Webアプリã®è½ã¨ã—ç©´ã«æ”¹ã‚ã¦æ³¨æ„今年9月，Gmailã«ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ»ãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒªï¼ˆCSRF）ã®ãœã„弱性ãŒè¦‹ä»˜ã‹ã£ãŸã€‚ユーザーã¯ãƒ¡ãƒ¼ãƒ«ã‚’ç›—ã¿è¦‹ã•ã‚Œã‚‹å±é™ºã«ã•ã‚‰ã•ã‚Œã¦ã„ãŸã€‚ã¾ãŸï¼Œ10月ã«ã¯ãƒãƒƒãƒ•ã‚¡ãƒãƒ¼ã®ç„¡ç·šLAN製å“「AirStationã€ã«çµ„ã¿è¾¼ã¾ã‚Œã¦ã„ã‚‹è¨å®šãƒ„ール（Webアプリケーション）ã«å˜åœ¨ã™ã‚‹CSRFã®ãœã„弱性ãŒç™ºè¦‹ã•ã‚ŒãŸã€‚第三者ã«AirStationã®è¨å®šã‚’å‹æ‰‹ã«æ›¸ãæ›ãˆã‚‰ã‚Œã‚‹å¯èƒ½æ€§ãŒã‚ã£ãŸã€‚ ã“れらã®ãœã„弱性ã¯ï¼Œ ユーザーãŒWebアプリケーションã«ãƒã‚°ã‚¤ãƒ³ã—ãŸçŠ¶æ…‹ã§ï¼Œæ”»æ’ƒè€…ãŒç”¨æ„ã—ãŸæ‚ªæ„ã®ã‚るリンクを誤ã£ã¦ã‚¯ãƒªãƒƒã‚¯ã™ã‚‹ã¨ï¼Œãƒ¦ãƒ¼ã‚¶ãƒ¼ãŒäºˆæœŸã—ãªã„処ç†ã‚’実行ã•ã‚Œã¦ã—ã¾ã†ã¨ã„ã†ã‚‚ã®ã€‚Gmailãªã‚‰ä¾‹ãˆã°å‹æ‰‹ã«ãƒ•ã‚£ãƒ«ã‚¿ãƒ»ãƒ—ãƒã‚°ãƒ©ãƒ を作æˆã—ã¦ä»»æ„ã®ã‚¢ãƒ‰ãƒ¬ã‚¹ã«ãƒ¡ãƒ¼ãƒ«ã‚’転é€ã™ã‚‹ãªã©ã®ä»•çµ„ã¿ã‚’実ç¾ã§ãる。 グーグルã¯æ—¢ã«ã“ã®ãœã„弱性を修æ£æ¸ˆã¿ã ãŒï¼Œä¸‡ãŒä¸€ï¼Œåˆ©ç”¨è€…ã®ãƒ•ã‚£ãƒ«ã‚¿ãƒ»ãƒªã‚¹ãƒˆã«æ”»æ’ƒè€…ãŒä½œæˆã—ãŸãƒ•ã‚£ãƒ«ã‚¿ãŒå˜åœ¨ã—ã¦ã„
Ajaxian » The safety of JSON
クãƒã‚¹ã‚µã‚¤ãƒˆãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒª - Wikipedia
アフィリエイトIDãŒæ›¸ãæ›ã‚る脆弱性ã«ã¤ã„㦠- ã¯ã¦ãªãƒ€ã‚¤ã‚¢ãƒªãƒ¼æ—¥è¨˜
ã¯ã¦ãªã§ç¨¼ã”ã†ï¼ï¼ï¼ - ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼
ãŠã•ã‹ãªãƒ©ãƒœ - [CSRF]高木æ°ã®ã‚¨ãƒ³ãƒˆãƒªã¸ã®è¿”ç”
é«˜æœ¨æµ©å…‰ï¼ è‡ªå®…ã®æ—¥è¨˜ - CSRF対ç–ã«ã€Œãƒ¯ãƒ³ã‚¿ã‚¤ãƒ トークンã€æ–¹å¼ã‚’推奨ã—ãªã„ç†ç”±
ãŠã•ã‹ãªãƒ©ãƒœ - クãƒã‚¹ã‚µã‚¤ãƒˆãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒªå¯¾ç–
é«˜æœ¨æµ©å…‰ï¼ è‡ªå®…ã®æ—¥è¨˜ - クãƒã‚¹ã‚µã‚¤ãƒˆãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒªï¼ˆCSRF）ã®æ£ã—ã„対ç–方法
開発者ã®ãŸã‚ã®æ£ã—ã„CSRF対ç–
ãŠã•ã‹ãªãƒ©ãƒœ - hiddenã«ã‚»ãƒƒã‚·ãƒ§ãƒ³IDを埋ã‚ã‚‹ã®ã¯æœ¬å½“ã«å®‰å…¨ãªã®ã‹
ã“ã‚ã‚“ã¨(2006-01-25)
{{#tags}}- {{label}}
{{/tags}}