6/16日のDoblogバージョンアップ以来存在した、たいへん危険だったセキュリティホールが塞がりました。

塞がれた穴は、２つです。
１：その一つは、以前にも問題にした、セッションIDが外部リンクを通じてRefererから漏れる問題です。漏れたセッションIDを利用して、ユーザのログイン中のセッションを横取りし、そのユーザがDoblog内で出来ることなら何でも行うことが可能でした。

２：もう一つは、未公表の問題です。これは、主要にはユーザのCookieを盗み出せるという問題で、Cookieに格納されているセッションＩＤを盗み出してログイン中のセッションを横取りし、そのユーザに成りすまして何でも出来るという問題でした。

この２つの問題とも修正されていることを、先ほど（7/28日　22時）確認しました。一番心配していた大穴が２つとも塞がりましたので、これでやれやれです。穴が開いたまま42日、長かった。はぁ。。

本日は速報のみ。どういう問題だったのかは、（書く気力があれば）後ほど。
---------追記(7/29)----------
7/24日の記事「余計なお世話なんだけど」のDoblog利用の注意事項のうち、現時点でまだ残っている危険なバグ（中程度）による注意は、
５の「ログインしたまま、うろうろしないようにしましょう。」のうち、信頼できないブログやサイトでそこにあるリンクをむやみにクリックしないようにしましょう。のみです。リンクをクリックするときは、そのリンク先がどこか、何をしようとしているのかチェックしてみるという注意が、一般的にも、必要です。

その他の注意事項は一般的な注意としてはまだ有効ですが、Doblogのセキュリティホールが塞がれたことにより、改修以前のようなラフな運用をしても安全になっています。

非公開にしていた記事、「事例研究：頭隠して尻隠さず」を公開にした。

スタッフブログにお知らせが載っている。音楽コミュニティ分析サイトのようだ。8/1稼動とか。

NTTが開発した「興味コミュニティ管理エンジン」を用いてDoblogの記事を解析し、「テンプレートオントロジ」という概念体系情報にもとづいて分類し、「興味オントロジ」を自動抽出するんだと。なんのこっちゃ。まあ、これはこれで興味がある。

どんな実験をしようと知ったことではないが、それより、この本家Doblogの惨状を先になんとかしてほしいものだ。