www.kantei.go.jpのXSS
一年ほど前に報告。
脆弱性
典型的なDOM Based XSSで、ソーシャルへのシェアボタンで、自分自身のurl(location.hash)を見ていたために発火
参考：複数のニュースサイトで外部サイトにシェアするボタンの実装方法に問題がある件 - 金利0無利息キャッシング – キャッシングできます - subtech
報告
IPA経由で報告。
IPAからのメールのキャプチャ。
（報告のフォーマットでは、そのサイトの連絡先も一緒に書かなければいけないため、連絡窓口を探すのに時間かかった覚えが）
対応
IPAから、対象サイトに連絡が行ったその日には、ボタンがなくなっていることを確認しました。IPA経由で連絡した中で、最速の対応でした。
いくつか報告した中では、公共性の高いサイトは機能ごと削除する対応の事が多いようです。そこまで修正が困難とは思わないのですが、他と関連しないような機能であれば削除したほうが確実というのもあり難しいところです。修正したと連絡が来て、確認してみたら直ってないケースもままあるので……。
参考：ソフトウェア等の脆弱性関連情報に関する届出状況[2014年第3四半期（7月～9月）]：IPA 独立行政法人 情報処理推進機構
危険性
見た限りではwww.kantei.go.jpにはログインする場所などはなく、ECサイトなどと違ってお金が絡む画面ももちろんないようでした。
この場合、考えられる危険性としては以下の様なものが有ります。
- 細工したURLを閲覧させることで、公式発表を偽装する
- 問い合わせフォームにXSSを使って、強制投稿させる
- マルウェアなど、危険なファイルをダウンロードさせる、またはリダイレクトさせる
- 管理者画面が同一ドメイン上に存在している場合、管理者へ向けて攻撃
とはいえ、実際にどの程度XSSが攻撃に活用される可能性があるのか、どの程度危険かはよくわかりません。 go.jpは他のドメインよりも信頼度の高いドメインであるため、それを利用されると攻撃の成功確率が高まってしまうのではと、自分は考えています。
CVEなど脆弱性単体での評価方法はあるのですが、実際の運営されているサイトに沿った評価形式もほしいところです。サイトごと（ドメインごと）に事情が様々なため難しいとは思いますが。
