XUL Apps > Documentations > Firefoxの拡張機能とセキュリティ - outsider reflex
概要 Firefoxでは、今までWebアプリケーションを作っていた人でも、その知識を使って簡単にローカルで動くアプリケーションを作ることができます。しかしながら、注意を怠るとユーザにとって極めて危険な脆弱性を生んでしまう可能性があります。以下のプレゼン資料では、Firefoxのアドオンの仕組みを紹介した上で、安全なアドオンを開発するためにはどうすればいいのか、脆弱性をどのように取り除くかといった点でのノウハウをいくつか紹介しています。 関連リンク 高橋メソッドなプレゼンツール in XUL リターンズ 今回のプレゼン資料はこのツールで作成しました。XUL製です。 Mozilla 製品における既知の脆弱性：Firefox Mozilla Japanによる情報。 XULアプリケーション開発へのいざない XULとは何か、ということを解説した、Mozilla.Party.JP 4.0でのプレゼン内
JavaScript - hacking_dubbyのwiki - Seesaa Wiki（ウィキ）
[ 一般 ] hacking_dubbyのwiki 個人的なメモ 編集 履歴 添付 設定 新規ページ作成 メニュー 最近更新したページ 2006-06-11 Effective Java ２章 finalなフィールド 2006-05-12 ファインダビリティー 2006-04-09 Webマーケティング2.0 2006-04-05 test 2006-03-28 TVとDVD/HDDレコーダー 2006-03-13 JavaScript 選択範囲翻訳GM 2006-03-10 第3回 ビジネスモデルの定石 / 戦略論概論 2006-03-08 Web2.0時代のお金・情報の流れをつかむ 2006-03-07 簿記の概要を掴む 2006-03-03 経営戦略論 第4回 市場分析概論 2006-03-01 引越し 2006-02-20 RSS RDFについて調べる 2006-02-18 セマン
ケータイクレジットに致命的な弱点
ケータイクレジットに致命的な弱点 1カ所でも鍵情報が漏れたら、全加盟店の決済端末が即死。乱立で共用もできない。 2006年9月号 DEEP 「決済端末の共通鍵が盗まれたらしい」――2006年X月X日、あるケータイクレジットの会社に舞い込んだ情報に、社長が青ざめた。 どこで？ 全国の加盟店のどこかはわからない。誰が？ ハッカーか、偽造団に内通した人間か。どうやって？ スキミングか、誰かオッチョコチョイが漏らしたのか……。 被害は1人にとどまらない。ケータイクレジットにはICを認証する際の鍵情報が記憶されている。この鍵情報は全国の加盟店に置かれている数十万台の決済端末にも記憶されている。漏れたとなったら、カードの利用者全員が悪用のリスクにさらされるから、全端末を一斉更新しなければならない。 しかしクレジット決済端末はいまだに電話回線に接続している店が多く、更新といっても膨大なコストと時間がかか
MSはなぜ、IEパッチの再リリースを延期したのか
MicrosoftはInternet Explorerの重要なパッチの再リリースを一時的に延期した。この措置を巡って専門家らとの間に議論が生じている。 MicrosoftがInternet Explorer（IE）ブラウザの重要なパッチの再リリースを一時的に延期したのは、同社のプロプライエタリなSystems Management Server（SMS）がキャビネット（.cab）ファイルを処理する方法に問題が見つかったからだ――この件に詳しい情報筋はこのように語っている。 Microsoftでは、パッチ管理を簡素化するためのビジネスツールとしてSMSを宣伝しているが、SMSアーキテクチャが特定の圧縮ファイルを処理する方法にバグが見つかったため、同社は当初8月22日に予定されていたパッチのリリースを一時的に延期した。 Microsoftがソフトウェアアップデートを延期するのは通常、品質保証に
パッチ適用が新たな脆弱性を生み出す、MS06-042に警告
月例パッチの1つ、MS06-042を適用することで、新たに悪用につながる脆弱性が生じることが明らかになった。 Microsoftは8月22日、MS06-042のパッチを適用するとInternet Explorer（IE）6.0 Service Pack（SP）1で不具合が起きる問題を修正したパッチの再リリースを延期した。これと相前後して、MS06-042の適用によってかえって、悪用につながる新たな脆弱性が生じることが明らかになった。 セキュリティ企業のeEye Digital Securityは8月22日、一部の環境でMS06-042を適用したPCにバッファオーバーフローの脆弱性が生まれてしまっているとし、警告を公開した。任意のコードの実行につながる恐れのある、リスクの高い脆弱性だという。 eEyeやMicrosoftが新たに公開したセキュリティアドバイザリによると、脆弱性の影響を受けるの
JVNVU#637934: TCP の実装に不正な値で内部タイマを更新する脆弱性
Transmission Control Protocol (TCP) はインターネットにおける基幹プロトコルのひとつです。TCP の time-stamp オプションは、高速な通信のためにパケット毎のタイムスタンプを提供する機能で、広く利用されています。 この TCP の一部の実装において、サービス運用妨害 (Denial-of-Service, DoS) 攻撃が可能となる脆弱性が確認されています。 この脆弱性により、遠隔の第三者が TCP コネクションの内部タイマの値を任意に設定することが可能となり、Protect Against Wrapped Sequences (PAWS) 機能を利用している場合に、DoS が発生する可能性があります。
月例パッチと同じ日に……MS06-040を狙う攻撃コードが登場
Windows Serverサービスの脆弱性を修正する月例アップデートが公開されたその日のうちに、攻撃コードの存在も確認された。 Microsoftは米国時間の8月8日、のべ12件に上る月例セキュリティ更新プログラムを公開したが、そのうち1つを悪用する攻撃コードが早速発見された。 US-CERTは8月8日、MS06-040の脆弱性を悪用する攻撃コードが確認されたとして、注意を呼びかけた。セキュリティ関連メーリングリストでも同様の情報が流れ、注意が呼びかけられている。この攻撃コードでは、細工を施したパケットを通じてバッファオーバーフローが引き起こされ、SYSTEM権限で任意のコードを実行されてしまう恐れがある。 MS06-040の脆弱性（Serverサービスの脆弱性により、リモートでコードが実行される）は、Windows Serverサービスに存在するバッファオーバーフローの問題だ。Wind
2006年08月でネットワークワームに発展しそうなもの - ripjyr's blog
緊急 http://www.microsoft.com/japan/technet/security/bulletin/ms06-041.mspx 想定される攻撃パターン Microsoftより以下の回避策が出ているため、社内端末から社外のDNSを参照できる場合に 任意のコマンドが実行できてしまう脆弱性が存在する。 これは、DNSに罠を仕掛けておいてspamメールなどで参照させる、という単純明快なパターンが考えられます でもメールの場合はTXTレコードとか、X25レコード引かないや（AレコードやMXのみ） じゃぁ、、、影響少ない？？？ これに至っては、社外DNSが参照可能などの端末でも影響がありますので早急に適用！ 次の DNS レコードの種類をネットワーク ゲートウェイでブロックすると、この脆弱性の悪用から影響を受けるコンピュータを保護する手助けとなります。 ATMA TXT X25 H
セキュリティ専門家、ブログのフィードに対する脆弱性を警告
ラスベガス発--RSSやAtomフィードを経由してブログを読むことで、コンピュータ利用者はハッカーの攻撃にさらされる可能性があると、セキュリティ専門家が警告する。 攻撃者はRSSまたはAtomフォーマットとしてユーザーに転送されるデータフィードに悪質なJavaScriptを挿入することができると、ウェブセキュリティ企業SPI Dynamicsでセキュリティエンジニアを務めるBob Auger氏は米国時間8月3日、当地で開催されたセキュリティイベントBlack Hatにおけるプレゼンテーションの中で述べた。 この問題はブログに影響を及ぼすだけではない。これは、どんなタイプの情報フィードであれ、悪質コンテンツを受信者に転送するために悪用される可能性があると、Auger氏は言う。例えば利用者は、RSS経由でメーリングリストやニュースウェブサイトの情報を受信することができ、「これはウェブフィードの
XSS - 表示系パラメータに存在する盲点 :: ぼくはまちちゃん！
こんにちはこんにちは！！ クロスサイトスクリプティングの時間です！ XSSというと…！ まっさきに思いつくのが、入力データ送信 → 確認表示の部分での無害化漏れですよね！ たとえばこんな感じのフォームから受け取ったパラメータを、 確認として表示するページとか！ (入力) <form action="register.cgi" method="post"> タイトル：<input type="text" name="title"> ← 「ぼくはまちちゃん！」を入力 本文：<input type="text" name="body"> ← 「こんにちはこんにちは！！<script>alert(1)</script>」を入力 </form> (確認) <p>この内容で登録していい？</p> <p> タイトル： ぼくはまちちゃん！<br> 本文： こんにちはこんにちは！！<script>alert
Security Scan - Sygate Online Services (sos)
More threats demand more protection Upgrade for FREE to NEW Norton 360*. Exclusive for our existing customers Upgrade to NEW Norton 360 to get device security, online privacy and Dark Web Monitoring Powered by LifeLock§. Choose NEW Norton 360 with LifeLock to get comprehensive identity theft protection.
Sysinfo.org
Sysinfo.orgWelcome at sysinfo.orgThis page contains a collection of information about entries that may appear in important parts of the Microsoft Windows� registry.CLSID list The CLSID list (former BHO list) is a project by Tony Klein and others who collect information about so called CLSIDs... which are for example used by Browser Helper Objects, IE Toolbars or Code Storage Databases.
情報処理推進機構：セキュリティセンター：脆弱性関連情報取扱い：脆弱性関連情報の調査結果 - JVN#98836916：複数のWiki クローン製品におけるサービス運用妨害 (DoS) の脆弱性
本資料は、JVNで公表した「JVN#98836916：複数のWiki クローン製品におけるサービス運用妨害 (DoS) の脆弱性」について解説するものです。 Wiki クローン製品とは、ウェブブラウザから簡単にウェブページを編集する、いわゆる Wiki と呼ばれる機能を持つソフトウェアの総称です。Wiki クローン製品はウェブサーバ上で動作します。 いくつかの Wiki クローン製品には、特定のリクエストを処理する際にサーバリソースを過剰に消費する問題があります。 対象の製品および最新情報は、JVN#98836916 を参照してください
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
I, newbie » IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)
SANS.edu Internet Storm Center - SANS Internet Storm Center
TCP 139番ポートへのスキャン増加に関する注意喚起：JPCERT/CC Alert 2006-08-24
textareaタグでかこまれた文字列の扱い - masaのメモ置き場
Bugtraq
オンラインスキャンサイトの一覧 - ウイルス、スパイウェア検出
FreeStyle Wiki 3.6.2をリリースしました。：履歴/2006-7-3 - FreeStyleWiki