Mozilla Firefox and Thunderbird の型の取り違えの脆弱性（CVE-2019-11707）

何が起きた

Mozilla Firefox と Thunderbird で、JavaScript のオブジェクトを操作するときに Array.pop という処理の問題から、データの種類を取り違えてしまう弱点（型の取り違え）が見つかりました。これにより、悪用できる形でプログラムが異常終了するおそれがあります。ログイン不要で、ネットワーク経由で離れた場所から悪用できますが、利用者が細工されたページを開くなどの操作が必要です。Mozilla も、この弱点を狙った標的型の攻撃を把握していると説明しており、実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Firefox 67.0.3 より前、Firefox ESR 60.7.1 より前、Thunderbird 60.7.2 より前を使っている人や組織が影響を受けます。Mozilla によると、Thunderbird ではメールを読むときにスクリプトが無効になっているため、ふつうはメール経由では悪用できませんが、ブラウザーに近い使い方では危険があります。

何をすればいい

Firefox は 67.0.3 以降、Firefox ESR は 60.7.1 以降、Thunderbird は 60.7.2 以降に更新されているか確認してください。現在はさらに新しい版が出ているので、最新版に更新するのが確実です。あわせて公式の案内（Mozilla のセキュリティ勧告）を確認してください。

やることチェックリスト

• Firefox を67.0.3以降に更新する
• Firefox ESR を60.7.1以降に更新する
• Thunderbird を60.7.2以降に更新する

用語メモ

型の取り違え

プログラムが、ある種類のデータを別の種類のデータだと思い込んで扱ってしまう不具合です。メモリーの中身を壊す攻撃に使われることがあります。

JavaScript

Web ページに動きを付けるためのプログラム言語です。ブラウザーの中で実行されます。

Firefox ESR

企業などが長く同じ版を使えるように用意された、延長サポート版の Firefox です。