投稿者「webmaster@jpcert.or.jp」のアーカイブ

JVN: 複数の CDN サービスプロバイダに HTTP キャッシュポイズニングの影響を受ける問題

コンテンツデリバリネットワーク (CDN) は、バックエンドに置かれた Web サーバのコンテンツを配信するためのプロキシサーバのネットワークであり、効率的な配信のために、コンテンツを一時的なローカルストレージにキャッシュします。<br /> プロキシサーバやバックエンドの Web サーバによる HTTP ヘッダの処理を悪用し、遠隔から細工した HTTP ヘッダを使用して任意のコンテンツを CDN のキャッシュに注入する攻撃を HTTP キャッシュポイズニングと呼びます。<br /> CDN のキャッシュに悪意あるコンテンツが注入されると、対象の Web サイトへのアクセスに対して悪意あるスクリプトが配信され、閲覧者の環境で実行される可能性があります。続きを読む

JVN: Citrix Application Delivery Controller、Citrix Gateway および Citrix SD-WAN WANOP web server における任意のコード実行が可能な脆弱性

Citrix が提供する Application Delivery Controller (旧称: NetScaler ADC)、Citrix Gateway (旧称: NetScaler Gateway) および Citrix SD-WAN WANOP には、任意のコード実行が可能な脆弱性が存在します。続きを読む

JVN: トレンドマイクロ製パスワードマネージャーにおける情報漏えいの脆弱性

トレンドマイクロ製パスワードマネージャーには製品内で生成されるルート CA 証明書用の秘密鍵が取得可能な脆弱性が存在します。<br /> <br /> なお、本脆弱性は <a href="https://jvn.jp/jp/JVN49593434/">JVN#49593434</a> とは異なる問題です。続きを読む

Weekly Report: F-RevoCRM にクロスサイトスクリプティングの脆弱性

シンキングリード株式会社が提供する F-RevoCRM には、クロスサイトスクリプティングの脆弱性があります。結果として、遠隔の第三者が、当該製品を使用しているユーザのブラウザ上で、任意のスクリプトを実行する可能性があります。続きを読む

JVN: 複数の CDN サービスプロバイダが HTTP キャッシュポイズニングの影響を受ける問題

コンテンツデリバリネットワーク (CDN) は、キャッシュと呼ばれる一時的なローカルストレージを使用して、オリジンとなるバックエンドの Web サーバから集められたコンテンツを配信するプロキシサーバのネットワークです。CDN のキャッシュに対して、無害化処理が行われていない HTTP ヘッダを使用して遠隔から任意のコンテンツを注入する攻撃を HTTP キャッシュポイズニングと呼びます。一度悪意のあるコンテンツを注入されると、将来的に対象のウェブサイトへアクセスする閲覧者の環境で、悪意あるスクリプトが配信、実行されてしまいます。続きを読む