[書評]サイバー攻撃 ネット世界の裏側で起きていること
中島明日香氏の近著『サイバー攻撃 ネット世界の裏側で起きていること』を読んだので紹介したい。本書は、一見すると入門者向けの初歩的なセキュリティ解説書の体裁をとっているが、その内部に著者の恐ろしい野望が秘められていると感じた。 重要事項説明 著者と評者には特筆すべき利害関係はない 評者は本書を自費で購入した（献本等ではない） この記事のリンクにはアフィリエイトが含まれる はじめに 本書は、ブルーバックスの１冊として、サイバーセキュリティの分野の、特に脆弱性について焦点をあて、入門的な解説を試みるものである。本書6ページから、「本書で扱う内容」の一節を引用しよう。 本書の目的は、適切なサイバー攻撃対策を講じる際の一助となることです。そこで、脆弱性そのものとそれを突く攻撃手法について、情報科学の知識を持たない人でも理解できるように、基本的なところから解説します。 この一節だけでも、本書の狙いが意
JVNVU#97576465: Internet Explorer 8 に任意のコードが実行される脆弱性
Internet Explorer 8 には、解放済みメモリ使用 (use-after-free) の脆弱性が存在します。 Internet Explorer 8Internet Explorer 6、Internet Explorer 7、Internet Explorer 9、Internet Explorer 10 は本脆弱性の影響を受けないとのことです。 Internet Explorer 8 の CGenericElement オブジェクトには、解放済みメモリ使用 (use-after-free) の脆弱性が存在します。 本脆弱性を使用した攻撃が観測されています。また、本脆弱性を使用した攻撃コードも公開されています。
（緊急）BIND 9.xの脆弱性（サービス停止）について
--------------------------------------------------------------------- ■（緊急）BIND 9.xの脆弱性（サービス停止）について - キャッシュ／権威DNSサーバーの双方が対象、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2012/09/13（Thu） --------------------------------------------------------------------- ▼概要 BIND 9.xにおける実装上の不具合により、namedに対する外部からのサービ ス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されました。 本脆弱性により、提供者が意図しないサービスの停止が発生する可能性があ ります。 本脆弱性は危険性が高く、かつキャッシュDNSサ
facebookにPHP CGIの脆弱性を試してみたら面白い対策がされていた！！ - cakephperの日記(CakePHP, Laravel, PHP)
PHPに新たな脆弱性が見つかって、CGIモードで動作するPHPの場合コマンドライン引数がHTTP経由で渡せてしまうため、-sオプションを渡すとPHPのソースコードが丸見えになるというのが話題になってます。(-sオプションはhtmlでシンタックスハイライトまでしてくれてコードが見やすくなる) そこでFacebookに向けてこれを試してみると・・・ https://www.facebook.com/?-s こんな情報が！！ <?php include_once 'https://www.facebook.com/careers/department?dept=engineering&req=a2KA0000000Lt8LMAS'; このURLにアクセスすると、セキュリティエンジニアの求人情報ページに行きます :) おしゃれー
GitHubのセキュリティホールがふさがったのでSSH Keyを確認しよう - ただのにっき(2012-03-08)
■ GitHubのセキュリティホールがふさがったのでSSH Keyを確認しよう 先日、Railsアプリにありがちなセキュリティホールがあることが判明したGitHub。詳細は@sora_hによる「github の mass assignment 脆弱性が突かれた件」が非常によくまとまっているので参照のこと。脆弱性の内容そのものもだけど、開発者として脆弱性指摘をどのように受容、対応すべきかを考えさせられる事例だった。 で、これはようするに赤の他人が任意のリポジトリへのコミット権を取得できてしまうという事例だったのだけど、脆弱性の内容をみる限りその他のさまざまな入力もスルーされていた可能性がある。ということで、その対策が(おそらく)なされたのだろう、今朝になってGitHubから「SSH Keyの確認をせよ」というメールがいっせいにユーザに配信された。3日で修正とか、GitHubの中の人もずいぶん
CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x - LowPriority
数日前からFull Disclosureで騒がれてたけどやっとCVE採番されたので。 以前のISC BINDの脆弱性(CVE-2011-1910)とかに比べるとzero-day状態に なったにも関わらずApache側の動きが遅い気もします。(表に見えてなかっただけ？) アドバイザリは以下 CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x http://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/raw/%3C20110824161640.122D387DD@minotaur.apache.org%3E/ DoSだけといってしまえばそれまでですが、Apache HTTPDでは久しぶりに 現時点で出ている全バージョンが対象 (2011/
Android向けSkypeに個人情報流出の脆弱性が発覚
この脆弱性を突いた悪質なアプリケーションをインストールすると、Android端末に保存されたSkypeの情報を盗まれる恐れがあるという。 Android向けのSkypeに、ユーザー情報の流出につながる脆弱性があることが分かり、Skypeが対応に乗り出した。 Skypeのセキュリティ情報によると、この脆弱性を突いた悪質なサードパーティーアプリケーションをAndroid端末にインストールすると、端末に保存されたSkypeのファイルにアクセスされる恐れがあるという。流出の恐れがある情報には、キャッシュされたプロファイル情報やインスタントメッセージなどのファイルが含まれるとしている。 同社は、ファイルパーミッションのセキュリティ強化を含め、ユーザーをこの脆弱性から守るための迅速な措置を取ると表明。「ユーザーは個人情報を守るために、端末にインストールするアプリケーションは注意深く選んでほしい」と呼び
DNSサーバ「BIND」に複数の脆弱性--DoS攻撃を受ける脆弱性には対処を
情報処理推進機構セキュリティセンター（IPA/ISEC）とJPCERT コーディネーションセンター（JPCERT/CC）は12月2日、Internet Systems Consortium（ISC）が提供するDNSサーバ「BIND」に複数の脆弱性が確認されたと「Japan Vulnerability Notes（JVN）」で発表した。 9.6.2から9.6.2-P2、9.6-ESVから9.6-ESV-R2、9.7.0から9.7.2-P2のバージョンに存在する脆弱性は、DNSSEC署名された否定応答を受信した際のキャッシュ済みRRSIGレコードの処理が原因で、リモートからサービス拒否（DoS）攻撃を受ける可能性があり危険度が高いという。このため、該当するBIND 9を利用しているユーザーは、関連情報の収集や緊急パッチの適用など、適切な対応を取ることを強く推奨している。 9.7.2-P2には、
（緊急）BIND 9.7.xの脆弱性を利用したサービス不能（DoS）攻撃について
--------------------------------------------------------------------- ■（緊急）BIND 9.7.xの脆弱性を利用したサービス不能（DoS）攻撃について - 9.7.3へのバージョンアップを強く推奨 - 2011/02/23（Wed） --------------------------------------------------------------------- ▼概要 BIND 9.7.1から9.7.2-P3までのバージョンには実装上の不具合があり、ゾー ン情報の更新に差分転送（IXFR）またはDynamic Update機能を使用している 場合、namedに対するリモートからのサービス不能（DoS）攻撃が可能になる 脆弱性が存在することが、開発元のISCより発表されました。本脆弱性は危 険度が高いため、該当
高木浩光＠自宅の日記 - はてなのかんたんログインがオッピロゲだった件
■ はてなのかんたんログインがオッピロゲだった件 かんたんログイン手法の脆弱性に対する責任は誰にあるのか, 徳丸浩の日記, 2010年2月12日 といった問題が指摘されているところだが、それ以前の話があるので書いておかねばならない。 昨年夏の話。 2009年8月初め、はてなブックマーク界隈では、ケータイサイトの「iモードID」などの契約者固有IDを用いた、いわゆる「かんたんログイン」機能の実装が危ういという話題で持ち切りだった。かんたんログイン実装のために必須の、IPアドレス制限*1を突破できてしまうのではないかという話だ。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフ
tokuhirom blog
Blog Search when-present<#else>when-missing. (These only cover the last step of the expression; to cover the whole expression, use parenthesis: (myOptionalVar.foo)!myDefault, (myOptionalVar.foo)?? ---- ---- FTL stack trace ("~" means nesting-related): - Failed at: ${entry.path} [in template "__entry.ftlh" at line 3, column 25] - Reached through: #include "__entry.ftlh" [in template "entry.ftlh" at
OpenSSHに深刻な脆弱性--英ロンドン大が詳細を公表
文：Tom Espiner（Special to CNET News） 翻訳校正：矢倉美登里、高森郁哉2009年05月20日 13時31分 ロンドン大学ロイヤルホロウェイ校の研究チームが、広く使用されている暗号化プロトコルOpenSSHに内在する脆弱性を明らかにした。 ロイヤルホロウェイ校Information Security Group（ISG）の研究チームによると、「Debian GNU/Linux」に含まれるOpenSSHのバージョン4.7に存在するこの脆弱性を突けば、32ビットの暗号化されたテキストを平文に変換することが可能になるという。 攻撃者が成功する確率は26万2144分の1だ。ISGを率いる教授のKenny Patterson氏は、CNET Newsの姉妹サイトであるZDNet UKに現地時間5月18日、今回の脆弱性はこれまでに発見されたOpenSSHの脆弱性よりも重大だ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JVN#46088915: Yahoo!ブラウザーにおける WebView クラスに関する脆弱性
JVN iPedia
文字コードに起因する脆弱性とその対策