Tweet

​​​Mozilla Firefox 1.0.7 は ​Mozilla ブラウザのフラグシップのセキュリティと安定性のアップデートであり、ダウンロード出来るようになった。国際化ドメイン名(IDN）のリンクバッファオーバーフローの脆弱性と、Linux コマンドライン URL のパージングに伴う脆弱性 が修正されている。この他にも、セキュリティと安定性の変更があり、特定のプロクシ自動設定スクリプトを使った場合のクラッシュ発生も修正されている。それに加えて、1.0.x のセキュリティアップデートで発生したバグの再発も解決されている。

Mozilla Foundation は過去に Firefox 1.0.6 に向けたパッチをリリースし、このパッチで IDN のサポートを取り除くことによりユーザを IDN のリンクバッファオーバーフローから守ったが、Firefox 1.0.7 はより永久的な解決方法をとっており、IDN の機能を無効にすることはなく、パッチをインストールしたユーザがアップグレードした際には、IDN のサポートが復帰していることがわかるだろう。

Firefox 1.0.7 は、Firefox の製品ページ か、ftp.mozilla.org の Firefox 1.0.7 のディレクトリ からダウンロードできる。Firefox 1.0.7 のリリースノート （日本語訳版） には、このアップグレードについての詳細が掲載されており、Mozilla Foundation の既知の脆弱性リスト（日本語訳版）も、じきに更新されることが期待される。

Mozilla Application Suite への 同等のアップデートである Mozilla 1.7.12 も、すぐに出ると期待されている。

更新: 記事の脆弱性のページは更新され、３つの Firefox 1.0.7 に関連するセキュリティアドバイザリが発行された: MFSA 2005-57（日） では、IDN リンクバッファオーバーフローの問題に触れ、MSFA 2005-59（日）ではLinux コマンドライン URL のパース時の脆弱性について、そして MSFA 2005-58（日）ではこのリリースでのそのほかのセキュリティの修正について触れている。このニュースに関しては Juha-Matti Laurio に感謝する。

[ 原文 / 2005年9月21日(水) ]

Tweet

本日、Mozilla Firefox と Mozilla Application Suite に影響する、入力評価に関する致命的な セキュリティ脆弱性が報告された。この脆弱性は、アタッカーが任意のコマンドを被害者のシステム上で動作させることを可能にさせる。このバグは Firefox と Mozilla Application Suite が依存する、コマンドラインか外部プログラムによって提供される URL をパージングするための Linux のシェルスクリプトに存在する。もし提供された URL が backtick 記号で囲まれた Linux コマンドを含んでいると、Firefox か Mozilla Application Suite が URL を開こうとする前に実行される。$HOME のような変数も展開されてしまう。

この脆弱性は、めったに Firefox か Mozilla Firefox 自身の内部から悪用されることはないが、Firefox か Mozilla Application Suite がデフォルトブラウザになっている Linux システムで外部プログラム（例えば、電子メールクライアントやインスタントメッセージングアプリケーション）の中で悪意のあるリンクに被害者を陥れることにより、攻撃者はこの脆弱性を利用することが出来る。

例えば、Firefox を自分のデフォルトウェブブラウザにし、Mozilla Thunderbird を自身の電子メールクライアントに利用しているユーザを想定したとする。攻撃者は電子メールをこのユーザに、http://local`find`host のリンクを含んだ電子メールを送信する。もしユーザが Thunderbird でこのリンクをクリックしたとき、URL のパージングシェルスクリプトが呼び出され、Firefox が URL を開く前に find コマンドを実行する。ユーザ外部からのプログラムのリンク、特に電子メールやインスタントメッセージやチャットでのやりとりの疑わしいリンクを追跡しないことによりこの脆弱性を避けられる。

この脆弱性を避ける解決方法は開発されてきており、来たる Firefox 1.0.7 と Mozilla 1.7.12 に含まれる。Mozilla Quality のウェブログは これらの修正を伴った Firefox 1.0.7 リリース候補へのリンク と、テストの案内を掲載している。Firefox 1.0.7 と Mozilla 1.7.12 は既にその他のセキュリティの問題と安定性の問題を修正する計画になっている（特に、最近発行された IDN のリンクバッファオーバーフローの脆弱性を修正している）

この Linux URL のパージングの問題は Peter Zelezny によって報告され、彼は bug 307185 を今日ファイルした。Secunia は、この問題に “非常に危険” なバグとして評価し、Firefox Command Line URL Shell Command Injection というタイトルをつけたアドバイザリを掲載した。フランスのセキュリティ問題対策チーム – French Security Incident Response Team (FrSIRT) のこの問題に関するアドバイザリは、Mozilla Firefox のコマンドラインの URL パージングのコード実行問題 で、この問題も “致命的” と評価されており、四段階のうち最高の危険度となっている。Security Focus では、Mozilla ブラウザ/Firefox のコマンド任意実行の脆弱性 注意を促し、影響を受けるシステムの包括的なリストを掲載している。これらのアドバイザリのリンクに関しては、 roseman と Juha-Matti Laurio に感謝する。

更新:Peter Zelezny は bug 307185 を 9月6日（火）にファイルしており、上記に報告した 9月20日（木） ではなかった。この訂正をしてくれた Juha-Matti に感謝する。

[ 原文 / 2005年9月20日(火) ]

Tweet

Mozilla Quality ウェブログは、新しい Mozilla Firefox 1.0.7 と Mozilla 1.7.12 のリリース候補の詳細を掲載した。これらの最新のテストビルドは、bug 308484 を修正し、拡張機能の互換性を高めるために XMLHttpRequest の挙動を変更している。このウェブログの投稿では、テスト範囲についての情報を掲載している。

Mozilla Firefox 1.0.7 と Mozilla 1.7.12 はセキュリティアップデートで、IDN のリンクバッファオーバフローの脆弱性 と その他の複数のセキュリティ脆弱性を修正するために設計されている。安定性の改善と、過去のセキュリティアップデートから発生したバグの再発の修正もいくつかされている。最後の 1.0.7 と 1.7.12 のリリースは、数日後を予定している。

[ 原文 / 2005年9月16日(金) ]

Tweet

二つの新しい Mozilla Firefox の書籍が最近発行された。SitePoint によって 7月に立ち上げられた Cheah Chu Yeow の Firefox Secrets と、８月の Mel Reyes の Wiley による Hacking Firefox だ。

（以下翻訳中）

[ 原文 / 2005年9月16日(金) ]

Tweet

Percy が伝えた内容によると、 CNET は Mozilla Firefox がランクインした lトップ 10 プロダクトのリスト を掲載したという。Firefox は順位の真ん中の五位に位置しており、iPod 、TiVO、Google と Napster（違法な P2P 版） に続いているが、Palm Pilot、モトローラの腕時計型携帯電話「StarTAC」、Apple の iMac、Sony のフロッピーディスク記録デジタルカメラ Digital Mavica MVC-HD5 と、The Sims よりは上位である。

Firefox について、CNET は: “確かに、Mozilla は長年の間存在したが、Firefox 1.0 はオープンソースのブラウザをメインストリームに持ち込んだ。Mozilla を Geek のプライドの称号以上のものに出来るとは決して考えなかった人もいた。軽く、安全で、効果的な Firefox は胸を張って Internet Explorer のウェブブラウジングの締め付けに挑戦した。”

このリストは、CNET の１０周年記念 の一環として作成された。今年の前半、Firefox は CNET の過去 10 年での トップ 10 ダウンロードにもなっている。

[ 原文 / 2005年9月15日(木) ]

Tweet

CNET News.com は セキュリティの研究家が Mozilla セキュリティ脆弱性の悪用方法が見つけられようとしている（日本語版記事） と報告している。この脆弱性は Tom Ferris によって先週暴露されたものである。彼が国際化ドメイン名(IDN）のリンクバッファオーバーフローの脆弱性 の詳細を出版した際には、Ferris は Mozilla Firefox （およびその他の影響するあプリケーション）をクラッシュさせ、それ以上に危険な動作を行わない証明用のコードをいくつか掲載した。しかし、Ferris は任意のコードを走らせることのできる彼の証明用のコードの変異体を作成したと警告しており、現在 Berend-Jan Wever のような他の研究者が、独立して開発した脆弱性の利用例を報告している。Wever はコードを作成するにはちょうど３時間半くらいだったと警告している。

Ferris も Wever も、彼らの脆弱性コードを公にしていないが、News.com の記事は悪意のある攻撃者が脆弱性を利用した攻撃を開発するのに当たって、それほどセキュリティの研究家に後れを取っているわけではないと警告している。Ferris は彼に電子メールで脆弱性について問い合わせてきた人々の言を引用した。”このことはトロイの木馬の作者達が何かを探そうとしていること示している” と彼は述べた。

セキュリティの脆弱性が公になった翌日の先週金曜日、Mozilla Foundation は、IDN のサポートを向こうにするための回避パッチをリリースし、バグが出るコードが動作しないことを確かめた。より永久的な修正は、IDN サポートを外すことなく開発され、数日後の Mozilla Firefox 1.0.7 と Mozilla 1.7.12 に搭載される。昨日、テスト用に Firefox 1.0.7 と Mozilla 1.7.12 のリリース候補が公開された

News.com は 来たる Firefox 1.0.7 と Mozilla 1.7.12 のリリースについて報告した（日本語版記事）（これは先週の脆弱性に関する CNET の４番目の記事である）。この記事には、Mozilla Foundation の技術ディレクターである Mike Schroepfer のコメントも掲載している。この記事は、Ferris が Firefox 1.5 Beta　1 にも関連した脆弱性を発見した(ただし、Firefox 1.0.6 より以前には存在しない) と述べており、これは IDN を向こうにするパッチがインストールされていても存在する。彼は Security Protocols のウェブサイトにもアドバイザリを投稿し、Mozilla Firefox 1.5 Beta 1 IDN バッファオーバーフロー として参照できる。しかし、bug 307259 のコメントによると、たしかにこれは、表面的には IDN の脆弱性のテストケースとは類似性があるものの、この問題は全く異なる問題であるということだ。この別のバグは、セキュリティのとは深い関わりのない単なるクラッシュであると見られており、bug 308579 にファイルされている。これは、bug 307875 の重複としてマークされている。

Ferris が間違って Mozilla のバグを特定したのはこれが初めてのことではない。彼は元々 IDN の脆弱性を、書式文字列の脆弱性 と述べていたが、実際はこれはバッファオーバフローだった。彼はすぐにMozilla のエンジニアたちに誤りを正されました（彼はこの Mozilla エンジニアたちの評価をほぼ一語一句、彼の Mozilla Firefox “Host:” Buffer Overflow というアドバイザリにコピーした際にクレジットを怠った）。それに加え、彼はバグレポートを行う二日前に警告を行った。Ferris はIDN の脆弱性の詳細を、Mozilla Foundation に修正を開発する時間を与えずに明らかにしたことで、セキュリティコミュニティの大半に非難されている。

[ 原文 / 2005年9月15日(木) ]

Tweet

Robert Kaiser 曰く: “SeaMonkey 理事会は、その最初のリリース、SeaMonkey 1.0 アルファ をアナウンス出来ることを嬉しく思う。過去の成功した Mozilla Application Suite のコードベースから開発された SeaMonkey 1.0 アルファには、たくさんの新機能と、最新の Mozilla suite のバージョンと比較して数え切れない機能の拡張とバグの修正が行われている。内部的は、多くのコードが現在の Firefox 1.5 ベータ 1 ブラウザと共有されているが、外見から言うと、長い間 Mozilla と Netscape のユーザが慣れ親しんだルックアンドフィールを再現している。

“しかしながら、Seamonkey 1.0 アルファは 最新技術のウェブブラウザ以上のものをフィーチャーしている: 強力な電子メールクライアントの他に、WYSIWYG のウェブページコンポーザと、機能豊富な IRC チャットクライアントが付いているアプリケーションといったところだ。ウェブの開発者には、mozilla.org の DOM インスペクタと、JavaScript のデバッガーツールも同様に含まれている。SeaMonkey 1.0 アルファは、現在利用できる最もパワフルで安全なインターネットソフトウェアパッケージのひとつである。ただし、このリリースは単にテスト用のものである。

“SeaMonkey 1.0 アルファは現在公式な SeaMonkey のアートワークを含んでいないため、SeaMonkey プロジェクトはコミュニティからの ロゴの投稿 を受け付けている。新しいロゴはこれらの投稿作品の中から選ばれ、今後の SeaMonkey 1.0 ベータのリリースに実装される。これは今年末の SeaMonkey 1.0 の出荷に先駆けた最後のバージョンとなる。

“SeaMonkey project は mozilla.org のコミュニティベースのプロジェクトであり、Mozilla Foundation がこれ以上 suite プロジェクトの開発を続けないとアナウンスした際に、Mozilla suite のコードベースより登場したものだ。この新しいプロジェクトは suite を ‘SeaMonkey’ という名前で継続し、モダンで完全なインターネットソフトウェアパッケージとして開発することを決定した。”

SeaMonkey 1.0 アルファのリリースノート にはこのテストバージョンの詳細な情報が掲載されている。すべてのビルドは ftp.mozilla.org の SeaMonkey 1.0a ディレクトリ で公開されている。

[ 原文 / 2005年9月14日(水) ]

Tweet

Camino 1.0 のアルファ1 がリリースされた。Camino 0.9 のアルファ 2 に続き（0.9 の最終リリースは無い）、この最新版の Mac OS X ブラウザの最新版では、パフォーマンスの改善、よりよい広告ブロック機能、そして拡張された設定をフィーチャーしている。ブックマーク、印刷とダウンロードマネージャーも改善されており、セキュリティ証明書機能はもっとよいユーザインターフェースになり、オプションが増えた。Java の埋め込みプラグインも含まれ、Camino はもしインストールされていれば最新の 1.4 か 5.0 バージョンの Java を利用することができるようになっている。さらに、Camino 1.0 アルファ 1 はマイナーな機能の拡張も多数含んでいる。詳細については Camino 1.0 のリリースノートを見なさい。

CaminoBrowser.org のサイトには、この Camino 1.0 アルファ 1 についてのニュース記事 が掲載されている。開発リーダーである Mike Pinkerton によると、Camino 1.0 alpha 1 は Mozilla Firefox 1.5 Beta 1 に相当する Gecko のバージョンを使っている が、さらに追加のセキュリティの修正を行っていると説明している。最後に、Jasper Hauser は 彼が Camino のウェブサイトとアイコンをファイナルの 1.0 リリース時までには改善する と言っている。

[ 原文 / 2005年9月14日(水) ]

Tweet

Mozilla Quality のウェブログは、Mozilla Firefox 1.0.7 と Mozilla 1.7.12 のリリース候補の公開 についてアナウンスした。これらのビルドは IDN リンクのバッファオーバフローの脆弱性 を含む複数のセキュリティに関する問題を修正している。安定性の改善も含まれており、これによりクラッシュはより少なくなり、過去のセキュリティアップデートにより発生したバグの再発も修正している。テスターは拡張機能とテーマが正しくインストールでき、ウェブメールやオンライン銀行サイトに問題なくログインできることを確かめ、ファイルのダウンロードが正常に動作するかどうかを確かめるよう求められている。

The Burning Edge には、9月13日の Firefox 1.0.x のビルドの修正内容 と、Firefox 1.0.7 のリリース候補に含まれるその他の修正 の詳細が掲載されている。

更新: このリリース候補のビルドは更新された。Burning Edge には Firefox 1.0.7 リリース候補第二ラウンドでの修正 を掲載している。

[ 原文 / 2005年9月14日(水) ]

Tweet

Firemonger プロジェクトは、Firemonger 1.5 のパブリックベータのリリースをアナウンスした。Firemonger は、複数言語のダウンロード可能な最新版 Mozilla Firefox と Mozilla Thunderbird の CD イメージを作成するプロジェクトだ。最新版とともに、いくつかの厳選されたプラグイン、拡張機能、テーマ、ユーティリティと初心者向けガイドも含まれている。技術に精通しているユーザはこの CD イメージをダウンロードし、ディスクに焼いて、それを友人や家族に配布するといいだろう。

Robert Wiblin によると: “ついにリリースされた! 私が書いたように、諸君が待ち望んでいたと我々が信じる大きなアップデートは、現在アップロードされている。我々は過去数ヶ月間の間たくさんの努力をこのリリースにつぎ込み、実際これはメジャーな変更と言って良い。我々は現在この CD の Firefox をさっそく動作させている。多くの人々にとって、これはまったく完全に動作するだろう。しかし、我々は大きなリリースを Firefox 1.5 による利益、多くの翻訳、1.5 の宣伝効果、真に磨き上げられたプロダクトとともに確実にするために、われわれはこのリリースをパブリックベータとした。我れはこのバージョンにあまりにもたくさんの問題があるとは心配していないが、いかなるすべての問題も送付し、AT firemonger DOT か（登録が不必要な）フォーラムの投稿に提案をしなさい。より多くのフィードバックを与えれくれればそれについてより話し合うことが出来るだろう!

“現在、この CD はフランス語、スペイン語、日本語のテキストを英語と同様に収録しているが、このバージョンでは我々が CD の残りの部分を完了するまで英語版のみだ。このリリースでの変更は多岐にわたるため、我々は諸君にダウンロードして試すことをおすすめする。スクリーンショットはここで見ることができる。我々は拡張機能とテーマを変更し、ヘルプを改善し、新しいセクションまるごとを複数加え、巨大な拡張機能をインストールし、fast lite に、出来る限りの翻訳、そして CD 全体をもっともっとすごいものにした。きっと楽しんでもらえることだろう! 我々がまださらに CD のグラフィカルデザインを改善しようとしていることにも注目して欲しい。Niels が忙しすぎて、その作業は今はできてきないが。もしそれをやってくれる人がいれば、フォーラムで教えてくれ! とにかくダウンロードしてくれ。そしてコピーを友達に渡し、ネットに我々についての情報を投稿し、諸君が得た問題や提案の詳細は我々に送ってくれ。感謝する。

“追伸 このバージョンでの技術的な貢献のほとんどは、Oren Nachman は数ヶ月前から参加し、コーディングの大部分とそのほかの難しい部分を請け負った。Oren は今や偉大で勝ちのある Firemonger チームのメンバーだ! 彼は諸君に楽しんでもらうために、Firefox 1.5 の動作するバージョンを用意しようと考えている。”

[ 原文 / 2005年9月14日(水) ]