mixi脆弱性報告制度で報告した脆弱性をまとめてみます。
※以前報告した脆弱性4件の解説はこちらにあります。
（書いたときに脆弱性の詳細をぼかしすぎたので明確な形に書き直しました。）
今回はそれ以後報告した脆弱性についてです。
今回評価された脆弱性報告
1.youbride 認証が不十分なバグ
報告日：2014年3月1日対応完了連絡：2014年3月18日
評価結果連絡：2014年3月24日 報酬額 ￥125,000（Amazonギフト）
mixiの子会社、株式会社Diverseが運営している「youbride」という婚活支援サイトで、登録した会員情報の変更メニューで、メールアドレス変更画面のパスワード入力欄が、実際には機能していなかった。
メールアドレス欄に、任意の変更先メールアドレスを入れ、パスワード欄に正しいパスワードでなく、「a」とか「1」とか適当な値を入れても、変更先のメールアドレスに、メアド変更用リンクが書いてあるメールが送信される仕様だった。
このページはパスワードによる認証でCSRFを防ぐ仕組みだったが、そのパスワード認証が機能していないため、メアド変更画面へPOSTを行うCSRF攻撃で、youbrideにログイン中のユーザのアカウントから、攻撃者の指定した任意のメアドに、メールアドレス変更確認メールを送信させることが可能となってしまっていた。
その後、入手したメアド変更用URLを何らかの手段で再度そのユーザーに踏ませられれば、その人のメアド（=ログインID）が変更できてしまい、その後攻撃者がパスワード再設定を行うことでアカウントを乗っ取ることが可能だった。（IDが攻撃者のメアドに変わっているから、パスワード再設定用アドレスはそのメアドに送られてくる）
URLをユーザーに踏ませる方法としては、たとえば上述の不正なPOSTを行うページの裏で素早くメール受信処理をしてメールアドレス変更URLに遷移するような攻撃用スクリプトを書く、ソーシャルな手段でメール等で踏ませる、などがあると思うが、報告ではそこまでの実証はせず、可能性を示唆したのみで報告した。
2.YYCの特定のURLでXSS
報告日：2014年3月14日対応完了連絡：2014年4月7日
評価結果連絡：2014年4月9日 報酬額 ￥125,000（Amazonギフト）
mixiさんから最初にいただいた報奨金（前回のやつ）でwin7マシンとAndroidスマートフォンを購入したので、勉強も兼ねてmixiの開発したAndroidアプリの通信をPC上のFiddlerで覗くということをやってみた。
大半のアプリはSSLで通信をしており、不正な証明書も認めてくれなかったので通信を覗き見ることはできなかった。（Androidアプリの脆弱性検査の手法がよく分からない。今後の課題）
しかし、これも株式会社Diverseがやっている出会い応援サイト「YYC」のアプリが、ある通信だけはHTTPで特定のURLにアクセスを行っていて、そのURLを調べて見たところ、POST値をエコーバックする箇所があったので、試して見たところIEのコンテンツ解釈でHTMLと誤認させてのXSSを仕掛けることが可能だった。
問題のあったURL：
http://yyc.co.jp/api/app/member/boot_app
このページにアクセスすると、下記のようにJSON形式でレスポンスが返ってくるが、「.apikey」というPOST値があると、レスポンスのapikeyの値にそのまま反映される仕様だった。
{"response":{"success":false,"accept_time":"2014-04-14 01:28:15","errors":["error.no_api_key"],"code":"-4","apikey":"<ここに値が反映される>"}}
レスポンスヘッダに「Content-Type: application/json;」が付いているのでIE以外のブラウザではHTMLタグがタグとして解釈されない形だったが、IEはIE6～8でデフォルト設定だとContent-Typeヘッダを無視してコンテンツの内容を解釈するので、下記のようにpathinfoとして「a.html」を付けてIEがHTMLだと誤認するようにし、「.apikey」にscriptタグを投げ込むようなHTMLを書いてIETesterのIE8でPOSTしたところ、スクリプトが有効に動作したので報告した。（IETesterのIE6とIE8で動作を確認した）<form method=post action="http://yyc.co.jp/api/app/member/boot_app/a.html">
<input type=text name=".apikey" value="yycapp<script>document.write(document.cookie);alert(1);</script>">
<input type=submit name="submok" value="submit">
</form>
3.ショッパーズアイ メールのテスト送信機能のXSS
報告日：2014年3月26日対応完了連絡：2014年4月8日
評価結果連絡：2014年4月9日 報酬額 ￥125,000（Amazonギフト）
ミステリーショッパー事業の「ショッパーズアイ」の会員情報変更画面の中に、自分のメールアドレスを変更する画面があり、そこに「テスト送信」というリンクがあり、そこで指定のメールアドレスにテストメールを送信できる仕組みになっている。
テスト送信の画面は、普通の遷移ではパラメータもPOST値も何もない形だったが、いったんテストメールを送信した後に、画面をリロードすると、何故かメールアドレスがGETパラメータとしてURLに付き（そういうLocationヘッダが発行される）、外部からメールアドレスが自由に指定できるようになり、しかもパラメータで渡したメールアドレスが全くエスケープされていなかったので、XSSが可能だった。
問題のあったURL：
http://www.shoppers-eye.jp/mypage/user/testmail
テストメールを一度送信し終わった後にリロードすると下記のようにURLが変化した。
http://www.shoppers-eye.jp/mypage/user/testmail?email=<登録したメールアドレス>&mail_type=pc
これを下記のように変化させてアクセスしたところ、普通に画面上でスクリプトが実行された。http://www.shoppers-eye.jp/mypage/user/testmail?email=<script>alert(1)</script>&mail_type=pc
その他現在確認中のものなど。
※「XXXX」になってる箇所は、確認取れ次第更新していきます。
「報告制度の範囲外」ということで無効になった脆弱性報告（いつの間にか報告制度の対象外になってたやつ）
対応未確認なので公表できない。mixiさんに対応が完了したか確認中。対応済みであれば詳細公開。- XXXX にてオープンリダイレクタ脆弱性 （報告日：2013年12月8日）
- XXXX にてdataストリームによるXSS脆弱性 （報告日：2013年12月8日）
- XXXX のXXX機能のCSRF （報告日：2014年3月24日）
「既知の脆弱性」ということで無効になった脆弱性報告
問い合わせたら対応済みとの事だったので、次のエントリで詳細書きました。現在対応待ち
mixiさんに報告して対応連絡がまだ来ていないもの。評価未確定なので報奨金の可能性が残っている。対応未確認なので公表できない。・XXXX でDOS攻撃を容易にする仕様（システムに大きい負荷を簡単にかけられる仕様） （報告日：2014年1月14日） → いったん対応報告来たけど報告時の説明が悪く漏れがあったので再対応していただいている
・XXXX オープンリダイレクタ脆弱性 （報告日：2014年3月17日）
・XXXX ソーシャルな手順によるXSS（セルフXSS） （報告日：2014年3月30日）
現状こんな感じ。