JSONをvbscriptとして読み込ませるJSONハイジャック(CVE-2013-1297)に注意

はせがわようすけ氏のブログエントリ「機密情報を含むJSONには X-Content-Type-Options: nosniff をつけるべき」にて、巧妙な罠を仕掛けることにより、別ドメインのJSONデータをvbscriptとして読み込み、エラーハンドラ経由で機密情報を盗み出すという手法が紹介されました。これは、IEの脆弱性CVE-2013-1297を悪用したもので、MS13-037にて解消されていますが、MS13-037はIE6～IE8が対象であり、IE9以降では解消されていません。 また、MS13-037を適用いていないIE6～IE8の利用者もしばらく残ると考えられることから、この問題を詳しく説明致します。サイト側の対策の参考にして下さい。 問題の概要 JSON形式のデータは、通常はXMLHttpRequestオブジェクトにより読み出しますが、攻撃者が罠サイトを作成して、vbscript

[pmint]

攻撃者に都合よく1行目に機密情報が書かれたJSONなら。長々書いてる割にそこをさらっと済ませちゃったり「反転」する辺りは脆弱性で食ってる職業だからなのかな。「JSON関係なくね？」とも思うけど実際JSONが多いからか

[warriorking]

JSONをvbscriptとして読み込ませるJSONハイジャック(CVE-2013-1297)に注意 | 徳丸浩の日記

[naga_sawa]

本来読めないはずのURLからのJSONをエラーハンドラ経由で取得できてしまう脆弱性について

[nnasaki]

CORS はとりあえず大丈夫そう。（他の脆弱性が無ければ）

[typista]

ぽけったー JSONをvbscriptとして読み込ませるJSONハイジャック(CVE-2013-1297)に注意

[manhole]

『私はこれを見て、ある種の感動を覚えました。今までContent-Typeを散々無視してきたIEが、Content-Typeが違うとして読み込みをブロックするとは…』

[amayan]

わざとエラー起こして詳細からぶっこ抜くと。おっかねぇ

[khtokage]

基本と背景を含めたもの凄く丁寧な説明。「今までContent-Typeを散々無視してきたIEが、Content-Typeが違うとして読み込みをブロックするとは…」噴いたｗｗ

[wasai]

あとで読み直す

[itochan]

javascriptは必要。vbscriptいらない。　そういう設定をIEに設けて欲しい。（必要な人には/時には vbscriptもonできるように設定で）

[GARAPON]

後でちゃんと読む

[t_z]

おお……おおお！ >今までContent-Typeを散々無視してきたIEが、Content-Typeが違うとして読み込みをブロック

[fafhrd]

説明の仕方が実にわかりやすい

[raimon49]

X-Requested-Withヘッダ付与とチェックついて。不完全なJSONや無限ループで読みだせなくするバッドノウハウ的な手法よりもXHRからのリクエストかどうか検証する。

[sakuragaoka]

きをつけよう（開発者がね）

[k-holy]

SymfonyのHttpFoundationにRequest::isXmlHttpRequest()があったのはこういう背景なのね

[burnworks]

vbscriptのエラーメッセージからJSONデータ内の秘密情報が漏洩するかどうかはJSONの構造に依存 / 配列以外の形式についても漏洩させるテクニックが出てくる可能性 / JSONの構造に関わらず対策を推奨

[tsupo]

vbscriptを指定したscript要素により呼び出す攻撃 / JSONはvbscriptとして実行するとエラーになるが、エラーハンドラに渡される引数としてJSONデータが入るため、通常は読み出せないJSON経由で秘密情報が漏洩する

[k_gobo]

大事なことだと思うんだけど、午後に読むには睡魔に負ける分量。

[ko-ya-ma]

例の件について、背景から詳しく解説

[JHashimoto]

"本当に影響があるかどうかは、JSONの構造にも依存しますが、他の攻撃による情報漏洩の可能性も考慮して以下の対策を推奨致します。"

[YaSuYuKi]

対策しなきゃ

[oppara]

JSONをvbscriptとして読み込ませるJSONハイジャック(CVE-2013-1297)に注意 | 徳丸浩の日記

[fukken]

nosniff ってそういう意味だったのか、納得

[asuka0801]

なにそれ楽しそう

[ya--mada]

まだjsonセキュリティ読んでないや

[ockeghem]

日記書いた（長文）