パスワードを忘れた? アカウント作成
1656 story

Namazu 2.0.8 リリース 8

ストーリー by knok
セキュリティには気を付けよう 部門より

Namazu Project より 2.0.8 をリリースします。
今回の変更点は cross-site scripting 脆弱性の修正のみです。 サーバ側に対しなんらかの影響があるような、いわゆる remote exploit ではありませんが、クライアント側になんらかの 影響を与える可能性があります。特に cookie を併用しているような 場合では注意が必要です。
今回のリリースに合わせて、 Namazuのセキュリティに関する考察も更新しました。 合わせてみていただけると幸いです。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • この記事を見て、素早く2.0.8を上書きインストールしたところ、mknmzが上手く動作しない気が。
    うちの環境だけかもしれないですが‥‥。

    具体的には、mknmzを実行しようとすると

    Undefined subroutine &gfilter::mediatype called at (eval 36) line 1.

    と、perlのエラーが返ってきたので。

    # ちなみに当方の環境はslackware 7.0(古‥‥)にperl5.6.1、kakasi-2.3.4、Text-Kakasi-1.05、nkf171、File-MMagic-1.12。
    # と言うか、namazu.orgの方に伝えるべきか。
  • by Anonymous Coward on 2001年11月27日 19時51分 (#41757)
    Namazu を使う場合って、生成された HTML は入力した人が見るだけだから cross-site scripting で第三者に悪影響が出るようなことはないように思えるんですが、具体的にどのようなことが起こりうるんでしょうか。
    • 基本的に、cross-site scripting は能動的な攻撃にはなりえないとは思います。 なんらかの興味を引くような URL をメールなどで示すことで、 そこに誘導させるのが典型的なやりかたではないでしょうか。

      そういう中で、"namazu.cgi" という(それなりに知られた) cgi を介した URL があれば、なんとなく安心して click してしまうようなケースも もしかするとありえるのではないかと思います。

      --
      knok
      親コメント
    • by qbin (4949) on 2001年11月27日 20時19分 (#41761)
      検索文字列等はGETメソッドで渡されるから、
      他のサイトやメールのリンクをクリックしたり
      <META>でとばしただけでHTMLタグが埋め込まれたページに
      誘導できます。
      あとは、そのHTMLタグに細工をすれば、
      (そのページでしか得ることのできない)
      クッキーを他のサイトに送信したりできますよね。:-)
      親コメント
      • なるほど解りました。
        例えば、悪意を持った人が他所のページにある namazu.cgi から悪意を持ったコードを返すようなリンクを自分のページに作れるということですよね。
        ご説明ありがとうございます。cross-site scripting ってよく理解できてなかったようです。
typodupeerror

192.168.0.1は、私が使っている IPアドレスですので勝手に使わないでください --- ある通りすがり

読み込み中...