HTTPヘッダの書き換え機能が回避される脆弱性が存在する。
ISAPIフィルタの「sISAPILocation」に、HTTPヘッダの書き換え機能が回避される脆弱性が見つかり、情報処理推進機構(IPA)セキュリティセンターとJPCERTコーディネーションセンターがJVN(Japan Vulnerability Notes)に情報を公開した。
sISAPILocationは、MicrosoftのInternet Information Services(IIS)で動作する個人開発のISAPIフィルタ。脆弱性は、sISAPILocation Ver1.0.2.1以前に存在している。脆弱性が悪用されると、文字コードの指定やCookieのsecureフラグなどを設定している場合に、それらの設定が回避されてしまう。
開発者は脆弱性に対処したver1.0.2.2を公開しており、ユーザーへ同バージョンにアップデートを呼びかけている。またアップデートができない場合にIISのKeep-Alive機能を停止する対策を紹介している。
Copyright © ITmedia, Inc. All Rights Reserved.