未対策・未発表な多数の国内産脆弱 94
なくならないXSS 部門より
jbeef曰く、"「セキュリティーホール調査」と題する日本語で記述されたWebサイトに、多数の脆弱性情報が公開されている。いくつかは「パッチ/対策済み」とされているが、半分以上が「未対策」とされている。「私が発見した」と書かれており、BUGTRAQ等には投稿されていないことから、「未発表」な「国内産」の脆弱性情報であると言える。各ページには「概要」「影響を受ける環境」「方法」「危険性」「対策法」が記述されているが、ベンダーの対応状況は書かれておらず、ベンダーへの通知なしに暴露されたものかもしれない。
公開されているものには、IE、Windows Media、Real Player、Winamp、Microsoft Word、PowerPoint、Googleツールバーに関するものの他、DonutPやSleipnir、Lunascapeなど、国産の「タブブラウザ」に関する脆弱性がある。さらには、Webサイトの脆弱性として、国内のメジャーサイトのクロスサイトスクリプティング脆弱性が多数（Yahoo! Japan、MSN、Infoseek、goo、NAVER、livedoor、楽天、はてな、excite、Doblog、2log、amazon.co.jp、UFJ銀行、ジャパンネット銀行、Bidders等）と、Hotmailとgooフリーメールの脆弱性が公開されている。
このページがいつから公開されていたかは不明であるが、"www2.sala.or.jp/~uuu/security/"で検索してみると、今年5月下旬からローカルな掲示板等では既に話題になっていたことが観察される。この人物は、かつて、2001年にも同様の情報を公開していたことがあった。セキュリティホールmemo 2001年12月25日付の「知能力学研究所」の部分にその記録がある。archive.orgの記録によると、当時「セキュリティー情報(ネット海賊ネコネコ団)」と題して公開していたが、後に「準備中」という表示になって閉鎖されていた経緯がある。"
これを書いておかないとまずいと思う。 (スコア:2, おもしろおかしい)
Re:これを書いておかないとまずいと思う。 (スコア:1)
外でやればOK?(違
----------------------------------------
You can't always get what you want...
Re:これを書いておかないとまずいと思う。 (スコア:1)
発見日 = 未対応の確認日、というのが... (スコア:2, 参考になる)
全部チェックしたわけじゃないですが、問題のサイトでは「未対応」となっているけど、実際には対応済みというところも結構あるようです。
mozilla (スコア:2, 参考になる)
mozillaCSSにおけるjavascript起動 (スコア:2, 参考になる)
朗報！と思いまして脊髄反射で手元で試験しました。最新版のFirefoxで検査しましたが、以下のことが判明しております。
formのinput要素のスタイル指定で背景画像のURIにjavascriptを指定すると作動いたしました。location.replace関数で見事にgoogle.comに飛んでいきました。
スラドのXSS対策が効いて全角がまざったりしますが検証したコードを書いておきます。urlの中の”は実際には文字参照してください。ここで文字参照書いても駄目みたいなので。
[input type="text" style="background-image:url('javascript:location.replace("http://www.google.com")')"]
| 慈愛こそ慈愛
Re:mozillaCSSにおけるjavascript起動 (スコア:1)
document.location
document.close
document.open
window.location
window.closed
window.Components
window.document
window.frames
window.history.back
window.history.forward
window.history.go
window.parent
window.self
window.top
window.window
window.blur
window.close
window.escape
window.focus
window.unescape
にはアクセスでき、それ以外のプロパティや存在しないプロパティにアクセスしようとすると
Error: uncaught exception: Permission denied to get property Window.onabort
のようなエラーが出ます。
window.close()を行うと
Scripts may not close windows that were not opened by script.
とエラーが出ます。
ほとんどは無害なものですが、document.open()をLinux上のFireFox0.8で行ったところクラッシュしました。
また、window.history.go(0)を行うと無限にリロードを繰り返します。Escで止められます。
見落しやタイプミスはあるかもしれませんし、ソースを見ていないのではっきりしたことは分りません。より新しい版では違うかもしれません。
MozillaCSSからのcookie操作はやはり可能 (スコア:1)
javascript:(function image(){document.cookie=location.href;alert(document.cookie)})()
要は、勝手に作った関数の中に放りこんでしまえば uncaught exception にはならないということです。これが意図した仕様かどうかは不明です。背景画像にjavascriptを設定出来ると発生する(cookieを盗むという意味の狭い定義の)XSS脆弱性はMozillaでも他のブラウザ同様ではないでしょうか。また、XSS脆弱性はcookieを盗む以外でも多種多様な手が考えられますが関数を呼び出せば恐らくそちらも同様に可能でしょう。
|
|
| 慈愛こそ慈愛
Re:MozillaCSSからのcookie操作はやはり可能 (スコア:1)
bugzillaだと
css background url allows execution of javascript and allows opening of other non-graphic URIs [mozilla.org]
が近いでしょうか。でもちょっと違いますね。
公開の必要性 (スコア:1, すばらしい洞察)
ベンダーへの通知より先に公開してしまうことにはどんなメリットがあるんだろう？
一般ユーザのセキュリティ意識を高める？リスキーすぎると思うけどなぁ。
Re:公開の必要性 (スコア:1)
逮捕されちゃったりしないんでしょうか？
And now for something completely different...
Re:公開の必要性 (スコア:0)
Re:公開の必要性 (スコア:0)
決め付けちゃいけませんよ、*同時*かもしれないでしょう。
それはともかく、「未発表」の脆弱性というのはなんだかなあ、
少なくともこの人は自分のサイトで「発表」してるんじゃないの？
# もちろん、より適切な場所が他にあるのは否定しません。
Re:公開の必要性 (スコア:0)
Re:公開の必要性 (スコア:1)
＞これぞ正しい脆弱性の公開方法だ。
そうする目的、というか、あなたの考えている理想のネット社会のあり方はどのようなものなの？
Re:公開の必要性 (スコア:2, すばらしい洞察)
＃ベンダに通告することに報告者に何のメリットもない上、業務妨害等恫喝される可能性すらある以上、私もこれが正しい脆弱性の公開方法だと思いますね。
Re:公開の必要性 (スコア:2, すばらしい洞察)
（恫喝ではなく）実際に訴えられる可能性があると思えるんですが。
ベンダへの通告に報告者にメリットがないのは同感です。
ただ、私にはベンダに報告しないリスク（デメリット）の方が大きい様に思えます。
# 間違いがなくても訴えられるリスクは考えた方が良い気がしますけど。
Re:公開の必要性 (スコア:1, 興味深い)
見つけても黙ってるか、
情報をWinnyみたいなもので流すことで発信者の特定を逃れるか、
どっちかしかないってことですね
Re:公開の必要性 (スコア:1)
これは事実ですけど、そのための匿名。間違いがなくとも訴えられるのは、すでに事例としてあるわけですから、間違いを気にすることにほとんど意味はありません。一方、ベンダの利害は関知しなくとも、その利用者に対して当該ベンダの脆弱性情報は参考になりますし、実際の PoF を合わせて公開すれば確認も出来る (その際に不正アクセスにならないようにしなければならないですし、法治国家とは縁も縁もない日本の場合それがかなり難しいのは確かですけど)。そういう意味で、匿名の場で情報の交換が出来るのは、現在の状況からするととても好ましいことに感じます。少なくともまるで信用の出来ない IPA や JPCERT を頼るよりは遙かにましでしょう。
Re:公開の必要性 (スコア:1)
# ちょっと話の繋がりが見えませんが、今回のHPって匿名なんでしょうか？
# まあ、実名表記はなさそうですけど。その程度の匿名だと訴訟対策としては、意味はないと思いますが。
閑話休題。
匿名によるリスクの低減というのは否定はしませんし、匿名の場で情報の交換の場があっても
良いと思います。
が、匿名の推奨というのはまんま(#597913) のご自身の意見を否定している気がしますが。
匿名では本人の自己満足以上のメリットはないですし、メリットがない以上、当人の善意
をあてにしないと成り立ちません。
まあ、情報交換の場には同好の士が集まるでしょうから趣味としては満足出来るのがメリット
といえばメリットなんでしょうけど。いずれにせよ、それだと趣味の域を出ないと思います。
それが大きな信用を得るには、より多くの善意の積み重ねが必要だと思いますよ。
Re:公開の必要性 (スコア:1)
＃第一、悪意が本当にあるならもっとそれなりのやりようがあるわけで。
Re:公開の必要性 (スコア:1)
って事で、まずは自分がベンダーの善意を信じて通報することをオススメ。
『常識的』な応対を心がければ、別に変な事にはならないと思いますよ。
＃精々が無視されたりする程度。
Re:公開の必要性 (スコア:1)
「自分の善意を無根拠・無条件で完全に信じろ。」
って言っていながら、自分は
「おまえらの善意なんか一切合財全然これっぽっちも信じないもんね。」
ってのがデフォルトなのかってのが疑問なんだけど。
自分で相手との対人関係を信じないって言う態度が出ていれば、当然相手も信じられないでしょうに。
それに、大抵の相手はこちらがサイコな発言や行動をしなければ、祟ってきたりはしないもんです。
Re:公開の必要性 (スコア:1)
=^..^=
Enjoy Computing, Skiing, as much as Horse Racing.
Re:公開の必要性 (スコア:0)
危険性がわかればそのサービスを使わないという事で、ベンダーの対処以前に安全になれる。
脆弱性報告窓口 (スコア:1)
制度化しようとしているところですが、
まだ現実的になってないですね．
経産省のソフトウェア脆弱性報告基準が施行、運用が始まる [srad.jp]
IPAが脆弱性の通報・告知・公開の体制作りを提言 [srad.jp]
やなぎ
字面じゃなく論旨を読もう。モデレートはそれからだ
Re:脆弱性報告窓口 (スコア:0)
タレコミ人 (スコア:0)
Re:タレコミ人 (スコア:1)
タイトルが切れてしまった (スコア:1)
未対策・未発表な多数の国内産脆弱性情報が暴露
このサイト管理者の連絡先 (スコア:0)
Re:このサイト管理者の連絡先 (スコア:0)
Re:このサイト管理者の連絡先 (スコア:1, 興味深い)
yahoo.co.jpも利用できますが、「実アドレス」として使う人はいないでしょう。
Re:このサイト管理者の連絡先 (スコア:0)
まずいね (スコア:0)
見事に使えるものがいっぱいありますな。
その方面の人にとっては既知の事なのかも
しれませんけど。
Re:まずいね (スコア:2, 参考になる)
Hiki なページ立てさせて頂きました (スコア:3, 参考になる)
Re:まずいね (スコア:2, すばらしい洞察)
たまにC:\とかフルパス指定で展開されて
どこに展開されたのかよくわからなくなることがあります。
これも脆弱性の一つなのかな？
LAN内LAN稼働中
Re:まずいね (スコア:1)
「このコマンド打つとここにうんちゃら」とか教えるのが面倒だから、中身をa:\にして(@PC98)。
海外のzipファイルを持ってきたら、c:\に固定されていて困った記憶もあります。
そうか…こういう悪用方法もあるのか…まずいな。
Re:まずいね (スコア:1)
Re:まずいね (スコア:2, 参考になる)
9xだとAllUsersみたいなのが環境によってあったりなかったりだった気もしますが、
上書き警告をOFFにしてたら、autoexec.batを上書きしてしまえばとか有りますね。
天琉陳(Teruching)
Re:まずいね (スコア:1)
恥ずかしい…
天琉陳(Teruching)
Re:まずいね (スコア:0)
Re:まずいね (スコア:2, 参考になる)
・Windows95→「SETUP /AT」でOSをセットアップする。
・Windows98→HDDをフォーマットした後、「SYS /AT」でシステム転送する。
その後普通にセットアップ。
・Windows2000→普通にセットアップするだけでC:ドライブ（またはそれ以降）になる。
＃むしろ、Aドライブセットアップするほうが苦労します（NT4からアップグレードしかない）
＞MS-DOSにパッチを当てれば
PATCH IO [vector.co.jp]ですな。
Re:まずいね (スコア:1, 興味深い)
妙なパスのZip作ってそれをダブルクリックして
XP標準機能のフォルダ的表示機能で見たらなんだか
妙な事になるから、この辺にも何か穴がありそうだなとか。
Re:脆弱と言えばM$の代名詞 (スコア:1)
-- 哀れな日本人専用(sorry Japanese only) --
Re:脆弱と言えばM$の代名詞 (スコア:2, 興味深い)
[google:脆弱 Windows] [google.com] 139000
[google:脆弱 microsoft] [google.com] 98000
[google:脆弱 マイクロソフト] [google.com] 76900
[google:脆弱 リナックス] [google.com] 6480
ま、だからLinuxが安全で、MS-Windowsが危険、と結論できるものでもありませんがね。
Re:脆弱と言えばM$の代名詞 (スコア:1)
#どうすれば"M$"を検索できるんだろう？
Re:サイトが休止した模様 (スコア:1, 参考になる)
Re:はてなダイアリーにおける対策実施 (スコア:1)
| 慈愛こそ慈愛