みずほ証券の web で 4,300人のパスワードなど個人情報流出の危機 | ScanNetSecurity
2022.12.01(木)

みずほ証券の web で 4,300人のパスワードなど個人情報流出の危機

みずほ証券のWeb http://www.mizuho-sc.com/

製品・サービス・業界動向 業界動向
みずほ証券のWeb
http://www.mizuho-sc.com/

のログインページ、

http://www.mizuho-sc.com/sw/html/tosen/index.html

のフレーム内で読み込まれる

http://www.mizuho-sc.com/sw/cgi/disp.cgi?tosen/template/header.html

で用いられているcgiは、? 以降で指定されたファイルを読み込んで表示するcgiであった。上記URLであれば、tosen/template/header.htmlというファイルが表示される仕組みである。しかし、本来閲覧許可してよいファイル以外までをも自由に読み込んで表示させることができた。例えば

http://www.mizuho-sc.com/sw/cgi/disp.cgi?../../../../../../../etc/passwd

という記述でパスワードファイルを読み込むことができた。なお、該当パスワードファイルを確認したところ、幸いなことにshadowパスワードが用いられていることがわかった。

 ただし、ファイルを指定して何でも内容を見ることができるため、login.cgiをはじめ、cgiのソースの内容から(みずほ証券のサービスを受けている)ユーザ情報を引き出すことが可能だった。
 ただし、「実際に見て」確認していないので、あくまでも「可能性」にとどまっている。
 この問題について4/15 23:26にみずほ証券に連絡したところ、4/16 10:59頃からアクセスできなくなり、4/16 18:00に修正した旨報告を受けた。パスワードや個人情報を見られた可能性のあるユーザは4300人余りである。

http://www.kahoku.co.jp/news_s/20020416KIIAEA23510.htm

office
office@ukky.net
http://www.office.ac/

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×