yohgaki's blog

タグ: Firefox

  • httpOnlyをFirefoxで

    PHP 5.2.0のsetcookie/setrawcookie関数からhttpOnly属性をクッキーにつける事ができるようになりました。httpOnly属性はMicrosoftが独自に拡張した仕様で、JavaScriptからクッキーの値を使用できなくする機能です。httpsでのみクッキーを送信するsecure属性に似ています。

    Microsoftの独自拡張なのでIEでは利用できましたがFirefoxでは利用できません。しかし、アドオンを使用することでhttpOnly属性をFirefoxでも利用できるようです。

    httpOnly
    by Stefan Esser

    Adds httpOnly cookie support to Firefox by encrypting cookies marked as httpOnly on the browser side, so that JavaScript cannot read them.

    Hardened PHP ProjectのSfefanさんが作者です。

    XSSで自分のセッションを盗まれるリスクが低減できるのでお勧めのアドオンだと思います。

  • Firefoxに未パッチの脆弱性

    ドメインに0xADが含まれているとヒープオーバーフローが発生するそうです。
    個人的にはIDNは不必要と考えていますが、IDN関係のコードかな? IDN以外でこんなバグがあるとは思えない。

    IDNはレジストラだけが儲かる仕組だと思います。一般ユーザやサイト運営に関わる人には全く利益無し、とまでは言いませんが不利益の方が利益を遥かに上回ると思います。IDNサポートは駆逐されて欲しい機能の一つですね。

    追記：
    http://security-protocols.com/modules.php?name=News&file=article&sid=2910

    Technical Details:
    The problem seems to be when a hostname which has all dashes causes the NormalizeIDN
    call in nsStandardURL::BuildNormalizedSpec to return true, but is sets encHost to an
    empty string. Meaning, Firefox appends 0 to approxLen and then appends the long
    string of dashes to the buffer instead. The following HTML code below will reproduce
    this issue:

    A HREF=https:———————————————

    Simple, huh? ;-]

    パッチはここから
    https://bugzilla.mozilla.org/show_bug.cgi?id=307259
    というかこれに書いたときにはパッチは有りましたね。広くリリースされてはいませんが。IDNは手動で無効に設定しておいても良いかも。

    network.enableIDN=false

    回避策として公開されていますね。
    https://addons.mozilla.org/messages/307259.html

    XPIでインストールしなくても about:config をアドレスバーに入力して network.enableIDN=false に設定すればOKです。