OpenID 2.0の一部実装に脆弱性、その詳細と対策とは
OpenID 2.0の一部実装に脆弱性、その詳細と対策とは：デジタル・アイデンティティ技術最新動向 臨時便 米OpenID Foundationが8月15日に、OpenID 2.0の一部OpenID Provider（OP）実装において、Relying Party（RP）上でのアカウントハイジャックにつながる可能性のある重大な脆弱性が見つかったことをアナウンスしました。この記事では、その詳細と対策について述べます。 8月15日に公表されたアカウントハイジャックの脆弱性 OpenID Foundation Japan、Evangelistの@novです。 2013年8月15日に米OpenID Foundationからリリースがあったように、OpenID 2.0の一部OpenID Provider（OP）実装に、Relying Party（RP）上でのアカウントハイジャックにつながる可能性のあ
JVN#24713981: PHP OpenID Library における XML 外部実体参照に関する脆弱性
細工された XRDS データを処理した際に、サーバ上の情報が漏えいする、またはサーバのリソースが過度に消費されるなどの可能性があります。
ニュース 2013年8月20日：OCN認証ID・パスワードの不正利用防止に向けたセキュリティ上の脆弱性があるブロードバンドルータの利用調査および対策の実施について｜ドコモビジネス｜NTTコミュニケーションズ 企業情報
事業共創プログラム OPEN HUB for Smart World 未来をひらく「コンセプトと社会実装」の実験場 OPEN HUB for Smart Worldは、社会課題を解決し、わたしたちが豊かで幸せになる未来を実現するための新たなコンセプトを創り、社会実装を目指す事業共創の場です
Facebookの脆弱性、発見者がZuckerberg CEOのウオールを使って証明
パレスチナのIT研究者が米FacebookのMark Zuckerberg最高経営責任者（CEO）のウオールにバグ報告を直接書き込んだことを、複数の米メディア（VentureBeat、PCMag.comなど）が現地時間2013年8月18日に報じた。同研究者は、Facebookのセキュリティチームに脆弱性を報告したが無視されたので、証明のためにやむなく実行したとしている。 Zuckerberg氏のウオールに投稿したKhalil Shreateh氏は、自身のブログでこの件について詳しく説明している。同氏は、たとえ友達承認されていなくても別のFacebookユーザーのウオールに投稿できてしまう深刻な脆弱性をFacebook上に発見し、Facebookのホワイトハットプログラムを通じて報告した。しかし電子メールで説明を繰り返したのち、8月14日にFacebookのセキュリティチームから「これはバグ
JVN#53622030: Orchard におけるクロスサイトスクリプティングの脆弱性
Orchard は、コンテンツ管理システム (CMS) です。Orchard には、クロスサイトスクリプティングの脆弱性が存在します。
Full Disclosure: PayPal.com XSS Vulnerability
PayPal.com XSS Vulnerability From: Robert Kugler <robert.kugler10 () gmail com> Date: Fri, 24 May 2013 18:38:44 +0200 Hello all! I'm Robert Kugler a 17 years old German student who's interested in securing computer systems. I would like to warn you that PayPal.com is vulnerable to a Cross-Site Scripting vulnerability! PayPal Inc. is running a bug bounty program for professional security researcher
かっぱ寿司の注文パネルでAV鑑賞！！とんでもない裏ワザが発見されたぞｗｗｗ : はちま起稿
【ムダ知識】 かっぱ寿司の注文するタブレット端末の左下隅をしつこく連打すると注文画面が消えてWindowsのデスクトップが出てくる。— やっぴぃさん (@yappyJP) 2012年3月17日 つまり疑似タブレットPCの状態にできる ↓ 実際の画面はこんな感じ ・・・ということはWi-Fiなどの無線環境があれば ↓ かっぱ寿司の注文パネルでXvideos鑑賞なう twitter.com/8st1/status/32…— ぱさん (@8st1) 2013年4月7日 こんなことも可能になるんだよ！！ 確かにWindows画面に行けるなら可能だろうけどこの発想はなかったわ 実際問題営業中のお店の迷惑になるし、万一ウィルスに感染したら器物損壊と言われても仕方ないので あくまでも知識程度・・・ってことで
第2回 車載ソフトへの攻撃例が続々
第1回で、車載ソフトが悪意ある攻撃者の対象になりつつある自動車技術の大きなトレンドを示した。現在、情報セキュリティの研究者らは自動車への攻撃手法を検討し始めている。情報セキュリティの世界では防御の手法を練るのと同時に、どんな攻撃を受ける可能性があるのか研究することが大切である。第2回は現時点で公開されている研究のうち、代表的な4例を紹介する。 【事例1】発端となった米国の研究論文 2010年、実証実験に基づく論文「Experimental Security Analysis of a Modern Automobile」が公開された（図1）。論文では、自動車の保守点検用ポートに特別な機械を設置し、並走する車両から車載システムの脆弱性をついた攻撃することで、ブレーキやワイパーの制御に影響を与えられることを明らかにした。 この論文では、対象車両の通信を盗聴して解析し、認証すること、および発信元
JVN#18501376: OpenPNE におけるクロスサイトスクリプティングの脆弱性
OpenPNE 3.4.21 およびそれ以前OpenPNE 3.6.9 およびそれ以前OpenPNE 3.8.5 およびそれ以前
Google入居のビル管理システムにハッキング、産業制御システムの現実露呈
セキュリティ企業がGoogleオフィスのあるビルの管理に使われているTridiumデバイスをネット上で発見。管理者パスワードを入手して、ビル管理機能にアクセスした。 米セキュリティ企業のCylanceは、オーストラリアのシドニーにあるGoogleオフィスのビル管理システムがインターネット経由でハッキング可能な状態になっていたと報告した。さまざまなインフラ管理に使われる産業制御システム（ICS）の脆弱性を突いて外部からアクセスし、制御できてしまう現実を見せつけた形だ。 Cylanceはネット接続されている産業用制御システムの脆弱性について調べるプロジェクトを実施しており、調査の過程で偶然に、Googleのシドニーオフィスが使っている米Tridium社のNiagaraデバイスをネット上で発見した。 Tridium Niagaraはビルの電気、ガス、水道や空調、照明といった設備管理に使われるシス
ソーシャルアプリ「Path」を削除後に電話帳の相手に招待メールが届く不具合発生
家族や友達のような親しい人間とだけ写真やメッセージを共有できるソーシャルネットワークサービス「Path」で、スマートフォンからPathのアプリを削除しているにもかかわらず、アドレス帳に載っていた全員宛に招待メールが送られていたという不具合が発生しています。ユーザー本人は招待の送信を許可した覚えもなかったため、Pathがアドレス帳のデータを盗み出したのではないかと疑いを抱いています。 The antisocial network: Path texts my entire phonebook at 6am | Branded3 http://www.branded3.com/blogs/the-antisocial-network-path-texts-my-entire-phonebook-at-6am/ Path is spamming address books with unwant
【続報あり】NTTドコモがハッキングされ契約者のクレジットカードの情報が漏えい中
とりあえず緊急性が高そうなので、速報です。もし、該当のリストに名前があるようでしたらご注意を。 【15:37追加】 寄せられた情報から、漏えいした情報は実在する顧客に関する情報だと思われます。末尾に情報を追加しているのでご確認ください。 【21:50】 ついにNTTドコモが認めました。 「CYBER WAR NEWS」が日本のNTTドコモがハッキングされ、クレジットカードを含む個人情報が漏洩していることを報じています。 Japanese Mobile Operator NTT DoCoMo Hacked, Credit Card Information Leaked for #StopCISPA 同記事内には、ハッキングを行ったとみられるLulzSecによるツイートが示されており、そのリンク先にはハッキングされたサーバの管理者アカウント、パスワードとともに、名前、クレジットカード等を含む4
ワンタイムパスワードを盗むウイルスによるネット銀行被害
昨日、こんなニュースが飛び込んできました。 パスワード盗む新手口＝ネット銀の不正送金－被害、最悪ペース・警察庁 インターネットバンキング利用者の口座から無断で現金を送金する事件で、パスワードを盗む新しい手口による被害が多発していることが２４日、警察庁への取材で分かった。不正送金を防ぐため内容を毎回変えている「ワンタイムパスワード」を、犯人がコンピューターウイルスで入手したとみられる。 今年確認された不正送金の被害は９０００万円を超えた。昨年の約４８００万円を上回り、過去最悪だった２０１１年の約３億８００万円と同じペースとなっている。（2013/04/24-21:38） 時事ドットコム：パスワード盗む新手口＝ネット銀の不正送金－被害、最悪ペース・警察庁より引用 『「ワンタイムパスワード」を、犯人がコンピューターウイルスで入手』だと? 最初は、いよいよ本格的なMITB(Man in the B
第2回 10大脅威---1位から5位
情報セキュリティーの研究者、実務担当者など約100名の意見を集約して選んだ、情報システムを取り巻く「2013年版10大脅威」。今回は1位から5位について紹介する。 1位：クライアント・ソフトの脆弱性を突いた攻撃 OSに依存しないクライアント・ソフトの脆弱性を悪用されることにより、ウイルスに感染したり、システム内の情報が窃取されたりするなどの被害が発生する可能性がある。ユーザーにおいては、クライアント・ソフトを最新に保つ対応が求められる。 ＜脅威と影響＞ 近年発生しているウイルスを用いた攻撃の大半は、クライアント・ソフトの脆弱性が悪用されている。クライアント・ソフトの脆弱性を狙った攻撃傾向は、主流な攻撃手法になって久しい。しかし、昨今のインターネット・バンキングを狙ったウイルスや政府機関を狙った攻撃を見ても分かるように、ユーザーに対策が浸透しておらず被害を食い止められていないのが実情である。
Microsoft、脆弱性悪用防止ツール「EMET 4.0」のβ版公開
米Microsoftは、脆弱性悪用防止ツールの次期バージョンとなる「Enhanced Mitigation Experience Toolkit（EMET）4.0」のβ版を4月18日にリリースした。 EMETはソフトウェアのメモリ破損の脆弱性が悪用されるのを防ぐための無料ツール。最新のセキュリティ対策技術をソフトウェアに実装することにより、まだ修正パッチが公開されていないゼロデイの脆弱性も含めて、脆弱性に対する耐性を高めることを目的としている。 バージョン4.0では、さらに幅広い脆弱性悪用のシナリオを想定した対策の実装や強化、ゼロデイ攻撃に対する対応の迅速化を図っているという。 具体的には、不審なSSL/TLS証明書を使った攻撃を検出できる機能が加わったほか、既存の対策を迂回する手口を利用できなくする措置を実装。Microsoft製品およびサードパーティー製品との間で生じる個々の互換性問題
JR東日本の会員向けサービスでも不正ログイン | スラド セキュリティ
JR東日本の会員向けサービス「My JR-EAST」で3月31日に不正ログインが発生していたそうだ(JR東日本 — My JR-EASTでの不正ログイン発生とご利用のパスワード変更のお願い: PDF、 YOMIURI ONLINEの記事、 INTERNET Watchの記事、 朝日新聞デジタルの記事)。 大手Webサイトで不正アクセスが相次いでいることからJR東日本が調査したところ、3月31日12:26～13:52の間に国内の特定IPアドレスから約26,000件のアクセスがあり、97名のアカウントに対して不正ログインが行われていたことが4月16日に確認されたという。このうち5アカウントについてはユーザーの個人情報が閲覧された可能性があるそうだ。ただし、乗車券などが購入された形跡はないという。JR東日本では、該当する97アカウントについてはログイン停止の措置をとって会員に連絡しており、ほかの
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JVN#63901692: Internet Explorer における情報漏えいの脆弱性
ゆうちょ銀からも引き出し 20カ国超45億円被害事件 - 日本経済新聞
Java 7 Update 21にサンドボックスを迂回することが可能な脆弱性の報告 | スラド デベロッパー
【インタビュー】過去最大300Gbps超のDDoS攻撃に悪用されたDNSの「オープンリゾルバー」とは 