2004年7月30日(金曜日)

アーカイバのディレクトリトラバーサル

セキュリティホールmemo で「未対策・未発表な多数の国内産脆弱 (www.st.ryukoku.ac.jp)」という話が紹介されていますね。XSS はまあ特にどうということはない (!) のですが、アーカイバのディレクトリトラバーサルの話は興味深いです。

そもそも「自己解凍書庫がそのまんまインストーラ」というソフトがあったりしますので、書庫側で任意のパスを指定できる機能は必要なのだろうと思います。ただ、それが警告なしでできてしまうのは問題があるでしょう。「指定外のディレクトリにファイルを展開しようとしています」という警告が出たりするのがベターかな、と思います。

「アーカイバのディレクトリトラバーサル」へのコメント (4件)

ココログ大アンケート

更新: 2004年8月2日

ココログ大アンケート (www.cocolog-nifty.com)ですが、ソースを見た瞬間に嫌な予感が。

<form method="post" action="https://www.nifty.com/webapp2/multi/multiform">
<input type="hidden" name="knaji_code"      value="x-sjis">
<input type="hidden" name="dirctory"       value="cocolog_hakusyo">
<input type="hidden" name="form_num"        value="46">
<input type="hidden" name="thanks_URL"      value="http://www.cocolog-nifty.com/hakusyo/thanks.html">
<input type="hidden" name="error_URL"       value="http://www.cocolog-nifty.com/hakusyo/error.html">
<input type="hidden" name="necessary_num"    value="1,2,4,5,6,7,8,9,10,11,13,14,15,16,17,19,20,21,29,30,31,32,35,37,43,44,46">
<input type="hidden" name="fukusuu_num"     value="18,19,20,23,43">
<input type="hidden" name="zenkaku_num"     value="">
<input type="hidden" name="mailaddr_num"    value="46">
<input type="hidden" name="hankakusu_num"    value="">
<input type="hidden" name="hankakueisu_num"    value="">

まあ knaji_code というのは別に良いのですけど……もごもご。

※2004-08-02 追記: アンケート閉鎖されてますね。

「ココログ大アンケート」へのコメント (2件)

関連する話題: ニフティ / ココログ / セキュリティ

前(古い): 2004年7月27日(Tuesday)のえび日記
次(新しい): 2004年8月1日(Sunday)のえび日記