Apacheに新たな脆弱性発見 | スラド セキュリティ
ストーリー by hylom 2009年06月23日 15時12分 Slowlorisはワシントン条約で保護されている小型のサルだそうで 部門より Apacheに、DoS攻撃に繋がる脆弱性が新たに見つかったそうだ（本家/.記事より） この脆弱性は、これを利用したHTTP DoSツール「Slowloris」がリリースされたことから明らかになったとのこと。この攻撃ツールはApacheに不完全なリクエストヘッダーを送り続けるもので、Apacheが最後のヘッダが送られてくるのを待つ間、偽のヘッダを送ることで接続をオープンにし続け、Apacheのプロセスを一杯にさせるものだという。 脆弱性はApache 1.x、 2.x、 dhttpd、 GoAhead WebServer、そしてSquidにて確認されているが、IIS6.0、 IIS7.0、およびlighttpdでは確認されていないとのこと。 SA
Secure Deletion of Data from Magnetic and Solid-State Memory
Peter Gutmann Department of Computer Science University of Auckland pgut001@cs.auckland.ac.nz This paper was first published in the Sixth USENIX Security Symposium Proceedings, San Jose, California, July 22-25, 1996. It is published under the Creative Commons license. This paper is now more than twenty years old and discusses disk storage technology that was current 20-25 years ago. For an update
OpenSSL問題その後 - 日本Linux協会blog
本日はJLA理事会があってYAPCには参加できない野首です。 Debian/Ubuntu等のOpenSSL問題について、進展があったのでご報告いたします。 まずOpenSSHの公式な対応として、 openssh-blacklist というパッケージが容易されました。これは危険なバージョンのOpenSSLが生成する、 危険な乱数パターンの完全なリストです。そして、 openssh のクライアントパッケージにはssh-vulnkeyというコマンドが追加されました。このコマンドによって、 ホスト上の全ユーザの.ssh以下にある典型的なファイル名の鍵、authorized_keysをチェック できるようになりました。 そしてサーバパッケージでは、アップグレード時に危険なホスト鍵のチェックを行い、 必要ならホスト鍵を生成しなおすようになりました。同時に、ssh-vulnkeyでホスト上の 全ユーザの
Debian JP Project - 最近の話題 - OpenSSL パッケージの脆弱性とその影響について (SSH鍵、SSL証明書等）
OpenSSL パッケージの脆弱性とその影響について (SSH鍵、SSL証明書等） 残念な事に Debian の OpenSSL パッケージに脆弱性が見つかりました。見つかった問題は既に修正されていますが、 今回の問題はパッケージの更新だけで済ませられないものとなっています。 今回の問題は、OpenSSL の乱数生成部分について、Debian の OpenSSL パッケージのメンテナが Valgrind (C/C++ プログラムでのメモリリークなどの問題を見つけるデバッグツール) を使っていて見つけた問題を修正しようとして誤ったパッチを当ててしまった事が原因です。 これによって、乱数が使われずに暗号が非常に弱いものとなってしまう問題が発生しました。 なお、この問題は Debian だけに止まらず Debian をベースとしているディストリビューション (Ubuntu など）やシステムにも影
[debian-users:50520] [Translate] [SECURITY] [DSA 1576-1] New openssh packages fix predictable randomness
[debian-users:50520] [Translate] [SECURITY] [DSA 1576-1] New openssh packages fix predictable randomness From: Seiji Kaneko <skaneko@xxxxxxxxxxxx> Subject: [debian-users:50520] [Translate] [SECURITY] [DSA 1576-1] New openssh packages fix predictable randomness Date: Wed, 14 May 2008 21:05:56 +0900 List-help: <mailto:debian-users-ctl@debian.or.jp?body=help> List-id: debian-users.debian.or.jp List-o
Webの脅威 ： ITpro
Microsoftの10月定例アップデートは「緊急」4件，「重要」6件，「警告」1件 米Microsoftは，10月14日（日本時間では10月15日）に公開を予定する月例セキュリティ・アップデート（修正パッチ）11件に関する情報を発表した。内訳は，遠隔コード実行対策の「緊急（Critical）」4件，遠隔コード実行／権限昇格対策の「重要（Important）」6件，情報流出対策の「警告（Moderate）」1件。 [2008/10/10] 「ウイルス入り画像ファイル」にご用心――エフ・セキュア [2008/10/09]「MSが偽ソフトを推奨？」――セキュリティセンターをかたる新手口 [2008/10/09]「ウイルス付き迷惑メール」が急増，3カ月で10倍以上に [2008/10/08]アドビ，Flash Playerの「クリック乗っ取り」対策を公表 [2008/10/08] 脅威，すべて
iPhone/iPod touch の jailbreak (TIFF exploit) 解説 - アメリカでがんばりましょう
ちょっと前、iPhone/iPod touch のTIFF脆弱性を突くための画像を生成するソースコードが公開された。 どんなもんだろうとちょっと見てみたら意外にシンプルでびっくり。 http://www.toc2rta.com/?q=node/30 http://www.toc2rta.com/files/itiff_exploit.cpp 興味が湧いたので周辺の情報も含め少し調べてみたら、ハッカーたちの苦労も知ることができてとっても面白かった。 せっかくだったのでまとめてみたいと思う。 かなり長くて、技術的な話になってしまった。 退屈かもしれないけどよかったらお付き合いください。 iPhone/iPod touch の jailbreak とは まず最初に iPhone/iPod touch の jailbreak の一般的な話。 iPhone/iPod touch はあの小さなデバイス
ぼくはまちちゃん！(Hatena) - Port801 (初心者向け)セキュリティ勉強会 Hamachiya2編
こんにちはこんにちは！！ 先日、Twitterで声をかけてもらって、 第一回 Port801 セキュリティ勉強会っていうのに参加してきたよ！！ (↑pw: security) そこで、すこし喋った時のビデオを頂いたので、もったいないので公開しちゃいますね！ プレゼンだとかそういうの慣れてなくて、ぐだぐだな感じだけど、 よかったら何かの参考にしたり、晩ご飯のおかずにしてください＞＜ Port801 セキュリティ勉強会 - Hamachiya2 その1 (http編) Port801 セキュリティ勉強会 - Hamachiya2 その2 (CSRF編1) Port801 セキュリティ勉強会 - Hamachiya2 その3 (CSRF編2) Port801 セキュリティ勉強会 - Hamachiya2 その4 (XSS編1) Port801 セキュリティ勉強会 - Hamachiya2 その5
それ Unicode で
UTF-7 を使ってスクリプトを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE は、文字エンコーディングが不明で UTF-7 っぽい文字列があれば、自動判別で UTF-7 となる。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.daionet.gr.jp/~knok/diary/?200805b&to=200805141
[debian-users:50538] Re: 【注意喚起】 Openssl 脆弱性に伴う ssh 鍵、ssl 証明書などの問題について
http://packages.debian.org/changelogs/pool/main/o/openssl/openssl_0.9.8c-4etch3/changelog
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/09/re_server_sig.php