スポンサーサイト

■ スポンサー広告 Posted by ひぐま (Higmmer) on -------- at --:--:--
上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。

[重要] Sage++ (Higmmer's Edition) 1.3.10a 最終リリース

■ 自作ソフト Posted by ひぐま (Higmmer) on 2007-02-03 at 23:27:58

◆共有テーマ: Firefox [コンピュータ]

JVNよりSage/Sage++の脆弱性に関する情報が公開されたのを受けて補足エントリを掲載しました。(2/10追記)

先日公開した「Sage++ (Higmmer's Edition) 1.3.10」に早くも新たな脆弱性が存在することが判明してしまいました。このため昨日夕刻より当ひまグでの配布を停止しておりましたが、当該脆弱性の修正及び確認作業が終わりましたので只今よりバージョン1.3.10aとして公開を再開致します。Sage及びSage++に未知の脆弱性があるとの情報を受けて公開停止しました。(2/10修正) →2007/7/2より公開再開しています。

本バージョンで更新された内容は以下の通りです。

  • 新たに見つかった脆弱性を修正
  • 拡張機能のGUIDを独自のものに変更

尚、今回のバージョンよりSage++用のGUID(識別番号)が変更されています。このため 公式版Sage 1.3.x/1.4 及び Sage++ 1.3.10 以下が既にインストールされている場合は、それらを事前にアンインストールしてから本バージョンを改めてインストールする必要があります。これによりユーザー設定が失われることはありません。

今回見つかった脆弱性に関する情報

今回新たに見つかった脆弱性の概要は以下の通りです。

【脆弱性の種類】
  スクリプトインジェクション(注入)

【対象】
  Sage++ (Higmmer's Edition) 1.3.10以下
  公式版Sage 1.3.10以下 及び 1.4

【影響】
  フィード内に含まれる一部の要素の処理に不備があり、
  任意のスクリプトが出力HTMLに混入する恐れがあります

【対策】
  Sage++ 1.3.10aで対策済み
  公式版Sageにおいては以下のいずれかの方法で回避可能
   ・NoScript拡張を導入する (但しSage 1.4では効果が不十分)
   ・「コンテンツエリアにフィードを読み込む」をオフにする
    (今回の問題はHTMLタグを禁止するだけでは防ぐことはできません)

今回見つかった脆弱性はSage++に搭載されている詳細HTMLフィルタではなく、それ以外の部分で発見されました。つい数日前に

ふたつめは、フィードに含まれる全ての要素(内のデータ)がHTMLフィルタにかけられているわけではないということです。詳細は省略しますが、万一それらの処理に欠陥があった場合、そこを突いた攻撃が可能になる可能性もあります。

Sage++に搭載されているHTMLフィルタに関する技術的補足

と書いたことがまさに現実のものとなってしまったわけですorz。我ながらチェックの甘さを痛感しております。今回、関連すると思われる部分含めて処理方法を見直しましたので、今後同じ問題が起こる確率は低くなったと思います(勿論ゼロとは言い切れません)。

この部分の処理は公式版Sageと一部を除いて共通でしたので、本件脆弱性は公式版Sageにも存在します。本家Sageプロジェクトには既に連絡済みですが、修正版がリリースされるまではまだ暫く時間がかかると思われますので公式版ユーザーの方は引き続き注意して下さい。尚、現時点までに判明している脆弱性に対する対策方法をこちらのエントリにまとめてありますのでご参考まで。

Sage++ (Higmmer's Edition) リリース凍結のお知らせ

拙作「Sage++ (Higmmer's Edition)」につきましては、誠に勝手ながら今回のバージョン1.3.10aを持ちまして全ての開発・メンテナンス・及びサポート作業を一旦終了させて頂きます。本バージョンからGUIDも変更しましたので、今後は公式版Sageのバージョンアップに連動してSage++をアップデートする予定はありません。ただ、私が報告した脆弱性が修正された場合は当ひまグでも情報のフォローはしたいと思います。

Sage++をこれまで使って頂いたユーザーの皆様、並びにその開発及び改善にあたって様々な情報を提供して頂いた全ての方々に深く感謝致します。どうもありがとうございました。

※2007年7月2日より公開を再開しました。詳しくはこちらへどうぞ。

トラックバック

この記事について書く(FC2ブログユーザー)
※言及リンクの無いトラックバックは無効です

PageTop▲

コメント

PageTop▲

コメントの投稿

 
 
 
 
 
 (後で編集・削除したいなら必須)
 
  

PageTop▲

上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。