［世界］
「Gmail」にゼロデイ攻撃の危険性

メールが盗まれ、攻撃者に転送されるおそれも

（2007年09月27日）

Gmailの脆弱性が公開されている「GNUCITIZEN」のWebサイト。まだ修正パッチは配布されていない

　英国のセキュリティ研究団体「GNUCITIZEN」は9月25日、米国グーグルが提供するWebメール・サービス「Gmail」に、深刻な脆弱性があると発表した。同脆弱性を悪用すれば、Gmailのハッキングはもちろん、過去に受信した電子メールや、これから受信する電子メールを、攻撃者の受信箱に転送させることも可能だという。

　同脆弱性を発見したのは、最近その名を知られるようになった、ペトコ・ペトコフ氏である。同氏はここ2週間にわたり、アップルの「QuickTime」、マイクロソフトの「Windows Media Player」、アドビシステムズの「Adobe Reader」などの脆弱性を、矢継ぎ早に指摘している人物だ。

　ペトコフ氏は、今回の脆弱性に関する詳細は明らかにしなかったものの、攻撃者はGmailのフィルタリング機能を利用して、脆弱性を悪用できると話している。

　ペトコフ氏によると、攻撃の対象となったGmailユーザーが、Gmailアカウントにログインしたまま悪質なWebサイトを閲覧すると、ユーザーのフィルタリング・リストに不正なフィルタが挿入されるという。なお同氏はGNUCITIZENのWebサイトに、予想される攻撃手法を図解している。

　「この脆弱性が悪用されれば、受信前の電子メールも転送されてしまうことを忘れてはならない。グーグルが悪質なフィルタの挿入を可能にするバグを修復したとしても、ユーザーのフィルタリング・リスト内に問題のフィルタが存在し続けるかぎり、攻撃を受ける可能性はなくならないのだ」（ペトコフ氏）

　グーグルは今回の脆弱性をどのように認識しているのだろうか。IDG News Serviceはグーグルにコメントを求めたが、同社からの回答は得られなかった。

　もっとも、GNUCITIZENのWebサイトに寄せられたユーザー・コメントによると、同脆弱性は「Firefox」を利用しているユーザーであれば、同ブラウザの拡張機能で防止できるという。

　Firefoxユーザーに人気のある機能拡張「NoScript」を開発したジョルジオ・マオン氏は、「NoScriptを利用すれば、JavaScriptの実行をはじめ、プラグインの実行を拒否できるので、同脆弱性を悪用した攻撃を回避することができる」とコメントしている。

　米国ホワイトハット・セキュリティでCTO（最高技術責任者）を務めるジェレミー・グロスマン氏は、同脆弱性を「きわめて危険性が高い」と警告したうえで、自身のブログで以下のように記している。

　「ブログ、インターネット・バンキング、オンライン・ショッピングなど、不特定多数のオンライン・アカウントに対して常にアクセスしているWebメール・アカウントは、多くの点でバンキング・アカウントよりも脆弱だ。同脆弱性を悪用する攻撃は、シンプルで目立たないが、おそろしく悪質だ」

　なお、ペトコフ氏は今回のバグと関連し、以下のような見解を示している。

　「あらゆるデータが目に見えない場所に保管されている今日、ユーザーの受信箱だけをねらっても、攻撃者にとっては“うまみ”が少ない。むしろ、永続性のあるバックドアやスパイウェア・フィルタをインストールし、個人情報を丸ごと盗むほうが、よほど簡単で実益になる」

(グレッグ・カイザー／Computerworld オンライン米国版)