Mozilla Firefox and Thunderbird のバッファオーバーフローの脆弱性（CVE-2013-1690）

何が起きた

Mozilla Firefox and Thunderbird で、onreadystatechange（ページの読み込み状況が変わったときの合図）とページの再読み込みが重なったときの扱いに誤りがありました。細工したウェブサイトによって、アプリが止まったり、任意の（攻撃者が好きに選べる）プログラムが実行されたりする可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要で悪用できますが、利用者がページを開く操作が必要です。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Firefox 22.0 より前、Firefox ESR 17.x の 17.0.7 より前、Thunderbird 17.0.7 より前、Thunderbird ESR 17.x の 17.0.7 より前が対象です。Mozilla の勧告では SeaMonkey も対象とされています。Mozilla は、Thunderbird と SeaMonkey ではメールのスクリプトが無効なので、メール経由では一般に悪用できないと説明しています。

何をすればいい

Firefox は 22 以降、Firefox ESR と Thunderbird と Thunderbird ESR は 17.0.7 以降、SeaMonkey は 2.19 以降に更新されているか確認してください。今では非常に古い版なので、最新版を使うことが大切です。あわせて、公式の案内を確認してください。

やることチェックリスト

• Firefox を 22 以降に更新する
• Thunderbird を 17.0.7 以降に更新する
• SeaMonkey を 2.19 以降に更新する

用語メモ

onreadystatechange

ウェブページの読み込みの状態が変わったときに動く仕組み（イベント）の名前です。

ESR

企業などが長く同じ版を使えるように、長期間セキュリティ修正が提供される版です。