tDiary.org - 日記コミュニケーションを加速する


tDiaryの脆弱性に関する報告(2007-12-16)

Web日記支援システムtDiaryにおいて、クロスサイトスクリプティング(XSS)脆弱性が発見されました。第三者が任意のスクリプトをカテゴリページに埋め込む危険性があります。以下の説明を読んで、早急な対応をお願いします。

対象

以下の条件満たす運用をしているtDiaryには、この問題が存在します。

以下のいずれかのバージョンのtDiaryを使用している(xは任意)

** tDiary 2.0.x ** tDiary 2.1.x

かつカテゴリ機能を使っている(category.rbプラグインを有効にしている)

想定される影響

悪意ある第三者がこの脆弱性をついたリンクを生成することで、閲覧者にカテゴリページ上で任意のスクリプトを実行させることができます。

対策

同日にリリースされたtDiary 2.2.0へのバージョンアップを強く推奨します。特に開発版である2.1.xは安定版である2.2.0が出たことで終息したので、必ず2.2へのバージョンアップをしてください。

なんらかの理由で2.0を使い続ける場合には、以下のファイルを最新版に置き換えてください。

ただし、最新安定版である2.2が出たことで、2.0系列もメンテ対象から外れます。早いうちに2.2へのバージョンアップをすることをお勧めします。

連絡先

本脆弱性に対する連絡は、ただただしsho@spc.gr.jpまでお願いします。

特に新たな脆弱性の指摘などは、本記事に対するコメントなどでいきなり公にするのではなく、E-mailにてお知らせくださいますよう、お願いいたします。

謝辞

本脆弱性情報は、下記の方から直接報告を受け、対応しました。ご指摘に感謝します。

植木修也