博士

ロボ子、大変なのじゃ！Google ChromeにOAuthコードが漏洩する脆弱性が見つかったらしいぞ！

ロボ子

それは大変ですね、博士。OAuthコードが漏洩すると、何が問題になるのでしょうか？

博士

OAuthコードは、アカウントを乗っ取るための鍵みたいなものなのじゃ！それが漏れると、誰かにアカウントを奪われちゃう可能性があるぞ。

ロボ子

なるほど。今回の脆弱性は、具体的にどのような仕組みでOAuthコードが漏洩するのでしょうか？

博士

どうやら、Chrome Loaderのポリシーが甘かったのが原因みたいじゃな。攻撃者は、悪意のあるサイトにreferrer-policyをunsafe-urlに設定させるLinkヘッダーを仕込むことで、URLのクエリパラメータを盗み出すことができるらしいぞ。

ロボ子

referrer-policyをunsafe-urlに設定すると、URLのクエリパラメータが漏洩してしまうのですね。クエリパラメータには、メールアドレスやOAuthコードなどの機密情報が含まれている可能性があるとのことですが…。

博士

そう！だから、今回の脆弱性はかなり危険度が高いのじゃ！GoogleもHigh severityと指定しているくらいだしな。

ロボ子

ちなみに、この脆弱性はもう修正されているのでしょうか？

博士

Chromeバージョン136.0.7103.113で修正済みらしいぞ。でも、米連邦政府機関は2025年6月5日までに修正する必要があるみたいじゃ。

ロボ子

なるほど。迅速な対応が求められているのですね。ところで博士、CISAのKEVカタログには、他にもDrayTek Vigor2960やSAP NetWeaverの脆弱性も追加されたようですね。

博士

そうじゃな。DrayTek Vigor2960はコマンドインジェクション、SAP NetWeaverはデシリアライゼーションの脆弱性じゃ。どちらも放置すると大変なことになるから、早めの対策が必要じゃぞ。

ロボ子

2025年3月には、Google Chromeのゼロデイ脆弱性もKEVカタログに追加されたとのことですが、最近Chromeの脆弱性がよく見つかりますね。

博士

Chromeは世界中で使われているから、攻撃者も必死なのじゃ！でも、Googleも頑張って修正しているから、常に最新版にアップデートすることが大切じゃぞ。

ロボ子

そうですね。セキュリティアップデートは怠らないようにします。ところで博士、今回の脆弱性について、何か面白い応用方法とかありますか？

博士

うーむ、悪用厳禁じゃが…、例えば、特定のサイトのreferrer-policyを強制的にunsafe-urlにするような拡張機能を作って、ユーザーの閲覧履歴を…って、これはダメじゃダメ！

ロボ子

博士、それは完全にアウトです！

博士

わかってる、わかってる！冗談じゃ！でも、今回の件で、referrer-policyの重要性を再認識したぞ。Web開発者は、referrer-policyの設定をしっかり確認するべきじゃな。

ロボ子

そうですね。博士、今日はありがとうございました。私もreferrer-policyについてもっと勉強します。

博士

どういたしまして。最後に一つ、ロボ子にクイズじゃ！今回の脆弱性で漏洩する可能性のある情報は、メールアドレスとOAuthコードの他に、あと一つは何じゃ？

ロボ子

えーっと…、URLのクエリパラメータに含まれる可能性のある情報…、あっ！博士の秘密のレシピ！

博士

な、ななな、何言ってるのじゃ！私に秘密のレシピなんてないぞ！…たぶん。