アプリケーションサーバの脆弱性にご注意を
通常、このような管理画面にはアクセス制御が施されており、インターネットからアクセスできるような状態になっているはずはない……のですが、私がさらっとGoogleで検索しただけでも多数のJMXコンソールを探し出すことができました。いったいなぜでしょうか？ 手元の環境にJBossをインストールしてみてください。設定ファイル/deploy/jmx-console.war/WEB-INF/web.xmlを参照すると、以下のように、設定がコメントアウトされた状態になっています（バージョンによって異なる可能性があるので注意してください）。 <!--<security-constraint>--> <!--<web-resource-collection>--> <!--<web-resource-name>HtmlAdaptor</web-resource-name>--> <!--<descripti
KDDIの新GWで「かんたんログイン」なりすましの危険性あり直ちに対策された
au/KDDIの2011年秋冬モデル（現時点ではF001のみ）にてEZwebとPCサイトビューア（以下PCSV）のゲートウェイが統合されたことに伴い、かんたんログインを実装しているサイトに対して、F001のPCSVからJavaScriptを用いた「なりすまし」攻撃ができる状態でした。この問題をKDDIに通報したところ、直ちに対策が取られ、現在は安全な状態です。以下、詳しく報告します。 目次概要 経緯 何が問題か 経緯説明(1)基本的なチェックは対処済みだった 経緯説明(2)ハイフンをアンダースコアに変えるトリックは対策済み 経緯説明(3)海老原氏が発見したトリックとは 経緯説明(4)KDDIに連絡→翌日に対処 実証例 外部からJavaScriptを実行できる条件 影響を受けるサイトの条件 影響 対策 今回の問題は、端末あるいはau設備の脆弱性なのか まとめ 概要以前、「EZwebの2011
スマホ、アプリで勝手に位置情報収集…米に送信 : 社会 : YOMIURI ONLINE（読売新聞）
あるゲームアプリを入れようとすると、こんな画面が現れた。「連絡先データ」は電話帳、「携帯のステータス」は電話番号を示すとみられる 高機能携帯電話スマートフォン（スマホ）に入れると、その端末内の電話帳や位置情報などを収集するアプリが横行している。 延べ１５０万人が使うアプリで収集された位置情報が米国の広告会社に送信され、広告に利用されているケースも確認された。インストール前に、収集内容を示す画面が現れるが、専門家は「きちんと理解している利用者は少ないのでは」と指摘する。スマホの普及が急速に進む中、スマホ用の情報収集の指針がないことも問題を深刻化しているといえそうだ。 ＫＤＤＩ研究所（埼玉県ふじみ野市）が読売新聞の依頼で解析したところ、先月末に無料でインターネット上に公開されたゲームアプリの場合、全地球測位システム（ＧＰＳ）で測定されたスマホの位置情報を１分間に１回、米国の広告会社に送信する仕
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
京アニ新作始動。 TVシリーズ「氷菓」 アニメ化決定！ : 萌えオタニュース速報
