[セキュリティ] * バグハンターも注目、Windows版Safariの脆弱性報告相次ぐ (ITmedia)

---

textile米AppleがWindows版Safariのβ版を公開した直後から、脆弱性情報が相次いで公開されている。…「AppleのWebブラウザを真っ先に歓迎したのは脆弱性研究者たちだった」（McAfee）との指摘もある。

笑ったｗ　 みんなも、この流れに乗り遅れるな〜！（ちがうｗ[雑談] * MS07-034 に葉っぱさんの名前が！

---

（* まっちゃさん

---

経由。）```textile「コンテンツ配置解析のクロス ドメインの情報漏えいの脆弱性」- * CVE-2007-2227

---

を報告してくださった WebAppSec.JP の HASEGAWA Yosuke 氏```MHTMLプロトコルハンドラの脆弱性の謝辞のところに葉っぱさんの名前が！(^-^)[セキュリティ] * Wizard Bible vol.34 - XHRのリバースエンジニアリング (金床さん)

---

XMLHttpRequest においては、Cross Site Tracing対策として TRACEメソッドや TRACKメソッドでの送信が個別に禁止されていますが、対策方法がザルなので、

textilerequest1.open( '\nTRACE', 'http://www.jumperz.net/index.php',false );

という指定で送信できてしまうらしいｗ　また、

textilevar method = "GET\x09/index.php\x09HTTP/1.0\r\nHost:hogehoge\r\nX-Foo:";request1.open( method, 'http://www.jumperz.net/index.php',true ); request1.send( null );

のような送信方法も受け付けるらしい。 これはヒドいｗ　昔、Flash でも同様のことが出来た時代がありましたよね。 他社の事例に学ばなきゃ！(^-^;　 ・・・あ、でも、TRACE や TRACK の禁止を、わざわざ前方一致で判断してるってことは、もしかして、GET\x09/... のような指定方法があることも実は知っているのに、ウラ技(笑)としてわざと残してたりして？ｗ[雑談] Interop Tokyo 2007 暑かった＆歩き疲れましたｗNetAgentさんのブースで見知った方と出会いましたｗ　他にも説明員をされている方が居るというウワサを聞き、探してみたのですが見つかりませんでした。（仕事関係の方々には色々と出会いましたけど。）