「ADサーバー掲出タグによるセキュリティアラートと対処について」記事へのコメント

OpenXの脆弱性

[hauncon (35640)]

MicroAD社のVASCOというサービスですが、ちょっと調べるとオープンソースのOpenX [openx.org]というソフトウェアを利用したサービスということが分かります。 そのOpenXですが、今月14日にセキュリティアップデートの案内 [openx.org]を出しており、該当記事のコメント [openx.org]にあるニュース記事へのリンク [h-online.com]を辿ると、今回と同じように脆弱性をつかれてマルウェアを配布し、Googleの警告が出るという事例が出ているようですので、今回の騒動もOpenXの脆弱性が問題だったのかもしれません。

記事で書かれているOpenXの脆弱性は、ビデオプラグインに関するもので、ofc_upload_image.phpというコードが、ユーザ認証もなしで、実行可能スクリプトもサーバー上に保存できるというもののようです。対応としては、admin/plugins/videoReport/lib/ofc2/ofc_upload_image.php のファイルを消すだけということですので非常に簡単なように見えますが、実行可能スクリプトを好きにuploadできるということは、既に脆弱性を突かれた大元の広告サーバーについては、該当ファイルを消したとしても他のサーバー内のファイルは信用できないということになります。もしこの脆弱性が突かれていたとしたら、MicroAD社のサービスを切り離すのは正解でしょう。

また、今回の問題がこの脆弱性に起因するものでなかったとしても、この脆弱性が残るOpenXを使用しているサイトには同じ騒動を起こさせることが可能かと思いますので、広告関連の業界の方はチェックが必要でしょう。

--
Hauncon

Re:OpenXの脆弱性

[Anonymous Coward]

影響を受けたサイトのうちgigazine.netとlifehacker.jpは、現在、ページのソース見るかぎりはVASCOのではないけれどOpenXっぽいシステムを使っているようです。
気になるのは、以前はVASCOを使っていたのかということ。
つまり、以前はVASCOと共に併用していて、今回VASCOを外した結果なのか、それとも以前からVASCOは使っておらず、MicroADとは別のOpenXを使ったシステムで、MicroADと同じ攻撃を受けた結果だったのか、と言う所。
確たる情報もなく、憶測でしかありませんが、概ね同じ頃に影響を受け、比較的短時間で復旧しているっぽいので、前者なかと思っていました。
しかし、事が起こる前の事は確認のしようがないし、中の人じゃないと実際の所は分からないと。

そういえばWeb魚拓ってありましたね。
ギガジンのは残ってないのですが、ライフハッカーの方はありました。
http://megalodon.jp/2010-0718-1818-42/www.lifehacker.jp/2010/07/100716virutalbox.html
＃事件の後ですし閲覧はご注意を。
このソースを見るかぎりVASCOを使用しているような所はありません。
もしかして後者だったのでしょうか？
＃実際は自社広告システムで各社のサービスに振り分けているだけかもしれませんが。

※以上については過分に憶測が入ってます。

GIGAZINE

[doda (31157)]

GIGAZINE は VASCO を使っていたようです。

http://gigazine.net/index.php?/news/comments/20100927_security_tool/ [gigazine.net]

Re:

[Anonymous Coward]

document.writeでどんどんネストできるので表面上のHTMLからは判断できませんよ。ここみたいにすぐにログが取れる人たちが集まっているといろいろ跡が残りますが、各社現場の人間がリアルタイムにキャッチしていて、普段からセキュリティに注意している人がいないとまず無理でしょう。被害も本格的にはこれからでは？　そのときにはどこから感染したのかわからないでしょうかけど。