCpQ0gD
tabほにゃららと
マウスジェスチャー
ノースクリプトしかいれてない
38 ： ユキヤナギ(大阪府)：2009/07/15(水) 16:47:58.43 ID:kKMMbF2/
jscript完全に切ることできないからなあ
noscriptなくなったら発狂するわ
39 ： バーベナ(神奈川県)：2009/07/15(水) 16:52:05.99 ID:V2NzRBcs
NoScriptは設定がめんどうなんだが、簡単に設定する方法ないにか？
40 ： ヒュウガミズキ(アラバマ州)：2009/07/15(水) 16:52:30.10 ID:5wzF0a1d
ha?糞杉
絶対アップデートしないわ
41 ： バーベナ(神奈川県)：2009/07/15(水) 16:57:14.24 ID:BUeLAZ2+
セーフモードでFirefoxを実行
やっぱ糞だな
何も考えずにIE8使ってればこんなあほなことしないで済む
こんなの使ってるやつってブランドバッグとか買ってるやつと
同類だな
42 ： ユキヤナギ(大阪府)：2009/07/15(水) 16:57:34.19 ID:kKMMbF2/
>>39
エクスポート

3.5にしてjaneとの相性も悪くなったし戻したいな
どうやって戻すんだろ
43 ： シバザクラ・フロッグストラモンティ(大阪府)：2009/07/15(水) 16:59:09.12 ID:HX94RfI7
NoScript
Adblock
エロサイトめぐりの心強い相棒
44 ： ヒイラギナンテン(東京都)：2009/07/15(水) 17:02:10.47 ID:Tdi/nGmq
必死こいてJavascriptエンジン最速競争やってたせいだな
どうせほかのブラウザも同じような脆弱性あるんだろ？
結局Opera最強伝説は揺るがないってことだな
45 ： イヌノフグリ(大阪府)：2009/07/15(水) 17:03:47.51 ID:h+2MPIg1
更新見送って正解だったｗｗ
46 ： コメツブツメクサ(dion軍)：2009/07/15(水) 17:04:39.41 ID:QdpevMhn
sageはいつ対応すんの？
47 ： オオタチツボスミレ(東京都)：2009/07/15(水) 17:08:36.17 ID:9tl5VNAT
>>21
俺の3.0.11がメモリ700MBとか使った＼(^o^)／
48 ： ユキヤナギ(大阪府)：2009/07/15(水) 17:08:56.11 ID:kKMMbF2/
3.5とjaneビューアの件解決した＾＾
49 ： キショウブ(アラバマ州)：2009/07/15(水) 17:10:05.26 ID:ewb9CcPC
ブラウザなんかを率先してアップデートするやつって頭おかしいよな
まあ何かあればいつでもOSから再インスコできるような
薄っぺらい環境しか持ってないアホだから可能なんだろうけど
50 ： カンパニュラ・サキシフラガ(愛知県)：2009/07/15(水) 17:16:21.91 ID:1kGWyaUC
>>21
よくわからんがvista大勝利ってこと？
51 ： 菜の花(三重県)：2009/07/15(水) 17:18:32.43 ID:pU1ZG/7k
0.10まで換えるなってこった
52 ： フクシア(アラバマ州)：2009/07/15(水) 17:26:15.17 ID:HK92i6Z/
>>25
もう対応してるし

tab_mix_plus-0.3.7.4pre.090516.xpi
http://tmp.garyr.net/dev-builds/

53 ： クレマチス(ネブラスカ州)：2009/07/15(水) 17:28:35.93 ID:0v9bjM5+
>>49
なにかと恥ずかしい奴だな
54 ： ラッセルルピナス(大阪府)：2009/07/15(水) 17:35:57.38 ID:TWFspQ/N
>>49
Vista使ったこと無いのにVista批判してそうだなｗ
55 ： アグロステンマ(大阪府)：2009/07/15(水) 18:17:22.52 ID:Qvx+7YQu
JavaScriptを無効にしている方が、JavaScriptを有効にしているより高速だよね？
56 ： ポレオニウム・ボレアレ(東京都)：2009/07/15(水) 18:34:31.02 ID:kKuVYcu8
Opera最強伝説
今でもFirefoxと比べてJavaScript処理は早いのに
Carakanエンジン搭載されたら圧倒的な差になっちゃう
57 ： シンフィアンドラ・ザンゼグラ(東日本)：2009/07/15(水) 18:35:16.14 ID:y0fhmmNd
脆弱性とやらで攻撃されてピンチになったためしがない
58 ： アヤメ(神奈川県)：2009/07/15(水) 18:36:24.65 ID:nX3kN0Bz
3.5にするのを見送ったのは正解だったってことか
59 ： マーガレット(神奈川県)：2009/07/15(水) 18:38:05.92 ID:/2CeqY/R
リモートで任意のコードを実行ってどういうこと？
たとえば
60 ： シロイヌナズナ(埼玉県)：2009/07/15(水) 18:38:39.34 ID:hVCftZPi
>>52
ごくろう

あとキャプチャーイットとかいうやつ2ちゃんねるで開くよろ
61 ： トキワハゼ(神奈川県)：2009/07/15(水) 18:39:43.09 ID:HdlBWnXy
Vista最強
いまどきXPとか死んでいいよ
62 ： クモイコザクラ(catv?)：2009/07/15(水) 18:41:30.91 ID:8qykODXO
3.5にしてからJaneStyleのイメージビューワ調子悪いんだけど何か関係あるのか
63 ： ツルハナシノブ(千葉県)：2009/07/15(水) 18:48:23.91 ID:YVgI7g6U
>>59
>>21
URLは踏んでない
64 ： ユキヤナギ(大阪府)：2009/07/15(水) 18:49:15.08 ID:kKMMbF2/
>>62
ある。マウスが利かなくなる
firefoxでwindows hookにアクセスさせなくすると解決する

117 名前：View ◆AcQTmXmylo [sage] 投稿日：2009/06/29(月) 00:16:44 ID:BYsTOySY
View(090628)をリリースしました。
ttp://www.geocities.jp/jview2000/

Firefox3.5問題への対策は、厳密には問題を「起こりにくくする」処置です。
真面目にやればもっとよい方法もあるはずですが、
そのうち向こうで対処があるかもしれないし、とりあえずジタバタすることもないかなと。

Fx3.5がなぜかWinsowsのマウスイベントをフックする仕組みを持っていて、
その処理でアプリケーションのウィンドウ構成にある種の仮定を置いていて、
JaneViewの構成がそこから外れているためイベントが正しく転送されないというのが想像する状況ですが、
向こうのソースを見たわけではないのでよく分かりません。
65 ： ツメクサ(大阪府)：2009/07/15(水) 18:53:11.85 ID:gnq9M1CN
しかしよくこんなの公開したな
見切り発車過ぎやろ
66 ： モッコウバラ(四国)：2009/07/15(水) 18:55:34.80 ID:Z2ddXGP/
>>61
たしかに最近XP厨が湧いてファビョってるのを見ないが、とっくに乗り換えたんだろか
67 ： デージー(東京都)：2009/07/15(水) 18:59:11.15 ID:h5M8ROoc
火狐厨ざまぁあああああああああああ
68 ： セントウソウ(東日本)：2009/07/15(水) 19:42:06.28 ID:gXSyxtVu
>>61
69 ： オキナワチドリ(西日本)：2009/07/15(水) 19:44:59.77 ID:YB7bu+DM
>>34
おれもおれも
70 ： クモイコザクラ(catv?)：2009/07/15(水) 19:50:10.69 ID:8qykODXO
>>64
やっぱ関係あったのか、サンクス
71 ： キソケイ(福岡県)：2009/07/15(水) 20:53:57.65 ID:U26bQGYX
フォクすけ可愛いよフォクすけ
72 ： ヤエザクラ(中部地方)：2009/07/15(水) 21:34:04.02 ID:t1hCNhGE

おい。オープンソースのアプリケーションは、世界中の人間が不具合を直すことが出来るから

すぐ直る

って言ってた奴、出てこいよ。

　∧＿∧　　　　　　ボッコボコにしてやんよ！
　(　･ω･)＝つ≡つ
　(っ　≡つ＝つ
　/　　　) ﾊﾞﾊﾞﾊﾞﾊﾞ
　( /￣∪
73 ： ナズナ(関東・甲信越)：2009/07/15(水) 21:37:22.73 ID:oam3tDfE
最近IT系のサイト見ると狐が落ちるんだけどどうなってるの？
74 ： ユキノシタ(福岡県)：2009/07/15(水) 21:38:07.76 ID:/e6JKN+Q
今日もまた『後で』をクリックした。
75 ： ミゾコウジュミチノクコザクラ(長野県)：2009/07/15(水) 21:41:33.67 ID:aaWH6D2D BE:2515998299-2BP(1112)

Vistaで>>21を実行したら、クラッシュしやがったｗ
ttp://www.dotup.org/uploda/www.dotup.org240768.jpg
76 ： ノウルシ(アラバマ州)：2009/07/15(水) 21:42:39.50 ID:3WlmwCyg BE:1604866368-PLT(12025)

>>6
ｋｗｓｋ
77 ： ポピー(埼玉県)：2009/07/15(水) 21:47:14.79 ID:KUVDwzy4
3.5はちょっと未完成だな
closeWindowWithLastTabをTRUEにするとタブが閉じないことがある
ページが表示されたままタブのタイトルだけ(無題)になってゾンビになるんだ
78 ： ヒヨクヒバ(アラバマ州)：2009/07/15(水) 21:50:16.52 ID:/Zp5Iqda
様子見してて良かった3.5
79 ： ツボスミレ(東京都)：2009/07/15(水) 21:51:51.68 ID:vDLA1mOz
3.5にしてから、タブを復元できませんでしたってエラーが出る
80 ： ヤエザクラ(中部地方)：2009/07/15(水) 21:52:53.19 ID:t1hCNhGE

おい。オープンソースのアプリケーションは、世界中の人間が不具合を直すことが出来るから

完成度が高く、バグが少ない

って言ってた奴、出てこいよ。

　∧＿∧　　　　　　ボッコボコにしてやんよ！
　(　･ω･)＝つ≡つ
　(っ　≡つ＝つ
　/　　　) ﾊﾞﾊﾞﾊﾞﾊﾞ
　( /￣∪
81 ： セイヨウオダマキ(京都府)：2009/07/15(水) 22:00:14.58 ID:x1WbMTZY
３．６は近年希にみるバグアプリ
82 ： ダイアンサステルスター(茨城県)：2009/07/15(水) 22:01:07.13 ID:jFkLYe1R
とりあえず、使ってるアドオン全てが対応するまで3.5にはせん。
83 ： イヌガラシ(catv?)：2009/07/15(水) 22:05:39.48 ID:qdiAXBkZ
RequestPolicyじゃ防げないのかこれ
まだ3.0.9の俺大勝利だな
84 ： ポピー(埼玉県)：2009/07/15(水) 22:10:05.36 ID:KUVDwzy4
>>80
諸刃の剣なだけだ
それと、その気になれば中を見られるのを好む人がいるってことだ
85 ： バーベナ(関西地方)：2009/07/15(水) 22:17:15.08 ID:v0Z1cCow
設定で javascript.options.jit.content を false にすれば防げる。

デフォよりJavaScriptの実行速度は落ちるが、3.5以前の速度に戻るだけ。

「3.5にアップしてない俺大勝利」とか言ってるのはアホ。
86 ： カエノリヌム・オリガニフォリウム(東京都)：2009/07/15(水) 22:18:22.80 ID:b4gjLIFG
通常切ってるから問題ない
87 ： カンパニュラ・サキシフラガ(愛知県)：2009/07/15(水) 22:20:01.45 ID:1kGWyaUC
>>75
よくわからんがvista大敗北ってこと？
88 ： イヌガラシ(catv?)：2009/07/15(水) 22:21:35.32 ID:qdiAXBkZ
>>85
javascript.options.jit.chrome も false にするんじゃないのか？
89 ： シデコブシ(長野県)：2009/07/15(水) 22:22:15.72 ID:jM3VWAdO
RequestPolicyでも使っておけば桶
90 ： イヌノフグリ(東京都)：2009/07/15(水) 22:27:10.06 ID:PUI/Ei2c
どのみちこれからhtml5のビデオとかcss3とかでIE6涙目強制移行だろ
91 ： パンジー(広島県)：2009/07/15(水) 22:29:18.95 ID:vOlo2a5O
RequestPolicyってNoScriptの代替になる？
92 ： ハマナス(アラバマ州)：2009/07/15(水) 22:29:19.34 ID:FZ5vzjrD
Fxも普通に狙われるようになったな
むしろ情弱御用達としては、今後はこっちの方が本命だしなｗ
93 ： フクジュソウ(千葉県)：2009/07/15(水) 22:38:46.31 ID:YXi08Gey
そんなことよりJane Styleはビューワの不具合をさっさと直せよ
94 ： ハチジョウキブシ(神奈川県)：2009/07/15(水) 22:39:23.80 ID:+bHYUORG
>>21
保存したらAviraに怒られた
95 ： バーベナ(関西地方)：2009/07/15(水) 22:40:44.63 ID:v0Z1cCow
>>87
違う。コードが実行されずにクラッシュしたんだからVista大勝利だ。
脆弱性を突くコードがクラッシュせずに正しく動作して欲しいのか？
96 ： スミレ(兵庫県)：2009/07/15(水) 22:41:53.67 ID:+YlZryH5
ノースプ入れてたらダルクないかあああああい？
97 ： ポピー(埼玉県)：2009/07/15(水) 22:42:42.51 ID:KUVDwzy4
>>95
DoSで食い止めたってことか
98 ： センダイハギ(長屋)：2009/07/15(水) 22:43:41.55 ID:9tGGhN41
PDF開いたらボコボコおちるの何とかしろ
99 ： ハチジョウキブシ(神奈川県)：2009/07/15(水) 22:47:47.41 ID:+bHYUORG
>>21
2003でやったらFirefoxが落ちるだけだった
100 ： 桜(コネチカット州)：2009/07/15(水) 22:51:39.34 ID:/CcsDF22
アドオン探しは暇人じゃないと無理で
さらに入れると重くなるって知られはじめて
メリットとしては弱い感じになったのに
そのうえセキュリティまでこんなだったら存在価値なくなっちゃうじゃん
101 ： タツタソウ(関東・甲信越)：2009/07/15(水) 22:53:50.19 ID:v1J1T32b
またもVISTA大勝利か
102 ： ツメクサ(大阪府)：2009/07/15(水) 22:55:30.37 ID:gnq9M1CN
オープンソースは不況になると構ってられなくなるから
ダメになってしまうな
103 ： トキワヒメハギミツバアケビ(愛知県)：2009/07/15(水) 23:01:48.11 ID:8w/EX/sN
linux版flashplayer重すぎ
104 ： アヤメ(アラバマ州)：2009/07/15(水) 23:05:21.94 ID:z34zFP+9
3.5糞過ぎ
105 ： チドリソウ(西日本)：2009/07/15(水) 23:12:26.93 ID:ylvMDMgl
3.5になってたまにブラウザが強制終了したりする
デバッグちゃんとしてないんじゃないかコレ
106 ： セキチク(東京都)：2009/07/15(水) 23:27:55.63 ID:BKuS9Tdg
3.5.1preでやってみたら特に何も起こらんかった。
107 ： クマガイソウ(沖縄県)：
Chrome使えば落ちないよ
内蔵のタスクマネージャでタブとかプラグインを殺せる