mixiプレミアムコミュの▲脆弱性 - フォト・動画コメント一覧【解決】

■　フォトアルバム及び動画コメント一覧の脆弱性

フォトアルバムや動画の公開レベルを「友人まで」に設定すると、コメントで友人とチャットできますが、本人・友人以外が「最近のコメント一覧」にアクセスすると、各コメントが最大30文字（全角・半角を問わず）流出する事がわかりました。（写真中央・右）

mixi運営事務局にコンタクトし早期修正を要求しましたが、

「今後の運用の貴重な参考材料といたしまして
　活用させていただきたく存じます」

という返事でしたので、この脆弱性を公開し注意を喚起します。

◆　問題点

フォトアルバム・コメント一覧の問題
URL: http://mixi.jp/list_album_comment.pl

○　公開レベルが「友人まで」のフォトアルバム・コメントは
　　本人・友人以外でも「最近のコメント一覧」にアクセス
　　すれば閲覧可能。（足あとは残らない）

○　公開レベルが「非公開(閲覧キー認証型)」の
　　フォトアルバム・コメントは、本人が
　　「最近のコメント一覧」にアクセスしても表示されない

○　フォトアルバム・コメントの「最近のコメント一覧」
　　にアクセスしても足あとが残らない

動画コメント一覧の問題
URL: http://video.mixi.jp/list_video_comment.pl

○　公開レベルが「友人まで」の動画コメントは
　　本人・友人以外でも「最近のコメント一覧」に
　　アクセスすれば閲覧可能。（足あとは残る）

◆　対策

○　公開レベルを「友人まで」に設定した時は
　　コメント行を使わない

○　公開レベルを「友人まで」に設定した時は
　　各コメントにダミーの30文字を先頭に入れる

○　公開レベルを「非公開(閲覧キー認証型)」に設定

　　「非公開(閲覧キー認証型)」なら問題なし。
　　友人に閲覧キーを渡せば「友人まで」と同等に使用可能。

○　フォト・動画コメントをチャット代わりに使わずに
　　専用クローズド・コミュニティを立ち上げる

◆　備考

貴方の友人が公開レベルを「友人まで」に設定してプライベートな話をしている場合は、この脆弱性を教えてあげて下さい。（このページのURLをお伝え下さい）各コメントの始めの30文字のみの流出ですが、コメントが短い場合、議論内容を把握する事が可能です。

「mixiプレミアム」コミュニティ管理人

hiroo / 山田浩大 / ASL

コメント(3)

最初
全て
最新の40件

[1] mixiユーザー 02月20日 08:00

本日0時過ぎにmixiプレミアムの脆弱性が修正された事を確認しました。

■　修正された項目

フォトアルバム・コメント一覧の問題
URL: http://mixi.jp/list_album_comment.pl

○　公開レベルが「友人まで」のフォトアルバム・コメントは
　　本人・友人以外でも「最近のコメント一覧」にアクセス
　　すれば閲覧可能。（足あとは残らない）

○　公開レベルが「非公開(閲覧キー認証型)」の
　　フォトアルバム・コメントは、本人が
　　「最近のコメント一覧」にアクセスしても表示されない

動画コメント一覧の問題
URL: http://video.mixi.jp/list_video_comment.pl

○　公開レベルが「友人まで」の動画コメントは
　　本人・友人以外でも「最近のコメント一覧」に
　　アクセスすれば閲覧可能。（足あとは残る）

■　修正されていない項目

○　フォトアルバム・コメントの「最近のコメント一覧」
　　にアクセスしても足あとが残らない

一応、これでコメント一覧の流出の問題は修正されました。
フォトアルバムのコメント一覧のみ足あとが残りませんので、
ご留意下さい。

「mixiプレミアム」コミュニティ管理人

hiroo / 山田浩大 / ASL

[3] mixiユーザー 02月20日 10:10

今回の顛末記です。

ASLの日記

02月19日　mixiプレミアムの脆弱性 - フォト・動画コメント一覧
http://mixi.jp/view_diary.pl?id=351072663&owner_id=97952

02月20日　mixiプレミアムの脆弱性3件が修正【解決】
http://mixi.jp/view_diary.pl?id=352076690&owner_id=97952

hiroo / 山田浩大 / ASL

ログインすると、みんなのコメントがもっと見れるよ