運営サイトの脆弱性を指摘されました

こんにちは

昨日は、ネタ切れしてしまい。。更新をお休みしました。(^_^;
今日のネタをかけば良かったのですが、書く事自体に悩んで、また気分が乗らず良いきっかけかな？と思いお休みました。

黙ってよう（笑）かとも思いましたが、自分への戒めと情報共有の意味も含めて記事にしようと思います。

先日、このサーバをお借りしている、「さくらインターネット」さんからメールが来ました。

外部からの情報提供があり、「暗号通貨詐欺サイトへ誘導する攻撃に悪用」されているコンテンツがあるとの事です。以下はメールのスクショ。

提供していただいた情報を元に確認してみると、かなり昔から運営していた金魚関係の2つのサイトの攻撃（悪用）URLがありました。

リンクを貼るのはどうかと思うので、サイト名だけ公開します。以下の2つです。

・金魚サーチ
・金魚ランキング

攻撃コードを見ると、該当サイトのプログラムを経由して外部のページを表示すると言う物に見えます。
要するに金魚サーチ等のURLを表示すると、実際に表示されるのが全然関係ないサイトが表示される物でした。
Cookieの盗聴の可能性もありますが、この2つのサイトは盗聴される様なCookie自体の保存はないので問題ないと思います。

これはダメなヤツですね(T_T)
と言う事で、メールを頂いて、30分後には一週間を目処に対応するので！とサイトを閉鎖しました。

その後、現象と実際使っているプログラムはフリーのCGIプログラムで、かなり古い物です。うろ覚えですが、運用を開始したのが2004年と16年前で、その後10年弱？ぐらいはバージョンアップをしていましたが、最近は金魚飼育自体は殆どしていない事とアクセス数が少ない事もあり、閉鎖するか悩みましたが利用者がいる事もあり、先延ばしにしていました。これがいけなかったです。(^_^;

プログラムを見ると、どちらも「クロスサイトスクリプティング攻撃」と言われる物ですが、プログラム実装自体が性善説的な感じで、外部サイトへ渡されたパラメータを使って、リダイレクトする物でした。メイン機能の1つである事から、ちょっとした対応で直せそうではありますが、プログラム内の構造調査がかなり面倒かなと思いました。利用者数も凄く減っている事からもモチベーションが維持できず、そのまま対応せずにサービス自体を停止する事にしました。

余談ですが、もしや！？と思ってfirefoxで該当ページを表示したら赤かったです(^_^;

指摘されている情報元のインシデントを見ると（英語サイトなので、日本語に自動翻訳しました）。既に解決済みになっていて、放置すれば削除されそうな感じです。
閉鎖したので、削除されなくても別に構いませんが。。

と言う事で、運営しているサイトは責任を持って！と言う事を再認識ました。

使っている2つのCGIは別々の提供元で、1つは閉鎖、１つはライセンス形態をコピーレフトに変更して残ってました。

CGIプログラム名を書いておくと、「Yomi-Search」と、「Ranklink」です。
該当するプログラムを利用しているサイトオーナーさんは対応した方が良さそうです。

ちなみに「Yomi-Search」の方は、inランキングを使ってなければ、影響しないかも。。です。CGIがあるだけで駄目かも知れませんが。。

Yomi-Searchの方は、Vectorに残ってたので削除依頼しておこうと思います。Ranklinkの方は。。連絡先不明です。
自分のサイトも、所有者の代理設定をしていて自分の方ではなくて、サーバ提供元に方に連絡が行っていまいました。同じでした。

メアドだけ自分のに変更できれば良かたのですが、今のドメイン提供元はできないので。。ドメイン登録すると個人でも住所、電話番号、氏名等フルセットで公開される仕様ってどうにかならないんですかね。。(^_^;

 

最後に、今回の件は、情報がないのでセキュリティーホールでも「ゼロデイ攻撃」と言われる物かなと思います。

情報が漏洩するものでないだけマシでしたが。詐欺メールの中のURLに使われたかと思うと、凄く申し訳なかったと反省しています。

古いプログラムですが、稼働しているサイトはかなりあるので。。他人事ではありますが、気になります。