「XOOPSにSession Fixationの脆弱性? 開発者は脆弱性でないと判断」記事へのコメント

XOOPSはやばい

[Anonymous Coward]

XOOPSの開発陣は素直に脆弱性を認められないMSみたいな人たちってことでは？
そういのは使わないほうがよさそうです。

セキュmemo [ryukoku.ac.jp]で知ったのですが、関係者？がこんなと言ってるんですね。

投稿者： GIJOE 投稿日時： 2006-08-01 06:13:28 (1177 ヒット)
これ、実際に経験してみれば判ることですが、ほとんど成功しない攻撃です。しかも、
session.use_only_cookies 1
は推奨設定です。
こんなのを今さら「XOOPSの脆弱性」として連絡してくるあたり、JPCERTという組織のレベルの低さを証明しているわけですが、ちゃんと対応するコアチームは素直に偉いと思います。

レベルが低いのはお前だろ！

というわけで、急いで2.0.16-JPにアップデートする必要はありません。元々がおかしな報告だったのですから、session.use_only_cookies 1 であることを確認した上で、2.0.15-JPのまま運用するのが良いでしょう。

こんな人たちの製品は危なくて使えません。

Re:XOOPSはやばい

[Anonymous Coward]

これはXOOPSの脆弱性と言うより有名なPHPの脆弱性では。 ここ [ohgaki.net]とかに書いてあります。 今のソースならsession.use_only_cookies=1にしないと脆弱になる、とソースについてくるphp.ini-*にも記載されています。

; This option enables administrators to make their users invulnerable to
; attacks which involve passing session ids in URLs; defaults to 0.
; session.use_only_cookies = 1

Re:XOOPSはやばい

[Anonymous Coward]

＞ これはXOOPSの脆弱性と言うより有名なPHPの脆弱性では。

違いますよ。session.use_only_cookies=1 にしても脆弱です。
ウェブブラウザは何使ってますか？

タレコミのIPAの資料 [ipa.go.jp]の脚注に書かれている通りです。

ウェブアプリケーション側で対処しない場合は、「Cookie Monster」と呼ばれるドメインをまたがったCookie のセットができてしまう問題を抱えたブラウザ（Mozilla、Firefox などが該当）をそのウェブアプリケーションの ログインに使用しないようにする必要があります。また、加えて、ウェブアプリケーションサーバ製品に「セッシ ョンID の固定化」の脆弱性がある場合には、パッチを適用するか、設定で回避する必要があります。

これらは or ではなくて、and ですね。

Re:XOOPSはやばい

[Anonymous Coward]

それぞれ単体では脆弱性にはならんのだよね？
そして、それぞれが、何かのミスによる物でもない。
相性が悪いという程度の事。

なのに、なぜ、XOOPSだけが責められているのだろう？
見方を変えれば、Cookie Monsterの脆弱性と言えるのでは？

Re:XOOPSはやばい

[Anonymous Coward]

＞見方を変えれば、Cookie Monsterの脆弱性と言えるのでは？

で、どうすればいいの？

Re:XOOPSはやばい

[Anonymous Coward]

ログイン時にセッションキーを変えればよい。
そして、Xoopsはそういう対応をした。
以上。

Re:XOOPSはやばい

[Anonymous Coward]

しかし jvn には出さなかった。

Re:XOOPSはやばい

[Anonymous Coward]

cookie2にいく
じゃだめなのかな。
RFCみたら返すときにドメインも一緒に返すように見えたんだけど。

Re:XOOPSはやばい

[Anonymous Coward]

サポートしているブラウザってある？

Re:XOOPSはやばい

[Anonymous Coward]

GIJOEは関係者でも開発者でもないでしょ。 こういう本は書いてるみたいだけど。 http://www.digical.co.jp/php_cyber.html [digical.co.jp]

Re:XOOPSはやばい（－１：余計なもの）

[Anonymous Coward]

前に高木さんに批判されてたような

Re:XOOPSはやばい（－１：余計なもの）

[Anonymous Coward]

「PHPサイバーテロの技法」という本の著者ですね。
私も持っていますが、攻撃を煽るような書き方があって危険な香りがします。

Re:XOOPSはやばい（－１：余計なもの）

[Anonymous Coward]

あの論争、高木さんのほうが返事をしなくなって終わったんじゃなかったっけ？珍しく、「高木さん引いたナー」って思ったよ。 http://takagi-hiromitsu.jp/diary/20051227.html [takagi-hiromitsu.jp] http://www.peak.ne.jp/xoops/modules/news/index.php?page=article&st... [peak.ne.jp]

Re:XOOPSはやばい

[Anonymous Coward]

「XOOPSの開発陣」って実際のところ何人いるんだろ。本家からフォークした後は結局日本人仲良し数人で回してるって感じ？

Re:XOOPSはやばい

[Anonymous Coward]

メインはminahito氏を筆頭に日本人が多いけど、
海外の人も結構いますよ。αやβを試用してレポートで
貢献してる層はむしろ海外＞日本ではないかと。
(中の人じゃないので外から見える範疇での話しだけど)