Hatena::ブログ(Diary)

はてなダイアリー日記 このページをアンテナに追加 RSSフィード

使い方に関するご質問、不具合報告やご要望は、お問い合わせ窓口で承ります。
使い方のコツなどを知りたい時は、人力検索はてなの「はてなの使い方」カテゴリーをご利用ください。
※コメント欄へのご質問には対応できない場合がございますのでご了承ください。

2005/07/15

hatenadiary2005-07-15

はてな各サービスの CSRF 脆弱性対策について

20:45

先日より、はてなサービスにおける CSRF 脆弱性の対策方法を見直しております。これまではリファラをチェックする方法を採用しておりましたが、この方法は対策としては不十分な点があり、新たに POST によるデータの送信時、セッションIDを用いた検査を行う方法を採用しております。

現在、各サービスでの対応がほぼ完了しております。サードパーティ製のツールなど、外部から直接データを POST しているアプリケーションなどが、今回の変更により動作しくなっている可能性がございますが、はてなサービスの安全性向上が目的の変更となりますので、ご了承いただければ幸いです。

なお、セッションIDCookie に保存されている rk パラメータの値を MD5 BASE64シリアライズした値になります。Cookie を取得可能なサードパーティ製ツールであれば、rk パラメータエンコードした値を rkm というパラメータ名で同時に送信することにより、POST によるデータの送信が可能となります。

rnarna 2005/07/15 20:09 今日から「はてダラ」が使えなくなってしまったのですが…日記の編集フォームに rkm というフィールドが追加されてますがこのせいでしょうか?

rnarna 2005/07/15 21:34 ありがとうございます。md5_base64()で「はてダラ」が動くようになりました。

hatenehatene 2005/07/16 06:35 お邪魔します。ちょっとわからない事があったので質問させてください。
自分のアンテナに行こうと思ってGoogleでアンテナ名で検索したところ、トップにアンテナの名前が出てきたのでクリックしました。
ところが見知らぬページが表示され、404と出ます。
アドレスをよく見ると別の会社のサイトのアドレスとアンテナのアドレスが混ざり込んでいます。
URLを削ってトップに行ってみるとそこは不動産会社のサイトのようでした。(trusty2000.co.jp)
これはいったい何なのでしょうか?

atomu-to-hikkiiatomu-to-hikkii 2005/07/16 13:06 今までdeltaテーマを使っていたのですが,その間に更新された為かアンテナや最新タイトルが表示されなくなってしまいました。また,カレンダーもとっても見にくい状態です。これは個人で調節が必要なのでしょうか?それとも,いずれ改善されるものなのでしょうか??

yukichi99yukichi99 2005/07/16 15:41 http://www.google.com/search?ie=UTF8&oe=UTF-8&q=hatene%E3%81%AE%E3%82%A2%E3%83%B3%E3%83%86%E3%83%8A
本当だいくつかある。

hoshikuzuhoshikuzu 2005/07/16 15:42 上の件の原因
http://www.trusty2000.co.jp/secu_emer031219.html
これは善意のページだと思われます。

tengsamatengsama 2005/07/16 22:46 編集ページで「この日を削除」ボタンを押しても,またその編集ページに戻るだけで日記を消せなくなっています.何か原因はありますでしょうか?

YUYUKOALAYUYUKOALA 2005/07/16 23:21 「この日を削除」
私の環境では不具合の再現を確認できませんでした(削除できました)。

longtownlongtown 2005/07/17 00:27 携帯で「投稿」、編集の後の「この内容を登録」ができなくなってます。携帯サイトじゃないほうにとんだり、文字化けします。どうしてでしょうか?

gadaraorggadaraorg 2005/07/17 01:53 Deltaテーマを使用させていただいております。
どうやら更新されたテーマではclockモジュールが反映していないようです。
clockは有料オプションの一部なので、できるだけ早期に不具合を修正した方が良いかと思います。

kamiokakamioka 2005/07/17 03:46 ↑gadaraorgさん、すみませんトラックバック送ったんですが手遅れでした。上記の状況は、作成者の無料オプションであるうっかりさんモジュールによるCSSの設定ミスです。
Deltaテーマをご利用の方でclockモジュールを使用されている方はお手数ですが暫定措置として、デザイン詳細設定ページのスタイルシートの欄にdiv.hatena-clock {display: block;}を追加してください。テーマでもその他の修正箇所と併せてなるべく早く対応します。

tengsamatengsama 2005/07/17 14:05 原因は不明なのですが先程削除が無事できました.お騒がせしました.昨日はYUYUKOALAさんの書き込みの後も何度か試したのですがダメだったです.

toroneitoronei 2005/07/18 06:20 はてな外へのトラックバックが全く遅れなくなっているのですが、確認出来てますでしょうか? もしくは他にはない事例でしょうか?

hatenadiaryhatenadiary 2005/07/18 07:25 >toronei様、
CSRF脆弱性対策の修正漏れがありました。申し訳ありませんでした。先ほど修正いたしましたので、もう一度お試しいただけますでしょうか。

limepeellimepeel 2005/07/18 21:50 すみません、教えてください。「はてなツールバー」の最新版をインストールしたのですが、きちんとボタンが表示されないし、「言及する」ができなくなってます。どうしたらいいでしょうか?

umikazeumikaze 2005/07/19 05:17 プロフィールの「写真」を変更しても、前にアップロードされた写真が登録されてしまい、変更することができません。何が原因なのでしょうか?お教えいただけると幸いです。写真の大きさは現在アップしているものは288×352でサイズは10.3KB、変更後の写真は320×240でサイズは15.1KBです。

altouzualtouzu 2005/07/19 12:12 au機から日記にコメントしようとしているのですが、
「リクエストされたページは表示できません」とのこと。
先週金曜日の夜あたりからこの状況が続いています。

トラックバック - http://d.hatena.ne.jp/hatenadiary/20050715/1121427904