GMail コンタクトリスト流出か

• GMail Vulnerable To Contact List Hijacking
• GMail Hacked: Visit ANY Website, and Your Whole Contact List Can be Stolen
• Gmail Bug: Your Gmail Contact List is Being Expose to Spammers
• Serious Gmail vulnerability fixed

簡単な JavaScript を使うと、GMail へログインしたままのユーザからコンタクトリストを盗み出す事が可能だという脆弱性に関する問題が論じられている。一部の記事では Firefox だけでなく、IE や Opera でも動くコードだとしている。現在、調査・修正過程にあるものと思われる。
今回話題に挙がっているのはコンタクトリストの搾取だが、昨年末に一部のユーザにあった、GMail の全メール、コンタクトリストの消失被害とも関係している脆弱性だろうと推測される。
関連して次のような、これまた恐ろしいページも公開されている。Opera ユーザ以外の digg.com 登録者は開かないように。

Are you logged in on digg and not using Opera? Well if you are, you will digg this story either if you like it or not.

「あなたが digg にログインしていて、Opera を使っていないならば、あなたが digg しようがしまいが、この記事を digg した事になる」という冒頭の警告。セッション乗っ取りという技法らしい。

• CSRF クロスサイトリクエストフォージェリとは。
• 当面のところ、使わない時は GMail からログアウトしときましょうと呼びかけている人もいる。

my.opera forum で yngve はブラウザ側の脆弱性ではないとコメントしている。

If that report is correct, it is NOT the browsers that are vulnerable, it is GMail.

本家から数日遅れが恒例のスラッシュドット・ジャパンにも、珍しく素早くスレが立っていた。- Google: Gmailに脆弱性、Google Calculator停止中

Googleの検索ボックスから使える「電卓」「通貨換算」が利用できなくなっていた。現在は復帰している。

速報とはいえ、原因がはっきりしているのに言及が無いと、結果として隠蔽体質に手を貸している事にならないか。