あなたは誰? とパソコンは問う。僕だよ,君の管理者だよ,と誰かが答える。ウインドウズはある意味,疑うことを知らない。そしてその身のすべてを,彼に,与える。
ウインドウズ用ネットスケープ・コミュニケーターのバージョン4.06J,4.6Jにおいて重大なセキュリティホールとなるであろうバッファオーバーフローを発見された。これらは,ウェブブラウザのEMBEDタグの扱いに問題があり,pluginspageオプションのバッファがオーバーフローを起こす。それにより,リモートからトロイをインストールし,実行することも可能と思われる。デモサイトが用意されており,ウインドウズ98の起動に際するコードが実行される。
私はマシンがマックなので試してみることができないですが,友人の話では無事に(?)実行されたそうです。デモサイトのソースを見ると非常に単純な(でも意味不明な)EMBEDタグがあるだけ。詳細はさっぱりわかりませんが,わくわくするもんです(^_^)(←なにをする気だ)。さらに,このセキュリティーホールはブラウザの基本的な仕組み自体のバグであり,JavaやアクティブXなどのようにユーザーがON・OFFの設定をできないので,問題は大きい。ウインドウズでもマックでも,利用者はすべてのコードを実行可能な管理者権限が与えられている。これは,ネットワークと接続されているマシンでは,僅かなバグで,すべての権限を握られることになりかねないことになる。そこのところがユニックスなどとネットワークを意識したコンピュータとの大きな意識の差であるとも云えるが,ある意味,簡素なパーソナルコンピュータの背負う十字架とも云えるのか。
そのうち,常時,ワイヤードにすべてのパソコンは接続されるだろう。それが普通のカタチとなったとき,現在のパソコンはあまりにも無防備すぎる部分がある。パソコンの目の前に座っているのが,また,リモートでアクセスしている何者かが,本当の管理者であることはわからないのだから。WWWC,ベッキー,ネスケととどまることを知らないセキュリティーホールはそのことを教えてくれている。
|