成りすましたウェブサイトに騙されない方法についてvia とめども日記

とめども日記では以下のように書かれている。

Microsoftはこのバグを修正しない、と言っているので、これから先IEを使ってネットショッピング等を行う際には、この確認を必ず行わなければならない、ということになります。馬鹿げた話だ。。。

これを読んでふと思った。「Microsoft のサイト内に、このセキュリティホールを使って URL を偽装してるところが存在するのではないか？だから修正しないのではなくて、修正できないのでは？」と。
以下、とめども日記が訂正された後に追加。
Microsoft 自身が使っていると思ったのは、単に「修正しない」ということだけが理由ではない。というのは、もともとITProでこの脆弱性を指摘した記事の中で確認できるが、非常に単純な方法で URL を偽装できるからだ。(この脆弱性の詳細)
この問題は、バッファオーバーランなどに起因する脆弱性とは全く質が異なっている。意図的にそのように作ってあるとしか思えない。
URL の中に特定の文字列を埋め込んでおくと、その文字列の前までをアドレスバーに表示し、その文字列から後をアクセス先の URL とみなす、という、明らかなルールだからだ。「この脆弱性は意図的に作られたものだ」と、大半のプログラマはそう感じるのではないかと思うのだが。。。