msearch におけるディレクトリトラバーサルの脆弱性

更新: 2005年3月17日

JVN (jvn.jp) で「msearch におけるディレクトリトラバーサルの脆弱性 (jvn.jp)」というものが公開されました。

JVN の記述は微妙です。設定ファイルや設定ファイルと同じフォーマットのファイルが見えるのではなくて、インデックスファイルと同じフォーマットのファイルが見えるという問題だと思いますが……。

※設定ファイルと同じフォーマットのファイルが「たまたま」存在した場合はその設定で msearch を動かすことができてしまいますが、そのファイルの内容を閲覧することはできないはず。フォーマットが違う場合はエラーメッセージが出るだけです。

※2005-03-17追記: JVN の記述は修正され、インデックスファイルについて追記されました。

まあそれは良いとして、「参考情報」としてリンクされている PDF 文書は何なのでしょうね。詳細な情報があるわけでもなく、何を意図したものか良く分からないのですが、もしや Microsoft の「絵で見る……」を意識しているのでしょうか。

関連する話題: セキュリティ / IPA

水無月ばけらのえび日記