Mozilla Firefox and Thunderbird の脆弱性（CVE-2019-11708）

何が起きた

Mozilla の Firefox と Thunderbird で、内部の処理どうしがやり取りする Prompt:Open というメッセージの中身の確認が足りず、乗っ取られた子の処理が、サンドボックス（安全な囲い）の外にある親の処理に、好きな Web の内容を開かせられる弱点が見つかりました。実際に悪用されたことが確認されています。Mozilla によると、ほかの脆弱性と組み合わせると、利用者のパソコンで任意の（攻撃者が好きに選べる）コードを実行される可能性があります。NVD の評価では、攻撃者はログイン不要でネットワーク経由から狙えます。なお Mozilla によると、Thunderbird ではメールを読むときにスクリプトが無効になっているため、ふつうはメール経由では悪用できませんが、ブラウザーのような使い方では危険があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

60.7.2 より前の Firefox ESR、67.0.4 より前の Firefox、60.7.2 より前の Thunderbird を使っている人が対象です。

何をすればいい

Firefox は 67.0.4 以降、Firefox ESR は 60.7.2 以降、Thunderbird は 60.7.2 以降に更新されているか確認してください。公式の案内を確認して対応してください。

やることチェックリスト

• Firefox を 67.0.4 以降に更新する
• Firefox ESR を 60.7.2 以降に更新する
• Thunderbird を 60.7.2 以降に更新する

用語メモ

サンドボックス

プログラムを決められた囲いの中だけで動かし、外に悪さができないようにする仕組みです。

Firefox ESR

企業などで長く使えるように、機能の変更を少なくして提供されている Firefox の版です。