クリックジャッキングの脆弱性（来月）

White Hat SecurityのチーフテクノロジーであるJeremiah Grossmanは、マレーシアのクアラルンプールで開催されているHack In The Box（HITB）カンファレンスで、この脆弱性について説明します。 「私たちはアドビの修正に関するETAはありませんが、数週間ではなく数週間後になることを期待しています。パッチの有無にかかわらず、基調講演の内容は変更されません」と、 Grossmanは、ニューヨークのOpen Web Application Security ProjectカンファレンスでSecTheoryのCEO、Robert Hansenとクリックジャックの欠陥を詳述する予定だったが、Adobeの要請を受けてプレゼンテーションを取り上げた。ハッカーたちは圧力がかかっていないと言いましたが、Adobeは公開前に脆弱性を調査し解決する時間を求めていました。

[詳しい読書：あなたのWindows PCからマルウェアを削除する方法]

クリックジャックは、「あなたのWindows PCからマルウェアを削除する方法」ユーザーがブラウザのボタンをクリックしてボタンを特定の機能（Diggにニュース記事を送信するなど）を実行すると考えて攻撃するが、代わりに攻撃者がボタンを乗っ取って別の目的で使用する。グロスマン氏は電子メールで次のように書いている。「グロスマンとハンセンは、間接的な影響を受けているにもかかわらず、Adobeがそれを重大な問題と呼んでより多くの時間を要するのは明らかに恐ろしい。 Adobeがプレゼンテーションを進める意向をアドビに知らせ、開発した概念実証コードを利用可能にする。

「アドビは時間をかけて礼儀正しく答えた。時間は生産的ではあるが、別の遅れに同意することはできなかった」とグロスマン氏は書いている。 「私たちの信念は、問題がソフトウェアの問題ではなく、一般的なブラウザで問題が発生したときにクリックジャックであり、必要な情報なしで影響を与えることは他者にとって公平ではありません。」HITBが開催されるクアラルンプールで10月27日から30日まで。