OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ
オープンソースのSSL／TLS実装ライブラリ「OpenSSL」に64Kバイトのメモリが露呈されてしまう脆弱性が発覚し、この問題を修正した「OpenSSL 1.0.1g」が4月7日に公開された。 OpenSSLのセキュリティ情報によると、脆弱性はTLS Heartbeat拡張の処理における境界チェックの不備に起因する。悪用された場合、最大64Kバイトのメモリが接続されたクライアントやサーバに露呈される恐れがある。 この脆弱性は、OpenSSL 1.0.1fと1.0.2-beta1を含む1.0.1および1.0.2-betaリリースに存在しており、1.0.1gで修正された。直ちにアップグレードできない場合のために、「OPENSSL_NO_HEARTBEATS」のフラグを有効にして再コンパイルする方法も紹介している。 この問題についてOpenSSLを使ったサービスを提供しているセキュリティ企業のC
広告でスパムが表示されると聞いたので検索エンジンで色んなワードを入れてみた - 戯れ言（はてなダイアリー版跡地）
この記事を読んだ。 なぜhao123に汚染されるのか - ex セットアップしたばかりのマシンのIEから、デフォルトの検索エンジンであるbingで「chrome」を検索すると怪しいサイトが広告に出てくるという話。 この記事を見てあっ、と思った。というのは一昨日、ちょうどbingで検索したら似たような広告が出てきたから。 【セキュリティ ニュース】「Adobe Flash Player」が今月2度目の緊急更新 - 別のゼロデイ脆弱性を修正：Security NEXT これ見てさっさと更新しようと思い、普段使わないIEを立ち上げてデフォのままになってるbingで「Flash」と入れた。すると出てきたのは次の画面。 普段なら広告なんてスルーして「get.adobe.com/jp/flashplayer」から更新するところを、adobeの文字が目に入ったので「adobe.fastsoftdownl
【流出騒動】自分の Yahoo! JAPAN ID が流出したかどうか確かめる方法 / 対象者が多数いることが判明 | ロケットニュース24
» 【流出騒動】自分の Yahoo! JAPAN ID が流出したかどうか確かめる方法 / 対象者が多数いることが判明 特集 2013年5月16日21:00ごろ、日本最大のポータルサイト『Yahoo! JAPAN』の ID を管理しているサーバーに、不正アクセスがあったことが判明しました。最大2200万個もの ID が流出した可能性があるとのこと。 ・『Yahoo! JAPAN』利用者は必見 日ごろから『Yahoo! JAPAN』を利用している人はたくさんいると思いますし、過去にIDを作ったことがある人もいることでしょう。今回は「自分の ID が対象かどうか確かめる方法」をお教えしたいと思います。その方法は以下のとおり。 ・自分の ID が対象かどうか確かめる方法 1. 『Yahoo! JAPAN』トップページ下部「当社サーバへの不正なアクセスについて」を押す 2. ページ内の「当社サーバ
ASAHI MOVIE CHANNEL
「ASAHI MOVIE CHANNEL」は、「YouTube」に統合されました。 5秒後に「YouTube」に自動的に移動します。 自動的に移動されない場合は、URLをクリックしてください。 https://www.youtube.com/user/AsahiGroupHoldings
高木浩光＠自宅の日記 - spモードはなぜIPアドレスに頼らざるを得なかったか
■ spモードはなぜIPアドレスに頼らざるを得なかったか spモードの事故 NTT docomoのスマホ向け独自サービス「spモード」が、今月20日に大規模な事故を起こして、重大事態となっている。 スマホ向けネット接続が不具合 ドコモ 別人のアドレス表示, MSN産経ニュース, 2011年12月20日 ドコモのspモードで不具合、他人のメールアドレスが設定される恐れ, 日経IT Pro, 2011年12月21日 ドコモの「spモード」でトラブル、関連サービスが一時停止, ケータイ Watch, 2011年12月21日 ドコモ、spモード障害で「ネットワーク基盤高度化対策本部」設置, ケータイ Watch, 2011年12月26日 ドコモ 約1万9000人に影響, NHKニュース, 2011年12月27日 ドコモの“メアド置き換え”不具合、影響数や新事象が明らかに, ケータイ Watch,
高木浩光＠自宅の日記 - Wi-FiのMACアドレスはもはや住所と考えるしかない
■ Wi-FiのMACアドレスはもはや住所と考えるしかない 目次 まえがき これまでの経緯 2つのMACアドレスで自宅の場所を特定される場合 SSIDに「_nomap」でオプトアウト？ PlaceEngineはどうなった？ まえがき 先週、以下の件が話題になった。 Greater choice for wireless access point owners, Official Google Blog, 2011年11月14日 Removing your Wi-Fi network from Google's map, CNET News, 2011年11月14日 グーグル、Wi-Fiネットワークの位置情報収集で対応策を公開, CNET Japan, 2011年11月16日 Google's WiFi Opt-Out Process Makes Users Navigate Technic
PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439)
PHP5.3.7のcrypt関数には致命的な脆弱性があります。最悪のケースでは、任意のパスワードでログインできてしまうという事態が発生します。該当する利用者は、至急、後述する回避策を実施することを推奨します。 概要 PHPのcrypt関数は、ソルト付きハッシュ値を簡単に求めることができます（公式リファレンス）。crypt関数のハッシュアルゴリズムとしてMD5を指定した場合、ソルトのみが出力され、ハッシュ値が空になります。これは、crypt関数の結果がソルトのみに依存し、パスワードには影響されないことを意味し、crypt関数を認証に用いている場合、任意のパスワードでログインに成功する可能性があります。 影響を受けるアプリケーション crypt関数を用い、ハッシュアルゴリズムとしてMD5を指定しているアプリケーション。 環境にも依存しますが、デフォルトがMD5の場合もあります。筆者のテスト環境
phpMyAdminクローラーの恐怖:phpspot開発日誌
サーバを立てているとログに怪しいアクセスが出るのは日常的なことですが、とあるサーバにphpMyAdminクローラーの恐怖のログが残っていたのでシェアします。 Apacheのログを見ていたら下記のようなログを見つけました。 /path/to/www/ は apache のDocumentRoot です。 phpMyAdminを使っている方で、レンタルサーバ等を使っている場合、public_html 以下等に設置しているかと思いますが、クローラーは片っ端から存在しそうなパスを総当りしてきます。 URLが存在すれば200ステータスで検知してそこにphpMyAdminがあるみたいなことが分かってしまいます。(phpMyAdminだけ狙っているようでもなさそうですが) 仮に、MySQLのパスワードを設定していない人がいた場合はrootでDBを消されたり、データを盗まれたりする危険性があったのでシェア
ヤマハルーターの機種多数にDoS攻撃を受ける重大な脆弱性、IPヘッダー処理に不具合
図●ヤマハルーターの多数機種に見つかったIPヘッダー処理の脆弱性の危険度評価 IPAとJPCERT/CCが共同で運営する脆弱性情報提供用Webサイト「JVN」（Japan Valnerability Notes）の発表資料から引用。 ヤマハは2011年4月11日、同社のルーターの非常に多くの機種に、インターネット経由でDoS（Denial of Service、サービス妨害）攻撃を受ける危険がある脆弱性があることを公表した。 同社製ルーターのIP（Internet Protocol）の実装に脆弱性があり、「IPヘッダーの特定箇所」に不正な値を設定したパケットを受け取ると不正なメモリー参照が発生する。その結果、場合によってはルーターがリブート（再起動）するなどの症状が発生するという。 対象となるルーターは、「RTX3000/2000/1500/1200/1100/1000」「SRT100」「
『社外秘』のはずの情報をgoogleから思う存分見る方法 | naglly.com
Googleの検索オプションを眺めていたら、「ファイルタイプ指定」が出来る事に気づきました。 Google 検索オプション おもむろに、この条件を「Adobe Acrobat reader PDF (.pdf)」にして、検索キーワードに「社外秘」と入力します。 すると、「社外秘」であるはずの情報が見えてしまいます。 画像には、一応マスクを掛けました。掛けたところで、あまり意味はないのですが...。 検索結果への直リンクは、下記です。 「社外秘 filetype:pdf」で検索 果たして、このままの状態で本当に大丈夫なんでしょうか。ちょっとした思い付きで検索したら、すんなりと社外秘の情報が出てきたので驚いてしまいました。くれぐれも自ら起こさないよう、情報漏洩の反面教師として、肝に銘じたいと思います。 余談ですが、Google検索の検索オプションとして「filetype:XXX」と指定すれば、
Firefox 3.5 と 3.6 の重大な脆弱性について | Mozilla Japan ブログ
問題Mozilla は Firefox 3.5 と Firefox 3.6 に含まれる重大なセキュリティ脆弱性の存在を把握しました。この脆弱性を悪用した攻撃コードがインターネット上に出回っているとの報告をいくつかのセキュリティ調査会社から受けています。 ユーザへの影響攻撃コードが埋め込まれたサイトを訪れたユーザは、脆弱性を通じてマルウェアの影響を受ける可能性があります。当初、トロイの木馬がノーベル平和賞のサイトにが仕掛けられているとの報告がありましたが、現在このサイトは Firefox の組み込みマルウェア対策機能によってブロックされています。ただし、攻撃コードはまだ他のサイトに埋め込まれている可能性があります。 状況Mozilla では既に問題の原因を特定しており、修正プログラムを開発中です。テストが完了次第、Firefox の自動更新機能を通じて配布します。 それまでの間、ユーザの皆さ
iPhoneのOSにバグ〜ロック画面を回避し連絡先・着発信履歴の確認が可能に
iPhoneのOS「iOS」のバグを利用し、パスワードでロックされた画面を回避して「電話」を利用できることが報告されています。[source: 9to5Mac ] iPhoneには、無断使用の防止・プライバシーの保護などのために、使用前にパスコードの入力を求める「パスコードロック」という機能があります。 報告されているバグは、ロックされた画面の「緊急電話」に存在し、簡単な操作で本来アクセスできないはずの「電話」アプリを利用できるようになります。 「電話」アプリにアクセスできることにより、 通話の発信 連絡先の閲覧 着発信履歴の確認 などが可能になります。 iOSの最新バージョン(4.1)のiPhone 4で確認したところ、問題を再現することができました。同じバグが他のバージョンにも存在する可能性もあり、注意が必要です。 実際にiPhoneを触れる状態でのみ使えるバグのため、悪用できるシチュ
KeePass Password Safe
This is the official website of KeePass, the free, open source, light-weight and easy-to-use password manager. Latest News KeePass 2.57 released 2024-06-01 14:58. Read More » KeePass 2.56 released 2024-02-04 13:35. Read More » KeePass 1.42 released 2024-02-01 14:10. Read More » KeePass 2.55 released 2023-10-12 15:31. Read More » [News Archive] Why KeePass? Today, you have to remember many password
ベルシステム24の派遣社員が逮捕、カード不正監視業務中にカード情報を盗んだ疑い
コールセンター大手 ベルシステム24の派遣社員が2010年7月8日、警視庁捜査2課に窃盗容疑で逮捕された。10人以上のクレジットカード情報を不正に入手し、商品約100点、約860万円相当を入手した疑いが持たれている。日本経済新聞の報道によれば、三浦賢一容疑者（27）は容疑を認めているという。商品の一部を質屋などに転売し、遊興費に充てていた。 三浦容疑者はベルシステム24に2007年5月ごろに入社。2008年1月からベルシステム24が業務委託を受けた三菱UFJニコスのセキュリティセンターで夜間（夜9時～朝9時）、クレジットカードの不正利用の監視業務に従事していたという。 セキュリティセンターでは不正検知システムが24時間365日稼働している。これはクレジットカードのすべての取引を監視して、過去にクレジットカードが不正利用されたいくつかのパターンに近い動きがあったときにアラームを出すシステムで
Twitter用APIを悪用したJavaScriptの多重難読化
現在のIT部門にとって最大の脅威は、マルウエアに感染したWebページではないだろうか。マルウエアに感染したHTML文書は大抵の場合、活動内容を隠しておくために、JavaScriptで攻撃用コンテンツを動的に生成するようになっている。セキュリティ検査で発見されないようにするため、こうした攻撃の手口はどんどん複雑化している。今回分析するのは、自動解読エンジンをごまかす細工と5段階の難読化が施されたサンプルだ。 分析対象はWebページに感染した6Kバイトの難読化JavaScriptであり、解読していくと最後に攻撃用サイトを指す一つのiframeタグが現れる。攻撃者は暗号表やXOR演算、代入暗号に加え、古典的な文字入れ替えといった手法を組み合わせることで、最終的なコンテンツを隠そうとしている。当ブログでも以前こうした難読化手法をいくつか紹介した。 解読するには、ペイロードとなっているこのJavaS
高木浩光＠自宅の日記 - ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を
■ ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を 昨年示していた、 やはり退化していた日本のWeb開発者「ニコニコ動画×iPhone OS」の場合, 2009年8月2日の日記 日本の携帯電話事業者の一部は、「フルブラウザ」にさえ契約者固有ID送信機能を持たせて、蛸壺の維持を謀ろうとしているが、iPhoneのような国際的デファクト標準には通用しないのであって、今後も、他のスマートフォンの普及とともに、蛸壺的手法は通用しなくなっていくであろう。 そのときに、蛸壺の中の開発者らが、このニコニコ動画の事例と同様のミスをする可能性が高い。「IPアドレス帯域」による制限が通用しない機器では、アプリケーションの内容によっては特に危険な脆弱性となるので、関係者はこのことに注意が必要である。 の懸念が、今や、さらに拡大し、ケータイ業者のみならず、一般のシステムインテグレータの思考
ミキティらブログのＩＤ流出 ホリプロの元契約社員を逮捕 - MSN産経ニュース
インターネット関連会社「サイバーエージェント（東京都渋谷区）の運営するブログサービス「アメーバブログ（アメブロ）」で芸能人ブログのＩＤやパスワードがネット上に流出していた問題で、警視庁ハイテク犯罪対策総合センターなどが、不正アクセス禁止法違反の疑いで大手芸能事務所「ホリプロ」（東京都目黒区）の元契約社員、岡田邦彦容疑者（３０）＝埼玉県戸田市＝を逮捕していたことが分かった。同センターによると、岡田容疑者は容疑を認め、「むしゃくしゃしてやった」という趣旨の供述をしているという。 逮捕容疑は、昨年１２月３１日に品川区上大崎の路上で、パソコンから、タレントの藤本美貴さん（２５）ら４人のブログに、藤本さんらのパスワードなどを使って不正にアクセスしたとしている。 同センターによると、岡田容疑者は、不正アクセスしたブログに、芸能人のＩＤやパスワードなどが記載された個人情報のリストを貼り付けていたという。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[みんなのケータイ]GALAXY Sをなくしてわかった色々なこと
【ネットの落とし穴】Bluetooth経由でメールの内容が丸見えに
UNIQLO LUCKY LINEがtwitterのユーザー名とパスワードをだだ漏れしてるかもしれない件について
