ウェブアプリケーション脆弱性関連情報届出様式 2007年6月1日 独立行政法人 情報処理推進機構 セキュリティセンター この届出様式は、ウェブアプリケーションに関する脆弱性関連情報を独立行 政法人情報処理推進機構（IPA）に届け出る際に、届出者の方に使用していた だくものです。円滑な取扱いのために、ご協力をお願いいたします。 届出に際しては、「ウェブアプリケーション脆弱性関連情報届出様式の記入 の手引き」をご一読ください。 http://www.ipa.go.jp/security/vuln/report/guide_web.txt ====================================================================== 2007年 6月 1日 1. 届出者情報 1) 届出者情報 住所（都道府県）：東京都 所属：IPA セキュリティセンター 氏名*：IPA 太郎 電子メールアドレス*：foo@ipa.go.jp TEL： FAX： ・届出者情報については、* があるものは必須項目です。 ・電子メールアドレスがない場合、TEL、FAX のどちらかで必ず連絡が取 れる情報を記入してください。 2) 届出者情報の取り扱いについて □ 届出者情報をウェブサイト運営者に知らせても良い ■ 届出者情報をウェブサイト運営者には知らせず、すべてのやりとりを IPA とのみ行う 2. 脆弱性関連情報 1) 脆弱性を確認したウェブサイトのURL ソーシャルネットワークサービス http://sns.example.jp/editprofile/ (トップページ: http://sns.example.jp/) 2) 脆弱性の種類 クロスサイトスクリプティング 3) 脆弱性の発見に至った経緯 ソーシャルネットワークサービスでは、参加者は第三者に自らのプロフィール 公開できます(http://sns.example.jp/user/○○/profile/) が、この、自分 のプロフィールを編集するページの URI に ?uid=xxxxxx(6桁の数字) という クエリが含まれているのを発見しました。この番号は別途表示されるメンバー IDの一部と一致します。 4) 脆弱性であると判断した理由 この uid を元に編集画面を表示する仕様である場合、uid を他人のものに変 更する事で、他人のプロフィールを編集できてしまう可能性があります。 5) 脆弱性により発生しうる脅威 入力したプロフィールは全てを第三者に公開するわけではなく、一定の限度を 設けて公開するものなので、数値の推定により、通常は公開していない個人情 報が漏洩してしまう危険性があります。他人のプロフィールをでたらめなのも のに変更することももちろん可能です。 6) ウェブサイトの連絡窓口 webmaster@example.jp 7) その他 管理者に届け出ましたが回答がありません。 3. IPA 以外の組織への届出について ■ あり □ なし 届出年月日：2006年8月4日 届出番号：なし 届出先、窓口担当者：当該ウェブサイトの管理者、担当者名は不明 窓口メールアドレス：webmaster@example.jp 窓口電話番号： 4. 今後の連絡について 1) IPA からの連絡における暗号化 □ 希望する ■ 希望しない 暗号化を選択した場合は、公開鍵を添付してください。 5. その他 特になし ======================================================================