mod_sslにXSS攻撃を許すバグ

k3c 曰く、 "mod_sslにXSS攻撃を許すバグが発見された。"UseCanonicalName"オプションがオフ、かつワイルドカードDNSを許可している場合、クライアントからのリクエストに含まれるホスト名とポート番号をエスケープせずに返してしまうとのこと。このバグを含んだmod_sslを用いているサーバに対してHTMLやスクリプトが含まれたリクエストを(たとえばリンクのURLに記述するなどして)送信させることで、クライアントのWebブラウザにHTMLやスクリプトを処理させることができ、XSS攻撃が成立する。
mod_sslおよびそのミラーサイトから対策済みのバージョン2.8.12-1.3.27がダウンロードできるほか、Debian GNU/LinuxやMandrakeからもAdvisoryが出ている。"

all or nothing

[deleted user (3598)]

何でもかんでもエスケープして返すようにする、っていうんだとインプリメントが楽かなぁ、なんて思うんですが、そういう話じゃないんでしょうかしらん？

例えばC言語だったら、PUTCHARっていうマクロを作ってエスケープしてからputcharを呼ぶ、みたいに考えたんですけど...

--
=^..^=
Enjoy Computing, Skiing, as much as Horse Racing.

Re:all or nothing

[deleted user (1544)]

mod_escape とかいう名前でつくる。

Re:all or nothing

[Anonymous Coward]

プレーンテキストしか扱えなくなる。
しかもtarballの中身もスケープしてしまう。

すべてを棄てる覚悟でそうしても…

[keis (6580)]

text/plainを勝手にhtml扱いするブラウザ [moonwolf.com]に裏切られる。

しかもバージョンで挙動が異なりイヤになる。

Re:すべてを棄てる覚悟でそうしても…

[tix (7637)]

親コメントの話は、 Content-Type: text/html としておいて、＜＞＆をエスケープするという話であって、 IE などが Content-Type: text/plain の指示を無視することがある問題とは関係がないと思いますよ。

--
鵜呑みにしてみる？

Re:すべてを棄てる覚悟でそうしても…

[Anonymous Coward]

ネタにマジレスしてもアレだが。
tarballを云々してる#189705の段階で、既にまっとうな議論の対象外だろ。(w

Re:すべてを棄てる覚悟でそうしても…

[tix (7637)]

うー、すみません。野暮でした。

--
鵜呑みにしてみる？

Re:all or nothing

[Anonymous Coward]

使い方を誤り，多重エスケープや多重デコードバグが多発します。
# i.e. slashcode

Re:all or nothing

[Anonymous Coward]

Cだったら多重エスケープとかどうしても出るだろうね。
C++なら、escaped_stringとunescaped_stringで型を分ける手はありそうだけど。
エスケープを間違えたら即コンパイルエラー、という仕掛け。
でもエスケープの種類によって型の数が爆発しそうな気も。

ワイルドカードDNS

[Anonymous Coward]

ワイルドカードDNSを使う運用って一般的なんですか? 自分でDNSを設定するときには、ワイルドカードは使ったことがないです。.

Re:ワイルドカードDNS

[Anonymous Coward]

wildcard MXとか一見便利そうに見えた時代もありましたが、
本当に必要だと確信できる場合以外は止めた方が身のためです。

既出？

[Anonymous Coward]

既出の類似記事（XSS脆弱性を修正したApache 1.3.27 & 2.0.43 リリース Oliver による 2002年10月05日 19時21分 の投稿） [srad.jp]との関係性を教えてほしい。

Re:既出？

[Anonymous Coward]

それは Apache。今度のは mod_ssl。