Google、XSS脆弱性を指摘され、修正

Concerto 曰く、 "ITmediaの記事やCNETの記事によると、セキュリティソフトメーカのFinjan Softwareは10月10日、GoogleのWebサイトに危険なXSS脆弱性を発見し、同社に通報したと発表しました。
Finjanによると「AdWords」広告プログラム用のウェブサイトと顧客トレーニングサイトで利用されていたフォームが入力データの認証とフィルタを行っておらず、これを利用してリモートの攻撃者がコンテンツとスクリプトを仕掛け、ユーザーのcookieを盗み出せる状態になっていたとのことです。
FinjanのバイスプレジデントLimor Elbaz氏によると、「Googleのケースは、リンクが無害なもののように見える点が危険だった」とのこと。

Finjanがこのバグの存在を先月終わりにGoogleに伝えたところ、その後30時間以内に修正が行われたとのことで、Googleのある関係者は「ユーザデータの改ざんは一切無かった。」と電子メールによる声明のなかで述べています。"

修正完了まで30時間は

[JnJ (23012)]

かなり早いといっていいのかな。
迅速な対応はさすが。

--
LAN内LAN稼働中

Re:修正完了まで30時間は

[Anonymous Coward]

より本物に近いシステムでテストして、それを膨大なクラスタで構成されているシステムに一気に修正をかける、というノウハウというか仕組みが出来上がっているということですか。

素人目にはすげえ

Re:修正完了まで30時間は

[yanagi (6075)]

Googleはちょくちょく いろんな修正を行っているので
クラスタシステムを対象に一気に更新をかける技術は
十分に出来上がっていると思います。

んで、Googleの場合、脆弱性の修正や頑健なコードを書く
技術がどのくらいあるのか未知数でしょう。

実際のところGoogleのツールバーやデスクトップ検索の
脆弱性というのはありましたが、サイトの脆弱性というのは
初見だと思います…それとも見落としていますかね？

ほかには頑健なJavaScriptと脆弱なJavaScriptってのが
どういうものかはあまり研究されていないのかも。

#ブラウザのJavaScriptの脆弱性は山ほど…(^^;

--
やなぎ
字面じゃなく論旨を読もう。モデレートはそれからだ

Re:修正完了まで30時間は

[Anonymous Coward]

>サイトの脆弱性というのは 初見だと思います プレスに発表されていないだけで、XSSレベルなら結構過去にもあった模様。

「ユーザデータの改ざんは一切無かった。」？

[Anonymous Coward]

「ユーザデータの改ざんは一切無かった。」というけど、
情報漏洩についてはなかったとは言えない
ということかな？

というか、改竄がなかったことってどうしてわかる？？
本人の変更とハイジャックでの変更が区別できるかあ？？

Re:「ユーザデータの改ざんは一切無かった。」？

[JnJ (23012)]

改ざんに関しては、今回報告された脆弱性を使われた場合と
通常の変更の間でアクセスログに差があればわかるかと

--
LAN内LAN稼働中

XSS ...

[Anonymous Coward]

「あの人」じゃなかったんだ。

１．　よかったー
２．　違うの？

Re:XSS ...

[Anonymous Coward]

あの人って誰？？＞＜

Re:XSS ...

[Anonymous Coward]

XSSを大量に発見していた人で、Form改竄で個人情報を入手してしまい。
そのまま公開して逮捕された河合 一穂 [google.co.jp]さんの事かも。

Re:XSS ...

[Anonymous Coward]

> 河合 一穂 さんの事かも。

違くない?

昔

[Anonymous Coward]

Googleで特定の単語で検索すると、Buffer Overflowかなんかで他の人の検索語が見えるとかあったよね。なんだったけな・・・。

Re:昔

[wappa (20161)]

「村田 巨人」 [srad.jp] ですね。
こういうバグは、本当はあってはいけないことなんでしょうけど、端から見てると愉快ですよね。