ENV34-C. getenv() が返す文字列へのポインタを保存しない
ENV34-C. getenv() が返す文字列へのポインタを保存しない C 標準では getenv() の動作を次のように規定している。[ISO/IEC 9899:2011] getenv 関数は、一致する並び(environment list)の要素に結び付けられた文字列へのポインタを返す。このポインタが指す文字列をプログラムで変更してはならないが、引き続く getenv 関数の呼出しで書き換わることがある。 ゆえに、getenv() が返すポインタは保存すべきでない。このポインタは、2 回目以降に getenv() 関数を呼び出したときに上書きされたり、putenv() や setenv() の呼び出しによって環境変数の並びが変更された結果として無効になる可能性がある。getenv()が返すポインタを後で使用するために保存しておくと、ダングリングポインタとなったり、正しくないデータを
FIO03-C. fopen() やファイル作成時の動作について勝手な想定をしない
FIO03-C. fopen() やファイル作成時の動作について勝手な想定をしない C の fopen() 関数を使用して、既存のファイルをオープンしたり新規ファイルを作成することができる。C11 バージョンの fopen() と fopen_s() では、モードフラグ x を提供している。このフラグは、オープンしようとしているファイルが存在するかどうかの判断に必要なメカニズムを提供する。このモードフラグを使用しないと、意図しないファイルへの上書きやアクセスを行う可能性がある。 違反コード (fopen()) 以下のコード例では、file_name が参照するファイルを書き込み用にオープンしている。プログラマの意図がファイルの新規作成であり、参照先のファイルがすでに存在している場合には、このコード例は違反コードである。 char *file_name; FILE *fp; /* file_
CERT Coordination Center
Vulnerability Notes Database The Vulnerability Notes Database provides information about software vulnerabilities. Vulnerability notes include summaries, technical details, remediation information, and lists of affected vendors. Most vulnerability notes are the result of private coordination and disclosure efforts. For more comprehensive coverage of public vulnerability reports, consider the Natio
「UPnP（libupnp）に脆弱性・WANから攻撃可能」という話の中身を調査してみた
「UPnPに脆弱性が見つかり、危険だ」というニュースがいろいろなWebサイトに掲載されていますが、例によってまた何言ってるかよく分からない部分が多かったので、調べたことを書いておきます。 目次 1. 概要2. 日本語サイトの情報源3. 「libupnpの脆弱性」は「UPnPパケットを使ったバッファオーバフロー」4. 「WANから攻撃可能」というニュースの意味5. 「WANからのSSDPリクエストを受け付ける」ルーターとは？6. 「libupnp」と「SSDPリクエストを受け付けてしまう脆弱性」の関係について7. 「WANからのSSDPを受け取ること」自体の問題8. 何があったからニュースになった？9. １月２９日にあったこと10. 本当のニュースは「Rapid7のホワイトペーパー」の公開11. ホワイトペーパーの中身12. じゃぁどうして脆弱性情報が出たのか13. 結論：見つかったのは「脆
Archived MSDN and TechNet Blogs
If you were looking for MSDN or TechNet blogs, please know that MSDN and TechNet blog sites have been retired, and blog content has been migrated and archived here. How to use this site Archived blogs are grouped alphabetically by the initial letter of the blog name. Select the initial letter from the TOC to see the full list of the blogs. You can also type the name of the blog or the title of the
インテルCPUで動作する64|セキュリティ・マネジメント|トピックス|Computerworld
インテルCPUで動作する64ビットOSや仮想化環境で、権限昇格の脆弱性が発覚 独自の脆弱性を利用、攻撃者はホストマシンの操作やカーネル権限の取得が可能に 米国Intel製のプロセッサ上で動作する一部の64ビットOSや仮想化ソフトウェアが、ローカルで「権限昇格（Privilege Escalation）」の脆弱性を突いた攻撃を受ける可能性があるという。米国国土安全保障省のUS-CERT（United States Computer Emergency Readiness Team）が6月13日、セキュリティ・アドバイザリを発表して警告した。 この脆弱性（識別ID：CVE-2012-0217）は、Intel製CPUが、x86-64互換の拡張機能が追加された命令セット「Intel64」上で、SYSRET命令を実行する方法に由来している。 攻撃者はこの脆弱性を突き、Intel CPU搭載マシンから
中国に対するサイバー攻撃、「最大の発信源は日本」と中国CERTが報告
中国CERTの報告書では、中国に対するサイバー攻撃に関与したIPアドレスのうち、最も多かったのが日本だと結論付けた。 中国の国家セキュリティ情報機関が2011年の報告書をまとめ、中国のコンピュータに対するサイバー攻撃は日本のIPアドレスを使ったものが最多だったと報告した。中国の英字紙「People's Daily」オンライン版が国営新華社通信発の記事として掲載している。 それによると、報告書はNational Computer Network Emergency Response Coordination Center of China（CNCERT）がまとめたもので、2011年は中国のコンピュータ890万台に対し、国外の4万7000のIPアドレスが関与する攻撃が仕掛けられたと報告。攻撃に関与したIPアドレスのうち、最も多かったのは日本（22.8％）で、次いで米国（20.4％）、韓国の順（
ソースコード解析ツールを活用したCERTセキュアコーディングスタンダードの有効性評価
Copyright ©2008 JPCERT/CC All rights reserved. ソースコード解析ツールを活用した CERT セキュアコーディングスタンダード の有効性評価 Stephen Dewhurst Chad Dougherty Yurie Ito（伊藤 友里恵） David Keaton Dan Saks Robert C. Seacord David Svoboda Chris Taschner Kazuya Togashi（富樫 一哉） 2008 年 6 月 Copyright ©2008 JPCERT/CC All rights reserved. Notifications and Disclaimers. The following notices and disclaimers must be contained on the unofficial SEI
JPCERT Coordination Center - グッド・プラクティス・ガイド プロセス・制御と SCADA セキュリティ
こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。 ※本フォームにいただいたコメントへの返信はできません。 返信をご希望の方は「お問合せ」 をご利用ください。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JPCERT コーディネーションセンターJPCERT/CCについて
APCERT
SEI CERT C++ Coding Standard - SEI CERT C++ Coding Standard - Confluence
Cybersecurity Alerts & Advisories | CISA
【海外セキュリティ】第57回：脆弱性情報の標準記述形式「CVRF」バージョン1.0公開 
標的型メール攻撃に“予防接種”は有効か？ JPCERT/CCが実験