セカンドライフにセキュリティホール、今週中に対応バージョン配布
2007年09月19日 10時00分
セカンドライフクライアントにおけるセキュリティの問題がニュースになっている。
ログイン時におけるID、パスワード情報が漏洩する可能性のある脆弱性。該当するWEBサイトあるいは、しくみがしかけられたHTMLメールを開くことでアタッカーの手の内に入ってしまうというもので、現段階では特に解決策はないと報じられている。だが、リンデンラボはこれをうけてアナウンスを行っている。
影響をうける可能性のあるクライアントバージョンは、現行最新版の1.18.2.0 から以前のもの。Mac, Linux、またWindow上でもFireFox利用の場合は該当しない。今週中に問題を解決して、バージョン1.18.2.1として配布予定という。
また、影響をうけない方法として、リンデンは公式ブログで、怪しいWEBサイトをIE(Internet Explorer)上で開かないこと。同様に’secondlife://’ で始まるURLにも足を踏み入れないようにとのこと。また、アクセスの覚えがない場合にセカンドライフが起動するような場合には、ただちにパスワードを変更することとしている。パスワード変更は(リンデン公式サイト→右上からログイン→右のタブからpasswordを選択で変更可能な画面にたどりつく)
また、PCログイン時のアカウント情報とセカンドライフクライアントのアカウント情報を分けて使用することをvirtualeconomicforumでは勧告している。この情報詐取を通じてどれほどのリアル規模での犯罪可能性があるかは不明だが、手持ちのリンデンドルをすべてうばいとられるといった可能性は大いに考えられる。
この手の問題はこれからも出てくるだろうが、セカンドライフに限らず、インターネット上のセキュリティに関しては、個人の危険に対する意識付けが必要となる。何か起きたときにばかり過剰反応するのではなく、パスワードを他の重要なものと共通にしない、むやみに怪しいサイトをクリックしないなど日頃の基本的な注意事項をあらためておくことのほうが大切だろう。
---今回の脆弱性の内容 ---------
URIハンドラ「secondlife://」を利用し、パラメータ「-autologin」「-loginuri」を設定→不正なサイトへアクセス→ユーザーネームとパスワードのハッシュをセカンドライフビューアーから詐取される可能性がある
--------------------------------
参考サイト:Security hole in Second Life software
Second Life URI Handler Registration Vulnerability
Security hole in Second Life client
Second Life URL Handler Exploit
----------
インワールドリポーター ChizzyDilley
この記事へのトラックバックURL
http://blogmag.ascii.jp/admin/mt-tb.cgi/726





