はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知

はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28

[sho]

"「script直接読み込みは危険だと考えるけれど」「APIレスポンス中のhtmlは信用する」という片手落ち"

[miya2000]

「Sandbox: A に任意の script が実行できる脆弱性があった」と解釈するとわかりやすいかも。(何を言ってるのか わからねーと思うが(ry/)任意じゃなくしてそこを信用するならそもそも Sandbox いらねーという。

[oniatsu]

面白いですね。1.sandboxの意義はAPI提供元がevilになった際の安全性。2.API元の制限のみの対策は意味なし。3.レスポンスは必ず検証。4.ただレスポンスの検証方法によっては仕様変更に自動で対応できず保守性は落ちるのでは

[sukka9]

[[xss]javascript][jsonp]

[lesamoureuses]

sandboxがslideshare以外も読み込めるようになっててsandboxではなかったと “基本的には sandboxが読み込み可能なJSONP APIの種類を制限する(任意のscriptをロードできないようにする) だけで攻撃は不可能になる”

[s025236]

ぱっと読んだだけだと理解できないから後でちゃんと読む

[TAKESAKO]

malaさんがCybozu security challengeで見つけたXSSの解説「JSONP sandboxの実装不備」とても珍しい感じのXSS

[rryu]

任意のコードを実行できるサンドボックスからHTMLを受け取って埋め込んでいたらサンドボックスの意味が無いと。

[efcl]

JSONP sandbox(ドメインに分けてpostMessageでやり取り)でスクリプトが実行出来るときに、sandboxにXSSがあり、sandboxが信用されていたため、親に偽のレスポンスを送りつけてXSSできる

[teppeis]

ご報告御礼！

[nacika_inscatolare]

xss

[As_hsp]

xss

[burnworks]

『基本的には「sandboxが読み込み可能なJSONP APIの種類を制限する(任意のscriptをロードできないようにする)」だけで攻撃は不可能になる』

[at_yasu]

あとでよむ

[watilde]

“送信元のoriginを検証することに加えて、送信元のorigin上にXSSがあるならば、送信されてくるmessageも信用出来ない可能性があることに気をつける。 ”

[raimon49]

JSONP sandboxページ側では、読み込み可能なJSONP APIを制限、送信元originを検証