このAndroidブラウザのバグにより、KitKatにアップグレードできます

したがって、同一生成元ポリシーが重要であることを私たちは知っています。また、標準のAndroidブラウザーに大規模な障害が発生すると、攻撃者がこの重要なセキュリティ対策を回避する可能性があることを私たちは知っていますか？しかし、それはどのように機能しますか？

さて、Rafay Balochによって与えられた概念実証は、次のようになります。

[利用できなくなりました]

それで、ここには何がありますか？ええと、iFrameがあります。これは、Webサイトが別のWebページを別のWebページ内に埋め込むことができるようにするために使用されるHTML要素です。主にSEOの悪夢であるため、以前ほど使用されていません。ただし、それでも時々それらを見つけることが多く、それらはまだHTML仕様の一部であり、まだ非推奨ではありません。

続いて、入力ボタンを表すHTMLタグがあります。これには、特別に細工されたJavaScript（末尾の「\ u0000」？）が含まれており、クリックすると現在のWebサイトのドメイン名が出力されます。ただし、Androidブラウザのエラーにより、iFrameの属性にアクセスし、JavaScriptアラートボックスとして「rhaininfosec.com」を出力することになります。

Google Chrome、Internet Explorer、Firefoxでは、このタイプの攻撃は単にエラーになります。また、（ブラウザによっては）JavaScriptコンソールにログを生成し、ブラウザが攻撃をブロックしたことを通知します。ただし、何らかの理由で、Android4.4より前のデバイスのストックブラウザはそれを行いません。

ドメイン名を印刷することはそれほど壮観ではありません。ただし、Cookieにアクセスして、別のWebサイトで任意のJavaScriptを実行することは、かなり心配です。ありがたいことに、できることがあります。

何ができるか？

ユーザーにはここでいくつかのオプションがあります。まず、標準のAndroidブラウザの使用を停止します。それは古く、安全ではなく、現在市場にははるかに魅力的なオプションがあります。 GoogleはChromeforAndroidをリリースしました（ただし、Ice Cream Sandwich以降を実行しているデバイスのみ）。FirefoxとOperaのモバイル版も利用できます。

特にFirefoxMobileは注目に値します。すばらしいブラウジング体験を提供するだけでなく、Mozilla独自のモバイルオペレーティングシステムであるFirefox OS用のアプリケーションを実行したり、すばらしいアドオンを豊富にインストールしたりすることもできます。

https://www.youtube.com/watch?v=zCe_1DxBQDc

特にパラノイアになりたい場合は、FirefoxMobile用のNoScriptの移植もあります。ただし、ほとんどのWebサイトはクライアント側の優れた機能をレンダリングするためにJavaScriptに大きく依存しており、NoScriptを使用するとほとんどのWebサイトがほぼ確実に機能しなくなることに注意してください。これはおそらく、ジェームズ・ブルースがそれを「悪の三部作」の一部として説明した理由を説明しています。

最後に、可能であれば、Androidオペレーティングシステムの最新バージョンをインストールすることに加えて、Androidブラウザを最新バージョンに更新することをお勧めします。これにより、Googleがこのバグの修正をさらに後からリリースした場合でも、保護されます。

ただし、この問題がAndroid4.4KitKatのユーザーに影響を与える可能性があるという噂があります。しかし、読者にブラウザを切り替えるようにアドバイスするのに十分なほど実質的なものは何も現れていません。