2016年07月04日
LINEアプリの脆弱性について
「LINE」のWindows版アプリに脆弱性、修正版は既にリリース済み -INTERNET Watch
これ見て、そもそもProgram Filesフォルダにインストールされたアプリって、そのフォルダにファイルコピーするのにも管理者権限要るんだから、これを脆弱性っていうのは「Windowsフォルダに不正なDLL突っ込まれたら脆弱性」って言ってるのと同じくらいナンセンスなんじゃね？っておもったんですが…。
Lineって、めんどくさいUACの問題迂回するために、そもそもユーザーフォルダにアプリインストールするのね。
これじゃあ仕方ないよ！
っていうか、Goole Chromeといい、そもそもデータ置き場として使用される場所にアプリケーションインストールするのを標準化するアプリの罪だと思うんだけど、どうなんですかね。
%APPDATA%フォルダに実行ファイル突っ込むアプリなんかセキュリティホール作ってるようにしか見えんのですが
Chomeは確か、インストール場所かえるオプションあったと思うんだけど、LINEの場合ユーザーフォルダに無条件で突っ込みますね‥‥、これはセキュリティ意識の違いなんでしょうか？
| 攻撃シナリオとしては、攻撃者があらかじめ細工したDLLファイルをユーザーのPCに送り、そのDLLが設置されたディレクトリでユーザーがPC版LINEを実行すると、意図しないDLLを読み込んでしまい、悪意のあるプログラムなど任意のコードが実行される可能性がある |
これ見て、そもそもProgram Filesフォルダにインストールされたアプリって、そのフォルダにファイルコピーするのにも管理者権限要るんだから、これを脆弱性っていうのは「Windowsフォルダに不正なDLL突っ込まれたら脆弱性」って言ってるのと同じくらいナンセンスなんじゃね？っておもったんですが…。
Lineって、めんどくさいUACの問題迂回するために、そもそもユーザーフォルダにアプリインストールするのね。
これじゃあ仕方ないよ！
っていうか、Goole Chromeといい、そもそもデータ置き場として使用される場所にアプリケーションインストールするのを標準化するアプリの罪だと思うんだけど、どうなんですかね。
%APPDATA%フォルダに実行ファイル突っ込むアプリなんかセキュリティホール作ってるようにしか見えんのですが
Chomeは確か、インストール場所かえるオプションあったと思うんだけど、LINEの場合ユーザーフォルダに無条件で突っ込みますね‥‥、これはセキュリティ意識の違いなんでしょうか？