少し前に JSONP が XSS を引き起こすかもしれないという点に関する興味深い記事を奥さんが書かれていました。 Kazuho@Cybozu Labs: JSONP - データ提供者側のセキュリティについて JSONP における Padding 部分(だけでなくJSON部分も。4/5追記)に攻撃者が HTML と解釈可能なスクリプトを注入することにより、JSONP なデータを直接 IE で開いた場合に HTML と解釈され XSS が発生する、という点について書かれています。 ここで、IE が JSONP を HTML と解釈する理由は以下の2点。 IEのよく知られた機能「拡張子ではなく、内容によってファイルを開くこと」により、内容が HTML っぽい場合には、Content-Type: text/javascript が無視され HTML として解釈される。 上述の設定が「無効」に設定

はてなブックマーク経由で「IE6 と IE7 の共存はできませんか？」という類の質問をいくつか頂きまして、ネットを検索してみたところ、簡単に共存できる方法が書かれたサイト（下記）をみつけましたので、本エントリーにて IE6 と IE7 を共存する方法をご紹介します。 Tredosoft：Internet Explorer 7 running side by side with IE6. (standalone) 「共存」というのはやや誇張した表現ですが、IE7 Standalone 版を本来の IE のインストールフォルダとは異なるフォルダにインストールするというものです。またインストーラを利用するので簡単にインストールできます。アンインストールも可能です。当然ながら対応 OS は Windows XPのみです。 上記のページには2つの方法が紹介されていて、このエントリーでは「インストーラ

IEerBug は Internet Explorer 6.0 と FireFox 1.5 で動く JavaScript 用のデバッグ コンソールです。 FireBug と同じ console.log()、console.debug() などの関数が使えるようになるため、FireFox と IE の両方でデバッグする場合に便利です。コンソールに出力したオブジェクトを、DOM インスペクタを利用して解析することも可能です。 使い方 ieerbug.zip をダウンロードし、中身をアプリケーションのディレクトリに配置します。IEerBug 用のディレクトリを作成して、その中に配置しても問題ありません。 HTML の中で次のようにして ieerbug.js を読み込みます。

仏セキュリティ機関FrSIRTは9月19日、MicrosoftのInternet Explorer（IE）で新たな脆弱性が発見されたと警告した。危険度は4段階中で最も高い「緊急（Critical）」。 この脆弱性は、長すぎる「塗りつぶし」が行われた直角形を含むVML文書を処理する際に、ベクター画像のレンダリングライブラリ（Vgx.dll）でバッファオーバーフローのエラーが起こることが原因。ユーザーに不正なWebサイトを訪問させ、サービス拒否攻撃や任意のコマンド実行に悪用される恐れがある。 この脆弱性の影響を受けるのは、Windows 2000 SP4上で動作するIE 5.01 SP4、Windows 2000 SP4およびWindows XP SP1で動作するIE 6 SP1、Windows XP SP2およびWindows Server 2003で動作するIE 6、Windows 98お

注意！ IEを使用中の方は、リンク先の記事内にクラッシュコードのあるサンプルページへのリンクがあるので、クリックしないようにくれぐれもお気をつけ下さい！ 「you can find the code here」の「here」にあります。クラッシュをテストしたい方は別ですが。 http://www.modernlifeisrubbish.co.uk/how-to-crash-internet-explorer.asp 普段、ネットサーフィンでIEを使用している方にとっては、あまり嬉しくない話だろう。 こちらの記事の方がIEとFireFoxの両方で動作するJavaScriptコードを書く仕事をしている最中に、偶然にも、IEをクラッシュさせるコードを見つけてしまったそうな。 そのコードは複雑怪奇なものではなく、以下のようなたった1行のコードのようだ。 記事内に、上記コードを仕組んだサンプルページ

月例パッチの1つ、MS06-042を適用することで、新たに悪用につながる脆弱性が生じることが明らかになった。 Microsoftは8月22日、MS06-042のパッチを適用するとInternet Explorer（IE）6.0 Service Pack（SP）1で不具合が起きる問題を修正したパッチの再リリースを延期した。これと相前後して、MS06-042の適用によってかえって、悪用につながる新たな脆弱性が生じることが明らかになった。 セキュリティ企業のeEye Digital Securityは8月22日、一部の環境でMS06-042を適用したPCにバッファオーバーフローの脆弱性が生まれてしまっているとし、警告を公開した。任意のコードの実行につながる恐れのある、リスクの高い脆弱性だという。 eEyeやMicrosoftが新たに公開したセキュリティアドバイザリによると、脆弱性の影響を受けるの

Microsoftが米国時間の8月8日にリリースした月例パッチの1つ、MS06-042（Internet Explorer用の累積的なセキュリティ更新プログラム）に、特定の条件下でIEがクラッシュするバグが存在することが明らかになった。 Microsoftは8月16日、MS06-042の情報を更新し、この不具合を修正したMS06-042のパッチを8月22日に再度リリースすることを明らかにした。 この不具合は、Windows 2000 Service Pack 4（SP4）もしくはWindows XP Service Pack 1（SP1）以前でIE 6 Service Pack 1（SP1）を動かしている環境で発生していた。MS06-042のパッチを適用すると、HTTP 1.1プロトコルおよび圧縮を使用しているWebサイトを閲覧した場合にIEがクラッシュする不具合が存在するという問題だ。

米Microsoftは米国時間8月15日，8月に公開したInternet Explorer（IE）用修正パッチ（セキュリティ更新プログラム）の修正版を8月22日（米国時間）までにリリースすることを明らかにした。同パッチには，IEが不正終了する問題が見つかったためである（関連記事：8月の修正パッチにIEが不正終了する問題）。 8月9日に公開した「Internet Explorer用の累積的なセキュリティ更新プログラム (918899) (MS06-042)」の修正パッチには，IEが不正終了する問題が確認された。同パッチを適用したIEでHTTP 1.1プロトコルと圧縮を使っているWebサイトにアクセスすると，IEが不正終了してしまう。影響を受けるのは，Windows 2000 SP4およびXP SP1のIE 6 SP1のみ。 同社ではこの問題を解消するパッチ（hotfix）を用意したものの，W

Microsoftが米国時間8月8日にリリースしたInternet Explorer（IE）向けのセキュリティアップデートが原因で、一部のシステムにおいてIEのトラブルが発生している。 Microsoftのカスタマーサポートサイトに掲載されている通知によると、同社のセキュリティ評価基準で最も深刻な「緊急」レベルに設定されているセキュリティアップデート「MS06-042」を適用した後、IEで特定のウェブサイトを閲覧すると同ブラウザがクラッシュする可能性があるという。同社によると、この問題が発生するのは、Microsoft Windows XP Service Pack 1（SP1）またはMicrosoft Windows 2000 Service Pack 4（SP4）上でIE 6 Service Pack 1（SP1）を起動している場合だという。 Microsoftは15日、「セキュリティ

米Microsoftは現地時間8月11日，同社が8月に公開した修正パッチ（セキュリティ更新プログラム）の一つに，Internet Explorer（IE）が不正終了する問題が見つかったことを明らかにした。Windows 2000 SP4とXP SP1だけが影響を受ける。マイクロソフトのサポートに問い合わせれば，問題を解消するパッチ（hotfix）を入手できる。 【8月21日追記】Microsoftは8月15日，この問題を解消した修正パッチを8月22日（米国時間）までにリリースすることを明らかにした（関連記事：MSがIE用パッチの修正版をリリース予定）。【以上，8月21日追記】 今回の問題は，8月9日に公開した「Internet Explorer 用の累積的なセキュリティ更新プログラム (918899) (MS06-042)」の修正パッチで確認された（関連記事：WindowsやOfficeに

この脆弱性はHTML Help Controlに関連したもので、危険度は最も高い「Critical」とされている。 仏セキュリティ機関FrSIRTは7月3日、MicrosoftのInternet Explorer（IE）で未パッチの脆弱性を発見したと報告した。危険度は最も高い「Critical」とされている。 この脆弱性を悪用すると、脆弱なブラウザをクラッシュさせたり、システムを乗っ取ることが可能になる恐れがある。この問題は、特殊な細工を施されたプロパティを処理する際に、HTML Help Controlの「HHCtrl」でメモリ破損エラーが起きることが原因。これを悪用すると、特殊な細工をしたWebページにユーザーを誘導することで、サービス拒否（DoS）攻撃を起こしたり、任意のコマンドを実行することが可能になるという。 この脆弱性の影響を受けるのは以下のバージョン。 Microsoft W

セキュリティ組織の米SANS Instituteは現地時間6月30日，Webブラウザ「Firefox」にInternet Explorer（IE）と同様のセキュリティ・ホールが見つかったとしていたが，実際には影響を受けないことを明らかにした。 SANS Instituteや米US-CERTなどは6月28日，Internet Explorer（IE）に2種類の新しいセキュリティ・ホールが見つかり，検証コードが公表されていることを明らかにした（関連記事：IEに2種類のセキュリティ・ホール）。SANS Instituteでは，そのうちの1種類については，Firefoxにも同様に存在するとみていた。 しかしながら，その後の検証により，Firefoxにはこのセキュリティ・ホールは存在しないことが明らかになったという。公表されている検証コードをFirefoxで試すと，表面上は機能しているように見えるが

セキュリティ組織の米SANS Instituteや米US-CERTなどは現地時間6月28日，Internet Explorer（IE）に2種類の新しいセキュリティ・ホールが見つかったとして注意を呼びかけた。悪用されると，任意のプログラムを実行されたり，ユーザー情報などを盗まれたりする恐れがある。セキュリティ・ホールを突くことが可能であることを示す検証コードも公表されている。いずれについても，修正パッチ（セキュリティ更新プログラム）は未公表。 今回公表されたセキュリティ・ホールは2種類。1つはファイル共有に関するセキュリティ・ホール。細工が施されたWebページにおいて，ユーザーがあるアクションをおこなうと，リモート・サイトに置かれた任意のHTAファイルが，SMBあるいはWebDAVを通じてユーザーのパソコン上で実行される。 もう1つは，クロスドメインのセキュリティ・ホール。ユーザーがアクセス

2006/04/05 情報セキュリティサイトSecunia(英)でIEのアドレスバーを偽装できる脆弱性があると 掲載されました。 この脆弱性はマクロメディアのフラッシュ形式のファイル(.swf)が同時にサイトを開く処理などと読み込まれたりするときにアドレスが偽装 されてしまうようです。 Secuniaのサイトで自分のブラウザに脆弱性があるか確認できるテストサイト(英)もあります。発表から２ヶ月経ち、久しぶりに訪れてみてみると私のIEはまだ偽装されているようです。 現在確認されているところではターゲットとしてはInternet Explorer 6.xで この脆弱性に対してまだ修正するパッチなどはリリースされていない様子。私のPCでもWindowsアップデートで最新の状態であることを確認しました。 現在のところ、この脆弱性を回避するにはインターネットブラウザーのインターネットオプションからセ