Microsoftの「ASP.NET」に情報流出の脆弱性
Webサービスの開発や運用に使われる「ASP.NET」に未解決の脆弱性が見つかったとして、Microsoftがアドバイザリーを公表した。 Webサービスの開発や運用に使われる米Microsoftの「ASP.NET」に存在する未解決の脆弱性に関する情報が公表された。Microsoftは9月17日付でアドバイザリーを公開し、当面の対策などを紹介している。 Microsoftによれば、この脆弱性は.NET Frameworkの全バージョンに存在する。攻撃者が問題を悪用した場合、標的とするサーバによって暗号化された「View State」などの情報を参照したり、標的とするサーバ上にある設定ファイル「web.config」などの情報を読み取ったりすることが可能になり、コンテンツが改ざんされる恐れもあるという。 17日の時点でMicrosoftは、この脆弱性を悪用しようとする攻撃が発生したとの情報は入
ASP.NET 1.1に新たなSQLインジェクションの可能性，IDS/IPS/WAFを素通り
ASP.NET 1.1を使っているWebサイトに，新たなSQLインジェクション攻撃の可能性が潜んでいることが分かった。セキュリティ・コンサルティング会社であるHASHコンサルティングの徳丸 浩氏が見付けた（HASHコンサルティングが公開した情報）。 同氏が発見したのは，不正なパーセント・エンコードを利用して，IDS/IPS（侵入検知/防御システム）やWebアプリケーション・ファイアウォール（WAF）による検知を回避する手法である。不正なパーセント・エンコードを利用した検知回避については，ラックが2008年10月に公開した「【CSL】CSL緊急注意喚起レポート～新手のSQLインジェクションを行使するボットの確認～」と題するホワイトペーパーで紹介されている。徳丸氏が発見したのは，その手口の応用版である。 ASP（Active Server Pages）では，「DEC%LARE」のようにパーセン
セキュリティ情報 - UTF-8を利用したIDS/IPS/WAFの検知回避技術
UTF-8を利用したIDS/IPS/WAFの検知回避技術 HASHコンサルティング株式会社 公開日:2009年3月23日 概要 本レポートでは、ASP.NET(1.1)をUTF-8文字エンコーディングにて利用しているサイトにおいて、不正な文字エンコーディングを利用したIDS/IPS/WAF回避の可能性について報告する。 背景 株式会社ラックが2008年10月に「【CSL】CSL緊急注意喚起レポート～新手のSQLインジェクションを行使するボットの確認～」と題するホワイトペーパーを発表した。いくつかの新種の攻撃手法が説明されている中で、不正なパーセントエンコードを利用した検知回避テクニックについて言及している。具体的には、以下のような方法だ。 Active Server Pages(ASP)では、「DEC%LARE」のようにパーセント記号に続く2文字が16進数でない場合、パーセント記号を
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
