OAuth の欠陥「Covert Redirect」は Heartbleed より胸を打つ?~~バグのロゴを作ることで、その重要性が高まるわけではない(The Register) | ScanNetSecurity
2020.09.18(金)

OAuth の欠陥「Covert Redirect」は Heartbleed より胸を打つ?~~バグのロゴを作ることで、その重要性が高まるわけではない(The Register)

彼は「どのようにして、このトリックが Facebook での OAuthの実装に適用されるか」を実演した。Facebook、Google、Yahoo、そして Microsoft を含めた OAuth 2.0 のウェブサイトが影響を受ける、と Jing は語っている。

国際 TheRegister
【動画】Google OpenID Covert Redirect Vulnerability

つい先日に報告された OAuth の新たな「脆弱性」は、どうやら「脆弱性とは違うもの」であるようだ。

この不親切な評価は、セキュリティ専門家たちによって下されたものである。それは、Heartbleed の脆弱性(管理者たちが先を争ってウェブサイトを修復したのも当然であるほど、甚大な非常事態を引き起こした脆弱性だった)と、この「Covert Redirect」と呼ばれる欠陥とが、一絡げとなって見出しを賑わせたことを受けての評価だった。

この欠陥は土曜日(編集部註:2014 年 5 月 3 日)、Nanyang Technological University の PhD の学生、Wang Jing によって報告された。彼は、攻撃者がこの欠陥を利用してユーザーにフィッシングを行い、トークンを取得する手法を説明した。

《ScanNetSecurity》

関連記事

PageTop

特集

アクセスランキング

  1. 事務局のパソコンが「Emotet」感染、パスワード付きZipファイル添付に注意呼びかけ(日本医師会)

    事務局のパソコンが「Emotet」感染、パスワード付きZipファイル添付に注意呼びかけ(日本医師会)

  2. 社内パソコンがウイルス感染、メール送受信履歴に含まれるアドレスへなりすましメールを送付(ライフ)

    社内パソコンがウイルス感染、メール送受信履歴に含まれるアドレスへなりすましメールを送付(ライフ)

  3. TLS 1.2以前の暗号を解読する「Raccoon Attack」攻撃(JVN)

    TLS 1.2以前の暗号を解読する「Raccoon Attack」攻撃(JVN)

  4. 社員PCがEmotetに感染、社内外のメールデータが流出(岩出建設)

    社員PCがEmotetに感染、社内外のメールデータが流出(岩出建設)

  5. 社内パソコンがEmotet感染、取引先でも不審メールを確認(山一商事)

    社内パソコンがEmotet感染、取引先でも不審メールを確認(山一商事)

  6. パスワードリスト型攻撃のフォレンジック調査で新たな不正ログイン判明(三越伊勢丹)

    パスワードリスト型攻撃のフォレンジック調査で新たな不正ログイン判明(三越伊勢丹)

  7. やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

    やけど虫の駆除方法、体液が皮膚に付いてしまった場合の対策について

  8. 開発者がセキュリティの責を負う時代到来か、セキュアコーディングのSaaS型eラーニングサービス開始(Flatt Security)

    開発者がセキュリティの責を負う時代到来か、セキュアコーディングのSaaS型eラーニングサービス開始(Flatt Security)

  9. 「Emotet」関連相談が急増、パスワード付きZIPファイル添付攻撃も確認(IPA)

    「Emotet」関連相談が急増、パスワード付きZIPファイル添付攻撃も確認(IPA)

  10. PCI DSS v4.0 が 2021年公開、8 年ぶりのメジャーバージョンアップ ~ 改訂の 2 つの目的と移行スケジュール

    PCI DSS v4.0 が 2021年公開、8 年ぶりのメジャーバージョンアップ ~ 改訂の 2 つの目的と移行スケジュールPR

ランキングをもっと見る