YANO's digital garage

Internet Explorer 6 のアドレスバーに c:\aux と入力すると Ie がフリーズする、というウソのようなホントの話。

「auxを開くアプリケーションを…」って何よ？

Windows 9xで "c:\con\con" にアクセスするとWindowsが落ちた、通称 "conconバグ" (そのまんま…か)を髣髴とさせる、ていうよりも対岸の火事じゃあるまいし過去の苦い経験は活きてないのか？と小言の一つも言いたくなるような。こういう歴史は繰り返すなよ。

乗っ取りや情報漏洩等の重大なセキュリティホールでこそないが、ブラウザクラッシャとしては最も簡単な手段だし、スクリプトと組み合わせたらパソコンそのものを使用できなくするDoS攻撃に発展させる事もできるので笑って済ませられる問題ではない。

修正プログラムはまだ公開されていないが、BIOS設定やデバイスマネージャで全てのシリアルポートをDisableにすればフリーズする事は防げるそうなので早速....ていうか、ウチのマシンは元からそうなってるし。(^^)v

で…落ちなくなるのはいいとして、やっぱりデフォルトセキュアの原則からすると「auxを開くアプリケーションを…」っていきなり実行しようとするのはイケナイ事だと思います。早く直してよ＞マイクロソフト

ちなみにOpera 7.11では落ちたり固まったりする事はなく、タイムアウトエラーになるだけだ。とは言うものの、OperaはOperaで「単純なHTMLコードで起こるDoSの脆弱性」という問題もあるし、それ以前に頻繁に落ちるというのに閉口しているのだが....。取り敢えずMDIbrowserかSleipnirが無難かな。

【参照】
●ITmedia news
　-Internet Explorer 6が「c:\aux」でフリーズするバグ 2003年7月8日
　-Windows 95/98を簡単に落とす“CONCON問題” 2000年2月28日
●セキュリティホール memo
　-concon バグ再び? …
●full-disclosure
　-[Full-Disclosure] Internet Explorer 6 DoS Bug 2003年7月7日

●:: Operash ::
　-[Opera 7] 単純なHTMLコードで起こるDoSの脆弱性 2003年7月1日

●MDIBrowser配布用ページ
●sleipnir＠BearFactory