パソコンの断・捨・離 いいことずくめのアプリ断捨離、不要なサブスクや悪意あるアプリも排除 2024.03.15

■問題■次の二つの画面を見て，このWebアプリケーションにどのような問題があるかをお答えください。 典型的な例であるためご存知の方も多いかもしれない。この例では，表示するエラー・メッセージに問題がある。エラー・メッセージの内容から，ユーザーが存在するか否かを判別できる。このため，認証の安全性が低下してしまう。対策の一つは，「ログインに失敗しました」のみを表示するなど，メッセージに含まれる情報を必要最小限にすることである。 当社はWebアプリケーションのぜい弱性診断サービスを提供しているが，その現場では，こうした問題点によく出くわす。今回は，そのぜい弱性診断の経験から，ユーザーが見落としがちなぜい弱性について取り上げてみたい。 Webアプリケーションに存在するぜい弱性と聞かれたら，ITproセキュリティの読者の多くは，まず，SQLインジェクションやクロスサイト・スクリプティング（XSS）を挙

米シマンテックは2007年6月25日（米国時間）、ファイル圧縮・解凍ソフト「Lhaca（ラカ）」のぜい弱性を悪用するウイルス（悪質なプログラム）が確認されたとして注意を呼びかけた。LZH形式（.lzh）のウイルスをLhacaで読み込むと、パソコンを乗っ取られる恐れがある。今回のウイルスが悪用するぜい弱性に対する修正プログラムなどは公表されていないので、「ゼロデイウイルス」といえる。 今回のウイルスは、日本のユーザーから6月22日に同社に送られたという。同社が解析したところ、何らかのぜい弱性を突くものであることが明らかとなった。その後の調査で、日本国内で広く使われているLhacaに、修正プログラムが未公開のぜい弱性があることが判明。今回のウイルスはそのぜい弱性を悪用するものだと分かった。同社の情報によれば、少なくてもLhaca（デラックス版）1.20に、今回のぜい弱性が存在するという。 同社

Webアプリケーションが攻撃者に付け込まれる脆弱性の多くは、設計者や開発者のレベルで排除することができます。実装に忙しい方も、最近よく狙われる脆弱性のトップ10を知ることで手っ取り早く概要を知り、開発の際にその存在を意識してセキュアなWebアプリケーションにしていただければ幸いです。 Webの世界を脅かす脆弱性を順位付け OWASP（Open Web Application Security Project）は、主にWebアプリケーションのセキュリティ向上を目的としたコミュニティで、そこでの調査や開発の成果物を誰でも利用できるように公開しています。 その中の「OWASP Top Ten Project」というプロジェクトでは、年に1回Webアプリケーションの脆弱性トップ10を掲載しています。2004年版は日本語を含む各国語版が提供されていますが、2007年版は現在のところ英語版のみが提供さ

「通信事業を本気でやるんですかね」――。2019年10月に"第4のキャリア"として携帯電話事業に参入する楽天に対して、ソフトバンクの宮内謙社長は楽天の取り組みに対して心配顔でこう疑…続き ソフトバンク宮内社長「非通信の新事業、数千億円に」 ［有料会員限定］ iPhoneユーザーに選択迫る　総務省の「完全分離」案 ［有料会員限定］

マイクロソフトは2007年5月22日、Microsoft Office 2003の文書ファイルを、Office 2007のOpen XML形式に変換するツール「Microsoft Office Isolated Conversion Environment（MOICE）」を公開した（セキュリティアドバイザリ）。同ツールを使えば、Office 2003の文書ファイルに仕込まれた危険なプログラムを除去できる。「サポート技術情報 935865」のページなどから入手可能。 従来、Microsoft Officeのファイル形式には、通常のテキストファイル形式ではなく、独自のバイナリーファイル形式が採用されている。このため攻撃者は、Officeの文書ファイル中に、同製品のぜい弱性を悪用するようなプログラムを埋め込むことが可能だった。新版のOffice 2007では、XMLベース、すなわちテキストべース

日本IBMのWebページ作成ソフトウェア「ホームページ・ビルダー」に付属するCGIサンプルプログラムに脆弱性が存在する。 日本IBMが提供しているWebページ作成ソフトウェア「ホームページ・ビルダー」に付属するCGIサンプルプログラムに脆弱性が存在する。JVN（Japan Vulnerability Notes）が5月16日付で明らかにした。悪用されれば、リモートから任意のOSコマンドが実行される可能性がある。 ホームページ・ビルダーのサンプルフォルダに含まれているCGIサンプルプログラムの一部では、入力内容の検査が適切に行われない。もし、付属のCGIプログラムのうち「anketo.cgi」「kansou.cgi」「order.cgi」をWebサーバに設置し、実行可能な状態にしている場合、攻撃者が挿入した文字列を通じて、任意のOSコマンドを実行されてしまう恐れがある。 脆弱性の影響を受ける

あらためて言うまでもありませんが，インターネットは，とっても便利なものですね。でも，インターネットには，ウイルス，情報漏洩，なりすましによる詐欺など，様々な危険が潜んでいます。「危険の存在を知り，十分に注意して使いましょう！」とはよく言われることですが，存在を知っているだけでは，危険から身を守ることができません。危険が生じる仕組みを知っておく必要もあります。 今回は，インターネットで使われている「Cookie（クッキー）」の仕組みを知るための実験をやってみます。Cookieは，便利なものなのですが，ちょっと危険なものでもあります。 Cookieの実体は，どこにある？ はじめに，Cookieとは何かを，簡単に説明しておきましょう。 何らかのWebページを閲覧すると，Webサーバーが皆さんのパソコンのメモリーやハードディスクに情報を書き込むことがあります。書き込むデータは，どのサイトにいつアク

このブラウザーはサポートされなくなりました。 Microsoft Edge にアップグレードすると、最新の機能、セキュリティ更新プログラム、およびテクニカル サポートを利用できます。

大日本印刷は4月28日、取引先から預かった863万件の個人情報が流出した問題について、対応策を公表した。2月20日にカード会社1社の顧客情報、3月12日になって43社で合計863万7405件もの情報が不正に持ち出されていたことを発表している（関連記事）。 流出問題が起こった本社電算室の個人情報取り扱い業務は、昨年9月に東京・北に新設した「神谷ソリューションセンター」へと全面的に移管した。同センターはセキュリティを強化した設備設計となっており、その上で運用面を強化した。 具体的には、（1）個人情報の取扱者の限定、（2）データ書き出し防止とチェック機能の強化、（3）外部のITベンダーなどによる監査、といった運用面の対策を打った。個人情報を記憶媒体に書き出す担当者を大日本印刷および同社子会社の計4人に限定。個人情報を書き出しできるエリアを決め、同エリア内では扱うデータに暗号化を施す。データ書き出

セキュリティ組織のJPCERTコーディネーションセンター（JPCERT/CC）と情報処理推進機構セキュリティセンター（IPA/ISEC）は2007年4月25日、ゴールデンウィークのような長期休暇中および休暇明けはセキュリティに特に注意するよう呼びかけた。 長期休暇中は時間的に余裕があるため、インターネットを利用する機会が多くなる可能性が高い。このため、JPCERT/CCやIPA/ISECでは、休暇に入る前に、基本的なセキュリティ対策が施されていることを改めて確認するよう勧めている。 具体的には、「OSやアプリケーションの修正プログラムの適用」「ウイルス対策ソフトのパターンファイル（ウイルス定義ファイル）の更新」「重要なデータのバックアップ」――以上が実施されていることを確認する。 加えてIPA/ISECでは、いわゆる「ワンクリック詐欺（ワンクリック不正請求）」に注意するよう改めて呼びかけて

「通信事業を本気でやるんですかね」――。2019年10月に"第4のキャリア"として携帯電話事業に参入する楽天に対して、ソフトバンクの宮内謙社長は楽天の取り組みに対して心配顔でこう疑…続き ソフトバンク宮内社長「非通信の新事業、数千億円に」 ［有料会員限定］ iPhoneユーザーに選択迫る　総務省の「完全分離」案 ［有料会員限定］

Adobe Photoshopの脆弱性が発覚。仏FrSIRTによると、細工を施したファイルをユーザーが開くと、攻撃者がシステムを完全に制御することができてしまう。 Adobe Photoshopに深刻な脆弱性が報告され、仏FrSIRTが4月24日、アドバイザリーを公開した。問題を悪用されるとDoS状態に陥ったり、任意のコードを実行される恐れがあるという。 脆弱性は、不正な「BMP」「DIB」「RLE」ファイルを処理する際のバッファーオーバーフローエラーが原因で発生する。細工を施したファイルを脆弱性のあるアプリケーションでユーザーが開くと、攻撃者がシステムを完全に制御することができてしまう。 影響を受けるのはPhotoshop CS3とCS2。公式パッチは今のところリリースされていない。FrSIRTの危険度評価は4段階で最も高い「Critical」となっている。

米Oracleは米国時間4月10日，四半期に1度提供する定例パッチ（Critical Patch Update）の予告リリースを発表した。各種製品を対象にした37件の脆弱性を修正するアップデートを4月17日に公開する。 同アップデートにより修正するセキュリティ・ホールは，「Oracle Database」で13件，「Oracle Enterprise Manager」で2件,「Oracle Workflow Cartridge」と「Oracle Ultra Search」で各1件，「Oracle Application Server」で5件，「Oracle E-Business Suite」で11件，「PeopleSoft」および「JD Edwards」製品で4件。 これらのうち7件のセキュリティ・ホールは遠隔地からの危険にさらされる可能性がある。 そのほか，Oracle Applicat

NTTデータ（国内事業会社） 企業情報 プロフィール 社長メッセージ 役員一覧 NTTデータのテクノロジー NTTデータグループ（持株会社） 企業情報 プロフィール 社長メッセージ Our Way 役員一覧 サステナビリティ 沿革 グループ会社 協賛・文化活動 取引先企業の皆様へ NTT DATA, Inc.（海外事業会社） 企業情報