Firefox 3.5 に対するゼロディ攻撃への対処法

Firefox 3.5.1 にバージョンアップすれば、この対策は必要ありません 2009-07-17 追記

久しぶりにセキュリティ関連の話題

脆弱性情報

1. Critical JavaScript vulnerability in Firefox 3.5 at Mozilla Security Blog（英語）
2. Firefox 3.5に深刻な脆弱性、セキュリティパッチ公開まで「回避策」を
3. 「Firefox 3.5」にゼロデイ攻撃に悪用可能な脆弱性--モジラ報告:ニュース - CNET Japan
4. Mozilla Firefox Memory Corruption Vulnerability（英語）

• 要するに、Firefox 3.5 の特徴でもある JIT(Just-in-time) JavaScript コンパイラの脆弱性を突くことで悪意のあるプログラムが実行される可能性があるということ
• 問題が修正されるまで回避策（JITコンパイラ=TraceMonkey を使わないよう設定）で対応するとしましょう

回避策１：about:config を使って設定

1. URL が表示される場所（ロケーションバー）に about:config と入力しエンター
2. 設定値を絞るため「フィルタ：」に .jit. を入力
3. javascript.options.jit.content の設定値を false に変更する

回避策２：Configuration Maniaを使って設定

• 「デバッグ」→ 「JavaScriptのJITコンパイラ(TraceMonkey)を有効に：(Firefox3.5以降)」のチェックを外す

回避策３：Firefox 3.5 をセーフモードで使用

実用的ではないので省略