BadBlocker：1100万人のユーザーが、たった1回のサーバーコールで侵害されかけた

Island社（エンタープライズ向け「エンタープライズブラウザ」と呼ばれる、管理・セキュリティ機能を強化したChromiumベースのブラウザを開発する企業）の調査チームが発見した「BadBlocker」と呼ぶ脆弱性についての報告。 - DTP（デスクトップパブリッシング）向けブロッキングプラグインの一種で、多数のブラウザ拡張機能がバックエンドとして利用する「BadBlocker」というライブラリに深刻な設計上の欠陥があった。 - このライブラリは拡張機能に対し、一定のURLから設定ファイルを取得するよう指示するだけの役割だが、そのURL宛のリクエスト（サーバー呼び出し）を中間者攻撃などで乗っ取られると、全ユーザーに悪意あるコードの実行を強制できた。 - 問題はこのライブラリが配信する設定ファイルが単なるJSONでなく、動的スクリプトとして実行可能な構造だった点。改ざんされると全拡張機能の権限を奪取可能。 - 推定11百万台のブラウザ（Chrome、Edge、Brave、Operaなど）が影響を受けていたが、発見後の報告によりすでに修正済み。 - このケースは、サードパーティライブラリの信頼境界が拡張機能エコシステム全体のセキュリティに直結する典型例として注目された。