SFA(営業支援)CRM(顧客関係管理)マーケティングオートメーションビジネスインテリジェンスITサービスマネジメント製品ジャンルで記事を探す閉じるお知らせ公式Twitterアカウントで新着記事を配信中です。フォローをお願いします。Webセキュリティの第一人者である徳丸浩氏に、2013年版と比較して変わった点や注目すべき内容について語ってもらった。2017年版の主要な変更点について語ってもらった。XML外部エンティティ参照(XXE)」とは何か今回は変化した内容についてお聞きします。A-4から説明します。)というのは、XMLというデータの受け渡し形式に関するものです。構造化されているデータですね。Entities」、外部実体(外部エンティティ)という機能があります。ほかのファイル、あるいはほかのURLで示すような外部のサーバーの情報を参照する機能です。商品登録をするときにデータをXMLというコード化された形で渡すとしましょう。そのときに外部実体を書いておくと、あなたの入力したのはこれですねと確認画面が出るときに、サーバーの中のファイルの情報を表示できたりするんです。データセンターの中の外部からは見えないサーバーに対してプライベートIPアドレスで書いておくと、それを受け付けているサーバーはデータセンターの中にあるので、ほかのサーバーの情報がとれる場合があるんですね。そこで、通常であれば漏洩しないファイルが漏洩してしまうわけです。Forgery)と言ったりしますが、そういうことができる可能性があるのでまずいということが、ぽちぽちと言われ始めていました。昔から知られていて、こういうソフトにも脆弱性がある、と報告は上がっていた。今回なぜか、A-4という重要度の高い位置に来てしまってびっくりしています。10と言っているんだから、やはり重要な順に並んでいるワケですね。それは間違いないです。入ってもいいけど、いきなりA-4か?という感じです。10の中に入るかどうかというのもあるけど、その順番が上下することがありますね。上下の移動もやはり気になりますか。上下も気になりますし、CSRFはきっと11位か12位あたりにいるんだと思いますが、そことの違和感も気になります。10圏外になにがいるんだろうと。100くらいにしておかないといけなくなる可能性はある。10にしたところが味噌なんだろうと思います。Activeは、IT/製造/建設各分野にかかわる企業向け製品・サービスについて、選択や導入を支援する情報サイトです。製品・サービス情報、導入事例などのコンテンツを多数掲載しています。ご覧になる際には、会員登録(無料)をお願いいたします。Reserved.このページに掲載されている記事・写真・図表などの無断転載を禁じます。掲載している情報は、記事執筆時点のものです。