Mozilla Multiple Products のリモートコード実行の脆弱性（CVE-2010-3765）

何が起きた

Mozilla の Firefox、SeaMonkey、Thunderbird で、JavaScript が有効なときにメモリが壊れる弱点が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者が悪用できます。複数のフレームを作るなどの細工をした内容を読み込ませることで、攻撃者が選んだ任意のプログラムを動かされるおそれがあります。Mozilla によると、Windows XP 上の Firefox 3.6 を狙った攻撃が、侵入の調査中に見つかっていました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Firefox 3.5.x から 3.5.14、3.6.x から 3.6.11、Thunderbird 3.0.x の 3.0.10 より前、SeaMonkey 2.x の 2.0.10 より前などが対象です。Mozilla によると、弱点そのものは Firefox 3.5 と 3.6 の両方の系統にあり、対応するすべての OS に影響していました。

何をすればいい

Mozilla の公式の案内を確認してください。修正版は Firefox 3.5.15 と 3.6.12、SeaMonkey 2.0.10、Thunderbird 3.0.10 と 3.1.6 です。これらより古い版を使っていないか確認し、修正版以降に更新してください。

やることチェックリスト

• Firefox を 3.6.12 以降に更新する
• Thunderbird を 3.1.6 以降に更新する
• SeaMonkey を 2.0.10 以降に更新する

用語メモ

JavaScript

Web ページに動きを付けるためのプログラムの言語です。ブラウザーやメールソフトの中で動きます。

フレーム

1つの Web ページの中に、別のページを入れて表示するための仕組みです。

任意のプログラム

攻撃者が好きに選んで動かせるプログラムのことです。