「tDiary に CSRF 脆弱性」記事へのコメント

任意のコマンド?

[Anonymous Coward]

CSRFはわかるのですが、Webサーバ上で任意のスクリプトやコマンドが 実行というのがわかりません。別の脆弱性もあるとかなのでしょうか?

Re:任意のコマンド?

[Anonymous Coward]

任意のコマンドの例が必要なのですか？

たぶん回答は↓

Re:任意のコマンド?

[deleted user (19654)]

tdiary の設定には @secure=true というのがあり、
これが false だと危険な変数代入やファイル操作をチェックしませんので
ページ書き換えや設定変更 = rubyスクリプトをなんでも実行可能 = 任意のコマンド
ということになるのだと思います。たぶん。

Re:任意のコマンド?

[Anonymous Coward]

えーということは、@secure = true で使っている人には影響ないってことであってますか?

Re:任意のコマンド?

[mass (8786)]

他の脆弱性と組み合わされない限りは、
サーバに被害を与えるようなことはされないと思われますが、
XSS を仕込まれて困るような Web サービスを提供していても
問題は発生するでしょう。（cookie に依存した何か、とか）

あとは、自分の日記が気づかない間に自分のものでない意見に
書き換わっていたりとか、そういう精神的な被害も考えられます。
こちらのほうが大きいのかもしれません。
バックアップを取っていない分の自分の日記が全部消されてたら
かなりショックです……。