先に、「CVE-2008-5814を巡る冒険」にて、CVE-2008-5814脆弱性があるとdisplay_errorsがOnの環境下でXSS脆弱性となる場合があることを説明しました。しかし、display_errorsがOnの環境下ではCVE-2008-5814脆弱性がなくても、XSS脆弱性となる場合がしばしばあります。 これは、display_errorsによるエラーメッセージ表示がHTMLエスケープされていないことが原因です。簡単なサンプルを以下に示します。 <?php ini_set('display_errors', 1); // display_errorsを有効にする $a = array(); // 配列の生成 $index = $_GET['x']; // 配列のインデックスを得る $b = $a[$index]; // 配列の要素にアクセス このスクリプトに、x=<sc
21日23:10追記 Twitter公式ブログが脆弱性の修正を報告（英文）。だが全Twitterサーバに修正が反映されるまで時間がかかる可能性もあるため、当分は要注意。 Twitterの脆弱性を使ったコードが急速に拡散し、意図しないツイートをしてしまうケースなどが多発している。当面の対策として、WebブラウザからTwitter公式ホーム画面にアクセスしないなどの対策をセキュリティーソフト会社やユーザー有志が呼び掛けている。 Kaspersky Labのブログによると、Twitterに存在するクロスサイトスクリプティング（XSS）の脆弱性が原因。ツイートにスクリプトを埋め込んだり、外部サイトからスクリプトを呼び出すなどしてユーザーに実行させることが可能になっている。ユーザーにツイートを連鎖させるコードも出回っており、急速に広がっているもようだ。 コードによっては、ログイン状態でWebブラウザ
現場の一言。8日頃から特定ホストからのXSSが大量に発生。調査したところ、ニューヨークの州立大学から発生しており、とある研究機関が行っている調査の一環のようだ。調査にしては広すぎる。このような事象は過去に存在しているが、研究が一線を超えないように気をつけていただきたい。 (^あ）
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
