みずほ証券の web で 4,300人のパスワードなど個人情報流出の危機 | ScanNetSecurity
2020.12.03(木)

みずほ証券の web で 4,300人のパスワードなど個人情報流出の危機

みずほ証券のWeb http://www.mizuho-sc.com/

製品・サービス・業界動向 業界動向
みずほ証券のWeb
http://www.mizuho-sc.com/

のログインページ、

http://www.mizuho-sc.com/sw/html/tosen/index.html

のフレーム内で読み込まれる

http://www.mizuho-sc.com/sw/cgi/disp.cgi?tosen/template/header.html

で用いられているcgiは、? 以降で指定されたファイルを読み込んで表示するcgiであった。上記URLであれば、tosen/template/header.htmlというファイルが表示される仕組みである。しかし、本来閲覧許可してよいファイル以外までをも自由に読み込んで表示させることができた。例えば

http://www.mizuho-sc.com/sw/cgi/disp.cgi?../../../../../../../etc/passwd

という記述でパスワードファイルを読み込むことができた。なお、該当パスワードファイルを確認したところ、幸いなことにshadowパスワードが用いられていることがわかった。

 ただし、ファイルを指定して何でも内容を見ることができるため、login.cgiをはじめ、cgiのソースの内容から(みずほ証券のサービスを受けている)ユーザ情報を引き出すことが可能だった。
 ただし、「実際に見て」確認していないので、あくまでも「可能性」にとどまっている。
 この問題について4/15 23:26にみずほ証券に連絡したところ、4/16 10:59頃からアクセスできなくなり、4/16 18:00に修正した旨報告を受けた。パスワードや個人情報を見られた可能性のあるユーザは4300人余りである。

http://www.kahoku.co.jp/news_s/20020416KIIAEA23510.htm

office
office@ukky.net
http://www.office.ac/

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×