JZUG Wiki - ZWikiXSS

ZWikiXSS

文責 : cheeseshop <syd@tt.rim.or.jp>
ZWikiはWikiをZope上で実現するもので、「誰でも書き込めるメモパッド」のようなプロダクトです。
- Zopeの開発者向けサイトではZWikiが使われ、情報交換や議論が行われています。
ZWiki-0.9.9にはXSS脆弱性があります。
- ZWikiはHTMLも書き込むことができるため、scriptタグを別の文字列に置き換えます。しかし実際にはこの制限をかいくぐってJavaScriptを置くことが可能になっていました。
- またユーザが書き込む内容とは別に、ZWikiWeb生成時にデフォルトで用意されるページにもXSS脆弱性とZopeセキュリティ上の問題が存在しました。
この脆弱性により、ZWikiと同じマシンでクッキーを使った認証を行う場合問題が発生します。
- クッキーを外部に漏らすようなスクリプトをZWikiページに書き込んでおくことで、攻撃者はユーザのクッキーを入手できます。そしてユーザになりすましてアクセスしたり、クッキーに結びつけて管理されているデータを盗み見ることが可能になってしまいます。
- wiki.zope.jp では現在 (2002年7月) クッキーを使った認証は行っていません。しかしクッキーに限らずJavaScriptの実行をオンにしているユーザのリスクを考え、認証を行うサーバと同様のセキュリティ対策を行います。
対策は次のようにします。
- ZWikiPage.py のZWikiPage クラスに、入力された構造化テキストからscriptタグを無害化するためのロジック _text_cleanups() メソッドがあります。なかにre.subが1行 (コメントアウトされたものを除く) ありますので、これをコメントアウトし、次の2行を追加してください (javas と cript は、実際には間に空白を入れないで入力してください) :
```
    t = re.sub(r'(?i)<([^<>\w]*script[^>]*)>',r'&lt;disabled \1&gt;',t)
    t = re.sub(r'(?i)javas cript:',r'javascript-disabled:',t)
```
- この書き換えをおこなったZWikiPage.py -> http://wiki.zope.jp/ZWikiPage.py
DTMLモードのWikiページについて
- ZWiki Webのインスタンスを生成すると、デフォルトでJumpSearch、RecentChanges、SearchPage、UserOptionsの4つが、DTMLを書けるモードになっています。いずれも全パーミッション上位継承で、ZWiki Webはインスタンス生成時、Anonymousロールに対して「ZWiki:*」パーミッションがすべてついていますから、4つはデフォルトで「誰でも編集可能なDTML」として機能します。
- もちろんDTMLを埋め込んでも他のパーミッションがついてないので、Zopeのセキュリティという観点からすれば危険なことは少ないです。しかし、SearchPageやUserOptionsなどに、今回の_text_cleanupでは検出できないような複雑な形でXSS脆弱性を埋め込むことができるわけですから、ZWikiWebを誰でも (Anonymousロールで) 書き換えられるようにするのであれば、これらのDTMLモードのページは、編集不可能にする（AuthenticatedやManagerロールでのみeditできるようにする）か、DTML Methodなどに置き換えるべきだと思います。
- また、「SearchPage」はすべてのZWikiPage右上にある検索テキストフォームから呼び出されるZWikiPageですが、このなかにある <dtml-var expr> という記述については、&dtml-expr; に置き換えてください。
ZWiki-0.9.9のXSS脆弱性は、office氏の指摘により明らかになりました。office氏に感謝します。

Last edited Sat, 09 Sep 2006 18:19:39 +0900 Edit this page