CSSXSSについての質問（すでに対策がされたかどうか、について）

Question

ユーザーが自由に、自分のユーザーページをCSSで装飾できるようなWebアプリを開発しようと思っております。

しかし、IEにはCSSXSS脆弱性があったということを知っているので、対策方法を調べてみましたが、情報量が少なかったので質問させていただきます。

１０年ほど前に、すでにこの脆弱性に対するパッチが配布された、という情報を見つけたのですが、これは、CSSXSSを気にする必要はもうすでに無い、ということでしょうか？

ちなみに、IE6のような古すぎるIEからのアクセスは拒否する予定です。

Answer 1

CSSXSSは、ブラウザが「CSSでない」ファイルをCSSだと誤認して読み出せてしまうことによる脆弱性であって、CSSに特殊な記述をすることで発生する脆弱性ではありません（@ITより）。

一方で、IE7までには、CSS内でJavaScriptを書ける「expression」という独自拡張があります。色々できてしまうのですが、厳密に対応するのは難しいこと、IE8でもedgeモードでは動かないこと、ユーザー自身が設定するものであることを踏まえれば、放置しておいてもそこまで深刻な問題になることもないと思います。

Comments

[SofPyon]

回答ありがとうございます。

expressionは深刻な問題にならないということですが、「CSSだと誤認して読み出せてしまうことによる脆弱性」の方は、無視しても良いのでしょうか？(@import のCSSファイルの検証もする、など)

[maisumakun]

上の@ITの図にあるように、攻撃者の設置したWebサイト経由でCSSXSS攻撃を仕掛けることも可能なので、サイト内で使うCSSを確認したところでまったく対策になりません。ブラウザ側で対策してもらうしかありません。

Answer 2

CSSXSSを気にする必要はないと思われます。
パッチが当たっていないようなPCは影響を受けるかもしれませんが、それはそのPCの自己責任でしょう。

Comments

[SofPyon]

回答ありがとうございます。

「ユーザーの自己責任」ということも考えてみます。