Column SQL Truncation脆弱性にご用心

前回のブログ記事「CMS四天王のバリデーション状況を調査したところ意外な結果になった」にて、JoomlaとMovableTypeは長大なログイン名を登録することにより、ログイン名の重複が起こり得ることを指摘したところ、facebookの私のウォールにて、Column SQL Truncation脆弱性の話題になりました。Column SQL Truncationは、2008年にWordPressの脆弱性として報告されたことがあります（参照、参照）。 本稿では、簡単なログイン機能のSQL呼び出し例を用いてColumn SQL Truncationを説明したいと思います。 認証用テーブル定義の説明 認証に用いる会員テーブルを下記とします。ご覧のように、ログイン名を示す列 username には一意制約がありません。（追記）一意制約はふつうあるだろと思われるでしょうが、CMS四天王の中で一意制約

[Kenji_s]

「バリデーションは…結果としてセキュリティ上も有効です」あと、他のDBへ移行するよりはsql_modeを変更した方が楽だと思います

[koyhoge]

「MySQLは基本的に文字列末尾のスペースを比較時に無視する」これ知らなかった。ちょっとPHP文化の香りw

[deamu]

“「一意制約の指定はセキュリティ対策です」と言われると、違和感を持つ人が多いのではないでしょうか。私が「バリデーションはセキュリティ対策である」という言葉に違和感があるのも同じ理由です。”

[ksugimori]

なるほど文字数オーバーしてもエラーにならないのか。

[trashtoy]

文字列比較で末尾スペース無視するなんて初めて知った

[moccos_info]

これだけ詳しそうな人が書いても突っ込み→追記が発生してて闇が深い

[clavier]

徳丸浩の日記: Column SQL Truncation脆弱性にご用心

[ymori76]

へぇぇぇ。知らなかったら絶対はまるよ。

[iekusup]

勘弁してください（涙目

[mary_pp]

こうなると行末処理は微妙だ…。

[sisya]

ちょっとした罠。パスワードではないが、切り詰めでデータの整合性が取れずはまった記憶がある。

[tmtms]

ログインIDにユニーク制約つけないなんてこと普通は無いだろうから、あんまり気にしなくてもいいような気がする。 / (追記)代表的なCMS４つのうち３つはユニーク制約ついてないらしい。おかしい…。

[ya--mada]

mysql 相変わらず楽しい。のと、WordPressっていやんだね

[cryks]

渋い > "MySQLの採用をやめ、切り詰めが発生しないPostgreSQL、Oracle、MS SQL Server等を使用する"