S3ã®ãƒ¡ã‚¿ãƒ‡ãƒ¼ã‚¿ã‚’用ã„ãŸæ”»æ’ƒä¾‹ãˆã°ã€Content-Typeメタデータã®å€¤ã‚’ç´°å·¥ã—ãŸã‚ªãƒ–ジェクトをå–å¾—ã•ã›ã‚‹ã“ã¨ã§XSSを発生ã•ã›ãŸã‚Šã€Content-Dispositionメタデータを細工ã—ã¦RFD (Reflected File Download) を引ãèµ·ã“ã—ãŸã‚Šã€ x-amz-storage-classメタデータをæ“作ã—ã¦æ„図ã›ã¬ã‚¹ãƒˆãƒ¬ãƒ¼ã‚¸ã‚¯ãƒ©ã‚¹ã‚’使用ã•ã›EDoS (Economical Deninal of Sustainability)を発生ã•ã›ãŸã‚Šã€ã¨ã„ã£ãŸæ”»æ’ƒãŒæˆç«‹ã™ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ ä¸ã§ã‚‚Content-Typeを悪用ã—ãŸXSSã¯ã€S3ã®ä»•æ§˜ã‚„使用方法ã ã‘ã§ãªãã€ãƒ–ラウザã®æŒ™å‹•ã«ã‚‚注æ„を払ã†å¿…è¦ãŒã‚ã‚Šã€ã‚¢ãƒ—リ開発者ã¯æ”»æ’ƒã®åŽŸç†ã¨å¯¾å‡¦ã‚’ç†è§£ã—ã¦ãŠãå¿…è¦ãŒã‚ã‚Šã¾ã™ã€‚ 9/21ã«Azaraã•ã‚“ã¨Security-JAWSã®ã‚³ãƒ©ãƒœã§ã€ã“ã®å•é¡Œã«ãƒ•ã‚©ãƒ¼ã‚«ã‚¹ã—ãŸCTFイベント「ã¨ã‚ã‚‹æµ·è±¹ã¨Security-
{{#tags}}- {{label}}
{{/tags}}