この問題は、Firefoxに限らず、他のブラウザにもとても強く関係する問題なので、是非みなさんも目を通しておいてください（多分、このブログを見てくださっているほとんどの人が対象者となると思われます）。
※技術者向けの記事ではなく一般向けの記事です。内容は、非常に難しいので、分かりやすいよう噛み砕いてご説明していますから、その点をご理解した上で、対処する際は必ずご自身で確かめた上で対策を施してください。
（続きはこちら）
１．対象者
【セキュリティー問題に関係ある人（該当条件）】
・Firefoxバージョン2.0以降をインストールしている人で、かつ、
・IEが入っている人
（OSがWindowsでありIEをアンインストールしていない人）
要するに、一般的な傾向から言えば、「Firefox2.0をインストールしている人全員が対象者」といってもいいでしょう。対象者はかなりの人数に登ると思われます。
しかも、危険レベルが非常に高いという話ですから事態は深刻です。
もちろん、普段、Sleipnirを使っている人もFirefoxをインストールしていればアウトですし、Operaな人も同様にFirefoxをインストールしていればアウトです。
２．内容
仕組みもちょっと複雑なので、順を追って説明していきたいと思います。
※いろいろなプレス発表を見て、私個人が理解した範囲ですから、もしかすると私が誤解をしている点があるかもしれません。もしそのような点にお気づきになりましたら、是非お知らせ下さい。
【だいたいの大雑把な流れ】
１．Firefox2.0系をインストールすると、「firefoxurl://」というURLハンドラが自動的に自分のPCに導入される
２．IEでウェブページを閲覧する
３．攻撃者が悪質なサイトにトラップを仕掛けておいた場合、IEでそのページを閲覧すると、そのfirefoxurl://を利用して攻撃者がユーザーシステムを操作できるようになってしまう恐れがある
（自分のPCが悪用される）
※handler
一般的には、外部割り込みにより起動される、割り込み処理ルーチンを指す。たとえばPCでは、マウスが移動されたとき、キーボードが押されたとき、モデムからシリアルポートにデータが到着したときなどにCPUに対して割り込みが発生する。するとCPUは、現在実行している処理を一時中断し、各割り込み番号に応じてあらかじめ設定された割り込み処理ルーチンを実行する。この場合のマウス処理ルーチン、キーボード処理ルーチン、シリアルポートの処理ルーチンなどがハンドラである。
またVisual C++に付属するMFCライブラリ（Microsoft Foundation Class library）では、Windowsから送られてくるメッセージに対応するメンバ関数をメッセージハンドラと呼んでいる。
□引用元：@nifty デジタル用語辞典:ハンドラ
Firefoxしか使わないよという人でも、多分、IETabとかは危ないでしょうし（未確認）、もちろん、たまたまIEでブラウジングしていたらアウトになってしまいます。
特に、Sleipnirのユーザーさんの場合はもっと深刻でしょうね。Sleipnirは、Trident エンジンを使用していますからね。実は、Developer's Blogの方でもその対策方法が公開されています（後述）。
Operaな方も、他のブラウザを使う機会があると思われますので、注意が必要です。
３．対処法
では、どうしたらいいか。その解決策は何かが次に問題となってくると思います。
１．各ブラウザ共通（とりあえずの暫定処置）
一番原初的な解決方法は、「firefoxurl://」を使えなくするという対処法が考えられます。実際、フランスのFrSIRTでは、次のような対処法を公開しています（英語版）。
※ただ、この操作は、レジストリを直接変更するので知識のない方は非常に危険です。よく分からない人はこの手段をとらない方がいいでしょう。また、この操作によって、不具合が生じても、私は一切責任を負わないものとします。
Solution
FrSIRT recommends disabling the "FirefoxURL" and "FirefoxHTML" handlers via the registry :
1 - Click Start, click Run, type "regedt32" and then click OK.
2 - In Registry Editor, locate the following registry keys : "HKEY_CLASSES_ROOT\FirefoxURL" and "HKEY_CLASSES_ROOT\FirefoxHTML
3 - Right-click on "FirefoxURL" and then choose Delete (or Rename).
4 - Right-click on "FirefoxHTML" and then choose Delete (or Rename).
The FrSIRT is not aware of any official supplied patch for this issue.
□引用元：Mozilla Firefox "FirefoxURL" URI Handler Registration Code Execution Vulnerability
解決方法（分かりやすく意訳）
FrSIRTは、レジストリを使って、"FirefoxURL"と"FirefoxHTML"のハンドルを使えなくすることを推奨する。
１．Windowsのスタートボタンをクリックして「ファイル名を指定して実行（R）」をクリックする（あるいは、ショートカットキー：Startボタン+R）
そして、「regedt32」と打ち込む
２．レジストリエディターが開くので、左側のフォルダ表示から、
「マイコンピュータ」の子フォルダ「HKEY_CLASSES_ROO」にある次の子フォルダ
「FirefoxURL」と「FirefoxHTML」フォルダを探す
３．その「FirefoxURL」で右クリックをし、「削除」するか「名前の変更」を選択する
４．その「FirefoxHTML」で右クリックをし、「削除」するか「名前の変更」を選択する
※詳しい内容をご自身で確認した上で、自己責任において対処を施してください。
２．Sleipnirでの対処法
Plugin 開発担当の大倉です。
Firefox が "firefoxurl://" というURLハンドラを使用することを悪用し、Internet Explorer 経由で Firefox の危険なコマンドが実行できてしまう。このようなセキュリティリスクに関する情報が公開されました。
この問題は Trident エンジンを使用する Sleipnir にも影響する可能性があります。レジストリの中の URLハンドラを削除する方法もありますが、レジストリ操作のスキルが必要なため、Sleipnir でできる簡単な方法を紹介します。
Sleipnir には URI アクションという機能があり、この機能を応用してサイト上に仕掛けられた危険な URL ハンドラを Sleipnir 上で無効化できます。
【手順】
1.ツール | URI アクションの有効 をチェック・オン
2.ツール | URI アクションマネージャ を選択
3.URI アクションマネージャの "追加" ボタンを実行
4.表示されたダイアログの URI 欄に "firefoxurl:*" を入力
5.アクション欄は "何もしない" を選択
6."OK" ボタンで保存
このような機能は常に実装と改善を繰り返しております。
念のために Sleipnir の最新版へのアップデートもご検討ください。
□Developer's Blog URI アクションの活用
３．一般向けの対処法
IEとFirefoxが対応するまで、極力IEを使うことは控える。
危険なサイト・怪しいサイトには行かない。
以上
参考：
□CNET-Japan 2007/07/11 13:57
IEとFirefoxをインストールしている人は要注意--「非常に重大」なセキュリティリスク
□INTERNET Watch 2007/07/11 20:15
Firefoxに危険度の高い脆弱性、IEからの呼び出しを悪用
おまけ（Joke）
○いわゆる勝ち組
１．Operaしかインストールしていない人（Opera最強伝説（笑））
Sleipnirしかインストールしていない人
２．Firefox1.5系のままな人
３．Linuxな人・Macな人
○いわゆる負け組
１．すべてに引っかかっているこのブログの管理人 (,,･｀ω･)
各種ソーシャルブックマーク：
|
|
;