VALUE-DOMAIN に存在していた2種類のドメインハイジャック脆弱性について - debiruはてなメモ

2022年3月2日に確認した VALUE-DOMAIN でのサブドメインハイジャックが可能な脆弱性について経緯を説明します。 ついでに2016年の記事「VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について」の続報も含めて、この記事で2022年現在の VALUE-DOMAIN の状況についてお伝えします。 脆弱性を2つ発見しました 第一：子ゾーン作成によるサブドメインハイジャック 第一の脆弱性の攻撃の原理 VALUE-DOMAIN のネームサーバについて 第一の脆弱性 発見後の経緯 サブドメインハイジャック攻撃を受けた場合の影響 第二：CSRF 攻撃によるドメインハイジャック ドメインハイジャック攻撃を受けた場合の影響 CSRF 攻撃によるドメインハイジャックの対策状況 VALUE-DOMAIN ユーザの方へ 脆弱性を2つ発見しました （第一）子ゾーン作

[kanflu]

またGMOか。 “本来は VALUE-DOMAIN がこの脆弱性があった事実と、それらを排除したかどうかについて説明すべきでしょう。”

[daruyanagi]

ちゃんと情報開示しないところは信頼できないよなー

[ockeghem]

冒頭に僕の日記が参照されていて驚いた。さくらのサブドメインハイジャックはもう10年前のことか。

[wisboot]

最初Value-Domain使ってたけど、あの悪名高い「お名前.com」を運営するGMOに買収された時、絶対ヤバくなると思ってさくらにドメイン移管したが、どうやらその判断は間違っていなかったようだ…

[bootJP]

IPAへの報告自分もやったことあるけど、とてもめんどうだった。お疲れさまでした

[nikoli]

ずっと前からJPRSからも注意喚起されているからさすがにもう過去の話かと思っていたのにまだ親子同居問題が残っていたとは…

[circled]

DNSのマネジメントは無料アカウントでも高機能が過ぎるcloudflareとかに切り替えた方が幸せよ？awsのs3でのWEB公開機能にもSSL使えるようになるし。鯖メンテナンス中にもcloudflareのキャッシュから表示させてダウンタイム0に。

[kotas]

“通常、CSRF 脆弱性があると指摘されたら、全ての更新処理について問題がないか検証するべきではないのでしょうか。なぜ VALUE-DOMAIN は指摘した箇所しか修正しないのでしょう”

[new3]

デジロックには大変お世話になったけどGMOに買収されてからサポートがクソになってから使うの辞めた。フォーラムで運営とユーザが仲良くやれてたの奇跡だよね…平岩さん辞めて新サービスやらないかと思い始め早10年

[zakinco]

DNSのヤバさはこちらをみましょう。 http://www.e-ontap.com/blog/

[cho45]

ここ数年で value-domain やめて nameserver も registrar も Cloudflare に変えたけど移行楽だし HTTPS レコードとかも設定できるし今のところ満足

[itochan]

＞私は無料の脆弱性診断士ではないのです。

[door-s-dev]

サービス事業者が対応しないなら自衛するしかないな

[kuippa]

いくつかはvalue-domainに置いてる。自分でDNSレコード書ける仕様はすき。サーバーもNSもSSLも別会社なんだが、A、AAAAレコード用って感じ。別カゴにわけておきたいのだけど全部GMOに買収されるほうが嫌だ。

[deep_one]

一つ目はさくらにあった奴…それは報道された時に直せよ。

[kako-jun]

ドメインジャックで通じるのにハイジャックなのは、やっぱり地球のアイコンとかで、ネットは空のイメージがあるからかな

[sora_h]

GMOよ…

[eru01]

管理ページは毎回ログアウトしてるし、DNSはcloudflareにしてるから特に影響なかったわ

[suyasite]

VALUE-DOMAINは、怖くて使えないですね。 他のドメイン会社・サーバー会社も、これを機に点検してほしいと思います。

[nakag0711]

DNSは落とし穴多い

[napsucks]

どうしてこうなったレベルの脆弱性だな

[basseyboost]

信頼できるDNSサービスを教えていただきたい！

[spark7]

適当に登録できちゃうのすごいな。「任意のサブドメインのFQDNを指定してゾーンを作成」