［米国］
Google Chromeに早くもセキュリティ不安――研究者が複数の脆弱性を指摘

ファイルのダウンロードに注意。悪意あるコードを勝手に実行してしまう可能性も

（2008年09月04日）

　米国Googleが、新ブラウザ「Google Chrome」のベータ版をリリースして一夜明けた9月3日、セキュリティ研究者たちから早くも複数の脆弱性を指摘されている。その1つは、ブラウザがクラッシュしてしまう可能性があるというものだ。

セキュリティ研究者のリシ・ナラン氏がSecuriTeamで公開したGoogle Chromeの脆弱性に関する報告のサマリー

　セキュリティ研究者のリシ・ナラン（Rishi Narang）氏は、この問題をイスラエルのセキュリティ専門組織「SecuriTeam」のWebサイトに紹介するとともに、情報セキュリティ関連のコミュニティー・サイト「Evilfingers」でもそのコンセプトを証明している。ナラン氏によると、ハッカーは未定義のハンドラに特殊な文字を続けた悪意あるリンクを作成でき、ユーザーがそのリンクをクリックするとChromeがクラッシュするとのことだ。

　さらに深刻な別の脆弱性では、ユーザーが悪意あるコードをダウンロードしてしまう可能性があるという。原因の1つは、Chromeが米国AppleのWebブラウザ「Safari」にも採用されているオープンソースのブラウザ技術「WebKit」の古いバージョンを採用していることにある。つまり、WebKitの脆弱性がそのままChromeに引き継がれたというわけだ。

　この問題はセキュリティ研究者のアビブ・ラフ（Aviv Raff）氏により発見された。同氏によると、Chromeがファイルをダウンロードする方法と、Windowsがそのダウンロード・ファイルを処理する方法の双方に問題があるという。

　Chromeのデフォルト設定では、ファイルはフォルダにダウンロードされる。その後、ブラウザのページ下にダウンロード・バーが表示される。ユーザーはそのバーをクリックしてファイルを開く。実行ファイルの場合、Windowsはユーザーが誤って悪意あるコードをダウンロードしないよう警告を表示する。

　だが、ファイルがJAR（Java Archive）の場合は、他の実行ファイルとは処理の仕方が異なるため、ユーザーがダウンロード・バーをクリックすると、Windowsは警告を表示することなくファイルを勝手に実行してしまうという。

　加えて、Chromeのダウンロード・バーがWebページの一部のように見えることも問題をさらに悪化させているとラフ氏は指摘している。ラフ氏が証明したコンセプトによれば、ユーザーがダウンロードしたファイルを開いているのでなく、ページ上のリンクやボタンをクリックしていると勘違いする可能性があるという。

　「いわゆる『複合脅威』というやつだ。別々のソフトウェアに潜む2つの小さな問題が混じり合い、より大きな問題を生むのである」（同氏のブログより）

　Chromeは、AppleのSafariや米国Mozillaの「Firefox」など、他のブラウザの技術を流用していることを考えれば、今後も同様の問題が生じるかもしれないとラフ氏は警告する。

　「セキュリティ上、非常に重大な問題だ。Googleはそれぞれの技術の脆弱性をすべて追跡したうえで、Chromeにも修正を加える必要がある。だが、それができるのは他のベンダーが脆弱性を修正するか、あるいは公表したあとだ。つまり、その間、Chromeユーザーは長きにわたってリスクにさらされることになる」（同氏のブログより）

　こうした問題を防ぐために、Chromeに修正を加える予定があるかどうかについて、Googleは現時点で明確なコメントを示していない。ちなみに、同社広報担当者の声明によると、Chromeのデフォルト設定では、セキュリティの問題を避けるために、ダウンロード・ファイルはユーザーのデスクトップではなく別のフォルダに保存するようにしているという。また、ダウンロードする前に保存先を聞くように設定を変更できるとしている。

　また、Chromeが採用しているWebKitをアップグレードする予定があるかどうかについてもGoogleは明言を避けている。WebKitの最新バージョンでは、JARファイルをダウンロードする場合、ダイアログ・ボックスを表示してユーザーに確認することで、ファイルが勝手に実行されないよう対策が講じられている。

(Nancy Gohring／IDG News Serviceシアトル支局)