LEGO売買サイトの脆弱性から得られる教訓【前編】
LEGO売買サイト「BrickLink」に潜んでいた“危険な脆弱性”とは何だったのか
セキュリティ専門家が、LEGOの中古品売買サイト「BrickLink」に脆弱性を発見した。見つかったのは2つの脆弱性だ。どのような脆弱性だったのか。発見に至ったいきさつとは。
ブロック玩具「LEGO」の中古品売買サイト「BrickLink」が使用するAPI（アプリケーションプログラミングインタフェース）に、2つの脆弱（ぜいじゃく）性が見つかった。APIセキュリティベンダーSalt Securityの調査部門であるSalt Labsが脆弱性を発見した後、BrickLinkを運営するLEGO BrickLinkは、この脆弱性を速やかに修正した。これは2022年のクリスマス（12月25日）前のことだ。
潜んでいたのは“あの脆弱性”
100万人以上の会員を持つBrickLinkは、個人や企業が中古のLEGOを売買できるWebサービスだ。『Harry Potter』（ハリー・ポッター）シリーズに登場する列車「Hogwarts Express」（ホグワーツ特急）の組み立てキットなど、さまざまなLEGOが取引されている。年末年始の休暇期間は、プレゼント用にLEGOを買い求める人がBrickLinkに集まり、特に混雑する時期となる。そのため、LEGO BrickLinkは迅速に脆弱性を修正しなければならなかった。
Salt Labsの調査担当者がBrickLinkの入力フィールドを調査した結果、2つの脆弱性が明らかになった。1つ目は、BrickLinkのクーポン検索ページにおける検索ボックスに存在した「クロスサイトスクリプティング」（XSS）の脆弱性だ。XSSはWebサイトに不正なスクリプトを埋め込み、エンドユーザーのWebブラウザで実行させることを可能にする脆弱性を指す。
調査チームは、標的となるエンドユーザーのセッション（アクセスの単位）を識別する「セッションID」をBrickLink内の別ページから取得し、XSSの脆弱性を用いてそのセッションを乗っ取ることに成功。最終的にアカウントを乗っ取ることができた。こうした手口は、エンドユーザーの個人情報の窃取に悪用される可能性がある。
2つ目の脆弱性は、エンドユーザーが気になった製品をウォッチリストに追加できる、BrickLinkの「欲しいものリストへのアップロード」ページにあった。調査チームはこのページで、「XML外部実体」（XXE）攻撃を実行できた。XXE攻撃は、XML形式のデータが外部データを参照する機能を悪用して、データを盗み取る攻撃だ。
調査チームはXXE攻撃によって、BrickLinkが稼働するサーバ内のファイルを読み取り、「サーバサイドリクエストフォージェリ」（SSRF）攻撃を実行できることも発見した。SSRF攻撃は、公開サーバから非公開の標的サーバへのリクエスト（応答要求）を偽装し、標的サーバに不正アクセスする攻撃手法を指す。SSRF攻撃によって、LEGO BrickLinkのサーバを乗っ取るなどさまざまな悪質行為への応用が考えられるという。
後編は、Salt Securityの調査結果とともに、APIセキュリティの重要性を紹介する。
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly発 世界に学ぶIT導入・活用術
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社インターネットイニシアティブ] 人材不足と属人化が深刻に 「攻められない情シス」を変革する一手とは？ -
製品資料
[株式会社イトーキ] 会議室が「空いてるのに使えない」問題の解決策とは？ -
事例
[株式会社イトーキ] 製造現場を取り巻く経営課題 「持続的な現場力」を強化する方法とは？ -
製品資料
[株式会社イトーキ] 社員の力を引き出す、「ABW（Activity Based Working）」を実現する秘訣とは？ -
製品資料
[株式会社BREXA Technology] 「インシデント初動対応」が遅れる3つの構造的要因とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Active Directory」復旧で“詰む”企業が続出 ランサムウェアに備える4対策
-
2
Microsoft 365侵害企業の9割はMFA導入済み 1002人調査で見えた盲点
-
3
なぜノートPCの更新が「4年→6年」に？ AIインフラ急拡大の余波
-
4
企業が「Microsoft Azure」を選ばざるを得ない理由
-
5
「RAGは終わった」は本当か――ロングコンテキストが変えたこと、変えられないこと
-
6
「オフィス移転・刷新に伴うネットワーク環境の実態」に関するアンケート
-
7
「セキュリティ運用と侵入後の初動防御」に関するアンケート
-
8
“RAG is dead”は本当？ AIエージェントが切り拓く「次世代RAG」と検索の未来
-
9
WiMAXとは何か――技術とアプリケーション
-
10
「Windows」の不要なファイルを安全に消して容量を空ける方法
ホワイトペーパーランキング PR
-
1
「IT史に名を残すシステム障害」8選
-
2
AIが苦手な「汚いデータ」になっていない？ AI投資を無駄にしないための注意点
-
3
急増する高度なフィッシング詐欺 先回りしてブロックするには何が必要？
-
4
法人向け光回線のプランはどう選ぶ？ 機能面／保守体制／コストを一覧で比較
-
5
三井ホームに学ぶ「無線LAN環境」構築 快適なオフィスと高度なIT運用の両立法
-
6
SNMPより詳細で、パケット解析より簡単な「トラフィック可視化・分析」の方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
「RPA導入の成果が出ない」を防ぐ、成果につながる自動化対象業務の選び方
-
9
10G回線の真価をフルに享受するには？ 導入前にチェックしたいポイント
-
10
サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー