>>588-589
noinfoは串作者ですら3年前に対応済み。また通信内容も観察した。APIをいじった形跡はない。
鯖からもらったそういうinvalidなsidをろくに検査せずに次回送りつけた（こういう脆弱性はViewやXeno作者は敏感に議論と更新している）。
そもそもOpenJane時代のソース使いまわしだからdatにアクセスする際のワーカースレッド起動の順番に無理がある。
FDoLibの変数スコープミス。
クッキーのスコープを論ずる以前にまともに送れてない、この辺もガチなやつが精査したらセッション乗っ取られる脆弱性かかえてそう。
https://www.ipa.go.jp/security/awareness/vendor/programmingv2/contents/302.html


などなどとっくに調査結果書いたぞ。
理解力なくて解らなかったのね。


一時期の応答が遅く一律一定時間待たされたのは故意だろうけど、
即時noinfoを返していた際は鯖が壊れたという証拠はない。
鯖側の設計が甘いわ、正式クライアント側もやらかして普通のリトライ地獄で
更にsidリソースが爆発的に枯渇でもしたんだろう。

エラーで200 OKを返す仕様自体が無理があるし、有効期限を知る仕組みがなさそうだし、
200だとバッファに受け取ったdatをパースしながら過去ログフラグ立てる古いソースの使いまわしはまずい。
そういうポンコツソースだというのを鯖側つくったやつが理解してない。
datが壊れる脆弱性といえる。

JaneView.txtの▼130217　▼111001に書いてある画像の脆弱性気になる…