VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について - debiruはてなメモ

2015年12月に私が発見した VALUE-DOMAIN での CSRF 脆弱性について、その脆弱性の報告と修正までの経緯を記しておきます。 きっかけ アカウント削除ページの作り アカウント削除ページの問題点 VALUE-DOMAIN への報告 CSRF 攻撃によるアカウント乗っ取りの問題 IPA への届出 余談：IPA への届出の仕方について IPA へ届出した後の状況 VALUE-DOMAIN ユーザの方へ きっかけ 数年前に VALUE-DOMAIN を利用していましたが最近は使っていないのでアカウントを削除しようとしたところ、アカウント削除操作を行うページの作りが「不自然である」ことに気付きました。更に調べたところ CSRF 攻撃によってアカウント乗っ取りが可能な状況であることが分かりました。 アカウント乗っ取りが可能な CSRF 脆弱性は2015年12月22日にIPAに報告し、2

[ockeghem]

なかなかワイルドなCSRF脆弱性事例。GETリクエスト一発でアカウント削除まで行くのは珍しいかも

[Jxck]

GET で delete する案件か。。あとドメインレジストラは影響度高いから脆弱性対策の窓口はしっかりしてほしいところ。

[C_L]

ウェブアプリの脆弱性はIPAは公表せず、当該事業者側の公表は事業者の判断となるので（自分がアドビの脆弱性報告したときは http://cl.hatenablog.com/entry/adobeforums-fixed）、事後に発見者が公表しないと埋もれちゃうんだよね

[rryu]

CSRF以前に「ここをクリック」をクリックしただけでアカウント削除完了というUIが想像を絶している。

[stealthinu]

VALUE-DOMAINというとスパム用のドメインがたくさん取られていたドメイン屋という印象が強すぎてなあ…

[tetsutalow]

あー、わかりやすい。ありがたい解説です。

[kenichiice]

「それと、VALUE-DOMAIN 側からは今回の CSRF 脆弱性があった件について、その事実や修正したことを公表していないようです。」

[sakadon]

おっいつもどおりのGMO案件！独立系デジロック時代は多めに見てた人も多いだろうけど、もうただのGMOだしいっぱい叩こう

[efcl]

教科書的なCSRF

[raimon49]

VALUE-DOMAIN窓口とIPA窓口、どちらもがっくり来る。

[tailtame]

お疲れ様です。怖すぎる。問い合わせすることあるけど分かってないな？ってのがあるのよね…

[buko]

（今は）有名なGMOグループなのにな。

[hazy-moon]

思ったより気軽に死ねるタイプの脆弱性だった

[pismo]

本当に正しく対応完了したかどうかの確認は取れてないって事なのかな？それはそれで怖い気もするけど、仕方ないのかな？

[mumincacao]

削除しようとしたことなかったから気づかなかったけどそんなざるいのですか・・・ りにうあるしてからよく迷子になるようにはなったけど前からそんなざる機能だったのかなぁ？（・ｘ・；【みかん

[takc923]

逆に考えるんだ。「こんなんでも何とかなるんだ」と考えるんだ（あかん）

[ElizaAcolyte]

レジストラのアカウント削除がURL一つで出来るとは・・・教科書に載せたいレベルのダイナミックさだな・・・。

[t_f_m]

"全く期待外れの回答だったのでこちらもきちんと伝える必要があるなと思い、より致命的な問題を指摘することにしました"

[m_insolence]

豪快すぎるわ。

[ayakohiroe]

VDだけじゃなくてなんかいろいろ深刻に問題ですね

[l3l]

なるほどなー

[miki3k]

ログイン状態で他のサイトを見てはいけません、レベルだったのか

[y-kawaz]

ここまでザルなのは凄いな

[key_amb]

ありがたい取り組み。

[progrhyme]

ありがたい取り組み。

[digitalglm]

VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について - debiruはてなメモ: 2016 - 04 - 07 VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF…

[camellow]

いつのまにかバリュードメインもGMO傘下になってるようだしお名前.comへの移行キャンペーンとかやってるしもうバリュードメインをまじめに運用する気がないのかな

[ginpei]

ログイン状態でURLにアクセスするだけでアカウント削除も含めいろいろできてしまっていたとか。技術の解説だけでなく当該ウェブサービスやIPAへ連絡についても触れている。

[zapperd]

こんなのあったの

[mi1kman]

数年経っても復活しないのであれば事実上廃止されたようなものでは＞ウェブ届出フォーム