Namazu-devel-ja(旧)

[HANAI Akira <hanai-a@xxxxxxxxxxxxxxxxxxxxxxx>]

花井と申します。
社内のイントラネットにてnamazuを使用させていただいております。

クロスサイトスクリプティングに対する脆弱性ではないかと思われる現象がありました。


cgiの呼び出しにて、存在しないインデックスを
http://〜/cgi-bin/namazu.cgi.exe?idxname=hoge
と指定すると、下記のようなエラーが返ってきます。

namazu: D:\namazu\var\namazu\index/hoge/NMZ.head: No such file or directory
namazu: D:\namazu\var\namazu\index/hoge/NMZ.body: No such file or directory
namazu: D:\namazu\var\namazu\index/hoge/NMZ.foot: No such file or directory

この時、http://〜/cgi-bin/namazu.cgi.exe?idxname=<b>hoge</b> の様に、
インデックス名にタグを含ませると、エラー内容の表示でタグが有効なまま表示され
ます。(上記エラーでいえば<b>〜</b>を付けると「hoge」が太字で表示される。)

<script>等のタグも有効になるようですので、クロスサイトスクリプティングに繋が
る問題ではないかと思い報告致します。


[確認した動作環境]
サーバー側:WinNT4.0server/IIS4.0+Namazu 2.0.10
クライアント側:Win98/IE6.0

============================================================================
NECフィールディング.東日本CSD.テクニカルサポート部.花井 亮(はない あきら)
----------------------------------------------------------------------------