蟹のヨコヨコ日記 RSSフィード

2006-11-12

知られざるmixi脆弱性 22:55 知られざるmixiの脆弱性 - 蟹のヨコヨコ日記 を含むブックマーク はてなブックマーク - 知られざるmixiの脆弱性 - 蟹のヨコヨコ日記

mixi、利用の注意を更新。「mixiを安全に使うために」の項を新設

そんなことより mixi さん、聞いてくださいよ。

マイミクから僕の携帯メールが届いたんです。内容とか覚えてないんですけど、そんなに重要な用件ではなくて、たぶん挨拶程度のメールだったと思うんです。僕はそのメールに1行程度の返事を打って送信しました。

そうしたら!

僕が送ったメールマイミク日記に表示されてしまったんです。

驚いたのですが、試しにもう一度やってみたら、同じことが起きました。マイミクに確認したところ、僕のメール転載したわけでも、携帯メール転送したわけでもないことがわかりました。

この不思議な事件の真相は以下のとおりです。

  1. マイミク携帯から日記を投稿した。
  2. そのとき、同時に宛先を複数指定して、僕に日記と同じ内容のメールを送信した。
  3. 僕はそのことに気づかないまま返信した。(後から送信メールの宛先を確認したら、上のことがわかりました。)

mixi携帯から日記の投稿を行うためには、所定のページから自分の携帯メールアドレスをフォームに記入して、送信ボタンクリックします。すると、日記投稿用のメールアドレスが書かれているメール携帯に届くようになっています。

ところが、この「日記投稿用メアド」って、本人の携帯からじゃなくても投稿できちゃうんですよ。

僕はマイミクの「日記投稿用メアド」を削除しましたが、これが第三者に知られると、誰でもその人の日記に投稿することが出来てしまうんです。しかも、「日記投稿用メアド」は後から変更することが出来ないみたいなんです。

みなさん、mixi の「日記投稿用メアド」が他の人に知られないようにご注意くださいね。


11月13日追記】

上で述べた「日記投稿用のメールアドレスが書かれているメール携帯に届くようになっています。」の箇所は、現在、以下のように仕様変更されています。

mixiヘルプ

Q.携帯から閲覧・書き込みをしたい

A. mixiモバイルへのログイン方法と、写真付き日記更新方法についてご案内いたします。

(中略)

写真付き日記更新方法

下記手順にておこなえます。

日記写真付)の更新携帯メールから行われたい場合は、mixiモバイルアクセス後「日記を書く」の下にある「写真付き日記更新はこちら」の順に進んでください。

次の画面下部で表示される「メールを送信」というリンクを選択していただきますとメール送信のフォームが立ち上がりますので、そちらのメールの宛先アドレスを登録してください。(d.mixi.jpでおわるものです)。

この「そちらのメールの宛先アドレス」が、前述の「日記投稿用メアド」と同じもので、ユーザ側では後から変更することが出来ません。

そして、このアドレス電話帳登録してしまえば、いつでも携帯メールから日記を投稿することができる、即ち、mixiログインしなくても、また、自分の携帯以外のアドレスからでも日記の投稿が可能です。

もちろん、携帯じゃなくて、パソコンメールソフトからも、日記の投稿は可能です。

wakakumowakakumo2006/11/13 12:59jugemのモブログ機能でも同様のことが再現しました。これは確かに脆弱性と言ってもいいかもしれませんね。

kanimasterkanimaster2006/11/13 20:40>wakakumoさん
gooブログでは、ユーザ情報を登録するページに、自分の携帯のメアドを登録するようになっていて、そのメアドからでないと投稿できません。
また、投稿用送信先メアドも、自分で任意のアカウントを設定することができて、パソコンからであればいつでも変更することが可能です。
無用なトラブルを防ぐためにも、こういうのは改善してほしいものですね。