Interstage Application Server 使用上の注意 -Windows(R)- |
目次
![]() ![]() |
第3章 注意事項 | > 3.1 Interstage共通の注意事項 |
Cross-Site Scripting問題とは、Webページから入力されたデータをもとに入力されたデータを含むWebページを動的に生成し返却することで、WebブラウザがそのWebページを表示する時に発生するセキュリティ問題です。静的なWebページや入力データを含めないで動的にWebページを生成する場合は問題ありません。
具体的に説明します。
この例では自分が入力したデータを自分のマシン上で実行しているため、万一問題が発生しても責任は自分になるため、セキュリティ問題とは言えませんが、間に第三者がいて自分が入力したかのように振る舞う場合に問題が発生します。
例えば、第三者のWebサイトを信用のないサイト、動的ページを生成するWebサイトを信用のあるサイトとし、Webブラウザには信用のあるサイトだけスクリプトの実行を許可したとします。
信用のないサイトからスクリプトを含むWebページが送られてきてもWebブラウザはスクリプトを実行しませんので問題ありません。しかし、信用のないサイトにあるWebページをクリックすることで信用のないサイトのスクリプトが信用のあるサイトの入力データとして送られてしまった場合、Webブラウザは信用のあるサイトから送られてきたスクリプトとして処理してしまうためスクリプトが実行されてしまいます。
これがCross-Site Scripting問題です。
この問題はCGIやServletなど、Webページを動的に生成するアプリケーションを作成する際に、処置をしていただくものです。問題点を整理すると以下のようになります。
なお、静的なWebページや入力データを含めないで動的にWebページを生成する場合は問題ありません。
入力データを取り出すところからWebページを生成するところまでの箇所について、アプリケーションプログラムを1つずつ見直してください。もし、ソースを見直すことが現実的でない場合は、前述に示したテストをしてみることである程度確認することができます。
問題が見つかった場合は、いずれかの方法で対処してください。
富士通製品のセキュリティ情報については、次のurlで広報されています。
http://software.fujitsu.com/jp/security/fjpatch.html
目次
![]() ![]() |