さくらDNSにサブドメインハイジャックを許す脆弱性

さくらインターネット株式会社のDNSサービスにセキュリティ上の問題がありましたが、改修されましたので報告します。 DNSサービスへのドメイン登録時における不具合について 障害内容 : 当社の提供するネームサーバサービスにおいて、既に登録されているドメインのサブドメインが、他の会員IDの方に登録できる状態となっておりました。この障害により、悪意のある第三者がドメインの一部を乗っとれる脆弱性につながる危険性がありました。 本問題につきましては現在は解消されており、全ての登録について不正がないかの調査を行っております。 この問題の発見者は前野年紀氏で、私はさくらインターネット株式会社に問題を通告し、改修を促すための連絡などでお手伝いをしました。 (12:00追記)なお、この脆弱性が混入したのは6月8日頃で、さくらインターネットは6月11日から修正を開始し、昨日（6月13日）には改修されましたので

[tsupo]

サブドメインハイジャック

[k-holy]

サブドメイン間でcookie共有していると…

[deep_one]

私が危惧しているパターンとは違うパターンらしい。

[poenaare45]

最近さくらに移動したばっかりなんですけど

[raimon49]

権威サーバーと同じサーバー上に、他人がサブドメインを登録できる

[t-murachi]

自前で BIND 建ててる弊社鯖にはあんまり関係ない話だった。

[nilab]

さくらDNSにサブドメインハイジャックを許す脆弱性 | 徳丸浩の日記

[tailtame]

6/14。修正済。こわいなぁ

[itochan]

クッキー、なりすましサイト（フィッシング）、なりすましメールアドレス　／　＞私自身、さくらDNSの利用者でしたので、他人事ではありません。とりあえず、さくらDNSで運用していたhash-c.co.jpドメインは引っ越しました

[zakinco]

あらら

[burnworks]

『さくらインターネット株式会社のDNSサービスにセキュリティ上の問題がありましたが、改修されましたので報告します』

[mumincacao]

さくら DNS のきけんがあぶないってお話が出た時に想像したしなりおとほとんど同じだなぁ・・・ 勝手にさぶどめいんなんて設定できちゃうのかどうかがちょっと謎だったけどそこの確認不足な感じ？（・【みかん

[shin1x1]

他が大丈夫なのか気になる

[Itisango]

すみません、なんかすみません。苦い思い出がorz

[nakakzs]

ふむ。

[nrtm]

月980円でドメインパクり放題、になるところだったのか 'さくらDNSにサブドメインハイジャックを許す脆弱性 | 徳丸浩の日記'

[ghostbass]

最近さくらに移動したばっかりなんですけど

[kussun]

こんなのあるんだ。 "権威サーバーと同じサーバー上に、他人がサブドメインを登録できることが問題"

[hiroshi_revolution]

さくらDNSにサブドメインハイジャックを許す脆弱性 | 徳丸浩の日記

[windish]

おわ。

[stealthinu]

さくらのDNS脆弱性について徳丸さんの解説「サブドメインハイジャック」

[n2s]

うは、そんなことが。

[ockeghem]

日記書いた