PloneHotfix-20121106の脆弱性レポート（和訳）

本ドキュメントについて

原文(英語): Security vulnerability announcement: 20121106 - Multiple vectors by Matthew Wilkes — last modified Nov 06, 2012 03:13 PM

翻訳者： 安田善一郎、寺田 学、本多重夫

本件の対応プロダクトは、Plone Hotfix 20121106 (Nov 06, 2012) から入手可能です。

インストール方法などは、Security vulnerability: 20121106 - Multiple vectors に記載があります。(未訳)

Hotfix対応項目

限定的Pythonインジェクション

匿名ユーザー（未ログインユーザー）権限で管理画面へのアクセスが行われた場合、任意のPythonステートメントが実行される可能性がある。Python内のサンドボックスを超えることは不可能だが、Pythonステートメントは該当の管理者権限で実行が可能となる問題。

再帰的HTTPヘッダインジェクション

例えばユーザーを強制的にログアウトさせることなどができるといった、改変された任意のHTTPヘッダ情報をユーザーに送信することができる問題。

限定的なPythonサンドボックスの回避

ある特定の標準的でない場所からインポートされたときに、サンドボックスのホワイトリスト機能の偶発的な露出の問題。

限定的Pythonインジェクション

改変されたURLからサンドボックス内での任意のPythonコードの実行の問題。

部分限定的なPythonサンドボックスの回避

特定のオブジェクトへの不完全なセキュリティ宣言による、特定の機能の権限チェックが回避できる問題。

再帰的XSS

改変されたURLにより、レスポンスのURL全体（またはリダイレクト先）が偶発的にURL上のファイルハンドルのインターナルメソッドが露出しする問題。

部分的な制限の回避

コンテンツへのパスを知っている場合に、改変されたURLにより非公開のアトリビュートのサブセットにアクセスできる問題

限定的なPythonサンドボックスの回避

有効な入力であるかのチェックを回避してサンドボックスを超えて信頼されるビルトインにアクセスが許可される問題

再帰的XSS

改変されたURLで直接ユーティリティ機能を事前に回避して初期値を与えることができる問題。

限定的Pythonインジェクション

改変されたURLからサンドボックス内での任意のPythonコードが実行できる問題。

Kupuへの不正なコードよるDoS攻撃

Plone 4以前のバージョンが対象。

匿名ユーザーによるアカウントリストの閲覧

メンバーデータベースの保護が十分でなかったために、改変したURLによって権限が上昇して本来権限がないユーザーが許可されてしまう問題。

コレクション機能によるDoS攻撃

繰り返しアクセスすることで過剰なIOへのアクセスとキャッシュの入れ替えによるDoS攻撃が可能となる問題。

内部機能を通じた限定的なDoS攻撃

改変されたURLで非常に大きなデータが渡されたときにDoS攻撃となる問題。

匿名ユーザーによるコンテンツアイテムのタイトルの改ざん

匿名ユーザーによって適切に取り扱われなかったバッチID変更スクリプトがタイトルは変更するがIDは同じにしてしまう。匿名ユーザーがいったん有効なCSRFトークンを得ると、悪意のあるPOSTリクエストでコンテンツタイトルを任意のものに変更できてしまう問題。

細工されたURLで本来ユーザーには見えないBOLBファイルのデータがダウンロードできてしまう

標準ではないURLを用いて宣言されたパーミッションチェックを回避し、カスタムコンテンツタイプのBLOBフィールドにアクセスできる問題

フィルタリングを回避しての持続型XSS

特定のブラウザにおいて、ユーザーが改変したHTMLで任意のjavascriptが実行できる問題。

FTPで接続したユーザーによる非公開のフォルダのコンテンツのリストの閲覧

ユーザーはファイルへのアクセスはできないものの、非公開のフォルダのコンテンツのリストが閲覧できる問題。

持続型XSS

改変されたURLで任意の文字列（HTMLを含む）をメモリに保存し、関連するURLで再度読みださせることが可能となる問題。

名称のないビューにアクセスを試みようとすると、内部のデータ構造が返されてしまう

匿名のビューでは明らかなのに、ある種のURLが理解できないものになる。いくつかのコンテンツタイプではプライベートデータ構造を匿名ビューに返すが、特定の状況下では秘密・機密のデータでも読みだされてしまう問題。

プライベートフォルダのRSSによるDoS攻撃

（パスを知っている場合をのぞき）ユーザーがアクセスできないフォルダへの特別に改変されたURLのRSSフィードを無限ループにしてサーバーのスレッドを飽和させてしまう問題。

パスワード承認へのタイミングアタック

承認システムの均等制チェックに時刻を含んでいないため、安定して高速なコネクション経由のユーザーがハッシュ・プリフィックスをチェックできてしまう問題。

PRNGが再シードされない

システム上の乱数を直接でなくPython random（システム乱数でシードされる）を使用しており、これは長時間プロセスでは再シードされていない。加えてエラーページで乱数が漏れているために、パスワードのリセットに使われているPRNGの状態が推測されてしまう問題

フォーム詳細の漏洩

z3c.formの脆弱性により、改変されたURLによってデフォルトのデータ値が漏洩してしまう問題

以上