【マンスリーレポート　2003/06】＠niftyで発覚したクロスサイトスクリプティングの問題とその対処

　国内プロバイダ大手の＠niftyのフォーラムにクロスサイトスクリプティングの脆弱性が発見された。クロスサイトスクリプティングを簡単に言うなら、他人のWebページでスクリプトを勝手に実行できてしまう、ということ。＠niftyには多くのフォーラムが存在し、それぞれに掲示板がある。問題はこの掲示板でHTMLタグの利用が可能であったことが、クロスサイトスクリプティングの脆弱性につながる結果となった。
　現在、この問題に対しては＠nifty側で対処済みなので、この後で述べるような現象は発生しない。また、クロスサイトスクリプティングを悪用して盗み出した情報がクレジットカード番号などであれば事態は深刻なものになるが、該当する＠niftyフォーラムでは、今のところこのような具体的な被害報告はない。
　この問題について、問題発覚から会員への告知、対処までを＠nifty広報室からのコメントを交え、レポートとしてお送りする。

>> niftyフォーラムで起こった問題の内容

　会員制フォーラムを利用するためのログインフォーム、検索フォーム、そして発言可能な会議室で、利用者が入力したHTMLタグやスクリプトがそのまま出力されるようになっていた。このためCookieの漏洩、セッションハイジャックやログインフォーム自体の偽装が可能となってしまう。
　たとえば実際に発言の練習ができる「お試し掲示板」というものが＠niftyのフォーラムに存在するが、ここに任意のHTMLタグや実行可能なスクリプトを書き込むことができる。このため、会員はこのような掲示板を利用するときに、個人情報を盗まれる可能性があるというものだ。

　これ以降、場面ごとにインタビューで得られた、＠nifty広報からのコメントを掲載するが、かなり慎重で言葉を選んでの回答だった、という印象を強く受けた。

■当問題の内容についての＠niftyコメント
───
　当社のコミュニティサービス「＠niftyフォーラム」「＠niftyコミュニティ」の掲示板にて、悪意を持ってタグを使用した場合、掲示板利用者に被害が及ぶ可能性があることが判明しました。
　よって、6月20日（金）の19時をもって掲示板でのタグの使用を一時停止しました。
　なお、具体的な現象については利用者の安全性を第一に考え、公表は控えさせていただいています。
───

>> 問題発覚から初期対処まで

　実際には現象に気づいた利用者がフォーラムマネジャに連絡し、フォーラムマネジャが現象を確認したようである。＠niftyではこの時点でタグの利用を一時的に中止している。また、その後も数回にわたるメンテナンスでシステムの調整を行っている。
　現在、掲示板では危険と思われるHTMLタグやスクリプトが発言内容に含まれる場合、これらは削除した状態で書き込まれる。これにより新規の発言ではタグを入力した部分が抜け落ちた状態で表示される。
　発言するためのページにも、その旨の注意書きがあり、具体的に入力出来ないタグについてのヘルプ画面も用意されている。

【執筆：高野芳郎（アイドゥ）】

（詳しくはScan Security Managementをご覧ください）
http://shop.vagabond.co.jp/m-ssm01.shtml

=====================================================
◇Scan Monthly Report　Best Worst
http://shop.vagabond.co.jp/p-sbw01.shtml

◇ネットワークセキュリティ・インシデント年鑑2003
http://shop.vagabond.co.jp/p-inc02.shtml
=====================================================