【マンスリーレポート 2003/06】@niftyで発覚したクロスサイトスクリプティングの問題とその対処 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.11.23(木)

【マンスリーレポート 2003/06】@niftyで発覚したクロスサイトスクリプティングの問題とその対処

製品・サービス・業界動向 業界動向

 国内プロバイダ大手の@niftyのフォーラムにクロスサイトスクリプティングの脆弱性が発見された。クロスサイトスクリプティングを簡単に言うなら、他人のWebページでスクリプトを勝手に実行できてしまう、ということ。@niftyには多くのフォーラムが存在し、それぞれに掲示板がある。問題はこの掲示板でHTMLタグの利用が可能であったことが、クロスサイトスクリプティングの脆弱性につながる結果となった。
 現在、この問題に対しては@nifty側で対処済みなので、この後で述べるような現象は発生しない。また、クロスサイトスクリプティングを悪用して盗み出した情報がクレジットカード番号などであれば事態は深刻なものになるが、該当する@niftyフォーラムでは、今のところこのような具体的な被害報告はない。
 この問題について、問題発覚から会員への告知、対処までを@nifty広報室からのコメントを交え、レポートとしてお送りする。


>> niftyフォーラムで起こった問題の内容

 会員制フォーラムを利用するためのログインフォーム、検索フォーム、そして発言可能な会議室で、利用者が入力したHTMLタグやスクリプトがそのまま出力されるようになっていた。このためCookieの漏洩、セッションハイジャックやログインフォーム自体の偽装が可能となってしまう。
 たとえば実際に発言の練習ができる「お試し掲示板」というものが@niftyのフォーラムに存在するが、ここに任意のHTMLタグや実行可能なスクリプトを書き込むことができる。このため、会員はこのような掲示板を利用するときに、個人情報を盗まれる可能性があるというものだ。

 これ以降、場面ごとにインタビューで得られた、@nifty広報からのコメントを掲載するが、かなり慎重で言葉を選んでの回答だった、という印象を強く受けた。

■当問題の内容についての@niftyコメント
───
 当社のコミュニティサービス「@niftyフォーラム」「@niftyコミュニティ」の掲示板にて、悪意を持ってタグを使用した場合、掲示板利用者に被害が及ぶ可能性があることが判明しました。
 よって、6月20日(金)の19時をもって掲示板でのタグの使用を一時停止しました。
 なお、具体的な現象については利用者の安全性を第一に考え、公表は控えさせていただいています。
───


>> 問題発覚から初期対処まで

 実際には現象に気づいた利用者がフォーラムマネジャに連絡し、フォーラムマネジャが現象を確認したようである。@niftyではこの時点でタグの利用を一時的に中止している。また、その後も数回にわたるメンテナンスでシステムの調整を行っている。
 現在、掲示板では危険と思われるHTMLタグやスクリプトが発言内容に含まれる場合、これらは削除した状態で書き込まれる。これにより新規の発言ではタグを入力した部分が抜け落ちた状態で表示される。
 発言するためのページにも、その旨の注意書きがあり、具体的に入力出来ないタグについてのヘルプ画面も用意されている。


【執筆:高野芳郎(アイドゥ)】

(詳しくはScan Security Managementをご覧ください)
http://shop.vagabond.co.jp/m-ssm01.shtml

=====================================================
◇Scan Monthly Report Best Worst
http://shop.vagabond.co.jp/p-sbw01.shtml

◇ネットワークセキュリティ・インシデント年鑑2003
http://shop.vagabond.co.jp/p-inc02.shtml
=====================================================
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

製品・サービス・業界動向 カテゴリの人気記事 MONTHLY ランキング

  1. 「Office 365」のアカウント情報が漏えいすると企業の脅威になる可能性(IPA)

    「Office 365」のアカウント情報が漏えいすると企業の脅威になる可能性(IPA)

  2. 自分の利用しているサーバの状況を確認する方法 不正中継確認

    自分の利用しているサーバの状況を確認する方法 不正中継確認

  3. 次世代FW+Sandbox+SIEM+SOCの管理体制が限界を迎えるとき~三年後を先取りするVectra Networks社製品とは

    次世代FW+Sandbox+SIEM+SOCの管理体制が限界を迎えるとき~三年後を先取りするVectra Networks社製品とは

  4. 新たにCISOを設置、SOCにCSIRTとPSIRT機能を集約し経営体制を強化(東芝)

  5. サイバーセキュリティ経営ガイドライン改訂、経営者が指示すべき10項目見直しや事後対策取組など(経済産業省)

  6. イスラエルのサイバー防衛たてつけ~視察団報告

  7. 人の動作に偽装するボットアクセスを検知(アカマイ)

  8. セキュリティ専門家がCSIRTの新規構築、既存の見直し・強化を支援(SBT)

  9. ITだけでなくOT、IoT分野のセキュリティインシデントに早期対応するSOC(日立システムズ)

  10. 自社技術とトレンドマイクロ製品で、ネットワークセキュリティの実証実験(IIJ)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×