Dropboxの共有リンク、外部のWebサイトへ筒抜け

本来は共有相手しかアクセスできないリンクの情報がサードパーティーのWebサイトで参照されかねない問題が起きた。

[鈴木聖子，ITmedia]

　米Dropboxに、特定の相手にのみ共有したはずの文書やファイルへのリンクがサードパーティーのWebサイトに公開されてしまう脆弱性が見つかった。Dropboxは5月5日のブログでこの脆弱性に対処したことを明らかにした。

　今回の脆弱性は、Webサイトでユーザーがどこから来たのかをチェックする「リファラヘッダ」という標準的な機能に関連する。Dropboxではユーザーが自分のDropbox内のファイルやフォルダへのリンクを特定の相手と共有でき、リンク経由で共有されたファイルは本来、このリンクを持っている相手にしかアクセスできない。

　ところが、サードパーティーのWebサイトへのハイパーリンクを含んだ文書へのリンクを共有し、そのリンクを受け取った相手が文書内のハイパーリンクをクリックすると、共有されたリンクがリファラヘッダ経由でサードパーティーのWebサイトに公開されていたことが分かった。ヘッダを参照できるサイト管理者などが、共有された文書へのリンクにアクセスできてしまう状態だったという。

　Dropboxでは当面の対策として、こうした文書に対して過去に張られた共有リンクへのアクセスを全て一時的に無効にする措置を講じた。脆弱性の影響を受けないリンクについては数日中に復旧する予定だとしている。

　今後作成される共有リンクについては、全て脆弱性を修正したと説明している。この脆弱性が実際に悪用された事例は確認していないという。

　なお、Dropboxの共有リンクに関連して5月6日には、ユーザーが共有リンクを検索エンジンに登録すると、そのリンクが検索エンジンから広告パートナーに受け渡されるという問題も指摘された。

　ただ、これについてDropboxでは脆弱性とはみなしていないと述べ、「検索エンジンなどサードパーティーへのリンク共有については慎重を期してほしい」と促している。