日テレで43万件の個人情報流出--攻撃に使われた「OSコマンドインジェクション」とは？

日本テレビ放送網は4月21日、同社のウェブサイトから最大で43万件の情報漏えいがあった可能性があると公表した。 日本テレビでは、4月20日16時ごろにサーバの負荷が急上昇していることを発見。調査の結果、「OSコマンドインジェクション」と呼ばれる攻撃により、同日13時ごろに最初の不正アクセスがあったことを確認した。 また、17時ごろにデータベース内にあった非公開情報がコピーされていたことが発覚。「おしゃれイズム」など15の番組に関する意見募集フォーム、プレゼント応募フォームに登録した約43万件の個人情報が流出した可能性があるとしている。 流出した可能性のある個人情報は、氏名、住所、電話番号、メールアドレスなどで、クレジットカードに関連する情報は含まれていない。また、21日未明までにデータを安全な保存場所に移動。現時点では新たな流出は確認されていないという。 OSコマンドインジェクションとは？

[tockri]

大企業のサイトはおっかないなー。脆弱性が見つかったら急いで閉じないとすぐこうなっちゃう。

[tone-unga]

緩い国。

[kgrock]

日テレで43万件の個人情報流出--攻撃に使われた「OSコマンドインジェクション」とは？

[RMS-099]

「OSコマンドインジェクションは、特定のアプリケーションやシステムに依存する脆弱性というよりは、構築したウェブサイト側で独自に実装したツールや設定により引き起こされるケースが多い」

[komz]

日テレで43万件の個人情報流出--攻撃に使われた「OSコマンドインジェクション」とは？

[skam666]

“「OSコマンドインジェクション」と呼ばれる攻撃により、同日13時ごろに最初の不正アクセス(中略)15の番組に関する意見募集フォーム、プレゼント応募フォームに登録した約43万件の個人情報が流出した可能性”

[ookitasaburou]

OSコマンドインジェクションとは、ユーザーが何らかの情報を入力したり操作するウェブサイトにおいて、入力する情報にサイトのシステムやアプリケーションに対する命令文を紛れ込ませて、攻撃者が不正に操作できるよ

[chess-news]

あー、これか。聞いたことある。

[bottomzlife]

id:hatomugicha いや、初歩的かつよくある脆弱性だよ。PHPなら汚染された変数をpopenに渡してるだけで穴 http://bit.ly/1qGsqAB

[hatomugicha]

OSコマンドだからシェルで何かを実行したと思うんだけどウェブフォームからOSにまでコマンドを飛ばせる流れってどんなだろう。あとインジェクション対策は設定オンみたいな簡単なもんじゃないから誤解が生まれそう

[daybeforeyesterday]

うーむ

[shiraivin]

この程度の対策もしてなかったことに驚き

[Bosssuke]

まぁ…マスメディアだしね。