Hiki 0.8.7（かわちょぶろぐ、2007年07月01日）

かわちょうぃきで使ってる Hiki に脆弱性が見つかって、それを改修したバージョン 0.8.7 が出ていたのでアップデート。

Hiki では、セッション ID をファイル名とするファイルを作成し、セッション管理を行なっています。このセッションファイルは、ログアウト時にセッション ID をファイル名として、削除されています。

このとき、セッション ID が正規表現 /[0-9a-f]{16}/ にマッチすることによってセッション ID フォーマットの確認を行なっていましたが、この正規表現はセッション ID フォーマットの確認としては不適切であったため、パス区切り文字を含むようなセッション ID を指定することが可能になっていました。

このようなパス区切り文字を含むセッション ID を送信することによって、 Hiki 実行権限が削除可能な任意のファイルを削除できる可能性があります。