Namazu-devel-ja(旧)
[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
Re: クロスサイトスクリプティング脆弱性 (ver2.0.10)
- From: knok@xxxxxxxxxxxxx (NOKUBI Takatsugu)
- Date: Fri, 24 Jan 2003 17:24:10 JST
- X-ml-name: namazu-devel-ja
- X-mail-count: 02721
連絡が遅くなりました。
<20030121172309.0832.TAKAGI.HIROMITSU@xxxxxxxxxx>の記事において
takagi.hiromitsu@xxxxxxxxxxさんは書きました。
>> ところが、 http://www.office.ac/tearoom/noframe.cgi#No.1254 で知ったの
>> ですが、Apacheで使っている場合でも、
>> http://example.com/cgi-bin/namazu/namazu.cgi?idxname=../<s>test</s>
>> にアクセスしたときのエラーメッセージが、画面に出て、Namazu 2.0.10 では
>> クロスサイトスクリプティング脆弱性が発現しました。Namazu 2.0.12 では直っ
>> ているようです。
以下の環境にて確認を試みました。
* Linux 2.4.18
* Debian GNU/Linux 3.0r1
* Apache 1.3.26
* Namazu 2.0.10
* browser: w3m 0.3.1
結果は、Content-Type: text/html で以下のような出力になりました。
./<s>foobar</s> : Invalid idxname.
この出力は src/cgi.c の validate_idxname() にてなされている部分です。
これを見る限りは問題ないと思うのですが、どのような環境下で問題が発生し
ていますでしょうか。
--
野首 貴嗣
E-mail: knok@xxxxxxxxxxxxx
knok@xxxxxxxxxx / knok@xxxxxxxxxx