Cookie機能を使用せずに作られ各社ウェブメールシステムにおけるセキュリティ上の重大な欠陥を発見、警告（電子技術総合研究所） | ScanNetSecurity
2026.03.11(水)

Cookie機能を使用せずに作られ各社ウェブメールシステムにおけるセキュリティ上の重大な欠陥を発見、警告（電子技術総合研究所）

　工業技術院の電子技術総合研究所は、Cookieを使用せずURLに埋め込むIDに頼ったセッション管理方式を採用したウェブメールシステムの脆弱性を公表、運営7社に危険性を通知した。これは同研究のセキュリティ脆弱性研究グループがウェブアプリケーションの安全性について

製品・サービス・業界動向 業界動向
18 views
facebookLINE
　工業技術院の電子技術総合研究所は、Cookieを使用せずURLに埋め込むIDに頼ったセッション管理方式を採用したウェブメールシステムの脆弱性を公表、運営7社に危険性を通知した。これは同研究のセキュリティ脆弱性研究グループがウェブアプリケーションの安全性について調査してわかったもので、セッション管理（一連のアクセスが同一ユーザからのものであることを追跡する処理）のために、URLの引数部に予測が困難なセッションID（番号）を含ませる技術（URLrewriting技法）を使用した場合、そのURLが解読可能でも、文字列がそのまま第三者に漏洩してしまうことがわかった。この問題を警告されたgooコミュニティ、ZDNetMailなどの各社は、認識し対策を始めているという回答を寄せている。なおユーザー側の対策としては、ウェブメールで受信したメール中にあるリンクを、クリックしない、アクセスする場合は別のブラウザウィンドウを開いて、そこに目的のURLをコピー＆ペーストしてアクセスする、ウェブメールのHTMLメール機能をOFFにする、HTMLメールを開かない、といった方法で危険を回避できる。

http://securit.etl.go.jp/SecurIT/advisory/webmail-1/


《ScanNetSecurity》

PageTop

アクセスランキング

  1. 誤操作の発覚を恐れて委託先社員がログから記録を削除・変更したことが原因 ～ JAL「手荷物当日配送サービス」システム障害

    誤操作の発覚を恐れて委託先社員がログから記録を削除・変更したことが原因 ～ JAL「手荷物当日配送サービス」システム障害

  2. L2 スイッチでゼロトラストを実現、「セキュリティ予算」でなく「ネットワーク機器予算」で導入 ～ パイオリンクが語る超現実解

    L2 スイッチでゼロトラストを実現、「セキュリティ予算」でなく「ネットワーク機器予算」で導入 ～ パイオリンクが語る超現実解PR

  3. 厚生労働省初動対応チームの派遣を受け対応 ～ 白梅豊岡病院にランサムウェア攻撃

    厚生労働省初動対応チームの派遣を受け対応 ～ 白梅豊岡病院にランサムウェア攻撃

  4. アドバンテストのネットワークに不正アクセス、ランサムウェア展開可能性

    アドバンテストのネットワークに不正アクセス、ランサムウェア展開可能性

  5. みずほリサーチ&テクノロジーズが経済産業省から受託したアンケート情報を混在して環境省に納品、ホームページで公開

    みずほリサーチ&テクノロジーズが経済産業省から受託したアンケート情報を混在して環境省に納品、ホームページで公開

ランキングをもっと見る
PageTop
ホーム › 製品・サービス・業界動向 › 業界動向 › 記事
TOP