セキュリティ専門家、「iPhone」実証コード2件を発表--設計に深刻な問題と指摘
Independent Security Evaluators（ISE）の研究者らが、特別に作成されたウェブページを「Apple iPhone」が「Safari」を使って開くときの手法を悪用したエクスプロイトコードを少なくとも2件発表した。脆弱性の正確な詳細については、来週末ネバダ州ラスベガスで開催されるBlack Hatカンファレンスのプレゼンテーションで明らかになる。だが、概要の一部を以下に紹介する。 ISEの研究者Charlie Miller、Jake Honoroff、Joshua Masonの各氏は、Black Hatプレゼンテーションの素案で、「iPhoneには、セキュリティ関連の設計とインプリメンテーションに深刻な問題がある」と指摘し、大半のプロセスが管理者権限で実行される点を指摘した。さらに、iPhoneに搭載されるカスタムOSはアドレスのランダム化も非実行ヒープも採用して
ワンタイム・パスワードでは防げない“中間者攻撃フィッシング”が出現
米SANS InstituteやフィンランドF-Secureは現地時間7月12日，米Citibankをかたる「中間者攻撃（man-in-the-middle attack）」タイプのフィッシング詐欺が確認されたことを明らかにした。ワンタイム・パスワードなどの2要素（2因子）認証を使っていても防げないことが特徴。偽サイトは既に閉鎖されている。 中間者攻撃とは，正規の通信の間に“割り込んで”，通信の当事者には気付かれないように通信内容を盗んだり改ざんしたりする攻撃手法。今回のフィッシングでは，ユーザーと正規のWebサイト（Citibankのサイト）の間に割り込む。ユーザーに対しては，攻撃者が構築した偽サイトをCitibankのサイトと思わせ，Citibankのサイトに対しては，偽サイトを同社サービスのユーザーに見せかける。 具体的にはまず，ユーザーに偽メールを送って，偽のログイン・サイトへ誘導
Google GMail E-mail Hijack Technique
In this post I am going to show you how someone can remotely install a simple, persistent filter within a GMail account and download all previous as well as snoop onto all future email conversations. The following sequence of screenshots describes how the attack works. [](/files/2007/09/ggeht-seq1.jpg) [
匿名化ツール「Tor」で大使館などのパスワード100件を入手
各国の大使館や政府機関の電子メールパスワード100件を入手して公開したセキュリティ研究者が、これらパスワードの入手には、ネットワークトラフィックを匿名化するためのツール「Tor」を使ったとブログで打ち明けた。 TorはWeb閲覧などのインターネットコミュニケーションを匿名化できるツールで、電子フロンティア財団（EFF）なども、プライバシーを守るために利用を奨励している。 しかしスウェーデンのセキュリティ研究者が運営するDEranged Securityのブログによると、パスワードは政府機関などがこのTorを使っていることを利用して入手した。Torでは3台のサーバを経由してトラフィックが送信されるが、このうち2台はトラフィックが暗号化されるものの、3番目のexit nodeでは暗号化されない問題を利用したという。 この手段で入手したパスワードは、公開済みの100件にとどまらず、大企業のものも
[openmya:038082] MS07-034: mhtml:プロトコルハン ドラによる任意のスクリプトの実 行 - 葉っぱ日記
MS07-034で修正された CVE-2007-2225 および CVE-2007-2227 の詳細をまとめました。 「脆弱性の詳細」の「CVE-2007-2225に関するよく寄せられる質問」の欄では このセキュリティ情報の公開時に、この脆弱性は一般に知られていましたか? いいえ。マイクロソフトは信頼のおける情報元からこの脆弱性に関する情報を受けました。マイクロソフトは、このセキュリティ情報が最初に公開された際に、この脆弱性が一般に知られていたという情報は受けていませんでした。 とありますが、上記アドバイザリにも書いたように、2005年2月には、[Full-Disclosure] Possible XSS issue on Windows XPSP2 IE6 via MIME Encapsulation of Aggregate HTML というメールが Full-Disclosure に
![[openmya:038082] MS07-034: mhtml:プロトコルハン ドラによる任意のスクリプトの実 行 - 葉っぱ日記](https://cdn-ak-scissors.b.st-hatena.com/image/square/dc9f3334ee862e0d8b58a87a67fb6a91d05683a9/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F13208692334729887943%2F17680117126985330771%2F1551408515)
＊「ふっかつのじゅもんがちがいます。」 任意のリンク先へ飛べる公開リダイレクタを作ってはいけない
Yahoo!ブックマークがソーシャルブックマークにリニューアルしたらしい。 なんかyahoo.co.jp内へのリンクだろうが外部ドメインへのリンクだろうが全部リダイレクト経由なのがものすごい不愉快。どこへ飛ぶのか分かりにくい。 あと不愉快以前にこれはセキュリティ的に問題があると思うんだけど。ウィルス作者が ttp://example.com/virus.exe をブックマークしたらどうするつもり？ Yahoo!の人たちはみんトピのときも同じようなことをしてたけど。 俺のリンクを見てくれ。こいつをどう思う？ Yahoo!ツールバーダウンロード！ すごく・・・危ないです・・・ とかやると一見yahoo.co.jpドメインなリンクのダウンロードダイアログを作れると思うんですが（このファイルはWindowsについてたcalc.exeですがダウンロード＆実行とかはしないでください）。 教訓は何かとい
エプソンのフォトビューワ「P-2500」の一部にウイルス混入
セイコーエプソンのフォトビューワ「Photo Fine Player P-2500」の一部に、ウイルスが混入していたことが明らかに。 セイコーエプソンは3月6日、同社のフォトビューワ「Photo Fine Player P-2500」の一部に、ウイルスが混入していたことを明らかにした。 P-2500は、デジタルカメラで撮影した画像や動画、音声などの再生が可能なマルチメディアビューワで、2006年10月より出荷されている。製造番号が「G9HZ000001」～「G9HZ003029」までの製品に、USBメモリなどのリムーバブルドライブ経由で感染するウイルス1種類が混入している可能性がある。これ以外の製造番号では、混入の危険はない。 ウイルスの名称はベンダーによって異なり、「W32.SillyFDC」（シマンテック）、「Worm.Win32.delf.aj」（Kaspersky）、「WORM_D
バッファローのUSBメモリにウイルスが混入
バッファローは10月10日、同社製USBメモリの一部にウイルスが混入している可能性があると発表した。混入の“可能性”があるのは、現在市場に出回っている186台のUSBメモリで、実際に該当する製品は「そのうちの10％ほど」（同社）と見られ、新品への交換で対応する。 すでに該当製品のシリアル番号（製造番号）は特定できており、同社はユーザーに使用中止を呼びかけている。 該当するのは、指紋認証モデルの「RUF2-FS512-W」（製造コード：07/09/11、シリアル番号：000001～000360の一部）、「RUF2-FS1G-W」（製造コード：07/09/11、シリアル番号：000001～000360の一部）、「RUF2-FS2G-W」（製造コード：07/09/11、シリアル番号：000001～000120の一部）で、製品の本体裏側にある製造コードとシリアル番号から確認できる。また、これらが一
Seagate HDDに混入のウイルス、ネットゲームを標的に
ウイルス混入が起きた中国の受託製造業者の工場では、Seagateの調査が完了する前なのにHDDの出荷を再開している。 Seagateの「Maxtor Basics Personal Storage 3200」が、「World of Warcraft」などのオンラインゲームのパスワードを盗むウイルスが混入された状態で出荷された。混入したHDDの台数は公表されていない。 Kaspersky Labsがこのウイルスを「Virus.Win32.AutoRun.ah」と特定し、Seagateに通報した。このウイルスは似たウイルスを削除し、ウイルス検知ソフトを無効化する。 このウイルスは盗んだパスワードを中国のサーバに送信する。中国の受託製造業者の工場でMaxtorのHDDにロードされた。 Seagateは、Kasperskyがウイルスを発見する前に、「少数の」感染したHDDが販売された可能性があると
What's New in SQL2016 CTP2 Release - MSDN Blogs
In Visual Studio 2022 17.10 Preview 2, we’ve introduced some UX updates and usability improvements to the Connection Manager. With these updates we provide a more seamless experience when connecting to remote systems and/or debugging failed connections. Please install the latest Preview to try it out. Read on to learn what the Connection ...
【コラム】ITセキュリティのアライ出し (24) Vistaのカーネルモードドライバへのコード署名要件にかかる問題のまとめ(2) | エンタープライズ | マイコミジャーナル
筆者近況…いちおう日本にいます 近況について「ショッカーを追ってヨーロッパに行ってるんですか?」と、最近よく尋ねられる筆者である。が、実のところ子育てが予想以上に楽しいのである。編集担当Gさん、遅筆ですいません。加えて『The Shellcoder's Handbook: Discovering and Exploiting Security Holes, 2nd Edition』の邦訳版刊行を企図していたところ、技術評論社さんのもとで具現化できそうな状況にたどり着いたのであった。同書は情報セキュリティ界の第一人者である鵜飼さんが、その第1版を「稀に見る良書」であり「"ドリームチーム"によって執筆された」と評している。したがって邦訳については国内情報セキュリティ界の「オールジャパン」体制なのだと思われる。乞御期待。 Atsivのリソースセクションに含まれている2つのドライバ 閑話休題。次回
【コラム】ITセキュリティのアライ出し (23) Vistaのカーネルモードドライバへのコード署名要件にかかる問題のまとめ(1) | エンタープライズ | マイコミジャーナル
Linchpin Labs & OSRが公開した「Atsiv("Vista"を逆にしたものと思われる)」に関するBlog投稿を米Symantecが現地時間の7月27日に行っている。64ビット版のWindows Vistaの標準セキュリティ機構を迂回するこのツールに端を発した一連のカーネルドライバの問題の状況についてここにまとめるものとする。 64ビットバージョンのVista(Vista x64)には、カーネルモードドライバをインストールする際には、コード署名がなされていなければならないという要件が実装されている。この理由は主にカーネルモードで動作するルートキットを排除したいというマイクロソフト側の狙いが含まれている(Windows Vista And Windows Server Codename "Longhorn" Security Enhancements)。よって、Administ
第1回 悪意のJavaScriptで情報が漏えい：ITpro
Web 2.0という言葉で総称される新たなインターネット時代。Webサイトやエンドユーザーに仕掛けられる攻撃もまた，2.0と呼ぶべき進化を遂げようとしている。攻撃者はWeb 2.0の中核技術であるJavaScriptを悪用してブラウザを狙う。従来の脅威対策は全く通用しない。今この瞬間にも，エンドユーザーは個人情報を盗まれる危険にさらされている。 ブログ/SNSなどユーザー発信型のサイト，Ajax，RSS──。華やかさがクローズアップされるWeb 2.0。ところがその裏側では，エンドユーザーに情報盗難などの危険が広がっている（図1）。インターネット・バンキングやEC（電子商取引）サイトのユーザーIDやパスワード，クレジットカード番号はもちろん，企業内のシステムにアクセスするためのパスワードや，パソコンに読み込んだ機密文書データなど，対象はあらゆる情報だ。 2006年12月末，米国のセキュリテ
More Malware-Laced Codecs - Computer Security Research - McAfee Avert Labs Blog
McAfee+ Products Worry-free protection for your privacy, identity and all your personal devices. Individual and family plans McAfee+ Ultimate Our most comprehensive privacy, identity and device protection with $1M ID theft coverage. Total Protection Protection for your devices with identity monitoring and VPN Device Protection Antivirus Virtual Private Network (VPN) Mobile Security Free Tools & D
高木浩光＠自宅の日記 - EZwebサイトでSession Fixation被害発生か？, サブスクライバーIDをパスワード代わりに使うべきでない理由
■ EZwebサイトでSession Fixation被害発生か？ au booksでの事故 意図的な攻撃でなく偶発的な事故なのかもしれないが、auの公式サービス「au books」のEZwebサイトで、Webアプリケーションの脆弱性が原因の情報漏洩事故が起きたようだ。 顧客情報漏えい：書籍販売サイト「ａｕ Ｂｏｏｋｓ」で, 毎日新聞, 2007年6月26日 ゲーム攻略本（１冊１８９０円）の紹介サイトからアクセスし、その攻略本を買おうとすると、他の顧客の氏名、住所、電話番号、生年月日、会員パスワードが表示された。そのまま購入手続きをとると、他の顧客が購入したことになってしまうという。 au携帯電話におけるオンライン書籍販売サイト「au Books」におけるお客様情報の誤表示について, KDDI, 2007年6月26日 1. 発生事象 本年6月22日20時37分から23日18時45分までの間
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Endpoint Protection - Symantec Enterprise
「Ｐ２Ｐネットワークの在り方に関する作業部会」報告書の公表---総務省(報道資料)