ブロードバンドサービス「BROBA」の掲示板にCSS脆弱性が見つかる | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.08.19(土)

ブロードバンドサービス「BROBA」の掲示板にCSS脆弱性が見つかる

製品・サービス・業界動向 業界動向

──────────────────────────────〔Info〕─
☆' S┃D┃E┃X┃個┃人┃向┃け┃キ┃ャ┃ン┃ペ┃ー┃ン┃!┃。* ☆
* 。━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛ ○。
○ o。* ☆o'*o。 期┃間┃限┃定┃!┃9┃8┃0┃0┃円┃* ☆o。*O
≪12/1〜1/9まで≫ ━┛━┛━┛━┛━┛━┛━┛━┛━┛━┛。o* ☆.。
詳細→ http://www.vagabond.co.jp/cgi-bin/ct/p.cgi?sdx01_netsec
───────────────────────────────────


 エヌ・ティ・ティ・ブロードバンドイニシアティブ株式会社の提供するブロードバンドサービス「BROBA( http://www.broba.cc/ )」にクロスサイトスクリプティング(CSS)脆弱性が発見された。

 今回CSS脆弱性が発見されたのは、BROBA会員に無料で提供されている掲示板システム。なお、本件は外部の第三者によって編集部へと通報された。この掲示板システムでは、ユーザの入力をチェックせずに出力しており、悪意スクリプトなどを埋め込むことにより、サイト訪問者に被害を与えることが可能となっていた。
 編集部から、BROBAへと通報した数日後、BROBAより「修正しました」との返事をもらう。もとの通報者へと確認したところ、修正が不十分であることが判明する。

 BROBA側で行われた修正は、入力時に正規表現処理によって回避しようというもの。しかし、この方法ではタグなどはサニタイジングされないため、脆弱性が残ってしまっていた。

 また、チェックをするのが入力時のみであり、表示する際には何らチェックが行われていないため、もとの通報者が書き込んである攻撃コードは、この段階でも有効なままであった。(IPAなどでは、表示時にサニタイジングすることを推奨している)

 なお、本件(修正が不十分であり脆弱性が残っている件)については、BROBAへと通報済みであるが、現在のところその後の対応についてBROBAからの連絡は入っていない。
《ScanNetSecurity》

Scan PREMIUM 会員限定

もっと見る

Scan PREMIUM 会員限定特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

製品・サービス・業界動向 カテゴリの人気記事 MONTHLY ランキング

  1. ルートゾーンKSKの情報更新など呼びかけ、期限は9月19日まで(総務省)

    ルートゾーンKSKの情報更新など呼びかけ、期限は9月19日まで(総務省)

  2. ネットユーザの1/4が影響する可能性、KSKロールオーバーの特設ページ更新(JPNIC)

    ネットユーザの1/4が影響する可能性、KSKロールオーバーの特設ページ更新(JPNIC)

  3. 3DS「ドラクエXI」に第三者が違法にデータ改ざんしたヨッチ族を確認(スクウェア・エニックス)

    3DS「ドラクエXI」に第三者が違法にデータ改ざんしたヨッチ族を確認(スクウェア・エニックス)

  4. リニューアルされた「JSOC」運用開始前に潜入

  5. SOC運用ノウハウの反映で攻撃プロセスを可視化、検知後の対応を効率化(PFU)

  6. VMwareのモバイル基盤サービスを自社導入ノウハウ加え提供、働き方改革にも(NEC)

  7. 自分の利用しているサーバの状況を確認する方法 不正中継確認

  8. サイバー攻撃対策要員養成アカデミーに産業制御系システム対応コースを新設(DNP)

  9. 家庭や学校、企業で利用可能な初心者向け学習資料をシリーズで無償提供(トレンドマイクロ)

  10. IoT機器向けのセキュリティソリューションで協力(ST)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×