セブンネットショッピング、「デモ用ソースコード」が流出、XSS脆弱性も 「個人情報流出はない」
セブン＆アイグループが12月8日にオープンしたECサイト「セブンネットショッピング」のソースコードが流出したとネットで騒ぎになっている。同サイトの広報担当者によると、流出したのは「検証で使っていたデモ用コードで、本番用のものではない」。個人情報流出の可能性もないとしている。 デモ用のソースコードが公開サーバに置いてあり、誰でもアクセスできる状態になっていた。同社は12月17日午前、ソースコードに外部からアクセスがあったことに気付き、すぐに公開サーバから削除。「データベース等非公開サーバに侵入されたわけではなく、個人情報流出の危険はない」としている。 同サイトについては14日ごろから、XSS（クロスサイトスクリプティング）脆弱性も指摘されていた。「個人情報を扱うページではXSS脆弱性はなく、個人情報の流出はないが、そうでないページに脆弱性があった」とし、15日までに対策を取ったという。 届け
いろんな人から「こんにちはこんにちは！」って言われるけど、なんで
いろんな人から「こんにちはこんにちは！」って言われるけど、なんで2回言うのか意味がわからないなう。
おごちゃんの雑文 » Blog Archive » これは「エンジニアの反乱」ではないか？
ヨーカドーのネット通販が酷いことになっている。 セブンネットショッピング、会員の個人情報がダダ漏れ。さらにネラーに注文番号の規則性を解析される セブンアンドワイ、XSS脆弱性が見つかる。また社員が2chを覗いていたことが判明 セブンアンドワイ、Google検索で個人情報が丸見えだった模様。また今回の件でアフィリエイトにまで影響が とうとう「オープンソース化」までされる始末。 セブンアンドワイ、今度はソースコードを流出させる。 svnで公開なんてやってくれるぜ。私は初期版をcvsの類で出すのは消極的なんだけど(これはいずれ連載の方で)。 ただ、この前の「はまちちゃん」もそうなんだが、これは実は「エンジニアの反乱」ではないか？ もちろん、一連の事件はエンジニアが結託してサボタージュをやったとか、そーゆー類では断じてないだろう。みんなそれぞれのエンジニアは、自分の能力の範囲、自分の仕事の範囲では
アメーバでセキュリティ欠陥 スパム攻撃、プロフ消去相次ぐ
サイバーエージェント運営のブログサービスで、セキュリティの欠陥による被害が相次いでいる。新しいミニブログ「アメーバなう」にスパム感染が広がったほか、「アメーバブログ」でもプロフィールが消える被害が次々見つかった。なぜこんな初歩的な対策漏れがあったのか。 ツイッターのモノマネとして話題の「アメーバなう」が、最初からつまずいた。携帯電話版が始まった翌日の2009年12月9日、古典的なスパム感染が起きたのだ。 2005年4月のミクシィ被害と酷似 それは、「こんにちはこんにちは！！」という投稿を見て、記載のURLをクリックすると起きる現象だ。勝手に同じ投稿をさせられたうえ、「はまちや2」というユーザーを自動的にフォローしてしまうのだ。 ネットユーザーには見覚えのあるスパム投稿に違いない。それは、ミクシィで05年4月に広がった被害と似ているからだ。そのときは、「ぼくはまちちゃん！」という投稿だった。
日本国内サーバーも悪用 ７月の米韓へのサイバー攻撃 - MSN産経ニュース
今年７月、米韓の主要官庁や金融機関、大手メディアなど３５機関のウェブサイトが一時、接続不能になるなどの被害を受けた同時多発サイバー攻撃事件で、警察庁は１７日、攻撃の中継点として悪用されていた８台のサーバーを特定したと発表した。サーバーはそれぞれ民間企業が所有。このうち３台からは、攻撃指令に使用されたことを示す不正プログラムを検出したが、攻撃プログラムがどの国・地域のコンピューターから発信されたかは判明していないという。 米韓同時多発サイバー攻撃は、韓国の情報機関・国家情報院や米国の治安当局が捜査。攻撃は、攻撃目標のサーバーに対して複数のサーバーやパソコンから同時に大量のデータを送りつけることによって機能を停止させる「ＤＤｏＳ攻撃」とよばれる手口だったこととが判明している。 国情院は事件直後、韓国議会の非公開懇談会などで、北朝鮮の朝鮮人民軍のハッカー部隊「総参謀部偵察局第１１０号研究所」が、
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
開発者のための正しいCSRF対策
著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ ■はじめに ウェブアプリケーション開発者の立場から見たCSRF対策について、さまざまな情報が入り乱れている。筆者が2006年3月の時点において国内のウェブサ イトやコンピュータ書籍・雑誌などでCSRF対策について書かれている記事を調べた結果、おどろくべきことに、そのほとんどが誤りを含んでいたり、現実的 には使用できない方法を紹介したりしていた。そこで本稿ではウェブアプリケーション開発者にとっての本当に正しいCSRF対策についてまとめることとす る。また、採用すべきでないCSRF対策とその理由も合わせて紹介する。 ■あらゆる機能がターゲットとなりうる ウェブアプリケーションの持つ全ての機能がCSRF攻撃の対象となりうる。まずこのことを認識しておく必要がある。 Amaz
@IT: 「ぼくはまちちゃん」 ――知られざるCSRF攻撃
ある日、大手SNS（Social Networking Site）のmixiの日記にこのような書き込みがあった。それも1人だけでなく、同日に数多くのユーザーの日記に同じ文面が掲載されていた。 これは、単にこのような文章がはやり、ユーザー自身が意図して掲載したのではなく、ある仕掛けによってユーザー自身が気付かないうちに引き起こされた現象なのである。その仕掛けとは、CSRF（Cross-Site Request Forgeries）と呼ばれる攻撃手法の一種だ。 編集部注： 現在、「はまちちゃん」トラップは、mixi運営者により対策されています。上記のサンプルは、mixi風に再構成したものです。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。また、本稿を利用した行為による問題に関しましては、筆者およびアイティメディア株式会社は一切責任を負いかねます。ご了承ください
知らなかったらNGなWEBアプリケーション脆弱性一覧 : mwSoft blog
先日、AmebaなうがCSRFという非常にポピュラーな脆弱性を披露したかと思ったら、ここ数日はセブンネットショッピングでXSSの脆弱性と、ID推測による他ユーザの個人情報閲覧の問題が発生しているという噂が流れています。 ユーザの情報を預かっておきながら、基本的なセキュリティの対策もできていないというのは、銀行に例えるなら、お金を預けようとした時に「お金は預かります。ちゃんと保管します。でも警備はあまりしないので盗まれたらスイマセン」と言われるようなものだと思う。 警備に穴があったというのではなく、まともに警備してませんでした、というのはさすがにありえないことです。 そこで、野良WEBプログラマである私が知っている脆弱性を列挙してみた。 私はプログラマであってセキュリティの専門家ではないです。しかも今年の春辺りからずっと外向けのWEBプログラムは組んでません。 その人間が知っているものを並べ
埼京線に痴漢防止カメラ、年内にも一部車両に : 社会 : YOMIURI ONLINE（読売新聞）
ＪＲ東日本は年内にも、痴漢被害が多い埼京線の一部車両に全国で初めて、防犯カメラを設置する方針を固めた。 プライバシー保護の観点から犯罪防止に限定し、使用と管理を厳格に運用することで違法性はないと判断した。同社は既に運用規定を策定しており、試験運用を行ったうえ、他路線での導入も検討する。 鉄道事業者と１都３県の警察が共催した１０月の官民会議で、警視庁から防犯カメラの設置が要請されたのを受け、ＪＲ東は、防犯対策でのコンビニ店内のカメラ撮影と録画を「違法性はない」とした２００５年３月の名古屋高裁判決など、過去の判例を専門家を交えて検討してきた。 その結果、〈１〉痴漢など防犯対策に限定し、乗客に「録画中」と表示して説明〈２〉一定期間の保存後に削除〈３〉刑事手続き以外での第三者への開示禁止――など、厳格に運用することで問題ないと判断。当面は１〜２編成の電車を対象に、ラッシュ時に混雑が激しい一部車両の
Office 2003で著作権保護機能が利用不可能に、原因はデジタル証明書の期限切れ
マイクロソフトは2009年12月14日、「Microsoft Office 2003」において著作権保護（DRM）機能を使って暗号化した文書ファイルが開けなくなる障害が発生していることを明らかにした。DRM機能で使用するデジタル証明書の有効期限が、09年12月10日で切れたことが原因。マイクロソフトは修正パッチの配布を開始した。 Office 2003以降のMicrosoft Officeは、文書の閲覧やコピー、編集、印刷などが許可されたユーザーでなければ実行できないように制限するIRM（Information Rights Management）機能を搭載する。IRM機能はDRM機能の一種で、サーバーから認証を受けたユーザーでなければ、暗号化文書を復号化できない。文書の暗号/復号化の際にはデジタル証明書を使用するが、Office 2003が搭載するデジタル証明書の有効期限が09年12月1
はまちや2＠ウェブカレは、ライトノベルの愛読者かも｜【Tech総研】
ほら、お笑い芸人さんて、舞台でも楽屋でもいつも周りを笑わせている人と、楽屋や日常では無口でネタをずっと考えている人の2とおりに分かれると思うんですけど、僕は後者なんです。だから、ネタがひらめいたら完成度が120％になるまで練って、「これは行ける」と思うものしか絶対に表に出しません。はてなでヒットするのも、実は外さないようにしているからなんです。 たまにオフ会なんかに顔を出すと「あ、はまちやさんだ！」と寄ってくる人もいて、「こんにちは」って答えると、「わー、こんにちはって言った！」と喜んでくれるんです。でも、それで終わり。すぐに去られますからね（笑）。
はまちちゃんと脆弱性報告のあり方 - 世界線航跡蔵
はまちちゃん がいつものごとく、AmebaなうにCSRF脆弱性を発見して いたずらを仕掛けた 。そして、何故か今回だけ「それは迷惑行為だ」とかなんか騒がしい。 私はそもそも、はまちちゃんのいたずらを「隙があったからカンチョー」に喩えるのが程度がおかしいんじゃないかと思う。それで非技術者には話が通じていないのでは? CSRFやSQL Injectionを許していたら、何よりも守るべきユーザーの情報が危険だ。そしてAmebaがそういう脆弱性を持っていると言うことは、生越さんが指摘するように首相官邸からの公式情報を操作できるという意味だ。これは「隙があった」んじゃないだろう。「開腹したまま内臓が露出している」んだ。 ところが、どうも現実の医師とは違ってこの世界の、特にAmebaみたいな大きな会社の開発者はその辺の意識が甘い。「手術したけど、まー、内臓が見えててもすぐに死ぬ訳じゃないし、適当に皮被
高木浩光＠自宅の日記 - 情報処理技術と刑事事件に関する共同シンポジウムで講演予定, 未届けと推定される脆弱性情報が公開されているのを発見したら
■ 情報処理技術と刑事事件に関する共同シンポジウムで講演予定 再来週土曜日の以下のシンポジウムで講演とパネル討論に出ます。楽しみです。 情報処理技術と刑事事件に関する共同シンポジウム 「IT技術と刑事事件を考える−Winny事件判決を契機として−」 開催日時： 平成19年2月17日（土） 10:00-17:00 開催会場： 大阪弁護士会館２階ホール ［大阪市北区西天満1-12-5］ 主催： 大阪弁護士会 刑事弁護委員会、情報ネットワーク法学会、情報処理学会 概要： 昨今の情報処理技術、特にインターネット等の発展により、情報処理技術や著作権法などの特別刑法が複雑に絡みあった刑事事件が数多く起こっております。このような事件の弁護活動には、当然ではありますが情報処理技術に関する素養、関連諸法規の知識、さらには技術や産業の発展といった多角的な見識が必要とされます。 そのような中で、ファイル共有ソフ
IPAたんからお礼が！ - ぼくはまちちゃん！
はじめてのほうこく IPAたんからの返事 IPAたんからへんじこない のつづきです！！！ 返事きたよ！ きてました＞＜ Date: Thu, 01 Feb 2007 20:43:06 +0900 To: Hamachiya2 Subject: 【IPA#32334280/IPA#11631745/IPA#92669403/IPA#94436430】 届出いただいた件について - ----------------------------------------------------------------- このメールは、以下の取扱い番号に関する連絡です。 IPA#32334280/IPA#11631745/IPA#92669403/IPA#94436430 - ----------------------------------------------------------------
おごちゃんの雑文 » Blog Archive » 「はまちちゃん」をspamと断じる思考停止
「Amebaなう」なるtwitterの真似にインスパイアされたサービスが始まって、さっそくは「はまちちゃん」の餌食になっている。 ミニブログ「Amebaなう」モバイル好調でPC版を前倒し、スパム被害も広がる 自分達の気に入らないものを悪しざまに言うのは同情出来ないことではないのではあるが、これを「スパム」と言ってしまうのは思考停止ではないか？ 例によってはまちちゃんは脆弱性を突いて「こんにちはこんにちは！！」を出しつつ自分をフォローさせるトラップを仕掛けたようだ。まぁ、彼を知っている人なら、「お手軽フォロークリック」で便利でいい。って、私はAmebaのアカウントを消したばかりなんで、祭に参加出来なかったんだけど(Amebaはアカウントを消すとしばらく同じアカウントは使えなくなる)。 で、まぁ、これは「いつもの」でしかない。彼を知る人からすれば「いつやるのか」だけが問題であって、やらかさなか
URL踏むと「こんにちは こんにちは!!」 AmebaなうのCSRF脆弱性で“意図しない投稿”広がる
12月10日にPC版がスタートしたサイバーエージェントのミニブログサービス「Amebaなう」で、あるURLをクリックすると、「こんにちは こんにちは!!」というフレーズとクリックしたURL文字列が自動で投稿され、「はまちや2」さんのアカウントを自動でフォローしてしまうという現象が広がった。 URLをクリックしたユーザーが意図しない機能を実行させられるWebアプリの脆弱性の一種・クロスサイトリクエストフォージェリ（CSRF）を突いたもの。同社は10日夜、URLをクリックしないようユーザーに告知。誤ってクリックした場合は投稿を削除し、はまちや2さんのフォローを外すよう呼び掛けた。11日朝までに脆弱性も修正したという。 mixiでも2005年、あるURLをクリックすると「ぼくはまちちゃん！」という日記が勝手に投稿されるという、CSRFを利用したスパムが流通したことがあった。コミュニティーサイト構
第1回：Linuxセキュリティ機能の罠
ある日，プロジェクトでチームリーダーを務めている高野氏は不測の事態に遭遇し，一人ひそかに青くなっていた… このプロジェクトは，あるユーザー企業で大規模Webアプリケーションの開発に取り組んできた。開発言語は「Ruby」，フレームワークとして「Ruby on Rails」（RoR），データベースには「MySQL」を採用。これをRed Hat系Linuxである「CentOS」上に配備して動作させる想定だ。 既に開発フェーズに入り，メンバー各自が社用PCにJavaの開発環境である「NetBeans」などをインストールし，開発作業を進めていた。OSは基本的にWindows XPで統一されている。しかしながら，開発環境はNetBeansだけでなく「Eclipse」や単なるエディタを使ったものなど，バラエティに富んでいる。 プロジェクトのキックオフから7カ月たった時点まで，プロジェクトの常としてある程
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
asahi.com（朝日新聞社）：サイバー攻撃の「指示役」に日本のコンピューター８台も - 社会
はじめてのほうこく - ぼくはまちちゃん！
