【 ここから本文 】
ウイルス／ワーム／スパム対策
ソーシャルブックマークに登録 ：
印刷用ページの表示
［米国］
Google Chromeに早くもセキュリティ不安――研究者が複数の脆弱性を指摘
ファイルのダウンロードに注意。悪意あるコードを勝手に実行してしまう可能性も
（2008年09月04日）
米国Googleが、新ブラウザ「Google Chrome」のベータ版をリリースして一夜明けた9月3日、セキュリティ研究者たちから早くも複数の脆弱性を指摘されている。その1つは、ブラウザがクラッシュしてしまう可能性があるというものだ。
 |
| セキュリティ研究者のリシ・ナラン氏がSecuriTeamで公開したGoogle Chromeの脆弱性に関する報告のサマリー |
セキュリティ研究者のリシ・ナラン（Rishi Narang）氏は、この問題をイスラエルのセキュリティ専門組織「SecuriTeam」のWebサイトに紹介するとともに、情報セキュリティ関連のコミュニティー・サイト「Evilfingers」でもそのコンセプトを証明している。ナラン氏によると、ハッカーは未定義のハンドラに特殊な文字を続けた悪意あるリンクを作成でき、ユーザーがそのリンクをクリックするとChromeがクラッシュするとのことだ。
さらに深刻な別の脆弱性では、ユーザーが悪意あるコードをダウンロードしてしまう可能性があるという。原因の1つは、Chromeが米国AppleのWebブラウザ「Safari」にも採用されているオープンソースのブラウザ技術「WebKit」の古いバージョンを採用していることにある。つまり、WebKitの脆弱性がそのままChromeに引き継がれたというわけだ。
この問題はセキュリティ研究者のアビブ・ラフ（Aviv Raff）氏により発見された。同氏によると、Chromeがファイルをダウンロードする方法と、Windowsがそのダウンロード・ファイルを処理する方法の双方に問題があるという。
Chromeのデフォルト設定では、ファイルはフォルダにダウンロードされる。その後、ブラウザのページ下にダウンロード・バーが表示される。ユーザーはそのバーをクリックしてファイルを開く。実行ファイルの場合、Windowsはユーザーが誤って悪意あるコードをダウンロードしないよう警告を表示する。
だが、ファイルがJAR（Java Archive）の場合は、他の実行ファイルとは処理の仕方が異なるため、ユーザーがダウンロード・バーをクリックすると、Windowsは警告を表示することなくファイルを勝手に実行してしまうという。
加えて、Chromeのダウンロード・バーがWebページの一部のように見えることも問題をさらに悪化させているとラフ氏は指摘している。ラフ氏が証明したコンセプトによれば、ユーザーがダウンロードしたファイルを開いているのでなく、ページ上のリンクやボタンをクリックしていると勘違いする可能性があるという。
「いわゆる『複合脅威』というやつだ。別々のソフトウェアに潜む2つの小さな問題が混じり合い、より大きな問題を生むのである」（同氏のブログより）
Chromeは、AppleのSafariや米国Mozillaの「Firefox」など、他のブラウザの技術を流用していることを考えれば、今後も同様の問題が生じるかもしれないとラフ氏は警告する。
「セキュリティ上、非常に重大な問題だ。Googleはそれぞれの技術の脆弱性をすべて追跡したうえで、Chromeにも修正を加える必要がある。だが、それができるのは他のベンダーが脆弱性を修正するか、あるいは公表したあとだ。つまり、その間、Chromeユーザーは長きにわたってリスクにさらされることになる」（同氏のブログより）
こうした問題を防ぐために、Chromeに修正を加える予定があるかどうかについて、Googleは現時点で明確なコメントを示していない。ちなみに、同社広報担当者の声明によると、Chromeのデフォルト設定では、セキュリティの問題を避けるために、ダウンロード・ファイルはユーザーのデスクトップではなく別のフォルダに保存するようにしているという。また、ダウンロードする前に保存先を聞くように設定を変更できるとしている。
また、Chromeが採用しているWebKitをアップグレードする予定があるかどうかについてもGoogleは明言を避けている。WebKitの最新バージョンでは、JARファイルをダウンロードする場合、ダイアログ・ボックスを表示してユーザーに確認することで、ファイルが勝手に実行されないよう対策が講じられている。
(Nancy Gohring／IDG News Serviceシアトル支局)
［世界］【Net Appli調査】8月のWebブラウザ市場、IEのシェアがさらに減少
グーグルのChromeは22時間で1％のシェアを獲得
［米国］グーグルのブラウザ市場参入は脅威ではない――モジラら競合各社は表向き平静
一様に歓迎の意を示しつつ、自社ブラウザの優位点をアピール
［米国］グーグル幹部、新ブラウザ「Google Chrome」への注力姿勢を鮮明に
「次世代Webアプリにはすぐれたブラウザが必要」と指摘
［米国］マイクロソフト、「IE 8」に3種類のプライバシー・モード機能を追加へ
機能の“実質的な用途”から「ポルノ・モード」と揶揄する声も
［米国］JITコンパイラ採用の新JavaScriptエンジン、Firefox 3.1に搭載へ
JavaScriptコードをネーティブ変換し処理を高速化
