tDiary にクロスサイトスクリプティング脆弱性

tamo 曰く、

tDiary の管理者用設定画面に任意のスクリプトを埋めることのできる脆弱性が発見されました。 この脆弱性は、安定版の 2.0.2 までと開発版の 2.1.4.20061115 までに存在します。 安定版をご利用の場合は 2.0.3、開発版をご利用の場合は最新スナップショットかパッチにより修正してください。 なお、この脆弱性は 株式会社セキュアスカイ・テクノロジー福森大喜氏が IPA に報告し、開発者が対策をした上で、 JVN#47223461として公表されています。

高木浩光先生のコメント

[IRCBOT (32650)]

高木浩光先生の一行批評 [hatena.ne.jp] によれば、

「想定される影響」で日記管理者への影響が明確にされていない。「悪意ある日記が公開される」なら2005-07-20の修正の際と同様の脅威「Webサーバ上で任意のコマンドがtDiaryの実行権限にて実行される」があるのでは？

だそうです。

追加修正

[deleted user (19654)]

ただのにっき [tdiary.net]に追加修正アナウンスがあります。
2006-12-10 [tdiary.org]の公式アナウンスもあります。
安定版は 2.0.4 が出てます。

何の機能

[O1iver (31019)]

何の機能を悪用したものなのでしょうか?
もうちょっと詳しく説明してくれないでしょうかね。

#まあ説明しちゃったら悪用されるかもしれないっていうんだろうけど。

Re:何の機能

[makochi13 (25998)]

たぶんtdiary.20061126.patch [tdiary.org]を良く見てねって事じゃないかな。

分かる人には日本語より分かり易いのかもｗ

Re:何の機能

[deleted user (19654)]

機能を悪用したというか、単に設定画面でのサニタイズ漏れなので、
変な URL をクリックしたらスクリプト入り設定画面に飛んで、
勝手に日記を書き換えられたり日記の重要なデータを盗まれたり
しちゃうかも、ということのようです。おそらく。

Re:何の機能

[deleted user (19654)]

tDiary をお使いのかたなら、
「追記」あるいは「編集」をクリックして、
そこから「設定」をクリックすると設定画面になることを
ご存じと思いますが、その「設定」リンクは

update.rb?conf=default

となっています。たぶんこの「default」という
任意入力をエスケイプすることなく設定画面の
HTML に出力しちゃっていたので、conf=<script>alert()...
みたいなことができかねない、ということかと。

$ head -n 5 tdiary-2.0.3/ChangeLog

[Anonymous Coward]

2006-11-26 TADA Tadashi <[e-mail]>
        * tdiary.rb, skel/conf.rhtml: security fix: escape HTML for conf parameter
        in update.rb.
        * tdiary/defaultio.rb: fix bug: error on Ruby 1.6.
        * release 2.0.3.