Mozilla でも今後ブラウザのアドレスバーを再定義しようと検討が行われているそうだ (本家 /. 記事より) 。 あくまで検討段階であるようだが、公式ブログ Mozilla Labs の記事では開発コミュニティの David Regev 氏が新たな表示方法を模索している。Regev 氏によると現在のアドレスバーの問題はページ自体の表示領域を狭めることだけではないとのこと。URL の意味を分からない多くの人にとっては「読む」ことが難しい文字の羅列が並んでいるだけである上、「今現在の場所」と「これから表示する場所」という異なる内容を入力・表示する欄であるという複雑さを含んでいるという。 Mozilla Labs のブログでは「ブラウズ」コマンドとして URL を表示するようにし、現在表示されているページの URL などはページ内に表示させ、スクロールすることで非表示にできるという一つの案を

具体的に仕様上の特定のここが危ない、って話ではないのか。出来ることが増えたけど、増えた部分のセキュリティはどうなってんのよ? みたいな。 変な例えだけど、圧縮された画像を展開するライブラリを下手に作ると、 「ある種の細工が施された偽JPEGファイル」を読み込ませたら任意のコードが実行されてしまうようなバグを盛り込んじゃうこともあり得る (実際に、解凍ソフトやTrueTypeのレンダリングエンジンにバッファオーバーランの脆弱性が見つかった例とかもある)。 もちろん、ブラウザにはそんな下手なライブラリは採用されない。 どんなに悪意を持ったページを開いても安全、と保証するためには、 正しい物から間違った物までどんなデータを食わせても、変なことが起こらないというのを徹底的にチェックする必要があるし、(多分)されている。 WebGLでは画像データに加えて、「3次元のジオメトリデータ」をWebページ上

「Microsoft Video ActiveXコントロールの脆弱性により、リモートでコードが実行される（972890）」脆弱性を利用したゼロデイ攻撃が発生しているようだ。これは5月末に出た「Microsoft DirectShowの脆弱性により、リモートでコードが実行される（971778）」脆弱性とは別であることに注意（ITmediaの記事、セキュリティホールmemoの該当エントリ）。 クライアント側の対策としてはIEを使用しない、もしくはVideo ActiveXコントロールを無効にする「Fix itによる回避策の実行」を行うなどがあげられる。 国内では VALUE DOMAIN のログインページ改ざんが確認されたようだ。またVALUE DOMAINを使用しているwikiwik.jp内でもサイトの改ざんがあり、各wikiを閲覧したユーザーに被害が広がった模様。wikiwiki.jp、V

■ 「NoScript」をやめて「RequestPolicy」にした セキュリティ屋が、Firefoxユーザに「NoScript」の使用を推奨することがしばしばあるが、私は賛同しない。 JPCERT/CC、技術メモ「安全なWebブラウザの使い方」を公開, INTERNET Watch, 2008年11月4日 *1 技術メモ − 安全なWebブラウザの使い方, JPCERT/CC, 2008年11月4日 IV. 各 Web ブラウザに共通する設定上の注意事項 1. スクリプト等の実行を制限する JavaScript 等のスクリプトや（略）は（略）Ajax に代表されるインタラクティブなインターフェースが実現できるなど、高い利便性が得られます。反面、PC 上の重要なファイルを削除・変更するなど、悪意を持った処理が行われる可能性もあります。従って無制限にスクリプト等を実行できるようにしておくのは

CNET Japan、ZDNet Japanの記事より。3月18日、カナダで開催されたセキュリティ・カンファレンス「CanSecWest 2009」の侵入コンテスト「PWN2OWN」において、あるセキュリティ専門家がSafariブラウザの脆弱性を突き、わずか数秒でMac Bookの制御を握ることに成功したそうだ。 この専門家Charlie Miller氏は、昨年の同コンテストにおいても同じようにSafariの脆弱性を突き、Leopardに30秒未満で侵入することに成功している。また、2007年のiPhone発売直後に、モバイル版Safariの脆弱性も発見している。 今回同氏が利用した脆弱性は「ユーザーに悪質なURLをクリックさせるだけで、攻撃者が遠隔からマシンの制御を得ることができるというもの」であり、「容易ではないが、（Safariブラウザにおいて）1回クリックするだけでできてしまう」と

New in Opera Presto 2.2: TLS 1.2 Support は Yngve による Opera Presto 2.2/Opera 10 での TLS 1.2 対応についての解説。 TLS 1.2 は昨年夏に rfc となった従来の TLS 1.1 に取って代る暗号化通信プロトコル。SSL と呼ばれる Netscape 社が制定した従来の名称でくくられている場合も多い。 http://ja.wikipedia.org/wiki/Secure_Sockets_Layer 以下は Opera 10 の opera:config の画面。 SSL v2 は Opera 8 以来デフォルトではオフにされており、Opera 9.5 以降では機能自体を完全に不動としていたが、コードだけは残っていた。それを整理し Opera Presto 2.2/Opera 10 では SSL 2

Firefoxのみをターゲットとした、電子バンキングサイトのログイン情報を盗むマルウェアについて、BitDefenderが警告を発している。（参考：プレスリリース・本家記事） マルウェアは「Trojan.PWS.ChromeInject.A」という名前で、Firefoxのアドオンフォルダ上では「Greasemonkey」に成りすましている。Firefoxが起動すると有効になり、JavaScriptでBarclaysやBank of America、PayPalなど、100以上の金融系および電子送金サイトを識別し、登録されているサイトにアクセスするとIDやパスワードなどのログイン情報を盗み、データをロシアのサーバーに送るという仕組みだ。 マルウェアは、ドライブバイダウンロードや別のものと見せかけてダウンロードさせることによって感染するとのことで、Firefoxのアドオンとして登録されているも

Windows SQL Server 2005サポート終了の4月12日が迫る、報告済み脆弱性の深刻度も高く、早急な移行を

applesorce氏 の日記経由。IE6を一行でクラッシュさせるコードがどうも見つかっているらしい。IE7では大丈夫なようだが、単なるHTML+CSSなので、ほぼすべてのIE6が対象になるだろう。まだパッチの類は出ていないようなので、リンク先のページの閲覧には要注意である。ｱｯｰ!! 検証したが、確かにIE6 SP2はクラッシュし、IE7ではきちんと（？）表示できた。 すぐクラッシュ状態だけど、ホントにHotfix出るのかな？むしろこれを期にIE7への乗り換えが進んだりして…

IE を経由して Firefox に不正なコードを実行させるという FirefoxURL の問題は Firefox 2.0.0.5 で一応修正されたのですが、Mozilla Security Blog によると、今度は Firefox を経由して他のアプリケーションに危険なデータを渡す可能性があるということで（Bug 389106）、現在対応中だとのことです。すでに Firefox 2.0.0.6 の RC ができているようですし、Bugzilla には 2.0.0.7 のフラグもできています。

Windows SQL Server 2005サポート終了の4月12日が迫る、報告済み脆弱性の深刻度も高く、早急な移行を