【緊急リリース】OpenPNE 3 に存在するセッション管理の不備に関する複数の脆弱性のお知らせ｜OpenPNE
OpenPNE 3 には、セッション管理の不備に関する複数の脆弱性が存在します。 本日（12/8）、この問題の対策版として OpenPNE 3.0.8.2, 3.2.7.3, 3.4.9.1, 3.6beta7 のリリースをおこないましたので、内容を確認のうえバージョンアップまたはパッチの適用をお願いいたします。 本問題について 影響を受けるシステム 3.0.8.1 以下、 3.2.7.2 以下、 3.4.9 以下、 3.6beta6 以下の OpenPNE を使用しており、以下のどちらかまたはすべての条件を満たしているサイト。 1. セッションストレージにデータベースを設定している 2. 他の OpenPNE 3 とセッション保存先を共有している ※OpenPNE 2 を使用しているサイトは影響を受けません。 概要 OpenPNE のセッション管理が以下に説明するように不適切であったため
ログイン機能へのCSRFによるセッション固定 - 知らないけどきっとそう。
危険なのかよくわかんないですけど、はてダ初め書きます http://ido.nu/ayaya/yj.html（対策されてた！） iframe 内で http://login.yahoo.co.jp/config/login に logout=1 を POST して強制的にログアウト状態にする ログインフォームの form タグ部分をスクレイピングし、あらかじめ用意しておいた Yahoo! JAPAN ID とパスワードを埋め込む その HTML を iframe にロードし、submit() で POST させることにより、用意しておいたアカウントでログインさせる メールで「住所情報を更新しないとアカウントが消えます」とか書いて誘導したら、どのくらい釣れるかなあ あーあと、個人情報の入力だけじゃなくて、OAuth の認可とか権限を与える操作もまずい ページは SSL になっていて、アドレス
第5回 携帯サイトでセッションを取り扱う | gihyo.jp
携帯サイトでのセッション管理 今回は携帯で会員サイトを作る時のベースとなるログイン状態の管理方法を見ていきたいと思います。セッションとはユーザーがサーバーに接続し、サイトを巡回している間アクセスしてきているのが同一利用者であることを認識するための仕組みです。この仕組みを利用することで、一度会員ログインが完了した利用者がサイトにアクセス中、継続的に自分だけの情報を見るといったことが実現可能になります。 図1 セッションの仕組み セッションを維持するためには、セッションIDを利用します。通常セッション管理はアクセスしてきた端末に対してセッションIDを割り振り、ブラウザに対して割り振られたセッションIDを渡します。サイト側はそのセッションIDに紐付いた情報を保持しておき、アクセスしてきたブラウザのセッションIDを元に情報を引き出すといった仕組みになっています。 ブラウザがセッション管理を行う方法
はてなブログ | 無料ブログを作成しよう
セメントドリンク、ブラウン管、吊るされた収納、OMORIカフェ、くり抜き、どや顔の初音ミク パチミラ福岡に出演する縁で博多に行きました。 楽しかったのでその時の写真をアップロードします。 博多駅のハートポスト 手描きのグリッチ カニの丸揚げ(おいしかった) フレッシュセメント という名前の飲み物(おいしかった)ごま+バナナスムージーっぽかった？ 泡系…
セッションID付きURLが Bot にインデックスされる等で、セッションID漏えい問題に対応したい - 基本へ帰ろう
what 携帯サイトで、セッションID付きURLを利用して、セッションIDを引き回すと、セッションIDが漏えいするケースが多いため、セッションハイジャックにつながりやすいので、なるべくセッションIDを漏えいしにくい作りにしたい。 ちょっとググればたくさんこの話題は出てくるが、自分なりにまとめる。 結論 セッション付きURLを利用している限り、セッションIDの漏えいの可能性を０にすることは難しい。ただしセッションIDの漏えいとセッションハイジャックの可能性を下げることは可能なので、可能性を下げる努力をする。 一番良いのは、「ログインごとに新しいセッションIDを発行する」だと思う。 ただし、携帯サイトとPCサイトで同じセッションを利用している場合、PC側で「次回から入力を省略する」ということができなくなる。諸刃の剣ですなぁ・・・。 セッションIDが漏えいするケース セッションID付きURLをG
FC2ブログのコメント入力欄の異常について：ekken
コメント入力欄の「名前」「URI」「PASS」なんですけど、同じパソコン上では普通、前回入力した内容が表示されていると思うのですね。技術的なことはよくわからんのだけど、cookieを利用しているかなんかしているから、自分だけが利用している同じパソコンでは、常に同じ情報が表示されると思うのです。 ……なんですけど、先ほどヘンな現象が。 通常、僕のパソコン上でこのブログを開いた時に表示されるコメント入力欄周り。 僕が他人の名前を騙らない限り、ここには自分が以前入力した名前・URIなどが表示されているはずなんですけど、表示する記事によっては、ごく稀に全く身に覚えのない情報が表示されているのです。 パソコンの管理の良くないネットカフェなんかでは、割とよくあることなのかもしれないけれど（10年近く前、自分の残した情報で知人のBBSを荒らされたことがある）、まさか自分の家のパソコンで他人の入力した情報
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【セキュリティ ニュース】他顧客のアカウントでログインしてしまう不具合が発生 - 音楽配信サイト（1ページ目 / 全1ページ）：Security NEXT
とくまるひろしのSession Fixation攻撃入門 - ockeghem's blog
http://www.soldam.co.jp/info/20071013/index.html
x.com