tDiary に CSRF 脆弱性

mass曰く、"tDiaryの脆弱性に関する報告(2005-07-20) によると、Web 日記支援システム tDiary の 2.0.1およびそれ以前と 2.1.1 にクロスサイト・リクエスト・フォージェリ (CSRF) が発見された。安定版の 2.0.2 と開発版の 2.1.2 で対策がされている。tDiary は設定によっては日記の所持者に大きな実行権限が与えられるため、CSRF 脆弱性により tDiary が動作するWebサーバ上で任意のスクリプトやコマンドが tDiary の実行権限にて実行される可能性がある。利用者は直ちにアップデートされたい。
なお、謝辞によると本脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき、IPA 経由で、JPCERT/CC がベンダとの調整を行ったという。報告者は産業技術総合研究所 情報セキュリティ研究センターの大岩 寛氏と高木 浩光氏。今後も脆弱性情報が適切に報告・対応される環境が維持されることが望まれる。"

ユーザおよび開発者の留意点

[deleted user (19654)]

アップデートの際にはtDiary.org - tDiary 2.0.2、2.1.2リリース [tdiary.org]もご覧ください。

たとえばこんなことが書いてあります:

ユーザ側・Webサーバ側で特殊な設定をしている場合、日記の更新、設定の変更などができなくなる場合があります。

具体的には、以下の場合に問題が生じます。

  1. ブラウザからRefererを送出しない設定を行っている場合
  2. Webサーバにreverse proxyなどが導入された結果、ユーザに見えるupdate.rbのURLと、サーバの認識するURLが一致しない場合
  3. 今回の対策に対応しない、ブラウザ以外のクライアントを使っている場合

ユーザだから

[Anonymous Coward]

高木氏といえば「自宅の日記」 [takagi-hiromitsu.jp]で自らtDiaryを使ってらっしゃいますから、ユーザが問題を発見するというオープンソースの利点を裏書きしてくれたってことですかね。

任意のコマンド?

[Anonymous Coward]

CSRFはわかるのですが、Webサーバ上で任意のスクリプトやコマンドが 実行というのがわかりません。別の脆弱性もあるとかなのでしょうか?

Re:任意のコマンド?

[Anonymous Coward]

任意のコマンドの例が必要なのですか？

たぶん回答は↓

Re:任意のコマンド?

[deleted user (19654)]

tdiary の設定には @secure=true というのがあり、
これが false だと危険な変数代入やファイル操作をチェックしませんので
ページ書き換えや設定変更 = rubyスクリプトをなんでも実行可能 = 任意のコマンド
ということになるのだと思います。たぶん。

Re:任意のコマンド?

[Anonymous Coward]

えーということは、@secure = true で使っている人には影響ないってことであってますか?

Re:任意のコマンド?

[mass (8786)]

他の脆弱性と組み合わされない限りは、
サーバに被害を与えるようなことはされないと思われますが、
XSS を仕込まれて困るような Web サービスを提供していても
問題は発生するでしょう。（cookie に依存した何か、とか）

あとは、自分の日記が気づかない間に自分のものでない意見に
書き換わっていたりとか、そういう精神的な被害も考えられます。
こちらのほうが大きいのかもしれません。
バックアップを取っていない分の自分の日記が全部消されてたら
かなりショックです……。

Re:番組の途中ですが、CMです

[akudaikan (26016)]

それなら、IDで書き込めば？

Re:番組の途中ですが、CMです

[ruto (17678)]

あとでこのIDは私だということが証明できるので十分では。

Re:番組の途中ですが、CMです

[Anonymous Coward]

なぜID？実名でないと意味がない。
貴方のように、IDとその他の情報を結びつける何物も存在しない場合は特に。

Re:番組の途中ですが、CMです

[Anonymous Coward]

馬鹿だな。世の中に同姓同名が何人いると思ってるんだ。
住所と生年月日くらいはないと誰だかわからないだろ。

Re:番組の途中ですが、CMです

[Anonymous Coward]

こんなところで実名を書いても、誰も注目してくれないって。
後で自分のIDで検索して、ああこれが私の生きた証なんだなと自己満足できればそれで十分だよ。