CSSクロスドメインの情報漏えいの脆弱性「CSSXSS」とは ― ＠IT
あるWebページにアクセスしたら、自分のYahoo! JAPAN IDやHatenaのID、mixiで使っている名前などが表示された。何の縁もゆかりもないページにこれらのプライベートな情報がなぜ表示されてしまったのだろうか。 これは「CSSクロスドメインの情報の漏えいの脆弱性（CVE-2005-4089）」という、Webブラウザがスタイルシート（CSS）を呼び出す機能にある脆弱性を利用した攻撃だったのだ。この脆弱性は通称「CSSXSS（CSS Cross Site Scripting）」とも呼ばれている。 CSSインポート時にCSS以外のファイルがテキストとして読み込める 最近のWebページは、文書の構造をHTML形式で記し、フォントや色やレイアウトなどの視覚的な表現をスタイルシートで記述するというHTMLの仕様に従っていることが多い。 HTMLファイルから外部のスタイルシートを呼び出すた
未パッチFirefoxはマルウェアより危険？
企業のセキュリティを脅かし得る「脆弱性を持つ人気アプリケーショントップ15」の上位にはFirefoxやiTunes、Skypeなどが名を連ねている。 マルウェアよりもパッチを当てていないFirefoxやiTunesの方が危険――エンドポイントセキュリティ製品を手掛けるBit9がこのような調査結果を発表した。 同社は6月20日、既知の脆弱性を抱えた人気アプリケーショントップ15のリストを公表した。この中にはFirefoxやiTunes、Skypeなどが含まれている。 これらのアプリケーションが会社のPCにインストールされていても、IT部門がそれを把握していない、あるいは管理していないことが多いため、企業のコンピューティング環境に深刻なリスクをもたらす恐れがあると同社は指摘している。 Bit9は以下の特徴を持つアプリケーションをトップ15リストに選んだ。 コンシューマー分野で人気があり、個人に
mixiで悪意あるメッセージが増殖する脆弱性 - 川o’ヮ’)＜jknd life
脅威 - Impact of Vulnerability mixiにセキュリティホールがあったことに対して注意を促す日記・コメントが広範囲に広がる問題が発生します。 例えば書き込まれる日記のサブジェクトは「【緊急】マイミクの皆さんへ【ご注意！】」などとなります。 この問題は実際には注意文の中に「チェーンメールのように悪質」と書いてあるにもかかわらず、「できれば全員に！」に釣られ、自分の行っている行為がチェーンメールと同じという事を認識できないユーザの頭の脆弱性によって引き起こされます。 影響するユーザ - Affected Users mixiユーザ 回避策 - Workaround ホームから「マイミクシィ管理」を開き、脆弱性を持つユーザの項目にある「マイミクシィから外す」を選択する。 参考情報 - References はてなブックマーク - mixiに修正不能な脆弱性が:いぬビーム
Excelに新たな脆弱性、早くも攻撃に悪用
「Microsoft Excel」にパッチ未対応の新しいセキュリティ上の脆弱性があり、少なくとも1件のサイバー攻撃で悪用されたことを専門家が米国時間6月16日に警告した。 Microsoftは自社のSecurity Response Centerブログに、悪質な行為を働くExcelドキュメントは、電子メールの添付ファイルの形、もしくは攻撃者が対象にする被害者に直接届ける形で侵入して来ると書き込んでいる。同社によると、このような問題に遭遇したとの報告が顧客から1件あったという。 「悪質なExcelドキュメントを開くことで、攻撃を受けることになる。したがって、相手がだれであろうと、一方的に送られてくる不要な添付ファイルの開封には慎重になるように」とMicrosoft関係者は書いている。 Symantecの勧告によると、「okN.xls」と呼ばれる悪質なExcelファイルのサンプルが見つかってい
「Yahoo!メールのウイルスが悪用したのは『XSS脆弱性』，サイト管理者は注意を」---専門家が警告
「Yahoo!メールのウイルスが悪用したのは『XSS脆弱性』，サイト管理者は注意を」---専門家が警告 「『Yahoo!メール』を狙ったウイルスは，同サイトのクロスサイト・スクリプティング（XSS）脆弱性を悪用した。同様の脆弱性は多くのWebサイトに存在する。このウイルスのソース・コードも出回っているので，今後，同様の攻撃が頻発する可能性は高い。Webサイトの管理者や開発者は十分に注意する必要がある」---。京セラコミュニケーションシステムのセキュリティ事業部 副事業部長である徳丸浩氏は6月15日，ITproの取材に対して警告した。 Yahoo!メールのウイルスは“単純” 6月12日ごろに確認されて「Yamanner」などと名付けられたウイルスは，米Yahoo!が提供するメール・サービス「Yahoo! Mail（Yahoo!メール）」で感染を広げる（関連記事：Yahoo!メールの脆弱性を突
MS、6月の月例パッチをリリース--これまでで最高の21件の脆弱性に対応
Microsoftが同社のソフトウェアに存在する21件の脆弱性に対するパッチをリリースした。このうち2件をのぞく19件が、標的となったコンピュータ上で悪質なコードを実行するために、侵入者に悪用されるおそれがあるという。 Microsoftは米国時間6月13日、月例パッチリリースの一環として、10件以上のセキュリティ情報を発表した。このうち8件は、同社の危険度評価基準では最も深刻な「緊急」レベルに設定されている。修復の対象となったのは、「Windows」「Internet Explorer」「Word」「PowerPoint」「Exchange Server」である。 Microsoftがこれほど多くの脆弱性に対するパッチをリリースしたことはかつてなかったと、セキュリティ専門家らは指摘する。 脆弱性管理企業QualysのVulnerability Management Labでマネージャーを
高木浩光＠自宅の日記 - 「地底人の秘密」のセキュリティ脆弱性：検索で誘導するテレビCM手法の不安
■ 「地底人の秘密」のセキュリティ脆弱性：検索で誘導するテレビCM手法の不安 富士通FMVのテレビCMで、最後に「地底人の秘密」と入力して検索してみせるシーンが出てくるものがある。こうした手法は以前から他の会社のCMでも商標名を入力させるなどしばしば見かけるようになっていた。 しかし、本物のキャンペーンサイトが検索のトップに出てくるとは限らない。「ある日突然、なりすましサイトがトップに出る」ということも起こり得る。（フィッシング詐欺など。） トップを奪われたとき、それを検索サイトに苦情を言って削除させるというのは甚だ筋違いだし、ドメイン名のサイバースクワッティング紛争と違って、単なるページの内容について文句を言うことはできないだろう*1。 消費者は検索結果を安易に信じたりせず、たとえ画面が本物っぽい内容でも、どこのドメイン名のページなのか常にアドレス（URL）の確認を欠かさないようにしない
悪質なWordファイルをチェックするツール，米Sourcefireが無償公開
米Sourcefireは現地時間5月26日，Microsoft Wordに見つかったパッチ未公開の脆弱性（セキュリティ・ホール）を突くWordファイル（.doc）を調べるための無償ツールを公開した。 Microsoft Wordには，修正パッチ（セキュリティ更新プログラム）が未公表の脆弱性が見つかっている（関連記事：Microsoft Wordにパッチ未公開の脆弱性）。脆弱性を突くWord ファイルが一部で確認されているものの（関連記事：「Wordの脆弱性を突く攻撃は限定的」），米Microsoftからパッチが公開されるのは6月になる見込み（関連記事：「Wordのパッチは，遅くても“6月の定例公開日”にリリースする」）。 公開されたツール「DocCheck」は，コマンド・ラインから実行するシンプルなツール。特定のWordファイルを引数にして実行すれば，そのファイルに脆弱性を突くプログラム（
「ウイルスの登場は時間の問題、Winnyの使用は今すぐ中止してほしい」
P2Pファイル共有ソフト「Winny」をユーザーを狙ったウイルスによる情報漏洩事件が相次ぐ中、4月にはWinny本体にも脆弱性が存在することが公表され、Winnyを利用し続けることのリスクはさらに高まっている。Winnyの脆弱性とはどのようなもので、Winnyの利用にはどのような危険があるのか、Winnyの脆弱性を発見した米eEye Digital Securityの鵜飼裕司氏に伺った。 ● Winnyを利用し続けるのは極めて危険な状況 「Winnyの脆弱性は非常に危険なもので、Winnyを使用しているだけで悪意のあるプログラムを送り込まれ、PCを乗っ取られる危険性がある。現在Winnyを使用している人は、今すぐ使用を中止してほしい」と鵜飼氏はWinnyの危険性を警告する。 鵜飼氏が発見したWinnyの脆弱性は、Winnyが使用するデータ交換ポートに対して悪意のあるデータを送信することでヒ
「Wordのパッチは，遅くても“6月の定例公開日”にリリースする」，米MS
米MicrosoftのMicrosoft Security Response Center（MSRC）は米国時間5月19日ならびに5月20日，Microsoft Wordに見つかった新しい脆弱性（セキュリティ・ホール）に関するコメントを発表した。それによれば，今回の脆弱性を修正するパッチは，次回のセキュリティ情報公開日である6月13日（日本時間6月14日）にはリリースするという。 Microsoft Word XP／2003にはパッチ未公開の脆弱性が見つかっており，その脆弱性を突くプログラム（ファイル）が出回っていることが確認されている（関連記事：Microsoft Wordにパッチ未公開の脆弱性）。脆弱性を悪用するWordファイルがメールに添付されて，特定の組織に向けて送られているという。Word XP／2003がインストールされた環境でそのファイルを開くと，あるWebサイトに置かれた悪
「Winnyの脆弱性問題は“特殊”，対策が困難」---発見者がコメント
「Winny（ウィニー）の脆弱性（セキュリティ・ホール）を突くプログラムは既に作られていると考えたほうがよい。脆弱性を悪用するワームは，いつ出現しても不思議ではない。しかし今回のケースは特殊であり，対策が難しい」---。Winnyの脆弱性の発見者である米eEye Digital Security（以下，eEye）の鵜飼裕司氏は5月19日，ITproの取材に対して，Winnyの脆弱性問題について語った。（関連記事：発見者が語る「Winnyのセキュリティ・ホール」）。 eEyeでは，Winnyの脆弱性の詳細を一切明らかにしていない。しかしながら，脆弱性を突いてWinnyマシンを乗っ取るようなプログラムが第三者によって作られている可能性は極めて高いという。「Windowsなどでは，脆弱性が見つかったという事実が公表されただけで，すぐにExploit（エクスプロイト：脆弱性を突くプログラム）が作成
情報システム等の脆弱性情報の取扱いに関する研究会 報告書：IPA 独立行政法人 情報処理推進機構
最終更新日 2006年 8月30日 掲載日 2006年 5月18日 独立行政法人 情報処理推進機構 セキュリティセンター 政府やIT業界、セキュリティ機関等が我が国の情報セキュリティ確保のために協力する形で実現した「情報セキュリティ早期警戒パートナーシップ」は、 2004年7月の運用開始以来、日本における唯一の脆弱性関連情報取扱体制としての機能を果たしており、2006年3月末までにソフトウェア製品とウェブアプリケーションを含め674件もの脆弱性関連情報の届出がなされた。まさに、我が国の情報セキュリティ環境を支える重要な社会基盤の一つとして期待される取組みといえる。 しかし、スパイウェアやボットのように、ますます潜伏傾向を高めるマルウェアの昨今の動向を振り返ると、安全安心なサイバー空間を確立するために情報セキュリティ早期警戒パートナーシップが果たさなければならない役割は極めて重要なのは明らか
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
安全と思われていて実は危険なソフトウェア15種、米Bit9がリストアップ
IPAの脆弱性届出制度、受理してから製品開発者が公表するまで平均77日
遠隔操作ソフト「RealVNC」に認証回避が可能な脆弱性