パスワードの露呈が存在するCibleclickのクッキー

◆概要：
　フランスの企業でバナー交換加盟プログラムを運営するCibleclick社は、クッキー内にテキスト形式でパスワードを保存するクッキーを使用している。このため、JavaScriptなどを使ってクッキーを探知・取得できる攻撃者は、容易に他のアカウントにアクセスできて

国際海外情報

2002.5.24 Fri 12:00

◆概要：
　フランスの企業でバナー交換加盟プログラムを運営するCibleclick社は、クッキー内にテキスト形式でパスワードを保存するクッキーを使用している。このため、JavaScriptなどを使ってクッキーを探知・取得できる攻撃者は、容易に他のアカウントにアクセスできてしまう。尚、このベンダーは当該脆弱性について連絡を受けているようだが、今のところ何の対応も行われていない。

◆情報ソース：
・Securitinfo.com
　( http://www.securiteinfo.com/attaques/hacking/cibleclick.shtml ),
　May 12, 2002

◆分析：
(iDEFENSE 米国) サイトからクッキーを受信する際は、用心深くクッキーを調べ、パスワードやクレジットカード番号など、重要なユーザー情報がテキスト形式で保存されていないことを確認する必要がある。今回の場合は Cibleclickクッキーを調べ、文字列「MYPASWORDD」を探す。この文字列の直後に、ユーザーのパスワードがテキスト形式で保存されている。

5/13/2002@13:30:04GMT ID#109207J:
※この情報はアイ・ディフェンス・ジャパン
　（ http://www.idefense.co.jp/ ）より提供いただいております。
　アイディフェンス社の iAlert サービスについて
　 http://shop.vagabond.co.jp/p-alt01.shtml
　情報の内容は以下の時点におけるものです。
　【13:30 GMT、05、13、2002】

《ScanNetSecurity》