応答時間によるユーザー列挙攻撃

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• リクエストのレスポンスタイムを比較することで、メールアドレスが有効かどうかを判断することができる(すなわち、ユーザー列挙)。 これは、ブラウザのネットワークタブをチェックし、有効なパラメータが渡された場合とそうでない場合のレスポンスタイムを比較することで行うことができる。

Environment

• DXP 7.4

解決策

• この問題は、 LPS-153080 によって解決され、DXP 7.4 U28に追加されましたので、このバージョンまたは最新のバージョンにアップグレードすれば解決するはずです。
• 必要であれば、U28より前のバージョンに対応するホットフィックスをLiferayサポートにリクエストすることができます。