日本ベリサインのWebに重大な問題が! ファイルが丸見えに | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.12.17(日)

日本ベリサインのWebに重大な問題が! ファイルが丸見えに

製品・サービス・業界動向 業界動向

 大手認証ベンダである日本ベリサインのWebサイトに、重大な問題点が発見された。今回発見された問題点は、以下のようなURLへのアクセスが可能であり、ファイルが閲覧できてしまうというもの。

https://www.verisign.co.jp/cgi-bin/haydn.exe?VHTML_FILE=../../../../../../etc/passwd
 上記の問題は次のような経緯で発見された。

 日本ベリサインが発行する「SecureSite シール」をクリックすると、小さなウィンドウがポップアップしてくる。そのウィンドウの内容が表示される途中にわずかな時間だけ出てくる画面が存在する。このHTMLソースには以下のような記述がある。

<FORM NAME=form1 METHOD=POST ACTION="https://www.verisign.co.jp/cgi-bin/haydn.exe"><INPUT type=hidden name="VHTML_FILE" value="../htmldocs/query/srv_Xdisplay.html">

 上記を見ると、value の値に "../" が入っており、”haydn.exe”の仕様として"../" が使用可能であることがわかる。
 また、”haydn.exe”というのは、VHTML_FILE で選んだ HTML をテンプレートにして、データを差し込んで表示するCGIであると推測される。

 以上のことにより、上記のURLの作成しCGIを実行させると、ある一定以上の権限を持たないと閲覧できないはずのフォルダまで表示させることとなってしまう。

 今回の件で問題となるのは、”haydn.exe”の仕様があまりにもセキュリティの配慮に欠けていた点にある。CGIは一般のユーザより強い権限を付与されるのが通常である。この”haydn.exe”は仕様として"../"が使用可能となっていた。"../"は上位のディレクトリを指すものであり、ファイルを表示させるCGIでこの"../"が使用可能となっていると、前出のURLのように作成したURLにあるファイルが、CGIの権限で閲覧可能になってしまう。
 なお、当然前出のURLのパスワードファイルは、通常の方法でアクセスしようとしても、適切なパーミッションにより外部から保護されていたと思われる。しかし、このようなCGIを作成してしまうと、パーミッションなどは全く意味を持たなくなってしまうのである。

 また今回の問題により、最悪の場合root権限まで奪われ、サーバをのっとられる可能性もあったのではないかとも考えられる。

 証明書を発行する立場である日本ベリサインが、このようなセキュリティへの配慮に欠けたシステムを構築していると言うことは、大きな問題である。一般消費者は、危険の多いECサイトなどを利用する際、同社が発行する証明書を頼りにしているはずである。その日本ベリサインがセキュリティへの配慮を欠いてしまっては、一般消費者は何を信頼すればよいのか分からなくなる。

 しかし、幸いなことに編集部より同社へと通告してから、わずか20分程度で同社より返事をもらうことができた。それによると、「問題を認識し、既にサーバを停止しした。修正と、今後問題の再発防止のためのプロジェクトチームを発足した。」とのことであった。これは、編集部が通報した企業の中でトップクラスの対応の早さであった。

 企業がインターネット上で事件を起こすことが多い昨今、その事後処理、事後対応をきちんとできる企業は極わずかである。一般消費者の多くがよりどころとする証明書の発行機関である日本ベリサインが、他企業の模範となる対応をしてくれることを期待する。


(詳しくはScan本誌をご覧ください)
http://shop.vagabond.co.jp/m-ssw01.shtml
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

製品・サービス・業界動向 カテゴリの人気記事 MONTHLY ランキング

  1. イスラエルのサイバー防衛たてつけ~視察団報告

    イスラエルのサイバー防衛たてつけ~視察団報告

  2. カスペルスキーに関する一連の報道に対し、代表取締役社長の川合氏が言及

    カスペルスキーに関する一連の報道に対し、代表取締役社長の川合氏が言及

  3. 次世代FW+Sandbox+SIEM+SOCの管理体制が限界を迎えるとき~三年後を先取りするVectra Networks社製品とは

    次世代FW+Sandbox+SIEM+SOCの管理体制が限界を迎えるとき~三年後を先取りするVectra Networks社製品とは

  4. シミュレーションゲーム「データセンターアタック」(トレンドマイクロ)

  5. サイバーセキュリティ経営ガイドライン改訂、経営者が指示すべき10項目見直しや事後対策取組など(経済産業省)

  6. 自分の利用しているサーバの状況を確認する方法 不正中継確認

  7. ダークウェブからAIで情報収集(DTRS、IISEC)

  8. 2020大会関係者向け疑似サイバー攻撃演習、システムを忠実に再現(NICT)

  9. EDRとSOCを連携させた標的型攻撃対策サービスを提供(TIS)

  10. 学校の自殺予防体制、情報セキュリティ技術活用

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×