docomo iモードブラウザ2.0搭載機種での「かんたんログイン」の脆弱性対策 [nao-pon/blog/2009-11-25] - UsersWiki

mixiチェック

Wed 25 Nov 2009

docomo iモードブラウザ2.0搭載機種での「かんたんログイン」の脆弱性 対策

Tag: プログラミング携帯対応レンダラー

まずは次のリンクを参照してください。

セキュリティ情報 - iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性

携帯対応レンダラーでも、iモードIDを用いて「かんたんログイン」機能を提供していますが、HypCommonFunc Ver.20090901 以降では、iモードブラウザ2.0搭載機種では、cookie ベースのセッション管理となっているため心配はなさそうですが、念のために取り急ぎ HOST フィールドのチェックを入れました。

trust/class/hyp_common/preload/hyp_preload.php

上記ファイルに差し替えて運用されることをお勧めいたします。 :-)

追記 2009-11-25 (水) 08:43:01

昨日は寝ようと思ったところにニュースを見てしまって慌てて対策したけど、よく考えてみたら専用サーバでない限り、ほとんどのケースでバーチャルホストになっていると思うので、そもそも HTTPヘッダの HOST が違っている時点でサイトまで辿り着けないと思う。

そうだとすると、それほど慌てることもなかったかな。まあ「備えあれば憂いなし」ということで、よしとしよう。 :-D

Comments(0)

Attach file:

Post a new comment

Page Info
Page Name :	nao-pon/blog/2009-11-25
Page aliases :	None
Page owner :	nao-pon
Can Read
Groups :	All visitors
Users :	All visitors
Can Edit
Groups :	No one
Users :	nao-pon@携帯