2003年11月21日(金) 23時39分

Opera 7.22以前の全バージョンに任意のファイルを作成・実行される脆弱性（MYCOM PC WEB）

Webブラウザ「Opera」を日本国内で販売するトランスウエアは、Opera 7.22以前のすべてのバージョンに「特定のMIMEタイプを持つデータがユーザーに無許可でダウンロード・実行される問題」が含まれることを明らかにした。Opera日本語サイトのナレッジベースでセキュリティ情報( http://jp.opera.com/cgi-bin/supsearch2.cgi?options=index&name=j104 )として公開されている。

Operaは設定ファイルやスキンをダウンロードして自動的に適用する機能を搭載しているが、この際ダウンロードするファイルの拡張子は問わず、MIMEタイプのみでファイルの種類を確認している。そのため、悪意のある攻撃者によって、実行形式(*.exe)を含む任意のファイルをローカルに作成され、実行されてしまう可能性がある。

同社では近くリリースされる新バージョンでこの問題は修正されるとしているが、それまではファイルタイプの設定で「application/x-opera-configuration-*」および「application/x-opera-skin」の動作を、デフォルトの「Operaで開く」から「ダウンロードダイアログを表示する」に変更することを強く推奨している。

セキュリティ修正が行われた「Opera 7.21 for Windows」の日本語版リリース
http://pcweb.mycom.co.jp/news/2003/10/24/23.html

Opera、Windows版「Opera 7.2」正式版を発表 - Googleバナーも選択可能に
http://pcweb.mycom.co.jp/news/2003/09/24/24.html

Opera Software
http://www.opera.com/

トランスウエア Opera日本語版
http://jp.opera.com/

（MYCOM PC WEB）

http://headlines.yahoo.co.jp/hl?a=20031122-00000096-myc-sci