iモードブラウザ2.0再始動

リリース直後に不具合が判明して、機能を殺すアップデートをしないとiモードを使わせない^*1という事態になっていた、iモードブラウザ 2.0がやっとつかるようになるみたいです。問題の発生から既に半年近く経っていたので、深刻、かつ、なかなか根が深い問題だろうと読んでいましたが、このCNETの記事でちょっと触れられている内容を読む限りでは、セキュリティ的にかなり深刻な問題があったことが覗えますね。

iモードブラウザ、ようやくJavaScript対応へ--不具合解消のアップデートを開始:モバイルチャンネル - CNET Japan

NTTドコモは2009年夏モデル以降の機種に、iモードブラウザ2.0とよばれる新ブラウザを搭載し、JavaScriptやCookie、Refererなどに対応した。しかし、「有料会員登録をしていないにもかかわらず、有料コンテンツが利用できるなどの不具合が生じた」（NTTドコモ広報）ため、一部機能を停止したうえで端末を販売していた。

ケータイサイトはセッション周りとか、XSS対策が甘いところもかなり多いイメージがあるので、それを使って認証が突破できる不具合となると、CookieやReferer、JavaScriptを利用してセッションキーが漏洩したりとか、もしくは（ちょっとこれはできるかどうかわかりませんが）JavaScriptでHTTPのヘッダの書き換えが可能だったりしたのかなぁ。

• ^*1: ドコモのN-06A/P-07A、ソフト更新未適用でiモード利用不可に