Masato Kinugawa Security Blog: CVE-2016-4758: SafariのshowModalDialogに存在したUXSS
English version is here: http://mksben.l0.cm/2016/09/safari-uxss-showModalDialog.html Safari 10で修正された、showModalDialog() に存在したUXSSバグについて書きます。 https://support.apple.com/en-us/HT207157 WebKit Available for: OS X Yosemite v10.10.5, OS X El Capitan v10.11.6, and macOS Sierra 10.12 Impact: Visiting a maliciously crafted website may leak sensitive data Description: A permissions issue existed in the hand
「Chrome」と「Safari」にアドレスバーの偽装が可能になるバグ
Googleは「Android」版「Chrome」ブラウザのバグへのパッチをリリースした。攻撃者がこのバグを悪用すれば、ユーザーが実際に訪問しているウェブサイトとは別のサイトにアクセスしているように見せかけることが可能だった。 このバグは、Rafay Baloch氏によって2月に発見され、修正後の米国時間5月18日に発表された。ブラウザのアドレスバーの偽装を可能にするバグで、被害者はそれだけで詐欺目的の電子メールやテキストメッセージを信用し、ユーザー名とパスワードを入力してしまうことがある。 このバグは4月前半と後半にパッチがリリースされた。影響を受けたのは「Android 4.4 KitKat」と「Android 5.0 Lollipop」だ。 この不具合について詳しく伝えたRapid7はユーザーに対し、通信事業者か携帯端末メーカーに問い合わせてパッチの適用を受けているか確認するよう呼び
SafariのCSPのPath matchingがなんか不思議 - XSSになりたい
CSP Lv.2のPath matching こないだ使ったLTの資料とCSP Lv.2の最終草案を見てください。 CSP Lv.2の話 from Yu Yagihashi Content Security Policy Level 2 W3C Last Call Working Draft Path matchingの概要 Content-Security-Policy: script-src http://xss.moe/js/ で http://xss.moe オリジンの /js 以下のスクリプトのみ許可される。 ソースリストはこういう書き方もできる。 Content-Security-Policy: script-src http://*.xss.moe Content-Security-Policy: script-src *.xss.moe Content-Security-P
Masato Kinugawa Security Blog: CVE-2012-0678: Safariのfeed:// URLのUXSS
Safari 5.1.7で発見し、Safari 6で修正された、feed:// URLのUXSSについて書きます。 http://support.apple.com/kb/HT5400 Safari Available for: OS X Lion v10.7.4, OS X Lion Server v10.7.4 Impact: Visiting a maliciously crafted website may lead to a cross-site scripting attack Description: A cross-site scripting issue existed in the handling of feed:// URLs. This update removes handling of feed:// URLs. CVE-ID CVE-2012-0678 :
Masato Kinugawa Security Blog: location.hrefの盲点
夏ということで、怖い話をします。 Webアプリケーション開発者の皆さん、聞いて下さい。 時間がない人や、他の人に問題を説明するときなどには簡潔にまとめた版をどうぞ。 これは2011年12月27日にAppleに報告したSafariの問題です。Appleからは修正する予定はないという回答を貰っていましたが、2012年7月25日にリリースされたMacのSafari 6のアドバイザリによるとどうもMacのSafari 6では修正されたようです。 About the security content of Safari 6 http://support.apple.com/kb/HT5400 WebKit Available for: OS X Lion v10.7.4, OS X Lion Server v10.7.4 Impact: Visiting a maliciously crafted
GoogleがSafariの設定を迂回してトラッキングしていたとされる件について - 最速転職研究会
※この記事の完成度は85%ぐらいなので後で追記します。 http://webpolicy.org/2012/02/17/safari-trackers/ http://online.wsj.com/article/SB10001424052970204880404577225380456599176.html http://blogs.wsj.com/digits/2012/02/16/how-google-tracked-safari-users/ 合わせて読みたい。 http://trac.webkit.org/changeset/92142 https://bugs.webkit.org/show_bug.cgi?id=35824 一番上のJonathan Mayer氏の記事については純粋に技術的なレポートなので、特におかしなことは書かれていない。元はといえばSafariのCooki
Cross-domain cookies/sessions in Safari and all other browsers
Want to read a simplified version of this article? Read my follow-up article regarding Google’s iPhone Tracking The Problem Safari does not allow cross-domain cookies. In other words, if on X.com, you load an iFrame with contents of Y.com and set a cookie in the iFrame, Safari will not save the cookie. This problem also occurs in IE6/7 but can be resolved by sending a P3P header. The Solution I am
GoogleがSafariの設定を迂回してユーザーを追跡していたことが判明
米Googleほか数社の広告企業が、米AppleのWebブラウザ「Safari」のプライバシー設定を迂回してユーザーのWeb履歴を追跡していたことが、米スタンフォード大学の研究者、ジョナサン・メイヤー氏が2月17日（現地時間）に発表した調査報告で明らかになった。 米Wall Street Journalによると、この件についてWall Street JournalがGoogleに取材した後、Googleは追跡に使っていたコードを無効にしたという。 同メディアによると、Googleは「Googleアカウントでログインしたユーザーが有効にした機能を提供するために、Safariの既知の機能を利用した。追跡に使った広告cookieは個人情報は集めていないことを強調しておく」と語ったという。 Googleが「広告cookie」としたのは「サードパーティーcookie」と呼ばれるもので、ユーザーが訪問
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
