不用意に開発された CGI に関する脆弱性と悪用コードサンプルを公表

　ネットワークセキュリティのシンシデント専門情報サービス Scan Incident Report 誌は、みずほインベスターズ証券をはじめとする多数の web サイトの CGI に存在した脆弱性と悪用コードのサンプルおよび対処方法を発表した。

製品・サービス・業界動向業界動向

2002.5.8 Wed 12:00

　ネットワークセキュリティのシンシデント専門情報サービス Scan Incident Report 誌は、みずほインベスターズ証券をはじめとする多数の web サイトの CGI に存在した脆弱性と悪用コードのサンプルおよび対処方法を発表した。

　このレポートは、セキュリティ問題を調査研究している office 氏によるものであり、氏がこれまでに発見したさまざまな事例とともに、問題の詳細な分析と基本的な解決方法を提示している。

　レポートによれば、CGI を悪用した場合、単にページの表示をおかしくさせるだけでなく、巧妙に偽装したログイン画面などを作り、パスワードなどを盗むことも可能である。
　さらに、こうした悪用コードは、サーバのログから犯人を追跡することが困難であり、非常に発見しにくいものとなっているとのことである。

　過去に発見された CGI に起因する同種の脆弱性には、下記のようなものがあった。

みずほ証券の web で 4,300人のパスワードなど個人情報流出の危機
(2002.4.18)
https://www.netsecurity.ne.jp/article/1/4828.html

サーバ設定のミス　バーチャルホスティング約2000ドメイン情報漏洩の危険
(2002.4.24)
https://www.netsecurity.ne.jp/article/1/4913.html

日本ベリサイン　信用できない表示のままの「Secure Site シール」
(2002.3.15)
https://www.netsecurity.ne.jp/article/1/4376.html

（本レポートには、偽装コードが含まれており、偽装コードは現在も
レポートの記載してある URL で動いている）

《ScanNetSecurity》