Content-Disposition の filename という地雷。 (1個の観点で17個の脆弱性を見つけた話) - ぶるーたるごぶりん
English ver: https://gist.github.com/motoyasu-saburi/1b19ef18e96776fe90ba1b9f910fa714#file-lack_escape_content-disposition_filename-md TL;DR 1つのブラウザ、1つのプログラミング言語、15個の { Web Framework, HTTP Client ライブラリ, Email ライブラリ / Web Service 等} で脆弱性を見つけました。 見つけた脆弱性は、全て 1つの観点で発見した (多分 50-80 くらいのプロダクトの調査をした)。 RFC の記載では、（かなりわかりにくく）この問題に対する要件が記載されており、WHATWG > HTML Spec の方はしっかりと書かれているといった状況にある。 この問題は、 Content-Dispo
Flashの脆弱性を突く攻撃、狙いは銀行口座情報―シマンテックが警告
シマンテックのセキュリティレスポンス シニアマネージャの浜田 譲治氏は2014年5月30日、Adobe Flash Playerの脆弱性を突く攻撃が活発化しており、ユーザーはすぐに修正プログラムを適用するよう呼びかけている。同社の「セキュリティ・ブログ」の中で明らかにした。 Adobe Flash Playerの脆弱性は2014年4月に見つかったもので、同月中に修正プログラムが提供されていた。しかし、この脆弱性を突く攻撃が5月中旬以降も複数で見つかっている。具体的には、旅行代理店のエイチ・アイ・エスのWebサービスやブログサービスの「JUGEM」で攻撃が確認された（関連記事：HISのウイルス警告はリクルートのサーバー改ざんが原因、両社が発表）。これらのWebサイトには、オンラインバンキングの口座情報を盗み取るマルウエアが仕掛けられていたという。 なおエイチ・アイ・エスとJUGEMはどちらも
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
