ApacheのサーバがXSSでセッションハイジャック、パスワード流出の可能性（Apache）

製品・サービス・業界動向

2010.4.15 Thu 20:45

Apacheの「Apache Infrastructure Team」ブログによると、バグトラッキングソフト「JIRA」をホスティングしているサーバにターゲット攻撃が発生した。これは4月5日、同サーバの管理者が「ive got this error while browsing some projects in jira （tinyurl.com/XXXXXXXXXへのリンク）」というメッセージのURLをクリックしたことが原因で、このTinyURLを使った短縮URLにはクロスサイトスクリプティング（XSS）によってセッションを含んだCookieを盗む攻撃コードが仕込まれていた。この罠を含んだリンクをJIRAの管理者がクリックしたことで、管理者権限を含んだセッションが攻撃者に奪われ侵入された可能性がある。

また、それと同時に攻撃者は、JIRA login.jspに対するブルートフォース攻撃を実施し、4月6日にはJIRAアカウントのパスワードを推測する攻撃を行った。このどちらかの攻撃が成功したことにより管理者権限が奪われ侵入されてしまった。この攻撃により、JIRA、Bugzilla、Confluenceユーザのハッシュ化されたパスワードが流出した可能性があるとして、ユーザに注意喚起を発表している。なお、サービスは4月10日までに復旧しているという。

https://blogs.apache.org/infra/entry/apache_org_04_09_2010

ApacheのサーバがXSSでセッションハイジャック、パスワード流出の可能性（Apache）

特集

クロスサイトスクリプティング（ XSS：Cross site scripting ）

製品・サービス・業界動向アクセスランキング

度を超えたハラスメント行為者セガ従業員に損害賠償支払い2024.7.26 Fri 8:05

マクニカネットワークスが忘れない CrowdStrike 三つのエピソード2019.3.7 Thu 8:30

大阪の奇跡「純国産SOCサービス」セキュアヴェイル、垂直統合までの20年2021.6.23 Wed 8:15

GMOイエラエ、カルチャーデック公開2024.7.24 Wed 8:00

日本規格協会、ISO / IEC 27002 の改訂を受け「JIS Q 27002:2024」発行2024.7.23 Tue 8:00

ExcelおよびPowerPointのセキュリティ機能をかいくぐるマクロについて警告（マイクロソフト）2001.10.11 Thu 12:00

遠隔制御中のパソコン画面に透かし文字を表示、画面盗撮やPCの画面キャプチャでの漏えいを防止2022.7.29 Fri 8:00

「Apex Legends」高ランク帯のマッチ向けにDDoS攻撃からの保護機能を実装2023.1.27 Fri 8:00

クラウドストライクとゼットスケーラーがグローバル戦略パートナーシップを拡大2021.4.5 Mon 8:05

イエラエセキュリティ、日本語で米国Offensive Security社との共同資格取得コースを提供2022.2.25 Fri 8:00