US-CERT、リリースされたばかりのFirefox 37の脆弱性について注意喚起

Firefoxの最新版となるFirefox 37は先日リリースされたばかりだが、米Mozillraはこの最新版に2つの脆弱性が存在することを発表した。US-CERTはこれを受けて4月6日(米国時間)、「Mozilla Releases Security Update for Firefox｜US-CERT」において、ユーザや管理者へ向けてセキュリティアドバイザリの内容をチェックするとともに、必要に応じてアップデートを実施するように呼びかけた。

発見された脆弱性の1つはSSL証明書の検証をバイパスできてしまうというもの。HTTP/2のレスポンスヘッダにAlt-Svcヘッダが指定されている場合、指定された代替サーバに対する検証処理が実施されず、不正なSSL証明書であっても警告が表示されなくなる危険性があるとされている。

この脆弱性を悪用されると、不正なSSL証明書を使って正規のサイトのように見せかけ、中間者攻撃(Man-In-The-Middle Attack)が行われる危険性がある。この脆弱性はFirefox 37.0.1で修正されている。該当するバージョンを使用している場合は迅速に最新版へアップグレードすることが推奨される。