ウェブサービスをご利用のお客様が置かれているCGIの不具合を利用して、
このお客様のホームページが何者かに書き変えられてしまったという報告を受けております。
具体的には、CGIへ渡す引数に特別な文字列を送り
(例えば、別のコマンドを割り込ませることのできる「`」やパイプ記号など)、
任意のコマンドを実行するというものでした。
フリーソフトや自作のCGIを問わず、CGI作成時に見落としがちな部分となりますので、
CGIをお使いの方はあらためてご自身のCGIをご確認ください。
フォームなどを使ったりして閲覧者の入力を受けるCGIは特に、
入力されるデータはCGI製作者の意図通りではないことに注意し、
チェックを厳しくするようにしてください。
なお、サーバの制限により、サーバ自体や他のお客様への被害はありませんでした。
|