noteの独自ドメインセッションの脆弱性について報告した件

note_vuln.md noteの独自ドメインセッションの脆弱性について報告した件 文責: mala 前置き note.com (以下note) に2020年に報告した脆弱性(現在は修正済み)を解説する 個人の活動として行っており所属組織とは関係がない 自分がnote社に対して、問題があると指摘していたのは主に広報対応についてですが、この記事は技術的な知見を共有することを目的とするため、技術的な解説を中心にします。 公開にあたってはnote社に対して確認の上で行っています。note社による修正対応は2021年までに実施されていますが、その修正内容が適切であるかどうかについて保証するものではありません。(網羅的な確認や追加の検証をしていません) note社のサービスに他の脆弱性が無いことを保証するものではありません。 経緯 2020年9月30日に公開されたnote社の記事で https:/

[kuzumimizuku]

『 "すべてのサービスは適正かつセキュリティ上、問題ない" と書かれた これを見て、noteをバカにするためだけに脆弱性を探すことを決意』こういうモチベーションの人でセキュリティが守られてる部分、あるよなと思う。

[s155531]

企業側、大助かりでしょう。こういう人、会社にいて欲しい

[shag]

"バカにする" はちょっとアレだけど、問題ない。と言い切られちゃうと試してみたくなるよな。

[raimon49]

livedoor BlogやはてなブログはCMSとしてちゃんとした設計になっているという話。

[hayashikousun]

「俺は無敵だ！」とか言われたらちょっとぶん殴ってみたくなるよね。

[nakakzs]

以前のソースコードでIP表示されてしまうヤツといい、どうもnoteのセキュリティ面には不安が。見つけて教えてくれたのがホワイト側の人だったからよかったものの。

[cinemaphile]

“すべてのサービスは適正かつセキュリティ上、問題ない ” なんかnoteってこういう上から目線なところあるよな。先日の「引き続きクリエイターエコノミーを牽引していきます」とかも。

[imaginaration]

当時、noteのツイートを見かけたけどアレをみて脆弱性を見つけようってなるの、強すぎでしょ…！

[uunfo]

基本ができてない会社という印象

[yamaidare]

malaさん、一貫としていてすごいよね。強い。

[hasiduki]

勉強になるー！！！！！

[tattyu]

つまりnoteアカウント持たないのが良いって事になるよな。

[strawberryhunter]

「noteをバカにするためだけに」あんまりそういう要素は見当たらない。

[odakaho]

“noteをバカにするためだけに脆弱性を探すことを決意”

[GiveMeChocolate]

バカにするためだけに脆弱性を探すことを決意、良い

[natu3kan]

経験則で自分の弱い所を分かっていないからか全部完璧だって言い切る相手なら、典型的な脆弱性が何か見つかるだろって感じだったのかな。想定してなくて、そこを悪用されるのは良くあるよなあ。

[cafe_petit]

"報告時点(2020-09-30)では、少なくとも銀行口座番号を返すAPIを呼び出すことが出来た" やはり… よかった〜noteの銀行口座番号ダミーにしといて…

[rrringress]

感謝状

[kitamati]

素晴らしい取り組みだけど危険でもある。企業側担当者がバカでかつmala氏の態度がとか気にするタイプだったらlibrahackの二の舞になりかねない。IPAを通じて勧告してもらうのがベスト

[maruware]

独自ドメイン大変だ

[mayumayu_nimolove]

みんなnoteが大嫌いということはわかった。やっぱインフルエンサー的な人が作ってるって日本じゃ嫌われるんだな。いや、はてなじゃ嫌われるんだな。

[vndn]

二度抜きおじさんの余波か…

[meonal]

独自ドメインって難しいんだな、知らんことばっかだった

[akghuaiooajt]

ていうかホワイトハッカーで良かったなブラック・ハッカーに「ムカついたからハック」されたやったら大変やぞ

[futonchan]

セキュリティの勉強に

[dltlt]

「noteのサービス上で任意のJavaScriptの記述が許可されていなくとも、独自ドメインでホスティングされるコンテンツは、本質的にはドメイン所有者の管理するもの……だから……DNSレコードを切り替えてしまえば」

[shidho]

面倒くさい話なのに、わかりやすい。

[Helfard]

これをnoteで公開していたら完璧だった。

[typographicalerror]

malaさん、公開にあたって「経緯」の項目も照会したのかな（してそう）

[Surgo]

ちゃんとそれは仕様ですで押し切ってほしかったな

[hatest]

ノーと(note)言える日本人

[Sixeight]

セキュリティに絶対はないなと改めて

[napsucks]

他者ドメインでログインを提供すると本質的には危険なのだな。

[retore]

“これを見て、noteをバカにするためだけに脆弱性を探すことを決意。” 草

[yo_waka]

"ブログサービスの中には、独自ドメインでの公開をサポートしているものも多くあるが、独自ドメイン上で認証cookieを作成しているのは、自分の知る限りだとかなり独特のもので、noteに固有のもの"

[anoworl]

こういう折り合いをつける知恵すき > 実用上、どの銀行使ってるのか程度が自身で確認できれば十分だと思う