・報告元:JPCERT/CC
・届出者:石橋 豪様(三井物産セキュアディレクション株式会社)
・脆弱性の内容:
(1) Cookieを利用した悪用(クロスサイト・スクリプティング)が可能。ただし、スクリプトが実行されるのは改変された Cookie を利用するブラウザ上であり、第三者に対してクロスサイト・スクリプティングの脆弱性を利用するためには、Cookie Monster など別の手法を用いて、あらかじめ対象者の Cookie を変更しておく必要があります。そのため、脅威となる可能性は極めて低いと考えます。ただし、Ver.5.1以降をお使いの場合は問題ありません。
(2) e-mail欄及びURL欄を用いた悪用(クロスサイト・スクリプティング)が可能。ただし、Ver.5.1以降をお使いの場合は問題ありません。
wforum.cgi ---------------- 掲示板プログラム init.cgi ------------------ 設定ファイル regist.cgi ---------------- 投稿プログラム admin.cgi ----------------- 管理用プログラム capture.cgi --------------- 画像認証プログラム check.cgi ----------------- 設定チェックプログラム lib/pngren.pl ------------- PNG連結ライブラリ [配布元サイト閉鎖中 : 桜月氏作成] lib/*.pl ------------------ 補助プログラム他 lib/Jcode.pm -------------- 文字コード変換モジュール [入手先] lib/Crypt/RC4.pm ---------- 暗号モジュール [入手先] lib/GD/SecurityImage.pm --- 画像認証作成モジュール [配布元] data/log.cgi -------------- データファイル data/pastno.dat ----------- 過去ログ通番ファイル past/ --------------------- 過去ログディレクトリ past/0001.cgi ------------- 過去ログ用データ css/wforum.css ------------ スタイルシートファイル tmpl/*.html --------------- テンプレートファイル bin/*.ttf ----------------- フォントファイル(画像認証用) bin/*.png ----------------- 画像ファイル(画像認証用)
public_html / index.html (トップページ)
|
+-- wforum / wforum.cgi [705]
| admin.cgi [705]
| regist.cgi [705]
| capture.cgi [705]
| init.cgi [604]
| check.cgi [705]
|
+-- lib / *.pm
| | *.pl
| |
| +-- Crypt / *.*
| +-- Jcode / *.*
| +-- GD / *.*
|
+-- data / log.cgi [606]
| pastno.dat [606]
|
+-- past [707] / 0001.cgi [606]
|
+-- tmpl / *.html
|
+-- css / wforum.css
| ファイル名 | パーミッション | 転送モード | |
|---|---|---|---|
| 一般サーバ |
suEXECサーバ CGIWrapサーバ |
||
| wforum.cgi admin.cgi regist.cgi capture.cgi check.cgi |
755 or 705 | 701 or 700 | アスキー |
| init.cgi | 644 or 604 | 600 | アスキー |
| lib/*.* | - | - | アスキー |
| data/log.cgi data/pastno.dat past/0001.cgi |
666 or 606 | 600 | アスキー |
| pastディレクトリ | 777 or 707 | 701 or 700 | - |
| bin/*.png bin/*.ttf |
- | - | バイナリ |
Tips:ファイル転送の仕方は以下のページを参考にしてください。
|
|
|
HI-HO向けバージョンのご紹介
- AI'S ROOM
HI-HO向け設置解説ページのご紹介
- misskita.com
画像貼り付け・WEBメール機能への改造紹介ページ
- Web Forum改造
WebForumに掲示板スパム対策・掲示板荒らし対策
- WebForumに掲示板スパム対策・掲示板荒らし対策