2009年4月3日(金曜日)

公開: 2009年4月5日21時50分頃

「CakePHPガイドブック (www.amazon.co.jp)」という本に、耳慣れない「比較演算子インジェクション」という言葉が出ており。著者の方のサイトに「CakePHP 比較演算子インジェクションに注意 (www.1x1.jp)」というお話が。

昔のCakePHPではこんなふうに、「演算子 + 値」を引数として渡すことができるようになっていたそうで。

$list = $this->findAll(array('id' => '> ' . $id));

さらに、演算子が「=」の場合は省略できるので、こう書けます。

$list = $this->findAll(array('id' => $id));

……が、このとき、$id に '!=foo' なんて値が入っていると、その演算子が使われてしまうという罠。なんという罠仕様……。

CakePHP1.2からは、値ではなくキーの方に演算子をつけるようになったとのことです。

公開: 2009年4月5日19時20分頃

「被害事例」にひどすぎる話が。

IPA の SQL インジェクション検出ツール「iLogScanner」でログをチェックしたところ、攻撃が成功していたと思われる形跡が数万件検知された。半年も前から、攻撃が続いていたようだ。
しかし、組織の幹部はこの事実を公にしない方針らしく、さらなる調査を進めることができない。

うわぁ。これはひどい。

検知の状況からして、「脆弱性はあるが攻撃されていない」というような状態ではなく、既にいろいろやられてしまっている可能性がかなり高いでしょうしね……。