PHPの脆弱性 CVE-2018-17082 によるキャッシュ汚染についての注意喚起
エグゼクティブサマリ PHPの脆弱性CVE-2018-17082はXSSとして報告されているが、現実にはXSSとしての攻撃経路はない。一方、Apacheのmod_cacheによるキャッシュ機能を有効にしているサイトでは、キャッシュ汚染という攻撃を受ける可能性がある。 概要 PHPの現在サポート中のすべてのバージョンについて、XSS脆弱性CVE-2018-17082が修正されました。以下は対応バージョンであり、これより前のすべてのバージョンが影響を受けます。ただし、Apacheとの接続にApache2handlerを用いている場合に限ります。 PHP 5.6.38 PHP 7.0.32 PHP 7.1.22 PHP 7.2.10 PHP 5.5以前も対象であり、これらは脆弱性は修正されていません。 脆弱性を再現させてみる この脆弱性のPoCは、当問題のバグレポートにあります。 PHP ::
サポート情報 : トレンドマイクロ - Trend Micro社製 macOS/iOSアプリがApp Storeから一時公開停止されている件について
[更新 3月01日] ライトクリーナー、ライトクリーナー LEについて公開状況を更新しました。 [更新 2月04日] Jewelry Box （iOS版）について公開状況を更新しました。 [追記 12月26日] Appleの要件に沿う形で一部の機能を変更し提供していましたが、Appleとの調整が進み、 2018年12月26日より「コンテンツシールド」の一部機能が再度ご利用いただけるようになりました。本機能についての詳細はこちらをご確認ください [追記 12月08日] 当社Trend Micro Mobile Security (iOS デバイス) が2018年9月10日（日本時間）からApp Store上で一時公開停止されていましたが、2018年12月08日より公開が再開されましたのでご報告、ご案内申し上げます。 [更新 11月19日] 公開状況を更新しました。 [追記 11月17日] 当
個人データを消費者に取り戻す戦いが始まった
情報の「削除」にも部分対応 パスピットにはさらにユニークな機能が追加される予定だ。それは「情報の削除」に、部分的に対応するものだ。 情報の「削除」は「開示」や「持ち出し」よりもハードルが高い。例えば、あるSNSサービスに情報を登録すると、その企業が関わるゲームや電子書籍のアプリなど他のサービスにも情報はコピーして登録される。大元のSNSに登録された情報は削除することができても、コピーされた情報まで全て消すことは難しいのだ。情報が社外にも提供されている場合はさらに削除は難しくなるし、もしもサイバー攻撃や人為ミスで情報が流出した場合は削除はまず不可能だ。 しかし、拡散・流出した情報と、ユーザー本人のリンクを切ってしまえばどうだろうか。個人を特定できるメールアドレスや住所と結びつかなければ、購買履歴などの情報が拡散しても、ユーザー本人へのダメージは少ない。 そこで、データサインは「トークン化」と
「パスワードマネージャー」に脆弱性、プロセス間通信を悪用される恐れ
フィンランドのアールト大学とヘルシンキ大学の研究グループが、コンピュータセキュリティにとって重要な10以上のアプリケーションに、インサイダー攻撃に対する脆弱（ぜいじゃく）性があることを発見、2018年8月15日に発表した。ログイン認証情報の保存に使用する「パスワードマネージャー」の他、同様の攻撃や侵害を受けやすいアプリケーションが幾つかあることが分かった。 パスワードマネージャーは通常、Webブラウザの拡張機能として動作するフロントエンドと、パスワードを保存、管理するバックエンドの2つのコンポーネントから成り、これらは同一コンピュータ上で別々のプロセスとして実行されている。 2つのプロセスはデータを交換するために、「プロセス間通信（IPC）」というメカニズムを使用する。IPCは同一コンピュータ内で実行され、外部ネットワークに情報を送信しない。そのため、IPCはこれまで安全と考えられてきた。
「世界最悪のログイン処理コード」を解説してみた
概要 ところでこのツイートを見てほしい。このソースコードをどう思う？ 世界最悪のログイン処理コード。 実際のサービスで可動していたものだとか……https://t.co/C2bG93ZCkj pic.twitter.com/EfVNAEslrn — はっしー@海外プログラマ🇳🇿元社畜 (@hassy_nz) 2018年8月10日 すごく……セキュリティーホールです…… 一応は動いていますが、あまりに問題がありすぎるため、Twitterでも話題になっていました。 問題点は片手に入り切らないぐらいある気がしますが、一つづつ解説していきます。 ※元記事のタイトルに記載されていますが、このコードはイントラネット内で動作していたものです。 問題点リスト 1. クライアント上のJavaScriptで書かれている 他の問題点を全部ぶっ飛ばすぐらいの重大な不具合です。 クライアントと言うのはこの場合、
パスワード暗号化の仕組み、最新の情報漏洩事件で解説
出典：日経 xTECH 2018年 6月 11日 （記事は執筆時の情報に基づいており、現在では異なる場合があります） 第三者に知られたくない情報を別のメッセージに置き換えることで漏洩しにくくする――。これが暗号である。暗号は、誰でもアクセスできるインターネットなどで通信するために欠かせない技術だ。暗号には、複数の方式や様々な規格・プロトコルが存在し、その名称が何を指すのか、どんな仕組みで動いているか、混乱しやすく正確に理解するのは難しい。そこで本特集では、暗号の基本から実際どのような場面で使われているのか、インターネットや無線LANで使う暗号の技術や規格を解説していく。 暗号では、あるメッセージを別のメッセージに置き換えることを「暗号化」、置き換えたメッセージを「暗号文」と呼ぶ。 最近のセキュリティ事故から暗号に関わる事例を紹介しよう。 三菱地所・サイモンが運営するショッピングモール「プレ
CoinhiveのURL短縮機能が悪用されハッカーサイト経由で仮想通貨マイニングに利用されるケースが発覚
ウェブサイトの運営者が訪問者に仮想通貨をマイニングさせ、その収益を受け取る「Coinhive」の仕組みを悪用し、訪問者が気づかないうちにマイニングをさせて利益を横取りする手口がセキュリティ専門企業の調査により明らかになっています。 Obfuscated Coinhive shortlink reveals larger mining operation - Malwarebytes Labs | Malwarebytes Labs https://blog.malwarebytes.com/threat-analysis/2018/07/obfuscated-coinhive-shortlink-reveals-larger-mining-operation/ CoinHive URL Shortener Abused to Secretly Mine Cryptocurrency Usi
Let's encryptとSSL/TLSに関する誤謬 - Chienomi
全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat
上原 哲太郎/Tetsu. Uehara on Twitter: "うわー！証明書がLet‘s Encrypt！東証一部上場企業のサイトとしては衝撃的やな…この会社の情シスのレベルとか、この会社がサイバーでの信用というものをどう考えているかとか、色々考えさせられるわ… https://t.co/9UMVfA6BUl"
うわー！証明書がLet‘s Encrypt！東証一部上場企業のサイトとしては衝撃的やな…この会社の情シスのレベルとか、この会社がサイバーでの信用というものをどう考えているかとか、色々考えさせられるわ… https://t.co/9UMVfA6BUl
指紋認証を悪用した悪質広告が話題に 広告タップ → 指紋認証起動 → 触ってしまうと週5500円の定期購入発生
スマートフォンの指紋認証を悪用した、悪質な広告がTwitterで確認され、話題になっています。投稿者によると、広告をタップし、ホームボタンに触れただけで指紋認証が行われ、5500円のアプリを購入したことになってしまったとのこと。しかもアプリは1週間ごとの継続課金になっており、放置しておけば毎週ごとに5500円が請求され続ける仕組みになっていたようです。 画像提供:えぴたん（@epitan25）さん 問題のアプリは「Dora - Photo Editor」というアプリとみられています。投稿者によると、広告をタップしたところすぐに指紋認証画面が立ち上がり、スクリーンショットを撮るためにホームボタンに触れたところ、すぐに課金完了になってしまったとのこと。編集部ではこの広告を発見することができませんでしたが、投稿者はTwitterで1回、Instagramで10回程度確認したといいます。 【訂正:
MS＆Consultingで会員情報6000件流出か、WAF設定ミスでSQLインジェクション攻撃防げず
市場調査・コンサルティングを手掛ける東証マザーズ上場のMS＆Consultingは2018年5月14日、不正アクセスを受け6119人分の会員情報が流出した可能性があると発表した。原因はWAF（Webアプリケーションファイアウオール）の設定ミスとしている。
なぜ「通信の最適化」と言うのか - novtanの日常
優良誤認になるからかなーとか思ったり。本来であれば「通信の劣後」とか「劣化」とかそういう言葉が妥当です。 で、本当は流量制限のみを掛けるべきなんだよ。でもこれだと「ことがあります」が「だいたいそうなります」になってしまうので、宣伝文句との乖離が激しくなる。だから、ユーザーにばれない用にやりたい。であれば、圧縮できるものを圧縮するか、となる。でも経路レベルだとアプリケーション的な操作ができないから、改竄をするしかないんだよね。 これを「別にいいじゃん」と現実的に認められるのは人間系が取扱うデータだけであって、例えばスマホから納品しようとした画像が勝手に圧縮されたとかだったらおかしいわけだし、圧縮するというのはあくまでキャリアが言っているだけであってそれが可能なのであれば圧縮じゃない他の操作（トレース情報の埋込とか）だって可能ってことになっちゃうよね。圧縮だからよいというのは圧縮だから良いと法
mineoによる「通信の最適化」はユーザーを納得させられるか
ゴールデンウィークを挟んで、mineoが通信の最適化問題で「炎上」しています。これまでファンを中心に「なぜかススメたくなる」MVNOとして口コミで拡大してきたmineoが、大きくつまづく形となりました。 一方で、その「最適化」の中身はMVNO各社を悩ませる動画トラフィック対策となっており、mineoだけにとどまらない問題という印象です。 増え続ける動画対策としての「トラフィック最適化」 5月7日にはmineo責任者の上田晃穂氏が謝罪し、技術的な説明が公式ブログに投稿されました。 この中で注目したいのが、HTTPS通信も対象にできるというトラフィック制御技術です。HTTPS通信は暗号化されており、その中身を見ることは（企業が社内で導入するSSLプロキシなどを除いて）通信事業者でさえ不可能です。
長くて覚えやすくて複雑なパスワードとemojiの話
すみだセキュリティ勉強会2018その1での発表資料です。 http://ozuma.sakura.ne.jp/sumida/2018/03/22/38/
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
JVN#56764650: ViX における DLL 読み込みに関する脆弱性
Ｋ＿ＯＫＡＤＡ が提供する ViX は Windows 用グラフィックビューアソフトウエアです。ViX には、DLL を読み込む際の検索パスに問題があり、画像ファイルと同じディレクトリに存在している特定の DLL を読み込んでしまう脆弱性 (CWE-427) が存在します。 この案件は、2017年12月5日に開催された公表判定委員会による判定にて、ソフトウエア製品等の脆弱性関連情報に関する取扱規程（平成29年経済産業省告示第19号）および、情報セキュリティ早期警戒パートナーシップガイドラインにおける、次のすべての条件を満たすことを確認したため、JVN で公表することが適当と判定されたものです。 当該案件が調整不能であること 製品開発者への連絡方法として、以下の連絡を実施したが一定期間 (6カ月以上) 応答がないため、社会通念上調整不能であると判断。 - メールでの連絡 (2011/01/1
高木浩光＠自宅の日記 - 個人情報保護委員会ゥァア゛ーッ ドガシャア
しかも、取得主体が個人情報保護委員会であるなら、.go.jp（政府ドメイン名）に置かないと、「政府機関の情報セキュリティ対策のための統一基準」の遵守事項（6.3.2(1)）違反だよ。何回言ったらわかるの？ たかがドメイン名（笑）とバカにしてるんだろうが、政府ドメイン名の使用については、どういう風の吹き回しか知らない*3が、国会でも質問主意書が出る（「政府ドメインの統一に関する質問主意書」2018年1月25日提出, 衆議院質問答弁経過情報）くらい国会議員に注目されてる*4んだぞ。「閲覧者が偽サイトを政府の真正サイトと誤信し個人情報をだまし取られる「フィッシング詐欺」などの被害について早急な対応が必要と考えるが」とか言われてるんだぞ。 国会で吊し上げられることになってももう知らんぞ。 大事な原稿も落としたことだしもうぶっちゃけて言っちゃえば、事務局長に嫌われると「あいつらの話を聞くな」とか言わ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch
Hiromitsu Takagi on Twitter: "この人、専門は何なの？ この前もNISCのイベントで基調講演に出ていたので見てみたが、セキュリティとセーフティの区別すら付いてないど素人ぶりだったが。そろそろセキュリティクラスタの監視対象だろうよ。 https://t.co/RY6tN4DEu4"
はまちや２ on Twitter: "最近はてなブックマークを開くと、たまに勝手にページ遷移してすごい勢いでリダイレクトされて変なページに飛ばされることがあるんだけど、広告のどれかが悪さしてると思う https://t.co/BaNxlCJZrc"
