PR

 Namazu Projectは12月15日,オープンソースの日本語語全文検索ソフトウエアnamazuのCGIモジュール「namazu.cgi」に,クロスサイト・スクリプティングのセキュリティ・ホールがあることを公表した。影響を受けるのはNamazu 2.0.13以前(2.0.13を含む)に含まれるnamazu.cgi。対策は,最新版2.0.14にバージョン・アップすることなど。

 クロスサイト・スクリプティングとは,攻撃者が,自分のサイトではなく第三者のWebサーバーまたはWebアプリケーションを介して,他のユーザーに悪意あるスクリプトなどを送り込める問題。複数のサイトを経由していることからクロスサイトと呼ばれる。これによりCookieを盗まれたり,サイトを偽装されフィッシングに悪用されたりする恐れがある。

 namazu.cgiではクロスサイト・スクリプティング対策として,入力データに含まれるスクリプトを無効化(サイニタイジング)する処理を行っている。しかし今回,タブ文字(%09)から始まる検索文字列を指定すると,検索文字列がサニタイズされなくなり,クロスサイト・スクリプティングが実行されてしまうことが判明した。

 最新版Namazu 2.0.14は,Namazu Projectのサイトからダウンロードできる。また同プロジェクトのサイトでは,タブ文字を無効化するスクリプトを紹介している。namazu.cgiの代わりにこのスクリプトを使うことも回避策になる。

 このセキュリティ・ホールは,HIRT(Hitachi Incident Response Team)およびIIJ-SECT(IIJGroup Security Coordination Team)により情報処理推進機構(IPA)に報告され,JPCERTコーディネーションセンター(JPCERT/CC)の協力のもとでNamazu Projectが対策を行った。

◎参考資料
JVN#904429FE namazuにクロスサイトスクリプティングの脆弱性(IPA)
タブ(%09)から始まる検索文字列による問題(Namazu Project)

(高橋 信頼=IT Pro)