2020/12/22
bulkneetsのつぶやき
HTMLエディタ
テキストのみ
02:17:11 <a href="http://twitter.com/fuba" target="_blank" rel="nofollow">@fuba</a> 俺は気分でやってない 03:27:28 Webページにサイトオーナー作成以外のコンテンツを、ブラウザ拡張機能等が継ぎ足すときに発生するセキュリティ上の問題特集をやります。2010年10月の記事。ページ継ぎ足し系のGreasemonkeyで別ドメインのコンテンツを読み込ませて、継ぎ足し元or先に悪意があると漏洩が起きる <a href="https://web.archive.org/web/20190727082544/http://subtech.g.hatena.ne.jp/mala/20101021/1287670869" target="_blank" rel="nofollow">web.archive.org/web/2019072708…</a> 03:27:28 <a href="https://developer.chrome.com/docs/extensions/mv2/content_scripts/" target="_blank" rel="nofollow">developer.chrome.com/docs/extension…</a> Chrome Extensionのcontents scriptsがIsolated worldsという概念を作ったのは2009年。contents scriptsからは、DOMのコピーのようなものが見えていて、Webサイト側から拡張機能のinjectしたscriptに触ることが出来ない。 <a href="https://www.youtube.com/watch?v=laLudeUmXHM" target="_blank" rel="nofollow">youtube.com/watch?v=laLude…</a><div class="video-container embed-responsive embed-responsive-16by9"><iframe class="embed-responsive-item" width="560" height="349" src="//www.youtube.com/embed/laLudeUmXHM" allowfullscreen></iframe></div> 03:27:29 2011年12月コネクトフリーに脆弱性報告、Webサイトオーナー側から利用者のMACアドレスやSNSのidが抜ける問題があった <a href="https://twitter.com/bulkneets/status/143339172277665794" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="https://twitter.com/bulkneets/status/143369119331393536" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="https://twitter.com/bulkneets/status/143380977736089600" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="https://twitter.com/bulkneets/status/143592928361721856" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="https://twitter.com/bulkneets/status/143619847186681856" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="https://twitter.com/bulkneets/status/143628399183806464" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="https://twitter.com/bulkneets/status/143634464646504448" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> 03:27:29 2015年9月、1passwordに脆弱性報告をしている。Webサイト側からパスワードフィルイン時のJavaScriptコード実行をフックすることが出来てしまうのだが、利用者の使い方によっては同一のパスワードを使いまわしている別ドメインがWebサイト側から把握できてしまう。 <a href="https://twitter.com/bulkneets/status/646557568291090432" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> 03:27:29 2013年12月、Evernote Web Clipperという拡張機能に脆弱性報告をしている。Webサイトに対してpostMessageでノート名を送信している。ノート名にはデフォルトでユーザー名を含むので、Webサイトにユーザー名を垂れ流してしまう問題があった。 <a href="https://twitter.com/bulkneets/status/426633653934759936" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> 04:22:06 関係性明示:脆弱性報告の謝礼貰う予定ですがまだ貰ってません、特に確認なく勝手に書いている。 Smoozは現在おすすめページ機能を止めており、具体的には <a href="http://nlp.api.smoozapp.com" target="_blank" rel="nofollow">nlp.api.smoozapp.com</a> が日曜時点では403だったのが今はサーバー自体停止してる。そのためWebページ本文が送られるという挙動はなくなっている 04:22:12 一方で自分がSmoozに報告した脆弱性というのは、悪意のあるWebページ側から全自動で入力サポート機能用に登録した住所氏名電話番号メールアドレスを盗み取れるというものです。影響はiOS版のみ(Android版は未実装) これはバージョンアップしない限り直りません。類似事例 <a href="https://twitter.com/bulkneets/status/1341087910368407552" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="https://twitter.com/bulkneets/status/1341101682734743552/video/1" target="_blank" rel="nofollow">pic.twitter.com/KvVAetDi4m</a> 04:22:12 規約やアプリ内の説明が不足してて信用できないというのはもっともな話だけど上から目線でこれはひどいだの評論してる人間も結局同じことやりますよ。記事書いてる人もコメントしてる人も、Webサイト側にDOMくっつけてる時点で、脆弱性ありそうだと気付けてない時点で間抜け <a href="https://b.hatena.ne.jp/entry/s/reliphone.jp/post-16247/" target="_blank" rel="nofollow">b.hatena.ne.jp/entry/s/reliph…</a> 04:22:13 起動時に「Smoozにセキュリティ上の深刻な問題が発見されたため、直ちに利用を停止してください。」というpopupを出すようになっている。設定なども込みでのアプリの修正や規約改定や対外説明に時間がかかるため、取り急ぎは現行バージョンの利用者に注意喚起したのだろう。 <a href="https://twitter.com/bulkneets/status/1341101688392859648/photo/1" target="_blank" rel="nofollow">pic.twitter.com/HYw6tt3Dvr</a> 04:22:14 本来、脆弱性の詳細とかは、修正版のリリースを待ってから載せる予定だったけれど、どうしても伝えたい。あのな、雑な分析でマルウェアだスパイウェアだとか騒ぐのやめろ。規約やアプリの説明が不足してるのも、アプリ自体の実装も、同程度に酷いと言うだけ。ハンロンの剃刀ってやつだ。 09:28:36 <a href="http://twitter.com/rel0005" target="_blank" rel="nofollow">@rel0005</a> お前は馬鹿なのか？ 11:20:29 はー、ブログかくわ。 11:21:56 <a href="http://twitter.com/rel0005" target="_blank" rel="nofollow">@rel0005</a> 分析雑すぎるし、リクエストしか載せないでレスポンス載せないし、何で通信キャプチャしててこれに気付いてないのみたいなやつがあるので、あなたはセキュリティ関連の記事書かないほうが良いです。 11:25:14 RT <a href="http://twitter.com/bulkneets" target="_blank" rel="nofollow">@bulkneets</a>: <a href="http://twitter.com/rel0005" target="_blank" rel="nofollow">@rel0005</a> 分析雑すぎるし、リクエストしか載せないでレスポンス載せないし、何で通信キャプチャしててこれに気付いてないのみたいなやつがあるので、あなたはセキュリティ関連の記事書かないほうが良いです。 11:32:49 中途半端な解析記事載せるぐらいだったらGIGAZINEにタレコミ入れたほうがマシ、GIGAZINEのほうがプロじゃん。 18:16:13 RT <a href="http://twitter.com/bulkneets" target="_blank" rel="nofollow">@bulkneets</a>: Androidのブラウザなんか自分の知ってる範囲でも結構クリティカルなことできちゃう(Web見ただけで)ようなのが幾つかあるし(Chrome,Firefox,Opera使った方がいい) どういう問題あってどう修正されたか、すべきかが、もう個人のとこ… 18:16:15 RT <a href="http://twitter.com/bulkneets" target="_blank" rel="nofollow">@bulkneets</a>: 個人が作ってるブラウザとかベンチャーが作ってるブラウザとか応援したいんだけど、大手ブラウザが対応してるようなセキュリティ上の問題に対処されてるかっていうと、そういうの追っかけるのもう無理だと思う 18:17:40 7年前、AndroidのWebViewでJavaScriptから任意コード実行出来まくって、アプリのパーミッションによってはアドレス帳ぶっこ抜きとか出来たんだけど、そのときの。今でもあんまり変わらない。 <a href="https://twitter.com/bulkneets/status/352808415929696258" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> Powered by meyou.jp <http://meyou.jp>
<p> <a href="http://twitter.com/bulkneets/status/1341070222904594432" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">02:17:11</span></a> <a href="<a href="http://twitter.com/fuba">http://twitter.com/fuba</a>" target="_blank" rel="nofollow">@fuba</a> 俺は気分でやってない </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341087910368407552" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">03:27:28</span></a> Webページにサイトオーナー作成以外のコンテンツを、ブラウザ拡張機能等が継ぎ足すときに発生するセキュリティ上の問題特集をやります。2010年10月の記事。ページ継ぎ足し系のGreasemonkeyで別ドメインのコンテンツを読み込ませて、継ぎ足し元or先に悪意があると漏洩が起きる <a href="<a href="https://web.archive.org/web/20190727082544/http">https://web.archive.org/web/20190727082544/http</a>://subtech.g.hatena.ne.jp/mala/20101021/1287670869" target="_blank" rel="nofollow">web.archive.org/web/2019072708…</a> </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341087911442219013" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">03:27:28</span></a> <a href="<a href="https://developer.chrome.com/docs/extensions/mv2/content_scripts/">https://developer.chrome.com/docs/extensions/mv2/content_scripts/</a>" target="_blank" rel="nofollow">developer.chrome.com/docs/extension…</a> Chrome Extensionのcontents scriptsがIsolated worldsという概念を作ったのは2009年。contents scriptsからは、DOMのコピーのようなものが見えていて、Webサイト側から拡張機能のinjectしたscriptに触ることが出来ない。 <a href="<a href="https://www.youtube.com/watch">https://www.youtube.com/watch</a>?v=laLudeUmXHM" target="_blank" rel="nofollow">youtube.com/watch?v=laLude…</a><div class="video-container embed-responsive embed-responsive-16by9"><iframe class="embed-responsive-item" width="560" height="349" src="//www.youtube.com/embed/laLudeUmXHM" allowfullscreen></iframe></div> </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341087912750825474" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">03:27:29</span></a> 2011年12月コネクトフリーに脆弱性報告、Webサイトオーナー側から利用者のMACアドレスやSNSのidが抜ける問題があった <a href="<a href="https://twitter.com/bulkneets/status/143339172277665794">https://twitter.com/bulkneets/status/143339172277665794</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="<a href="https://twitter.com/bulkneets/status/143369119331393536">https://twitter.com/bulkneets/status/143369119331393536</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="<a href="https://twitter.com/bulkneets/status/143380977736089600">https://twitter.com/bulkneets/status/143380977736089600</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="<a href="https://twitter.com/bulkneets/status/143592928361721856">https://twitter.com/bulkneets/status/143592928361721856</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="<a href="https://twitter.com/bulkneets/status/143619847186681856">https://twitter.com/bulkneets/status/143619847186681856</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="<a href="https://twitter.com/bulkneets/status/143628399183806464">https://twitter.com/bulkneets/status/143628399183806464</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="<a href="https://twitter.com/bulkneets/status/143634464646504448">https://twitter.com/bulkneets/status/143634464646504448</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341087915565191169" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">03:27:29</span></a> 2015年9月、1passwordに脆弱性報告をしている。Webサイト側からパスワードフィルイン時のJavaScriptコード実行をフックすることが出来てしまうのだが、利用者の使い方によっては同一のパスワードを使いまわしている別ドメインがWebサイト側から把握できてしまう。 <a href="<a href="https://twitter.com/bulkneets/status/646557568291090432">https://twitter.com/bulkneets/status/646557568291090432</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341087914072002560" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">03:27:29</span></a> 2013年12月、Evernote Web Clipperという拡張機能に脆弱性報告をしている。Webサイトに対してpostMessageでノート名を送信している。ノート名にはデフォルトでユーザー名を含むので、Webサイトにユーザー名を垂れ流してしまう問題があった。 <a href="<a href="https://twitter.com/bulkneets/status/426633653934759936">https://twitter.com/bulkneets/status/426633653934759936</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341101656423821313" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">04:22:06</span></a> 関係性明示:脆弱性報告の謝礼貰う予定ですがまだ貰ってません、特に確認なく勝手に書いている。 Smoozは現在おすすめページ機能を止めており、具体的には <a href="<a href="http://nlp.api.smoozapp.com">http://nlp.api.smoozapp.com</a>" target="_blank" rel="nofollow">nlp.api.smoozapp.com</a> が日曜時点では403だったのが今はサーバー自体停止してる。そのためWebページ本文が送られるという挙動はなくなっている </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341101682734743552" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">04:22:12</span></a> 一方で自分がSmoozに報告した脆弱性というのは、悪意のあるWebページ側から全自動で入力サポート機能用に登録した住所氏名電話番号メールアドレスを盗み取れるというものです。影響はiOS版のみ(Android版は未実装) これはバージョンアップしない限り直りません。類似事例 <a href="<a href="https://twitter.com/bulkneets/status/1341087910368407552">https://twitter.com/bulkneets/status/1341087910368407552</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> <a href="<a href="https://twitter.com/bulkneets/status/1341101682734743552/video/1">https://twitter.com/bulkneets/status/1341101682734743552/video/1</a>" target="_blank" rel="nofollow">pic.twitter.com/KvVAetDi4m</a> </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341101684458618880" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">04:22:12</span></a> 規約やアプリ内の説明が不足してて信用できないというのはもっともな話だけど上から目線でこれはひどいだの評論してる人間も結局同じことやりますよ。記事書いてる人もコメントしてる人も、Webサイト側にDOMくっつけてる時点で、脆弱性ありそうだと気付けてない時点で間抜け <a href="<a href="https://b.hatena.ne.jp/entry/s/reliphone.jp/post-16247/">https://b.hatena.ne.jp/entry/s/reliphone.jp/post-16247/</a>" target="_blank" rel="nofollow">b.hatena.ne.jp/entry/s/reliph…</a> </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341101688392859648" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">04:22:13</span></a> 起動時に「Smoozにセキュリティ上の深刻な問題が発見されたため、直ちに利用を停止してください。」というpopupを出すようになっている。設定なども込みでのアプリの修正や規約改定や対外説明に時間がかかるため、取り急ぎは現行バージョンの利用者に注意喚起したのだろう。 <a href="<a href="https://twitter.com/bulkneets/status/1341101688392859648/photo/1">https://twitter.com/bulkneets/status/1341101688392859648/photo/1</a>" target="_blank" rel="nofollow">pic.twitter.com/HYw6tt3Dvr</a> </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341101690238332928" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">04:22:14</span></a> 本来、脆弱性の詳細とかは、修正版のリリースを待ってから載せる予定だったけれど、どうしても伝えたい。あのな、雑な分析でマルウェアだスパイウェアだとか騒ぐのやめろ。規約やアプリの説明が不足してるのも、アプリ自体の実装も、同程度に酷いと言うだけ。ハンロンの剃刀ってやつだ。 </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341178790991417347" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">09:28:36</span></a> <a href="<a href="http://twitter.com/rel0005">http://twitter.com/rel0005</a>" target="_blank" rel="nofollow">@rel0005</a> お前は馬鹿なのか？ </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341206948004315137" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">11:20:29</span></a> はー、ブログかくわ。 </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341207312095014912" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">11:21:56</span></a> <a href="<a href="http://twitter.com/rel0005">http://twitter.com/rel0005</a>" target="_blank" rel="nofollow">@rel0005</a> 分析雑すぎるし、リクエストしか載せないでレスポンス載せないし、何で通信キャプチャしててこれに気付いてないのみたいなやつがあるので、あなたはセキュリティ関連の記事書かないほうが良いです。 </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341208141795532800" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">11:25:14</span></a> RT <a href="<a href="http://twitter.com/bulkneets">http://twitter.com/bulkneets</a>" target="_blank" rel="nofollow">@bulkneets</a>: <a href="<a href="http://twitter.com/rel0005">http://twitter.com/rel0005</a>" target="_blank" rel="nofollow">@rel0005</a> 分析雑すぎるし、リクエストしか載せないでレスポンス載せないし、何で通信キャプチャしててこれに気付いてないのみたいなやつがあるので、あなたはセキュリティ関連の記事書かないほうが良いです。 </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341210050249908224" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">11:32:49</span></a> 中途半端な解析記事載せるぐらいだったらGIGAZINEにタレコミ入れたほうがマシ、GIGAZINEのほうがプロじゃん。 </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341311568810713089" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">18:16:13</span></a> RT <a href="<a href="http://twitter.com/bulkneets">http://twitter.com/bulkneets</a>" target="_blank" rel="nofollow">@bulkneets</a>: Androidのブラウザなんか自分の知ってる範囲でも結構クリティカルなことできちゃう(Web見ただけで)ようなのが幾つかあるし(Chrome,Firefox,Opera使った方がいい) どういう問題あってどう修正されたか、すべきかが、もう個人のとこ… </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341311579761995778" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">18:16:15</span></a> RT <a href="<a href="http://twitter.com/bulkneets">http://twitter.com/bulkneets</a>" target="_blank" rel="nofollow">@bulkneets</a>: 個人が作ってるブラウザとかベンチャーが作ってるブラウザとか応援したいんだけど、大手ブラウザが対応してるようなセキュリティ上の問題に対処されてるかっていうと、そういうの追っかけるのもう無理だと思う </p> <p> </p> <p> <a href="http://twitter.com/bulkneets/status/1341311934491029506" target="_blank" rel="nofollow" style="text-decoration:none;color:#000000;font-weight:bold;">18:17:40</span></a> 7年前、AndroidのWebViewでJavaScriptから任意コード実行出来まくって、アプリのパーミッションによってはアドレス帳ぶっこ抜きとか出来たんだけど、そのときの。今でもあんまり変わらない。 <a href="<a href="https://twitter.com/bulkneets/status/352808415929696258">https://twitter.com/bulkneets/status/352808415929696258</a>" target="_blank" rel="nofollow">twitter.com/bulkneets/stat…</a> </p> <p> </p> <br /> <span style="color:#999999; font-size:90%;"> Powered by <a href="https://meyou.jp" target="_blank" title="わたしとあなたをつなぐTwitterぶら見＆検索サービス～みゆ～"><img src="https://meyou.jp/themes/meyou/images/logo_s.gif" align="absmiddle" border="0"/></a></span>