Lodestone に Tabnabbing 脆弱性が存在する

[Aryn_Ra]

Lodestone で作成されるリンクが target="_blank" 属性が指定されている一方で rel="noopener" 属性が指定されていません。
このことにより、リンク先のページからリンク元の Lodestone のタブを操作することができ、Lodestone を偽のログイン画面に遷移させることができてしまいます。
実証ページ : https://jp.finalfantasyxiv.com/lodes.../blog/4204976/

Q. コワイ！ ロドストの日記にあるリンククリックしたらアカウント乗っ取られちゃうの？
A. 偽のログイン画面を出せるだけだから、ID とパスワードを入力するときはアドレス欄を確認するようにすれば大丈夫です

Q. セキュリティ関係のことをフォーラムに書くべきでないのでは。悪用されたらどうするのか
A. サポートセンターにメールで報告したら「フォーラムに書け」って言われたので……

追記 : このフォーラムにも同様の問題があるようです

[Mahika]

#いくらなんでもなぁ……と思ってしまったので。

Q. セキュリティ関係のことをフォーラムに書くべきでないのでは。悪用されたらどうするのか
A. サポートセンターにメールで報告したら「フォーラムに書け」って言われたので……

「一定時間内での返答ルール」などの内部ルールや「定型返答」によるものかもしれないけれど。
「リスク(or セキュリティ)マネジメント」としてどうなんだろう？、と思ってしまう。

[Matthaus]

target="_blank"を使っているサイト自体は他にも沢山あるので、
根本的な解決には、ブラウザー側で対処(ブロック)してもらうしかないようですね。

自分も知らなかったので、ちょっと怖くなりました。

ブラウザ自体のマウススクロール中クリック機能では怪しい動作をしなかったので、
一先ずこれで対処しようかと思います。
とは言え事前にtarget="_blank"が使われているリンクなのか知り得ないと回避できないのですが...

[Aryn_Ra]

「一定時間内での返答ルール」などの内部ルールや「定型返答」によるものかもしれないけれど。
「リスク(or セキュリティ)マネジメント」としてどうなんだろう？、と思ってしまう。

まあ、サーバを乗っ取ることができるとか、他人のアカウントをいきなり奪えるとかの大問題でこれ言われたら「ちょっと！」ってなるし
私も食い下がって間違ってもフォーラムには書かないけど、これくらいだったらなんとも言えないところ。

target="_blank"を使っているサイト自体は他にも沢山あるので、
根本的な解決には、ブラウザー側で対処(ブロック)してもらうしかないようですね。

自分も知らなかったので、ちょっと怖くなりました。

Web アプリケーションとかでも使われてるので、今更仕様が変わることはなさそうかなー。
「怪しいページが Gmail のログイン画面になってた」だと警戒心も働くけど
「Lodestone が Lodestone のログイン画面になってた」だと
「セッションタイムアウトで自動ログアウトされたのかな？」と思って入力しそうになるのが注意ポイントですね。

[Mahika]

「Lodestone が Lodestone のログイン画面になってた」だと
「セッションタイムアウトで自動ログアウトされたのかな？」と思って入力しそうになるのが注意ポイントですね。

PCのブラウザで有れば、画面サイズとの兼ね合いで、アドレス欄にも注意が行きやすいけれど。

スマホのブラウザの場合、「セッション切れたかな？」と思い込んでいると、気付きにくいかもなぁ。

[Gunisaka]

こんばんは。

Lodestone で作成されるリンクが target="_blank" 属性が指定されている一方で rel="noopener" 属性が指定されていません。
このことにより、リンク先のページからリンク元の Lodestone のタブを操作することができ、Lodestone を偽のログイン画面に遷移させることができてしまいます。

ご指摘いただいた点について、Lodestoneと公式フォーラムともに対応いたしました。

ご報告ありがとうございます。

[Aryn_Ra]

古いスレッド上げちゃってすみません。1年越しの補足と訂正です。

target="_blank"を使っているサイト自体は他にも沢山あるので、
根本的な解決には、ブラウザー側で対処(ブロック)してもらうしかないようですね。

Web アプリケーションとかでも使われてるので、今更仕様が変わることはなさそうかなー。

これ、私の不勉強だったのですが、2019/08時点の仕様で既に target="_blank" の時 rel="noopener" を暗示していると見なすように仕様が変更されており
Safari は既にこの仕様に対応済み、その後 Firefox も対応しました。Google Chrome も近く対応されるでしょう。
というわけで、この部分については私が完全に適当言ってました。Matthaus さんの言う通りブラウザ側で対処される流れです。