Hatena::ブログ(Diary)

独りの超電波プログラマ このページをアンテナに追加 RSSフィード Twitter

2006-09-19

[][] 東芝のサイトが恐ろしくセキュリティ的に激しく超超超超超ヤバイ

http://dynabook.com/assistpc/download/makeula/makemod.cgi?filename=http://d.hatena.ne.jp/kudzu/

上のURLを見て、ページを見てもらえばなんとなく想像できると思うけど、「同意する」のリンクをクリックした後に接続する先のURLを任意のURLにできる。

つまり、

これで簡単にフィッシングできんな。さらにfilename=の項目をpostでできたら完璧*1できるらしいので、死ぬほどやばい!もう東芝からダウンロードなんて絶対しない!

URL自体はdynabook.comなわけで、相当な人がだまされると思うんだけど。これってどうよ?

*1:できるかは未確認

zan-gyozan-gyo 2006/09/19 17:45 POSTでけたよ。
http://tinyurl.com/o984a

kudzukudzu 2006/09/19 18:09 オ      ワ                 タ

zan-gyozan-gyo 2006/09/19 18:15 ちなみにJavascriptでのPOSTってページのプロパティのURLにパラメタを残さないから結構重宝してる。

kudzukudzu 2006/09/19 18:58 ま    す        ま           す   東    芝   オ     ワ      タ

NanasiNanasi 2006/09/20 12:00 高木先生にでも連絡せねば。

kudzukudzu 2006/09/20 12:54 通報おながいします。

ばけらばけら 2006/09/20 13:42 高木先生ではなく IPA に届け出るべきだと思いますので、勝手ながら届け出ておきました。
# 既に同様の届出が複数行っているかもしれませんが……。

hogehoge 2006/09/20 13:51 リダイレクタなんて、そこらじゅうにありますけど何か?

rduserrduser 2006/09/20 14:10 リダイレクタの意味も知らんやつがいるし。
昔あったRDのanonymous proxyを思い出した。

kudzukudzu 2006/09/20 14:33 ばけらさん>
ああ、そういやIPAってなんかこういうのの受付やってましたね。届け出ありがとうございました。

hogeさん、rduserさん>
今回の問題はリダイレクトできる点ではなく、まるで東芝のプロダクトかのようにソフトウェアを見せかけられる点じゃないですかね。

fk_2000fk_2000 2006/09/20 14:40 http://64.233.179.104/translate_c?hl=en&u=http://d.hatena.ne.jp/kudzu/
これもリダイレクタ。東芝の対応が気になるところ。

zan-gyozan-gyo 2006/09/20 14:45 Single super radio wave programmer ってなんとなくカッコイイ!

zan-gyozan-gyo 2006/09/20 14:48 昔 IPA にお世話になったことがあるが、存在しないセキュリティホールについて延々と対応要求されて困ったことがある。

しかも当時、暗号化はS/MIMEがメインだったのだが、IPAってPGP派でS/MIME付きのメールは読めないのね。

kudzukudzu 2006/09/20 14:54 俺としてはsolitary super psycho programmerのほうがいいです><

zan-gyozan-gyo 2006/09/20 15:01 solitaryとsingleだとニュアンスがかなり違うよね。

yusukeyusuke 2006/09/20 15:19 今、確認したら、dynabook.comに飛ばされるようになってました。有効なリンク以外への対処をしたんですかね。

fk_2000fk_2000 2006/09/20 15:21 ホントだ!変わった!

kudzukudzu 2006/09/20 15:26 >solitaryとsingle
六人の超音波科学者というタイトルからいけば、一人の〜が正しいんでしょうがね

>dynabook.com
激しく確認した。

mama 2006/09/20 15:28 googleもアルネ。http://www.google.com/url?sa=D&q=http://d.hatena.ne.jp/kudzu/

ばけらばけら 2006/09/20 18:37 なにやら修正されたようですが、対応方法に問題があって貫通できてしまいますね……。orz
貫通の方法はここには書きませんが(ごめんなさい)、IPA に追加報告を出しておきます。

kudzukudzu 2006/09/20 18:53 残ってる問題全然わかんないっす。
お疲れ様です。

kudzukudzu 2006/09/20 22:44 試してみましたが、できませんですた。やり方間違ってるかなぁ。

通りすがり通りすがり 2006/09/20 22:50 ここに書くとさすがにまずいですよね……。
mixi でメッセージでも出しましょうか?

通りすがり通りすがり 2006/09/20 23:06 IPA に連絡しておきました。ばけらさんとかぶっているかもしれませんが。

kudzukudzu 2006/09/21 00:35 削除しますた。よろしければmixiでメッセージで教えてくだちい。

チャレンジャーチャレンジャー 2006/09/21 00:48 私にもできました!解決した(ぉ)ので寝ることにします。

kudzukudzu 2006/09/21 01:41 激しく負けたので、寝ることにします。

rainylandscaperainylandscape 2006/09/21 06:06 貫通…しちゃいますね…

kudzukudzu 2006/09/21 11:13 回答例大杉。

ochame-coolochame-cool 2006/09/21 13:13 まだちゃんと直されてないですね・・・

ばけらばけら 2006/11/08 21:56 IPAから修正完了の連絡をいただきました。私の把握した範囲については修正されたようです。
……完全に旬を過ぎた話題で申し訳ないですが、一応報告しておきます。

kudzukudzu 2006/11/09 03:48 どうもありがとうございます。
しかし胡散臭いバグだったなぁ…。

JonahJonah 2007/01/26 12:11 cab96dd2a365307930e0b67947e5d21b
<a href=”http://ricetta-pane-celiaci.alegatiketret.info/”> ricetta-pane-celiaci.alegatiketret.info </a> http://ufficio-leccio.teramosapotemi.info/ <a href=”http://sfondi-foto-desktop-gratis.serobomanasagu.info/”> sfondi-foto-desktop-gratis.serobomanasagu.info </a>
<a href=”http://volo-artesina.sebratosubar.info/”> volo-artesina.sebratosubar.info </a> http://servizio-trasferimento-aeroporto-capodichino.inikatafurqadi.info/ <a href=”http://annuncio-di-coppia-per-incontri.inikatafurqadi.info/”> annuncio-di-coppia-per-incontri.inikatafurqadi.info </a>
<a href=”http://corso-assistente-poltrona-torino.serobomanasagu.info/”> corso-assistente-poltrona-torino.serobomanasagu.info </a> http://dizionario-ceco.gurutafedaru.info/ <a href=”http://tiscali-annuncio-lavoro.suzuciasapati.info/”> tiscali-annuncio-lavoro.suzuciasapati.info </a>
<a href=”http://capello-biondi.inikatafurqadi.info/”> capello-biondi.inikatafurqadi.info </a> http://immagine-joseph-ratzinger.inikatafurqadi.info/ <a href=”http://prestito-vaslui.teramosapotemi.info/”> prestito-vaslui.teramosapotemi.info </a>
<a href=”http://elettromiografia-semplice.serobomanasagu.info/”> elettromiografia-semplice.serobomanasagu.info </a> http://lavastoviglie-da-incasso-da-45-cm.serobomanasagu.info/ <a href=”http://compro-vendo-moto-basilicata.teramosapotemi.info/”> compro-vendo-moto-basilicata.teramosapotemi.info </a>
<a href=”http://auto-noleggio-sommariva-bosco.gurutafedaru.info/”> auto-noleggio-sommariva-bosco.gurutafedaru.info </a> http://mina-testi.alegatiketret.info/ <a href=”http://maniglie.sebratosubar.info/”> maniglie.sebratosubar.info </a>
<a href=”http://foppa-pedretti-camerette.gurutafedaru.info/”> foppa-pedretti-camerette.gurutafedaru.info </a> http://bambino-alloggio-weekend.alegatiketret.info/ <a href=”http://gioco-vecchio-download.inikatafurqadi.info/”> gioco-vecchio-download.inikatafurqadi.info </a>
<a href=”http://tarocchi-sibille-gratis.suzuciasapati.info/”> tarocchi-sibille-gratis.suzuciasapati.info </a> http://daewoo-monitor-l510b1-drivers.teramosapotemi.info/ <a href=”http://ufficiali-giudiziari.serobomanasagu.info/”> ufficiali-giudiziari.serobomanasagu.info </a>
4a2b72bc154782528b5f2b270b628e88

vghjzxspdkvghjzxspdk 2007/02/27 13:43 Hi! Very nice site! Thanks you very much! tbaqyxjbitjc

zrfujlilppzrfujlilpp 2007/02/28 07:53 [url=http://lqxtuimhioi.com]lgwtecvp[/url]

スパム対策のためのダミーです。もし見えても何も入力しないでください
ゲスト


画像認証