sISAPILocationに脆弱性、アップデートが公開

HTTPヘッダの書き換え機能が回避される脆弱性が存在する。

[ITmedia]

　ISAPIフィルタの「sISAPILocation」に、HTTPヘッダの書き換え機能が回避される脆弱性が見つかり、情報処理推進機構（IPA）セキュリティセンターとJPCERTコーディネーションセンターがJVN（Japan Vulnerability Notes）に情報を公開した。

　sISAPILocationは、MicrosoftのInternet Information Services（IIS）で動作する個人開発のISAPIフィルタ。脆弱性は、sISAPILocation Ver1.0.2.1以前に存在している。脆弱性が悪用されると、文字コードの指定やCookieのsecureフラグなどを設定している場合に、それらの設定が回避されてしまう。

　開発者は脆弱性に対処したver1.0.2.2を公開しており、ユーザーへ同バージョンにアップデートを呼びかけている。またアップデートができない場合にIISのKeep-Alive機能を停止する対策を紹介している。

過去のセキュリティニュース一覧はこちら