StartSSLにドメイン認証不備の脆弱性

Osama almanna's blogにて、StartSSLにドメイン認証に脆弱性があったと報告されています。 In 9 March, 2016 During my research I was able to replicate the attack and issue valid certificates without verifying the ownership of the website which I will explain later in my post, the vulnerability was reported and fixed within hours. ウェブサイトの所有権を検証しないで、正当な証明書が交付されるというものですね。脆弱性は報告の後数時間で修正されたとのことです。 以下、彼のブログ記事を元に、脆弱性の内容と修正方法について説明します。 問題

[mh615033891]

個人的には平文の電子メールって時点でうーんという感じなんだけどなあ。

[rryu]

セキュリティを担保する機能でUI的には選択なんだけどシステム的には任意の値の入力というベタな穴に気づかないというのはいかがなものか。

[deep_one]

「メールアドレスの選択肢はユーザ入力ではなく、システム側で生成した値なのに、それを文字列として受け取ることが問題」ありがち。

[mas-higa]

なるほど、わかりやすい。

[hirata_yasuyuki]

意外とやりがちなミス。 Browsing: “StartSSLにドメイン認証不備の脆弱性 | 徳丸浩の日記”

[ngyuki]

セッションにリストを入れる場合もそのリストが tokumaru.org のものであるという情報も入れとかないといけないと思うので whois し直すのが良さそうな気がする

[uunfo]

POSTされたメールアドレスで認証って…。ひどすぎる。

[digitalglm]

StartSSLにドメイン認証不備の脆弱性 | 徳丸浩の日記: Osama almanna's blogにて、StartSSLにドメイン認証に脆弱性があったと報告されています。 In 9 March, 2016 During my…

[Sampo]

StartSSL無茶苦茶じゃないか

[masutaka26]

"脆弱性は報告の後数時間で修正されたとのことです"