HootSuiteにクロスサイトスクリプティングの脆弱性があった

Twitterばかりで久しぶりのブログ更新。
ねたはイロイロあるのだがドラフトのままで放置が多いっす。

今日はTwitter クライアント HootSuite に脆弱性があったことについて書いておきます。
（もちろん既に修正されています）
＜脆弱性の内容＞

• Show Conversationで表示される会話内においてHTMLタグがエスケープされていない
  （レポートから６日で状況把握していただき、修正は１ヶ月弱）
• ユーザー情報ポップアップウィンドウに表示されている最新ツイート内のHTMLタグがエスケープされていない。（レポートから２日で状況把握していただき、修正は１週間弱）
  下の画像はイメージタグを挿入した例
  

  ユーザ情報の最新ツイート

私が発見したのは以上の２点で、ヘルプデスク経由で報告しました。
実験ではスクリプトタグや外部スクリプトの実行ができ、かなり危険な状態でした。

Web型のアプリケーションであるため、修正は全員に適用され問題は回避されますが、インストール型のアプリケーションだった場合、強制バージョンアップの仕組みなどを用意しておかないと危険な状態が続くなと。

またSEとして、コーティングルールを規定し、フレームワークとしてはデフォルトがエスケープするように安全な方に倒しておき、どうしてもHTMLタグを有効にしたい場合のみオプションで有効にするとか、エスケープしない場合には特別な function を通さないといけないなどの仕組みを用意しないと撲滅できないのかなぁと。大体はそうなっているはずだが JavaScript ではまだまだあまい印象。
自動でチェックとかは項目ごとの要件次第なところもあるので難しいのではないかと。

個人的にはいろいろなTwitterクライアントを試すも、HootSuite が今のところナンバーワンなので手放せません。７月には大きなバージョンアップがされるようなので注意深く見守っていきたいと思います。

本業の開発の方では気を引き締め直して取り組みたい。