パスワードを忘れた? アカウント作成
12521170 story
Chrome

URLに含まれるとGoogle Chromeがクラッシュする文字列 43

ストーリー by headless
snap 部門より
Google Chromeで特定の文字列を含むURLを指定するとクラッシュすることが判明した(Andris Atteka's blogの記事VentureBeatの記事The Registerの記事chromium - Issue 533361)。

発見者のAndris Atteka氏が例示しているのは「http://biome3d.com/%%30%30」というURLで、これをChromeのOmnibox(アドレス/検索ボックス)に入力してEnterキーを押すとChromeがクラッシュする。また、このURLが指定されたリンクをポイントすると、表示中のタブのみがクラッシュする。

ポイントはスラッシュ以下の「%%30%30」で、null文字を示す「%00」に変換される。いくつか試してみたところ、「%%300」「%0%30」でも同様の結果となる一方、「%00」そのものではクラッシュしなかった。Ominiboxに入力する場合はドメインとして解釈できる文字列とスラッシュに続いて記述する必要があるが、リンクに指定する場合には「%%300」だけでもクラッシュした。

原因としては、「%00」となった部分が再度処理されてnull文字に変換されてしまうため、URLの有効性チェックに失敗してクラッシュが発生しているようだ。この問題はセキュリティー上のバグではないとみなされ、報奨金の対象にはならなかったとのこと。

なお、VentureBeatでは検証の結果、Chrome for WindowsおよびChrome for Macの両方で再現したが、Chrome for Androidでは再現しなかったとしている。また、The Registerによれば、ChromebookやChromium 45ベースのOpera 32でも再現するとのことだ。ただし、手元のAndroid端末で試したところ、Omniboxへの入力は問題なかったが、リンクをタップするとタブがクラッシュした。
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • マジでクラッシュした (スコア:3, おもしろおかしい)

    by Anonymous Coward on 2015年09月20日 17時55分 (#2886395)

    まともに記事読めない

    • by Anonymous Coward

      > マジでクラッシュした (スコア:0)
      > まともに記事読めない
       
      ワロタ
      けどストーリーのURLに含まれていないんだが
      ページ文字列をURLにするアドオンでも入れてたんですかね
       
      Google Chrome 46.0.2490.33 beta-m (64-bit)では
      URLに含まれていてもアドレスバーが
      「about:blank」になってクラッシュしませんね
       
      既に対策のめどは立っているようなので
      早々にStableに反映されるでしょう

      • by chuukai (18189) on 2015年09月20日 18時49分 (#2886417) 日記

        コメント元のACとは別IDですが、Text URL Linker [google.com]という「ページ文字列をURLにするアドオン」を入れていて、このストーリーを表示した直後にクラッシュしました。
        今はクラッシュしていないので、URLの上をマウスオーバーしたことがクラッシュの原因かと推測しますが、今日はこの話を見るたびに何度もクラッシュしていて、ちょっと怖いですね。

        Chromiumのバージョン 44.0.2403.89 Ubuntu 14.04 (64-bit)での環境の話です。

        親コメント
      • by Anonymous Coward on 2015年09月20日 18時19分 (#2886405)

        訂正:46.0.2490.33 beta-m (64-bit)でも再現

        ■クラッシュしない場合
        ・該当URLをアドレスバーへドラッグ
        ・該当URL文字列を選択肢してコンテクストメニューから移動
         
        ■クラッシュする場合
        ・該当URLをアドレスバーへコピー&ペーストしてエンター
        ・該当URLをアドレスバーへコピー&ペーストして「貼り付けて移動」

        ■タブがエラー表示する場合
        ・タイミングによっては該当URL選択後にドラッグしようとした瞬間
         
        # ひとつ前のレスが検証不足ですんません

        親コメント
        • Re:マジでクラッシュした (スコア:2, おもしろおかしい)

          by Anonymous Coward on 2015年09月20日 23時39分 (#2886520)

          >・該当URLをアドレスバーへコピー&ペーストしてエンター
          >・該当URLをアドレスバーへコピー&ペーストして「貼り付けて移動」

          何度やってもクラッシュしてくれない。
          おれのchromeは壊れているようだ。

          親コメント
        • by Anonymous Coward

          てことは、かなりトリビアルな部分でクラッシュしてるんですね。URIのオブジェクト生成中にURLデコードしたあたりで。長さが指定してある文字列中のNULLは扱いが難しいですね。

          • by Anonymous Coward

            ペースト時に、一度デコードされるわけですね。

            それにしても、スラッシュドットはiPhoneだと使い辛いなあ。
            PC用表示だとコメントのリンクを開くときに「スコア」をタップして右上のログインに飛ばされるし、スマホ表示だと投稿で砂時計(じゃないけど)になって投稿できない。
            昔はPC用で問題なく使えてた気がするんだけど。

    • by Anonymous Coward

      バージョン 45.0.2454.93 m (64-bit)
      わははは、ほんとにクラッシュした
      楽しいなぁ

    • by Anonymous Coward

      マウスオーバーした瞬間するっとクラッシュしてこれはこれで楽しい

    • by Anonymous Coward

      47.0.2513.0 canary (64-bit) だけど、もう修正されたのかクラッシュしなかった。

      つまんないの。

      • by Anonymous Coward

        当方もぜんぜんクラッシュしません
        バージョン 44.0.2403.89 Ubuntu 14.04 (64-bit)
        ちなみに拡張機能はGoogle Castのみです

        • by Anonymous Coward

          なんでバージョン44なの? NPAPIサポートはLinuxでは1年以上前に終了してるから理由にならないし。

      • by Anonymous Coward

        バージョン 47.0.2513.0 (64-bit)だけどURL打ち込んでエンターでクラッシュした

  • 「biome3d.com」というドメインがフィッシングサイトではない保障もないし、検索サイトにも出てこないのですが、みんな割と無頓着にリンクをクリックしているような。
    #Biome3D自体は、3Dプリンターのフィラメントのようですが。

    知っているドメインに置き換えて試してみたら、Apacheのデフォルトのエラーページが(Apacheのバージョン付きで)出てきてもにょっとしたり。
    #ミドルウェアの種類やバージョンを知られるのは、そのバージョンで残されている脆弱性を突かれる原因ともなるはず。
    試したサイトはセキュリティ情報もやりとりされるようなところなだけに、ちょっと残念。

    • by Anonymous Coward

      「biome3d.com」というドメインがフィッシングサイトではない保障もないし、検索サイトにも出てこないのですが、みんな割と無頓着にリンクをクリックしているような。

      フィッシングサイトか疑うのは個人情報やログイン情報などを入力するときなので、今回のケースはそれにあてはまりません。

      もしかして、毎回リンクをクリックするたびにwhoisでドメインの所有者を確認しているくらい、慎重な行動をされている人ですか?

      #ミドルウェアの種類やバージョンを知られるのは、そのバージョンで残されている脆弱性を突かれる原因ともなるはず。

      • ソフトウェアの種類やバージョンを隠すことでセキュリティが向上することはないですよ。

        昔は私も、クライアントPCにおける UserAgent や、Webサーバにおける Server(HTTP Header)の隠蔽・偽装をしたところでセキュリティ上の効果が無いというコメントをした記憶がありますが、ここ数年で状況が変わったと思います。

        最近のマルウェア配布サイトは、UserAgent でターゲットを絞り込む場合が多いです。

        理由は簡単で、Webブラウザにマルウェア配信サイトをブロックする機能が内蔵されるようになったので、全てのクライアントに対してマルウェアを配信すると、ブロックされる可能性が高くなるからです。悪意のあるWebサイトのブロック機能は、クローラーが当該Webサイトをクロールして、悪意のあるコードを含むかどうかを判定しているので、クローラーのUserAgentに対してマルウェアを配信しなければ、ブロックされる可能性が低くなります(最も、悪意のあるページだとの報告が増えればブロックされますが、時間稼ぎになります)。そのため、「UserAgent」が脆弱性のあるバージョンのブラウザの場合に限って悪意のあるコードを配信するサイトも増えてきました

        ということは、UserAgentを隠蔽・偽装することで、悪意のあるコードが配信されにくくなるので、補助的なセキュリティ対策として明確に効果があります。

        また、フィッシング詐欺サイトの場合は、例えば日本の金融機関を狙っているのであれば、ブラウザの言語設定やIPアドレスから日本国内からのアクセスを判定して、それを満たす場合にのみフィッシング詐欺サイトを配信するケースもあります。これもフィッシング詐欺サイトとしてブラウザにブロックされにくくするためです。

        最近はターゲット型の攻撃も増えており、報道によると、特定企業や特定団体(政府機関など)のみをターゲットにする例もあるようです。GOM Player のマルウェア配信についても、特定のIPアドレスにのみマルウェアを配信していました。

        Webサーバーについても同様で、最近では例えばApache であれば mod_evasive とか mod_dosdetector などのモジュールや、IDS・Webアプリケーションファイアウォールなどを導入するケースが増えているので、昔のように色々な種類・バージョンのサーバソフト向けの攻撃コードを山ほど送り付けたら、あっという間にIPアドレスごとブロックされてしまいます。従って、攻撃ツールも Server Header を見たり、エラーページやレスポンスの特徴から判断したりしてサーバソフトウェア・バージョンを特定してからそれに対応した攻撃コードを送ってきますから、Server(Webサーバ)ヘッダーの隠ぺいも補助的なセキュリティ対策としては有用な状況となりました(振る舞いからサーバOSを特定する方法もあるので完璧な対策とはなりませんが)。

        ということで、ブラウザの UserAgent を本来のものとかけ離れたものにすることをお勧めします。ただし、「ご利用のブラウザでは当サイトはご利用になれません」といったページにリダイレクトされる恐れもあるため、初心者にはお勧めできません(そういったメッセージが表示された場合には別のUserAgentにする必要があります)。

        親コメント
        • by Anonymous Coward

          確かに最近の悪意のあるサイト(埋め込みスクリプト)はUAで処理を分岐するものがよくありますね
          ただ,正規サイトも同様のものが多くなってきており,ユーザ側でUA偽装すると仰っているとおり正規サイトでもいろいろ困ることになると思います
          身近な例ではAMOやChromeStore,Googleの各種サービスもUA基準で表示や処理を変えています
          セキュリティとの天秤にかけた場合に,ベネフィットに比べると不便さの方が強い気がします

          あえてUA変えるぐらいなら,ブラウザのアップデートをきちんとするとかNoScript/RequestPolicy/uMatrixなどのアドオンで悪意のあるスクリプトのロードを防ぐとかの方が効果的かなーと

          • by Anonymous Coward

            ブラウザのアップデートをちゃんとやって、かつUAを変更する。
            別に競合する対策じゃないし。

        • by Anonymous Coward

          UA文字列を変えて状況によって自分で対処するだけのガッツがある人は、そもそも臭いフィッシングサイトには引っ掛からないでしょうから、効果があるのはゼロデイだけです。最近のUA文字列は種類だけを示して型番はないので、リスクとしてはそう変わりません。

      • by Anonymous Coward

        なんか引用のつき方がおかしいけどSlashcodeのバグ?

        • by Anonymous Coward

          たんに閉じタグの/を忘れたか消したかで二重に開いちゃっただけでしょう。

      • by Anonymous Coward

        実際今どきのマルウェア配信サイトはUA見て特定UA狙い撃ちでマルウェアに感染させようとするくらいのことは普通にやるけどね。
        最近では窓の杜がやらかした。
        http://www.forest.impress.co.jp/docs/news/20150909_720423.html [impress.co.jp]

  • by Anonymous Coward on 2015年09月20日 21時31分 (#2886473)

    IEがクラッシュした時は鬼の首でも取ったかのように大騒ぎするくせに

    • by Anonymous Coward on 2015年09月20日 22時22分 (#2886489)

      それは私も思いました。
      IEと比べてどうかという話は別としても、一般論としては、二重デコードはセキュリティ脆弱性に直結するところなので、笑いごとではないですよね。
      今回の件は「URLの有効性チェックに失敗して」とあるところから、二重デコード後にURLの有効性チェックがあるために脆弱性にならないと判断されているようですが、
      そもそも二重デコードが発生している時点で何かおかしいのでは。
      リンク先を読んでも、なぜ二重デコードしてるのかよくわかりませんでした。

      親コメント
      • by Anonymous Coward

        これがsecurity issueでないというのもよくわからん。
        完全に豪放なURLでクラッシュするんだから、URL文字列に自動リンクするようなタイプの掲示板に大量に投げることで、かなり効果的にDoS攻撃をかけられるだろう。
        Googleはどういう基準で判断してるんだ?

        • by Anonymous Coward on 2015年09月21日 9時36分 (#2886596)

          情報流出や非可逆な破壊に繋がらないからでしょ
          クラッシュだけならブラウザを再起動すれば済むから、それに比べれば被害は小さい

          何でもかんでも大袈裟に不安を叫べばいいと思ってる奴は
          何が危険で何が危険でないのかわかってない

          親コメント
          • by Anonymous Coward

            いやいや、
            セキュリティバグもクラッシュバグも本質的には変わらないから。
            たとえば、オーバフローなんかで想定の領域外にアクセスしたときに、そのまま情報が読み書きできてしまうか、
            変な値を拾ってクラッシュするか、程度の違いしかないわけで。

            • by Anonymous Coward

              > そのまま情報が読み書きできてしまうか、変な値を拾ってクラッシュするか、程度の違いしかないわけで。

              それを「程度の違いしかない」で済ませるんだったらあらゆるものに本質的な違いはないね。

              >> 何が危険で何が危険でないのかわかってない

              まったくこの指摘のとおりだ

            • by Anonymous Coward

              だからさ、何が本当に危険なのかわかってない奴は議論に加わらなくていいからね
              「本質的には変わらない」んじゃなくて、「君が知識不足で区別できていない」だけ。
              君の認識不足に他人を巻き込まないでね

              • by Anonymous Coward

                別に直さないと言ってるわけでもないし、ただセキュリティリスクは低いから修正の優先度は低いよってだけですもんね。
                それで口汚く罵ったりするのはどうかと思いますよねえ。ま、知ったかぶりだからこそ罵れるんでしょうけどね。

        • by Anonymous Coward

          自社利益じゃない?

          なにかね、天下とると例外なくクズ企業になるのは企業組織として逃れられない運命なのかね
          それともそういうクソ企業にならないと天下取れないのが社会の仕組みなのか

          • by Anonymous Coward

            資本主義の仕様だから独占は悪として法規制まであるんだよ。

        • by Anonymous Coward

          あなたの大好きなMicrosoftも単なるクラッシュバグはセキュリティ脆弱性扱いしませんよ。

          • by Anonymous Coward

            (#2886498)氏は別にMS製品のことには触れていないようですが…。

            # 任意コード実行や情報流出の恐れのないクラッシュバグはセキュリティー上は比較的危険性の小さいバグだというのが、MSやセキュリティー対策会社を含めた業界の基本認識だという点は同意。

      • by Anonymous Coward

        URLは攻撃の口にしやすいところですし
        二重デコード等が起こることをあらかじめ想定してもよさそうですが
        googleもたいしたことないんですね

        まあ、TBもソースコードがあるとテストする気にならないんですかね

    • by Anonymous Coward

      chromeがクラッシュしたところで誰も困らないからな

      • by Anonymous Coward

        むしろクラッシュすることで自動的にメモリを開放してくれる親切設計だった・・・?

    • by Anonymous Coward

      あれ?そんなことありましたっけ?
      いつの記事か教えてください。

      • by Anonymous Coward

        IEのクラッシュでぱっと思いついたのはこれかな?
        http://srad.jp/story/07/08/06/1645256/ [srad.jp]
        「鬼の首を取ったかのように大騒ぎ」しているかどうかは読者の判断に任せる

        • by Anonymous Coward
          みんなが鬼の首取ってたかはさておき、conconなんてのもありましたね。
          • by Anonymous Coward

            なんにしろ今は昔、はるか遠くに過ぎ去った過去の話ですね。

  • by w1allen (21025) on 2015年09月20日 22時43分 (#2886500)

    昔、concon問題ってありましたよね

    • by Anonymous Coward

      昔、VirtualPCで楽しませていただきました。

      #そのブルースクリーンのスクリーンショットを撮って、後輩のPCでフルスクリーン表示にしておいたことがあります。何の疑いもなく、再起動しましたけどね。

typodupeerror

「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」

読み込み中...