「ソフトバンク携帯電話に脆弱性、「かんたんログイン」でのなりすましが可能に」記事へのコメント

サイト側の対策

[Anonymous Coward]

ソフトバンク端末はほとんどすべてがCookieをサポートしてる [milkstand.net]んだから、いっそソフトバンク端末ではかんたんログイン対応をやめてしまうのが手っ取り早い。具体的には「IPアドレス帯域」からソフトバンクの範囲を外して、PCと同様にセッション管理する。

Re:

[yu_raku (419)]

そんなことをせずとも、きちんとバーチャルホストの設定をして、予期しているホスト名を使用してのアクセス以外を弾いてしまえば、DNS Rebindingの影響は受けないのでは？
そうすれば機能的に損なう物もないですし。

Re:

[tietew (6130)]

アドバイザリを読んでください。XMLHttpRequestオブジェクトに於いて、Hostヘッダが上書きできてしまうため、仮想ホストでHostヘッダをチェックしていても、すり抜けてしまいます。サーバ側で対策ができません。

PCブラウザ、iモードブラウザではHostヘッダの上書きはできません。

Re:

[Anonymous Coward]

DNS Rebindingどうこうではなく、コレこそが一番危険なセキュリティホールでは…？
タレコミにコレも書いてくれないと。

Re:

[Anonymous Coward]

Host: の書き換え自体、何が危険ですか？（かんたんログインが使われていないとして）

Re:

[Anonymous Coward]

括弧内の条件は

タレコミにコレも書いてくれないと。

とどう関係してるんだ？

Re:サイト側の対策

[Anonymous Coward]

>>>「DNS Rebindingどうこうではなく、コレこそが一番危険なセキュリティホールでは…？」

意訳：DND rebinding に関係なく、Host: の書き換え自体が危険

→ Host: 書き換えの危険性って何ですか？

Re:

[Anonymous Coward]

がんばって誤読させようとしているのは分かるけど、もう少し上手く書こうね

Re:

[Anonymous Coward]

#1769778 の理解は正しいと思うんだけど、どう違うの?