Operaブラウザにおける重大な脆弱性が発覚：パッチ適用もセキュリティ上の懸念が残る

悪意のある拡張機能がOperaのプライベートAPIにアクセスできる脆弱性

Operaウェブブラウザにおいて、悪意のある拡張機能が機密性の高いAPIに無断アクセスできる深刻なセキュリティ脆弱性が発見されました。この脆弱性によりアカウントのハイジャックやその他の重大なセキュリティ侵害のリスクが高まる可能性があります。Guardio Labsの研究者が発見したこの脆弱性は「CrossBarking」と名付けられ、Operaは2024年9月24日にこの脆弱性に関する報告を受けてパッチを適用しました。

脆弱性の原因：Operaのシステム内で特権を持つドメイン

この脆弱性の原因は、Operaブラウザの「Opera Flow」「Opera Wallet」「Pinboard」などの機能に割り当てられた特権付きドメインの処理方法にあることが判明しました。これらの特権ドメインは、Operaのネイティブコード内のプライベートAPIにアクセスできる権限を持っており、Guardio Labsの研究者は、悪意のある拡張機能がこの仕組みを悪用してコードを注入し、Operaのセキュリティ対策を回避する方法を発見しました。

証明実験によりリスクの可能性を実証

Guardio Labsは、「CrossBarking」の深刻さを証明するために、無害に見える「子犬テーマ」の拡張機能を使用して概念実証攻撃を行いました。この拡張機能をChromeウェブストアにアップロードし、Operaユーザーがインストールすると、Operaの特権ドメイン上で悪意のある操作が可能になることが確認されました。攻撃では、タブのスクリーンショットの取得やセッションCookieの抽出、DNS-over-HTTPS設定の変更などが行え、ユーザーが中間者攻撃やセッションハイジャックのリスクにさらされる可能性が示されました。

詳細なレポートはGuardio Labsの発表こちらから確認できます。この概念実証拡張機能は、Operaの厳格な拡張機能審査プロセスを回避できたため、悪意のある拡張機能が同様に潜り抜けるリスクが示されています。

ブラウザセキュリティに関するより広範な影響

今回のOperaの脆弱性は、拡張機能のセキュリティ管理においてブラウザが直面する課題に再び注目を集めています。Operaにおける「CrossBarking」問題は、以前に発見された「MyFlaw」と呼ばれる脆弱性に続くもので、この脆弱性はユーザーシステム上での任意ファイル実行を許していました。また、最近の調査では、30万件以上のGoogle ChromeおよびMicrosoft Edgeユーザーが、データ流出機能を備えた悪意のある拡張機能の影響を受けていることも確認され、リスクが一層浮き彫りになっています。