2007/05/16

[技術系]   こ、このセキュリティホールはひどい

at 22:40JST
 
いや、他人をあげつらうほど立派なプログラムは書いてないのだけれど、IBM謹製品でもこんな“初歩的以前”のミスをすることがあるのね、と。

IBM ホームページ・ビルダーのサンプル CGI の脆弱性 - Japan
http://www-06.ibm.com/jp/software/internet/hpb/security/hpbcgifix_20070514/hpbcgifix.html
open(MAIL,"| $mailprog $FORM{'to'}")|| die "Can't open $mailprog!\n";


説明するまでもないけれど、これだとブラウザからtoパラメータに
| /bin/rm -rf /

とするだけでホストサーバのディスク内容が全削除されてしまう可能性がある、と。taintな入力をコマンドラインに落としてはいけない、という好例。

でもねえ…。そもそもこうしたやり方にはJVNが指摘する「OSコマンドインジェクション」以外の問題がある。

このテのフォームメーラで
「メールの送付先」
を、CGIのパラメータとして指定できるようにしてはいけないのだ。

さもないと、外部からいたずらメールを特定のアドレスに向けて大量送信する踏み台として使われる危険性がある。しかも、どこかの画像表示可能な掲示板などに画像のソースとして「特定のアドレスにメールを送るURL」を埋め込まれてしまうと、DoS的な動作までしてしまう。

…そういうフォームメーラ、いまだに多くのサイトで野ざらしにされているはずだ。みんな気づいてないだけ。

IBMのfixではスクリプト中に送付先アドレスを埋め込むように修正されているけれど。けっして他山の火事ではないので。気をつけよう>自分



関連しそうな過去記事:
さらに過去の記事
2009/04 (1)   2008/12 (3)   2008/11 (9)   2008/10 (10)   2008/09 (20)   2008/08 (2)   2008/07 (23)   2008/06 (16)   2008/05 (22)   2008/04 (11)   2008/03 (21)   2008/02 (20)   2008/01 (21)   2007/12 (32)   2007/11 (37)   2007/10 (46)   2007/09 (63)   2007/08 (33)   2007/07 (41)   2007/06 (81)   2007/05 (173)   2007/04 (168)   2007/03 (113)   2007/02 (123)   2007/01 (92)   2006/12 (111)   2006/11 (185)   2006/10 (20)  
×

この広告は180日以上新しい記事の投稿がないブログに表示されております。