水無月ばけらのえび日記

ブラウザの DoS 話

「IE6を一行でクラッシュさせるコード (slashdot.jp)」。ちなみにこの手のクラッシュを IPA 経由で届け出ると、MS は「脆弱性じゃありませんがありがとう」という感じの反応をして、特に何事もなく終了します。そのうち直るかもしれませんし直らないかもしれません。そんなもんです。

実はブラウザに対する DoS ってあまり深刻な問題として受け止められないのですよね。というのも、ブラウザに対する DoS 攻撃はあまりにも容易だからです。たとえば、

なんてのが実行されると、たいていのブラウザは DoS 状態になります。しかし、だからといってブラウザ側で有効な対策ができるわけでもありません。これはそういうものだとしか言いようがありませんので、「Web ブラウザは悪意あるサイトにアクセスすると DoS 状態になることがある」ということが前提になってしまいます。

※ちなみにこの攻撃はスクリプト無効で回避できます。DoS が嫌だという人はスクリプト無効が必須になりますね。:-)

というわけで、単にクラッシュするというだけでは脆弱性だと認められるのは難しいでしょう。もちろん、バッファオーバーフローのおそれがある、というところまでちゃんと主張できれば違ってきますが……。

• 「ブラウザの DoS 話」へのコメント (4件)

関連する話題: セキュリティ / Internet Explorer / Firefox / IPA