|
■URL
http://www.solutions.fi/index.cgi/news_2002_06_04?lang=eng
フィンランドのOnline
Solutions社は4日、WWWブラウザー「Internet Explorer(IE)」に含まれているGopherクライアント機能にセキュリティーホールが存在することを発見したと発表した。このセキュリティーホールの悪用により、システムを自由に操られる可能性があるため、Gopherの機能を無効にするなどの措置が必要だとしている。
Gopherプロトコルは、90年代にミネソタ大学で開発されたもので、HTTPが普及する前はWebの前身として多く使われていたものだ。歴史的な名残としてIEにはGopherクライアントが内蔵されていたが、その中にセキュリティーホールが存在していた。Online Solutionsによると、セキュリティーホールそのものは「伝統的、自明」なものだという。同社のテストの結果、IE 5.5/6.0でこのセキュリティーホールが確認された。
この攻撃はWebページにGopherサーバーへのリンクを張ったり、HTMLメールを利用して仕掛けられる。バッファーオーバーフローによって攻撃コードを仕掛けるには完全なGopherサーバーでなくともごく簡単な仕組みで十分だという。
Online Solutionsは、この件について5月20日にMicrosoftに報告、Microsoftは現在修復に向けて作業を進めている。Online Solutionsではそのパッチが配布されるまでの間、Gopherプロトコルを無効にすることを利用者に勧めている。
無効にするための一つの方法はプロキシーを使ってGopherプロトコルを無効にする方法だ。これはIEの「インターネットオプション」->「接続」から「LANの設定」->「プロキシーの設定」に行き、「プロキシーサーバーを使用する」を選択、詳細設定のところからGopherプロトコルのフィールドに「localhost」と記入、ポート番号を「1」と入力することでIEからGopher文書を閲覧できなくする。Microsoftからパッチが配布された際にはこの設定をもとに戻せばよい。なお、これらの方法はあくまで一つの事例であり、行う際には自己責任で行なう必要がある。
Online Solutionsは、このセキュリティーホールを確認するためのサイトも設けており、上記の設定をした後このページで安全を確認することもできる。
(2002/6/5)
[Reported by taiga@scientist.com]