本物の偽はまちちゃんがCSRF騒動

2009/12/16

1年以上前の記事です。内容が古い可能性があります。

本物の偽はまちちゃんってのもワケ分かりませんが、アメーバのクロスサイトリクエストフォージェリ（CSRF）対策は完璧じゃなかったみたいだという話。
□ぼくの名前をかたったウイルス？｜ぼくはまちちゃん！(アメーバ)

ちょっと前にアメーバなうでワームのようなものが発生しました。
□「Ameba（アメーバ）なう」でこんにちは！祭
実はこれは注意喚起の意味を込めた特に害のないお遊びだったのです。
で、これはすぐ対策されたのですが、今度はアメーバのプロフィールページであるルームで同じことが起こっていたようです。

悪質なのはプロフィールの一部を書き換えちゃうスクリプトになっていたこと。
同じことをやっていてもこれはもうアウトでしょう。

しでかした人が残したページがこちら
□※ここには現在仕掛けはいっさいありません。
いまさら弁解しても消えたデータはどうするつもりなのでしょうか？

もっとも、一番の問題はアメーバほどの企業が「アメーバなう」でCSRFに対しての脆弱性を指摘されていたにもかかわらず、別の部分にある同じセキュリティホールを放っておいたというところでしょうね。

まあ、大きくなればなるほど管理が難しくなってくるのは企業の常。
でも、だからこそしっかりと管理できる体制を作っていただきたい。
藤田さんには今まで以上にがんばって欲しいと思います。

: 一応やっておこう。LINE（ライン）が「PINコード」による2重認証を開始

1年以上前の記事です。内容が古い可能性があります。一連のアカウント乗っ取り事件を …

: 本格的イタリアンカフェバー「Vingt et un（ヴァンテアン）」

1年以上前の記事です。内容が古い可能性があります。以前紹介した「酔拳」さん同様、 …

: ネットの常識は非常識。「非モテタイムス」に続き「ケツダンポトフ」も終了

1年以上前の記事です。内容が古い可能性があります。震災前に一度扱って、その後もち …

: 「AKIRA（アキラ）」を久しぶりに見てみたら「こんなもんだったかなぁ」と感じた

1年以上前の記事です。内容が古い可能性があります。映画（劇場版）は見てたかなぁ。 …

: 「Google Chrome」の画像検索がとてつもなく簡単になっていた

1年以上前の記事です。内容が古い可能性があります。これはいつからなのでしょうか？ …