「OCNセキュリティニュース」 サービス開始直後にサービス停止
3月8日、エヌ・ティ・ティ・コミュニケーションズ株式会社コンシューマ&オフィス事業部は、無慮のセキュリティ関連情報メールサービスを3月11日より開始するという発表を行った。
製品・サービス・業界動向
業界動向
「OCNセキュリティニュース」の提供開始について
http://www.ntt.com/NEWS_RELEASE/2002NEWS/0003/0308.html
しかし、さまざまな問題点が指摘され、3月11日には、サービスのページが「メンテナンス中」という表示になっており、利用申込みなどができない状態になった。多くのセキュリティ関係者が参加するメーリングリスト「セキュリティホールmemo」では、下記のような問題点が指摘されていた。
・会員登録ページにクロスサイトスクリプティングの可能性の指摘
http://memo.st.ryukoku.ac.jp/archive/200203.month/3181.html
・会員登録変更画面で入力ミスをするとパスワードがそのまま表示される問題の指摘
http://memo.st.ryukoku.ac.jp/archive/200203.month/3184.html
・パスワードが暗号化されずに送られてくる問題の指摘
http://memo.st.ryukoku.ac.jp/archive/200203.month/3187.html
・第三者によるパスワード盗用の可能性の指摘
http://memo.st.ryukoku.ac.jp/archive/200203.month/3189.html
・任意のプロトコル、任意のドメインにリダイレクトが可能な問題
http://memo.st.ryukoku.ac.jp/archive/200203.month/3196.html
3月11日時深夜サービスは復旧したが、問題として指摘された個所のかなりの部分が解決されていた。ただし、パスワードを平文で送るなどの一部の問題は、以前として残されている。
なお、サービス停止や問題対処に関してのお詫びなどの告知は掲載されていない。
※本記事は、メーリングリスト「セキュリティホールmemo」の情報を参考にしております。誌面を借りてお礼申し上げます。
《ScanNetSecurity》