木曜日の深夜、Mozillaは深刻な脆弱性が悪用されているのを発見し、Firefoxブラウザのセキュリティパッチをリリースしました。この脆弱性により、悪意のある攻撃者はJavaScriptの魔法を使って、ユーザーのハードドライブから「機密性の高い可能性のある情報を検索し、サーバーにアップロード」することが可能になります。
Mozillaは、すべてのFirefoxユーザーに対し、バージョン39.0.3への即時アップグレードを呼びかけています。学校や企業でFirefoxの延長サポート版をご利用の方は、バージョン38.1.1へのアップグレードを推奨します。
このセキュリティ問題は、FirefoxのPDFビューアとブラウザの他の部分との相互作用に依存するため、PCにのみ影響します。Mozillaのセキュリティ責任者であるダニエル・ベディッツ氏のブログ投稿によると、Android版FirefoxにはPDFビューアが搭載されていないため、脆弱性は発生しません。
Mozillaがこの脆弱性を初めて認識したのは、ロシアのニュースサイトに埋め込まれた広告が、機密ファイルを検索するエクスプロイトを利用していることにFirefoxユーザーが気づいた時でした。このマルウェアは、機密ファイルをウクライナのサーバーにアップロードします。このすべてはバックグラウンドで行われ、ユーザーには何も気づかれません。また、このマルウェアはユーザーのマシンに痕跡を残しません。
実際に発見された特定のエクスプロイトは Windows および Linux PC のみをターゲットとしていましたが、マルウェアが別の方法で作成されていた場合、Mac ユーザーが脆弱になる可能性があると Veditz 氏は警告しています。
Windows では、マルウェアは、Filezilla、Subversion バージョン コントロール システム、S3 ブラウザー、暗号化された非公式メッセージングでよく使用される PSI Plus および Pidgin チャット クライアントなど、いくつかの異なる FTP アップロード プログラムの構成ファイルなど、非常に特殊なデータを探していました。
自宅への影響：上記のプログラムを使用している場合は、Mozillaはパスワードとそれに関連するキーを変更することを推奨しています。まだ変更していない場合でも、システム上の機密ファイルを狙う未知の脆弱性が存在する可能性があるため、できるだけ早くブラウザを更新してください。
アップデート方法
Firefox の設定をチェックして、更新されているかどうかを確認してください。
Firefoxは時間が経てば自動でアップデートされますが、今すぐ手動でアップデートしたい場合は、右上にある「ハンバーガー」アイコンをクリックし、ドロップダウンウィンドウの下部にある疑問符アイコンを選択してください。次に「Firefoxについて」を選択すると、ブラウザがアップデートの有無を確認します。この画面でFirefoxのバージョン番号も確認できます。39.0.3をご利用の場合は、そのままお使いいただけます。
