人気ファイル圧縮・展開ソフト「Lhaplus」に脆弱性
情報処理推進機構(IPA)とJPCERTコーディネーションセンターは4月9日、ファイル圧縮・展開を行うフリーソフト「Lhaplus」に脆弱性があるとして最新版へのアップデートを呼びかけた。 確認された脆弱性は、展開するファイル名の処理に起因するディレクトリ・トラバーサルの脆弱性と、任意のコードを実行される脆弱性。 ディレクトリ・トラバーサルの脆弱性では、名前を細工されたファイルを展開することで、特定のファイルを作成されたり、既存のファイルを上書きされる恐れがある。もう一方の脆弱性も、細工されたファイルの展開で任意のコードを実行される恐れがある。 影響を受けるバージョンは1.59とそれ以前のバージョンで、現在、最新バージョンでは1.72が公開されている。
「お前にそんな単純なパスワードは似合わないよ」――IPAが“胸キュン”漫画でパスワード強化啓発
独立行政法人・情報処理推進機構（IPA）は、情報セキュリティ強化をPRするため、恋愛漫画風のポスター「パスワード―もっと強くキミを守りたい―」を4月3日から9日までJR原宿駅（東京）に掲示する。 Webサービスやアプリのログインパスワードに対する意識が低い若年層に向けた取り組み。「原宿ファッションジョイボード文化展」の一環として、JR原宿駅の線路沿い大型看板を使い、恋愛漫画風のポスターシリーズを展開する。 漫画は1コマ完結の全15面でそれぞれにイラストとメッセージが。「お前にそんな単純なパスワードは似合わないよ」「パスワードのことちゃんと見直すね」など高校生の男女による“胸キュン”シーンが描かれている。 3日から特設サイトにも全ポスターを掲載する。10日以降は掲示場所を同駅の外側に移し、10月まで引き続き展開を続ける。 関連記事 「レイバン激安」Twitter乗っ取りでスパム送信、勢い衰え
パスワード－もっと強くキミを守りたい－ ： IPA情報処理推進機構
出展期間・場所 MAP (1) 2015年4月3日（金）～ 4月9日（木）【終了しました】 JR原宿駅 線路側ボード（ホームからご覧いただけます） (2) 2015年4月10日（金）～ 現在 JR原宿駅 道路側ボード（駅を降りて竹下口に面した道路よりご覧いただけます） 共催：独立行政法人情報処理推進機構(IPA)／公益財団法人 日本交通文化協会 後援：サイバーセキュリティ戦略本部／経済産業省／国立研究開発法人情報通信研究機構(NICT) 陽だまり家族とパスワード ～自分を守る３つのポイント～ 仲良し5人家族をある日突然襲ったなりすましや不正送金の被害…。脅威が高まるパスワード漏えいへの対策についてホームドラマを通してわかりやすく解説します。(時間：約10分)
「安全なウェブサイトの作り方」最新版をIPAが公開、脆弱性対策を教示 | はじめてWEBニュース
セキュリティに配慮したサイトを作成するための最新資料「安全なウェブサイトの作り方」の改訂第7版を、独立行政法人情報処理推進機構（IPA）が3月16日に公開した。 「安全なウェブサイトの作り方」は、IPAに対する届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性についての対策を、サイト開発者・運営者向けに教示する、全114ページの資料だ。2012年12月の改訂第6版から、およそ2年3か月ぶりに改訂された。 「安全なウェブサイトの作り方 改訂第7版」表紙 改訂第7版の内容は、以下の3章で構成されている。 第1章「ウェブアプリケーションのセキュリティ実装」SQLインジェクション、OSコマンド・インジェクションやクロスサイト・スクリプティングなど、11種類の脆弱性の特徴、根本的な解決策、攻撃による影響の低減を期待できる対策を解説。 第2章「ウェブサイトの安全性向上のための取り組み」サーバーの
安全なウェブサイトの作り方改訂第7版の変更点と変わらない点
IPAの安全なウェブサイトの作り方 改訂第7版が公開されました。 このエントリでは、安全なウェブサイトの作り方の元々もつ特徴（変わらない点）と、第7版の変更のポイントについて説明します。 なお、私は安全なウェブサイトの作り方の執筆者の一人ではありますが、以下の記述は私個人の意見であり、IPAを代表するものではありませんので、あらかじめご承知おきください。 安全なウェブサイトの作り方の変わらぬ特徴 安全なウェブサイトの作り方の特徴は、「まえがき」の中で述べられています。 本書は、IPAが届出を受けたソフトウェア製品およびウェブアプリケーションの脆弱性関連情報に基づいて、特にウェブサイトやウェブアプリケーションについて、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、その根本的な解決策と、保険的な対策を示しています。 すなわち、以下の2点がポイントと考えます。 脆弱性の選定
プレス発表 「安全なウェブサイトの作り方 改訂第7版」を公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、ウェブサイトの開発者や運営者向けの「安全なウェブサイトの作り方」にパスワードリスト攻撃への悪用防止対策等を新たに追加した改訂第7版を2015年3月12日（木）からIPAのウェブサイトで公開しました。 URL：https://www.ipa.go.jp/security/vuln/websecurity.html IPAでは、必要な技術的配慮が不足していたために起こるウェブサイトの情報漏えいや改ざん等、意図しない被害を防ぐため「安全なウェブサイトの作り方」を2006年から発行しており、これまでに6版を数えています。その内容には、IPAへの届出件数が多く攻撃による影響度が大きいソフトウェア製品やウェブアプリケーションに関する脆弱性関連情報を取り上げ、適切なセキュリティが考慮されたウェブサイト作成のためのポイントをまとめています。 7版
脆弱性対策情報共有フレームワーク - MyJVN
MyJVN にようこそ MyJVN は JVN iPediaの情報を、利用者が効率的に活用して頂けるように、 脆弱性対策情報を効率的に収集したり、利用者のPC上にインストールされたソフトウェア 製品のバージョンを容易にチェックする等の機能を提供する仕組み（フレームワーク）です。
プレス発表 脆弱性攻撃検出ツール「iLogScanner」 に不正アクセスの兆候検出機能を追加：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、「ウェブサイトの脆弱性攻撃検出ツール iLogScanner」に、不正アクセスの兆候を検知する機能およびネットワークにつながずに機能を使用するオフライン版を追加し、「ウェブサイトの攻撃兆候検出ツール iLogScanner」として2014年10月9日からIPAのウェブサイトで公開しました。 URL： https://www.ipa.go.jp/security/vuln/iLogScanner/ 2013年は日本国内におけるウェブサイトの改ざんが急増し(*1)、2014年に入っても官公庁や出版社、大学などの様々なウェブサイトが改ざんされる事件が後を絶ちません。ウェブサイト改ざんの手口(*2)には、(1) 「ウェブアプリケーションの脆弱性の悪用」や (2) 「総当たり攻撃(*3)やパスワードリスト型攻撃(*4)を仕掛け、不正アクセ
管理できていないウェブサイトは閉鎖の検討を：IPA 独立行政法人 情報処理推進機構
～ IPA に今まで届出のあった “安全でない CMS を利用しているウェブサイト” 241 件のうち、脆弱性解消の目処が立っていないのは 50 件（約 2 割） ～ 対象 古いバージョンのコンテンツ管理システム（CMS：ウェブサイトのページを管理するシステム）の脆弱性を狙ったウェブ改ざんが横行しています。改ざんによりウェブサイトにウイルスを仕掛けることも可能なため、問題のあるウェブサイトを放置しておくことは、ウイルス拡散に悪用されかねません。 ウェブ改ざんによってウェブ閲覧者がウイルス感染するイメージ図 特に、Web Diary Professional（以後、WDP）と Movable Type という CMS については、以下の注意喚起の通り、攻撃が活発化しています。 大阪府警察 偽サイトへ誘導するページを蔵置するための不正アクセスの手口について http://www.police.
プレス発表 システムメンテナンスに伴うITパスポート試験の中止について：IPA 独立行政法人 情報処理推進機構
2014年4月29日 独立行政法人情報処理推進機構 IPA（独立行政法人情報処理推進機構、理事長：藤江一正）では、CBT方式(*1)で実施している国家試験「ITパスポート試験」システムにおいて、セキュリティ上の欠陥（脆弱性）が見つかりました。 つきましては、同システムの緊急システムメンテナンスを行うため、2014年4月29日（火）及び4月30日（水）開催予定の試験は中止とさせていただきたく、両日受験を予定されている方々には大変ご迷惑をお掛けすることとなり謹んでお詫び申し上げます。 なお、両日受験を予定されている方々に対しては、応募時に登録された電子メールアドレスに個別に連絡をいたしました。 また、当該システムのメンテナンスは、4月30日（水）16時の終了を予定しており、5月1日（木）からは、試験を通常どおり再開する予定です。 脚注 (*1)CBT方式（Computer Based Test
Androidの脆弱性を見つけちゃった話
JVN#53768697 Android OS において任意の Java のメソッドが実行される脆弱性 が公表されました。 不肖私が昨年9月にIPAに届け出たものです。 これまでは情報非開示依頼があったので多くを語ることができませんでした。 ヤバい内容なのでみんなに注意喚起したかったけれどそれができない苦しさ。 周りでICS端末を使ってる人を見かけたら「事情は言えないけどブラウザにはChromeを使って。標準ブラウザ使わないで」と言うくらいしかできなくて申し訳ありませんでしたm(_ _)m 当時のいきさつを日記から掘り起こして記録に残しておきたいと思います。 2012年9月15日(土) WebViewを使ったビジネスアプリのフレームワークを作りたいという構想があって（PhoneGapにはないビジネス用の固有の機能を入れようと思って。バーコードリーダーとか印刷機能とか）、そういえば addJ
IPAテクニカルウォッチ 「ウェブサイトにおける脆弱性検査手法の紹介」の公開：IPA 独立行政法人 情報処理推進機構
ウェブ改ざんに繋がる脆弱性等をコストをかけずに検査する、3種のツールの使い勝手を比較 2013年12月12日 独立行政法人情報処理推進機構 IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、ウェブサイトの脆弱性を検査するオープンソースのツール3種の評価を行い、ツールの特徴と使用における留意点をまとめたレポート「ウェブサイトにおける脆弱性検査の紹介（ウェブアプリケーション編）」を2013年12月12日からIPAのウェブサイトで公開しました。 2013年は、ウェブアプリケーションやウェブサイトを構成するミドルウェアの脆弱性が原因で、多数のウェブサイトで改ざんや情報漏洩などが発生しました。例えば、ユーザが改ざんされたウェブサイトを閲覧し、ウイルスに感染した場合、ウェブサイトを運営する組織は、ユーザへの謝罪や風評対策などの対応を迫られることになります。 現在、ウェブサイトを持たない組織
安易にフォロー返しをしないで――IPAがTwitterの脅威を解説
情報処理推進機構（IPA）は5月7日、4月のコンピュータウイルス・不正アクセスの届出状況を発表した。Twitterを例にセキュリティ脅威を解説し、人気ソーシャルサービスを利用する上での注意点を紹介している。 IPAによると、近年はTwitterやFacebook、mixi、アメーバなうといったソーシャルサービスの流行を受けて、マルウェア感染を狙う脅威が拡大しているという。ソーシャルサービスが関係したマルウェア感染の相談も寄せられるようになった。 Twitterで目立つ脅威の1つに、「フォロー返し」を悪用する攻撃がある。まず攻撃者は正規ユーザーをフォローする。フォローされた正規ユーザーは、フォローした攻撃者の身元を十分に確認することなく、フォロー返しをしてしまうという。これにより、正規ユーザーのツイートのタイムラインに、攻撃者のツイートが表示されるようになる。 攻撃者のツイートには、閲覧者の
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
IPAからAndroidアプリの脆弱性に関するレポート出ました
「Androidアプリを作っている（作ってもらっている）けど、脆弱性が心配」という声はtwitterでも目にすることがあります。そして、「『安全なウェブサイトの作り方のAndroidアプリ版』があったらいいのに」という希望を目にしたこともあります。 6月13日にIPAから公表された「IPA テクニカルウォッチ『Androidアプリの脆弱性』に関するレポート」は、この『安全なウェブサイトの作り方のAndroidアプリ版』に相当する位置づけのドキュメントです。なぜそう思うかというと、以下の性格が『安全なウェブサイトの作り方』と共通するからです。 Androidアプリの基本的な問題に絞っている 届出の多い脆弱性にフォーカスしている 以下、もう少し詳しく紹介します。 Androidアプリの脆弱性とは何か 同レポートでは、Androidアプリの脆弱性を以下のように定義しています（同書P3）。 ■ 「
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA、サーバーログを解析して攻撃の痕跡を検出する「iLogScanner」v4.0を無償公開
Androidアプリの脆弱性の学習・点検ツール AnCoLe：IPA 独立行政法人 情報処理推進機構
「“ただ乗り”を するなさせるな 無線LAN」IPAがセキュリティ設定を呼び掛け 
IPA、開発者向け「安全なウェブサイトの作り方」改訂第6版を公開 
IPA、脆弱性の存在によりWindows版「Safari」の使用停止を勧告