本コーナーでは、EdMax、EdMaxフリー版のセキュリティホール関連の情報を掲載しています。より安全にお使いいただくために、極力、対策済みの最新版をご利用いただきますようお願い申し上げます。
2005/05/26 : mailto: URL関連のセキュリティホール
- 内容
- ホームページ上のmailto: URLをクリックした時、EdMaxを起動するように設定にしている場合、EdMaxが起動して、EdMaxのメッセージ作成画面が表示されます。この際、mailto: URLが特殊な形式をしている場合には、宛先以外に、Bcc, Ccが設定されます。これに気付かずに、メッセージを作成し、送信してしまうと、宛先以外に、Bcc, Cc へも、そのメッセージが送信されてしまいます。
もっとも、Bcc, Ccが設定された場合、下記のように、メッセージ作成画面上の、Bcc, Cc ボタンのランプが青色に点灯しますので、Bcc, Cc 設定の認識は可能です。それに気付かずに、または無視して、うっかり送信してしまった場合の話です。
------> 
- 問題の発生する版
-
EdMax Ver3.05及びそれより前の版
EdMaxフリー版 Ver2.85.5F及びそれより前の版
- 対策
-
EdMax Ver3.06で対策済みですので、Ver3.06以降の版を使用してください。
EdMaxフリー版 Ver2.85.6Fで対策済みですので、Ver2.85.6F以降の版を使用してください。
- 補足
-
対策版では、ホームページ上のmailto: URLをクリックしても、Bcc, Ccが設定されることはない（無視する）ようにしてあります。
なお、以前の版でも、Bcc, Ccを常時表示に設定しておくと、Bcc, Ccの設定内容を確認できます。
Bcc, Cc ボタンのランプ点灯により、少なくとも該当情報設定の認識は可能ですので、本件は、緊急度：小、重要度：小 と考えます。
- 謝辞
-
本脆弱性情報は、下記の方からの関係機関への報告による、当該機関からの通知、調整に基づき認識、対応したものです。
報告者： 株式会社ビジネス・アーキテクツ 太田 良典氏
通知機関： JPCERT コーディネーションセンター (JPCERT/CC)
一般情報： JVN#FCAD9BD8 メールクライアントソフトにおける mailto URL scheme の不適切な解釈
2003/07/16 : 添付ファイル指定関連のセキュリティホール
- 内容
- 受信したメールに偽装されたEdMax独自添付ファイル用ヘッダがある場合、添付ファイル(指定)を削除すると、ローカルファイルが削除される可能性があります。
- 問題の発生する版
-
EdMax Ver3.04及びそれより前の版
EdMaxフリー版 Ver2.85.4F及びそれより前の版
プラグイン alist Ver1.01及びそれより前の版
- 対策
-
EdMax Ver3.05で対策済みですので、Ver3.05以降の版を使用してください。
EdMaxフリー版 Ver2.85.5Fで対策済みですので、Ver2.85.5F以降の版を使用してください。
プラグイン alist Ver1.02で対策済みですので、Ver1.02以降の版を使用してください。
- 補足
-
もし旧版で該当すると思われるメールを受信した場合には、右最下部の添付画面内の添付ファイルアイコンを右クリックして、「添付指定の解除」コマンドを実行すると危険は解消されます。
該当するか否かは、ビュー画面でヘッダをフル表示にして、EdMax独自添付ファイル用ヘッダを確認していただくと分かります。なお、この辺の意味等が不明な場合は、早めに最新版にバージョンアップしていただくのが賢明です。
EdMax IPv6対応版(暫定版)にも同様の問題があります。こちらは、現在、未対応ですのでご使用いただいている場合には、ご注意してお使いください。