パスワードを忘れた? アカウント作成

こちらは、Arimacさんのユーザページですよ。 スラドのRSSを取り込んでみよう。

13404453 submission
マイクロソフト

AppleとGoogleが修正し、Microsoftが修正しなかった脆弱性とは

タレコミ by headless
headless 曰く、
Microsoftはセキュリティ脆弱性として報告されたバグをセキュリティ脆弱性ではないなどの理由で修正しないこともあるが、AppleやGoogleが3月に修正したのに対し、Microsoftだけが修正しなかったという脆弱性をCiscoのTalosグループが公表した(Talosのブログ記事TALOS-2017-0306The Registerの記事Softpediaの記事)。

脆弱性はApple SafariやGoogle Chrome、Microsoft Edgeでコンテンツセキュリティポリシー(CSP)のバイパスが可能になるというもの。攻撃の流れとしてはContent-Security-Policy HTTPヘッダーで「'unsafe-inline'」を有効にし、「window.open()」で空のドキュメント(about:blank)を開く。新しいドキュメントは元のドキュメントと同一生成元だが、CSPが無効化されるため、「document.write」関数でコードを書き込めば同一生成元ポリシーを無視して他のWebサイトからデータを読み取ることができる。

Talosでは脆弱性を発見後、2016年11月29日にMicrosoftに通知したが、Microsoftは今年3月に仕様であり、脆弱性ではないと回答。Talosは再考を促したものの、修正の予定はないとの回答を受けて9月6日に脆弱性を公表した。一方、AppleはiOS 10.3およびSafari 10.1で修正済み(CVE-2017-2419)、GoogleもChrome 57.0.2987.98で修正済み(CVE-2017-5033)だ。なお、Mozilla Firefoxでは新しいドキュメントが元のドキュメントからCSPを継承するため、同様の問題は発生しなかったとのことだ。
13377675 comment

Arimacのコメント: Re:定期的にパスワードを変更することが無意味なことは昨今では頻繁に説明されており (スコア 1) 126

無意味ではない。
パスワードが流出した事に管理者が長期に渡って気づいていないか公表していないか、盗んだ犯人が長期に渡って悪用していない場合に意味がある。

普通は流出すると速攻で悪用すると考えられるので
流出→悪用までの間に運よくパスワード変更してたら助かるよね(^^;
という話。

昔はパスワード解析に時間が掛かると考えられたけど、平文で保存するおバカな管理者も居たり超高性能コンピューターもあったりでそうも行かない今日この頃。

typodupeerror

開いた括弧は必ず閉じる -- あるプログラマー

読み込み中...