Connector/Jã®SQLインジェクション脆弱性 - SH2ã®æ—¥è¨˜
PreparedStatement使ã£ã¦ã‚‹ã®ã«SQLインジェクションãŒèµ·ãã‚‹ã‚“ã§ã™ã‘ã©ï¼Ÿã¨ã„ã†è©±é¡Œã€‚徳丸浩ã®æ—¥è¨˜ - Javaã¨MySQLã®çµ„ã¿åˆã‚ã›ã§Unicodeã®U+00A5を用ã„ãŸSQLインジェクションã®å¯èƒ½æ€§ã‚ˆã‚Šã€‚ å†ç¾ã—ãŸã®ã§ãƒã‚°ãƒ¬ãƒãƒ¼ãƒˆæŠ•ã’ã¦ãŠãã¾ã—ãŸã€‚MySQL Bugs: #41730: SQL Injection when using U+00A5ã§ã™ã€‚ã™ã¦ããªãƒ‘ッãƒã§è§£æ±ºã•ã‚Œã‚‹ã“ã¨ã‚’期待ã—ãŸã„ã¨æ€ã„ã¾ã™ã€‚ ã†ã¡ã®ç¤¾å†…ã§characterEncoding使ã£ã¦ã‚‹ã¨ã“ã‚ã¯ãªã„ã‹ã‚‰å¤§ä¸ˆå¤«ãªã¯ãšâ€¦ã€‚ã¨æ€ã£ã¦ã„ãŸã®ã§ã™ãŒã€ãƒ–クマコメントをã„ãŸã ã„ãŸã¨ãŠã‚Šã€character_set_server=cp932ã®è¨å®šãŒã•ã‚ŒãŸmysqldã«characterEncodingãªã—ã§ã¤ãªã„ã å ´åˆã‚‚インジェクションを起ã“ã›ã¾ã™ã。sjisã‚‚ujisã‚‚eucjpmsもダメã§ã™ã€‚ã¨ã„ã†ã‚ã‘ã§ã€
MySQL Bugs: #41730: SQL Injection when using U+00A5
Description: SQL Injection occurs when - using Connector/J - client-side Prepared Statement - String has U+00A5 - characterEncoding is not UTF-8 How to repeat: MySQL Server 5.1.30 Connector/J 5.1.7 - sample data mysql> select empno, ename from emp; +-------+--------+ | empno | ename | +-------+--------+ | 7369 | smith | | 7499 | allen | | 7521 | ward | | 7566 | jones | | 7654 | martin | | 7698 | b
Connector/J 5.1ã¨Server Side Prepared Statement - mir the developer
ã“ã“数日「MySQL + Connector/J(JDBCドライãƒ) + プリペアードステートメントã€ã®è©±é¡ŒãŒã¡ã‚‰ã»ã‚‰å‡ºã¦ã„ã¾ã™ã€‚æ£ç¢ºã«æŠŠæ¡ã¯ã—ã¦ã„ãªã„ã§ã™ãŒSQLインジェクション対ç–→PreparedStatementã¨ã„ã†æµã‚Œã§ããŸè©±ã®ã‚ˆã†ã§ã™ã€‚ 徳丸浩ã®æ—¥è¨˜ - Javaã¨MySQLã®çµ„ã¿åˆã‚ã›ã§Unicodeã®U+00A5を用ã„ãŸSQLインジェクションã®å¯èƒ½æ€§ ã¸ã¼ã¸ã¼CTO日記 - useServerPrepStmtsを使ã†ã®ãŒæ ¹æœ¬è§£æ±ºã ã¨ã¯ãŠã‚‚ã†ã€‚ã‘ã©â€¦ï¼Ÿ id:kazuhookuã®ãƒ¡ãƒ¢ç½®ãå ´ - MySQL+Java ã§ã‚µãƒ¼ãƒã‚µã‚¤ãƒ‰ãƒ—リペアードステートメントを使ã†ã¹ãã§ã€Œãªã„ã€ç†ç”± 自分ã¯å…ƒConnector/J開発メンãƒ(※インターン生ã¨ã—ã¦)ã§ã‚‚ã‚ã‚Šã¨ã¦ã‚‚æ°—ã«ãªã‚‹è©±é¡Œãªã®ã§ã€Connector/Jã®ã‚½ãƒ¼ã‚¹è§£æžã‚‚å«ã‚ãŸèª¬æ˜Žã‚’ã“ã“ã§è¡Œã„ãŸã„ã¨æ€ã†ã€‚ プリペアードステートメント
MySQL+Java ã§ã‚µãƒ¼ãƒã‚µã‚¤ãƒ‰ãƒ—リペアードステートメントを使ã†ã¹ãã§ã€Œãªã„ã€ç†ç”± - kazuhoã®ãƒ¡ãƒ¢ç½®ãå ´
useServerPrepStmtsã®ã“ã“ã®èª¬æ˜Žã§ã¯ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆãŒtrueã«ãªã£ã¦ã„ã‚‹ãŒã€ã“ã‚Œã¯ä¸Šè¿°ã®é€šã‚Šå˜˜ã§ã‚る。 (ä¸ç•¥) ãã—ã¦ãªãœfalseã«ã•ã‚ŒãŸã‹ã¨ã„ã†ã“ã¨ã®èƒŒæ™¯ã‚’察ã™ã‚‹ã¨ã€trueã«ã™ã‚‹ã“ã¨ã®å¼Šå®³ã‚‚ã‚ã‚Šãã†ã§ã€æ‰‹æ”¾ã—ã§ã“れをtrueã«ã™ã‚‹ã“ã¨ã‚’勧ã‚ã‚‹ã“ã¨ãŒå°‘ã—ã¯ã°ã‹ã‚‰ã‚Œã‚‹ã€‚ http://www.geminium.com/chiba_blog/2008/12/23/33/ 自分㯠Java 使ã£ã¦ãªã„ã§ã™ãŒã€MySQL ã®ä¸ã®äººãŒä½¿ã†ãªã£ã¦è¨€ã£ã¦ã¾ã™ *1。ãã®ç†ç”±ã¯ãƒ¡ãƒ¢ãƒªãƒªãƒ¼ã‚¯ã®ã‚ˆã†ãªç—‡çŠ¶ãŒå‡ºã‚‹å¯èƒ½æ€§ãŒã‚ã‚‹ã‹ã‚‰ã€‚ So why are prepared statements a problem? Because users do not clean up/close unused prepared statements. Multiply the number of prep
ã¸ã¼ã¸ã¼CTO日記 - useServerPrepStmtsを使ã†ã®ãŒæ ¹æœ¬è§£æ±ºã ã¨ã¯ãŠã‚‚ã†ã€‚ã‘ã©â€¦ï¼Ÿ
Unicodeã®U+00A5å•é¡Œ Javaã¨MySQLã®çµ„ã¿åˆã‚ã›ã§Unicodeã®U+00A5を用ã„ãŸSQLインジェクションã®å¯èƒ½æ€§ ãªã‚‹ã»ã©ã€‚ã“ã®å•é¡Œã¯åˆè€³ã ã£ãŸã®ã§é©šã„ãŸã€‚ ã—ã‹ã‚‚ã€PreparedStatementを使ã£ã¦ã‚‚解決ã•ã‚Œãªã„ã¨ã„ã†ã€‚ã“ã®éƒ¨åˆ†ã«éžå¸¸ã«é©šã„ãŸã®ã§ã©ã†ã„ã†ã“ã¨ãªã®ã‹å°‘ã—調ã¹ã¦ã¿ãŸã€‚ PreparedStatementã¨ã¯ï¼Ÿ mysqlã«ãŠã‘る話ã¨ã—ã¦ã¯Prepared Statement (訳）ãŒã¨ã¦ã‚‚ã‚ã‹ã‚Šã‚„ã™ã„。 ãªã‹ã§ã‚‚é‡è¦ãªã®ã¯ä»¥ä¸‹ã®éƒ¨åˆ†ã 。 Perlã¨Java ã®ãƒ¦ãƒ¼ã‚¶ã¯ã‹ãªã‚Šé•·ã„é–“prepared statementを使ã£ã¦ ãã¾ã—ãŸã€‚ã—ã‹ã—ã€ã“れらã¯ã‚¯ãƒ©ã‚¤ã‚¢ãƒ³ãƒˆå´ã®prepared statementã§ã—ãŸã€‚ クライアントå´ã®prepared statementã¯åŒã˜ã‚ˆã†ãªã‚»ã‚ュリティã®æ©æµ ã‚’ã‚‚ãŸã‚‰ã—ã¾ã™ãŒã€æ€§èƒ½å‘上ã«ã¯è‡³ã‚Šã¾ã›ã‚“。ã§ã‚‚心é…
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
JVN#59748723: MySQL Connector/J ã«ãŠã‘ã‚‹ SQL インジェクションã®è„†å¼±æ€§
{{#tags}}- {{label}}
{{/tags}}