不用意に開発された CGI に関する脆弱性と悪用コードサンプルを公表
ネットワークセキュリティのシンシデント専門情報サービス Scan Incident Report 誌は、みずほインベスターズ証券をはじめとする多数の web サイトの CGI に存在した脆弱性と悪用コードのサンプルおよび対処方法を発表した。
製品・サービス・業界動向
業界動向
このレポートは、セキュリティ問題を調査研究している office 氏によるものであり、氏がこれまでに発見したさまざまな事例とともに、問題の詳細な分析と基本的な解決方法を提示している。
レポートによれば、CGI を悪用した場合、単にページの表示をおかしくさせるだけでなく、巧妙に偽装したログイン画面などを作り、パスワードなどを盗むことも可能である。
さらに、こうした悪用コードは、サーバのログから犯人を追跡することが困難であり、非常に発見しにくいものとなっているとのことである。
過去に発見された CGI に起因する同種の脆弱性には、下記のようなものがあった。
みずほ証券の web で 4,300人のパスワードなど個人情報流出の危機
(2002.4.18)
https://www.netsecurity.ne.jp/article/1/4828.html
サーバ設定のミス バーチャルホスティング約2000ドメイン情報漏洩の危険
(2002.4.24)
https://www.netsecurity.ne.jp/article/1/4913.html
日本ベリサイン 信用できない表示のままの「Secure Site シール」
(2002.3.15)
https://www.netsecurity.ne.jp/article/1/4376.html
（本レポートには、偽装コードが含まれており、偽装コードは現在も
レポートの記載してある URL で動いている）
《ScanNetSecurity》
