Firefox 3.5が入手可能になり、現在までに世界で2400万回ダウンロードと、すごい速さでホットなダウンロードアイテムとなっている。同ブラウザ自身はより高速に、より安全に、より良いものになっているとうたわれているが、慎重でないとする理由はない。我々の脆弱性アナリストの一人が先日、このビデオを見つけた。同ビデオのタイトルは「Firefox エクスプロイト」となっているが、我々が分析した限り、このエクスプロイトは実際にFirefoxを標的としてはいないようだ。
この攻撃はむしろ総合的なものだ。少なくとも3種のエクスプロイトが試され、それらの実行が関係してはいる。これらのエクスプロイトは脆弱なAdobe Flashプレイヤー（CVE-2007-0071）とMicrosoft ActiveX Controls（CVE-2008-0015）を標的にしている。最後のエクスプロイトは、近頃、広く流布しているものだ。
しかし使用されているベクターは、脆弱なWebアプリケーションの信頼できる、正当なルートだ。よってこれは基本的に、まったく新しい装いではあるがお馴染みのホールと言える。ブラウザをアップデートすれば良い。しかし同時にWebアプリケーションをアップデートしないなら、あまり良いとは言えない。ブラウザをアップデートする際には、予防策として、すべてのプラグイン、アプリケーションなどをアップデートするのを忘れないように！
とは言うものの、我がエクスプロイト・チームは現在、これらエクスプロイトの特定機能をより詳しく調べている。何か興味深い機能が見つかったら、アップデートを追加する予定だ。
追記：この悪意あるサイトのエクスプロイトは、以下の脆弱性を標的としている：
• CVE-2009-1136
• CVE-2008-0015
• CVE-2008-2463
• CVE-2007-0071
これらの脆弱性の3種はActiveX Controlsに関連するものだ。CVE-2009-1136は、最新のMicrosoft Security Advisory（973472）に関するもので、この記事の次に投稿された我々の記事（上を参照）にも関連している。Internet Explorer 6あるいは7で、悪意あるサイトにアクセスすると、ブラウザがクラッシュし、ペイロードが実行されることになる。
Firefox 3.5に、より影響を与える唯一の脆弱性は、Flashプレイヤーに影響するCVE-2007-0071のようだ。最新のFlashプレイヤーで、あるいはプレイヤー自体をインストールしていない状態で悪意あるサイトにアクセスした場合は、自動ダウンロードを誘発することは無いかもしれない。
しかし、だからと言って悪意あるサイトにアクセスした場合、100パーセント安全というわけではない。同サイトのコンテンツは、ビデオが登場した後に変更されているようなので、同エクスプロイト（あるいは標的とされる脆弱性）も、変更されている可能性があるからだ。
よってブラウザ、あるいはWebアプリケーションのバージョンが何であれ、既知の悪意あるWebサイトにはアクセスしないことが大切だ。
