アカマイ、クラウドベースのウェブアプリケーションファイアウォールを提供
Akamaiは、ウェブアプリケーション向けのクラウドベースのファイアウォールサービスを開始した。ますます複雑になり規模が拡大しているアプリケーション層への攻撃からデータセンターを保護することを目的とする。 米国時間12月14日に発表されたAkamaiのマネージドサービス「Web Application Firewall（WAF）」は、5万5000台以上ものサーバが接続された同社のネットワーク「EdgePlatform」上で稼働する。SQLインジェクションやクロスサイトスクリプティング（XSS）攻撃など、最も一般的な種類のエクスプロイトをフィルタリングし阻止することを目的とする。同サービスは、ネットワーク層を保護する技術を補完するものであるとAkamaiは述べた。 WAFは、最もよく知られた種類の攻撃のみに対し、Akamaiのコンピューティングリソースの拡張性を利用しながらデータセンターへの
シマンテック、「Adobe Reader」および「Adobe Acrobat」のゼロデイ脆弱性を確認
Symantecは米国時間12月15日、「Adobe Acrobat」および「Adobe Reader」に脆弱性があることを確認し、それが電子メールの添付ファイルに隠されたトロイの木馬によって悪用されていると述べた。 この悪意あるAdobe AcrobatのPDFファイルは、電子メールの添付ファイルを通して拡散しており、「Adobe AcrobatまたはAdobe Readerがインストールされたシステムで、すべてのパッチが適用されていても、開くと（悪意あるファイルが）ドロップされ実行される」とSymantecは声明で述べた。 Symantecは、「Windows 98」と「Windows 95」「Windows XP」「Windows Me」「Windows Vista」「Windows NT」「Windows 2000」「Windows Server 2003」をターゲットとするこのフ
IPA、DNSサーバの管理者に注意喚起--悪意あるサイトに誘導される脆弱性の対策を
独立行政法人情報処理推進機構（IPA）は12月10日、DNSサーバの管理者に対し、迅速な脆弱性対策の実施を呼びかける注意喚起を発表した。サイトで利用されているDNSサーバの既知の脆弱性について、対応がされていないという届出が増えていることを受けたもの。 具体的には、2008年7月に公表した「複数のDNS実装にキャッシュポイズニングの脆弱性」に対する修正バージョン、および脆弱性に対応するための設定が未適用であるとの届出が、2009年11月末までに1307件あった。届出の対象となったサイト運営主体の内訳は、地方公共団体が649、民間企業が409、政府機関が95、団体（協会・組合など）が77、教育・学術機関が68となっている。 この脆弱性を悪用されると、外部から偽の情報が書き込まれ、当該DNSを使用している利用者が悪意のあるサイトへ誘導される可能性があるほか、メールが意図しない宛先に送信されてし
セキュリティ情報 - iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性
iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性 HASHコンサルティング株式会社 公開日:2009年11月24日 概要 iモードブラウザ2.0のJavaScriptとDNS Rebinding問題の組み合わせにより、iモードIDを利用した認証機能（以下かんたんログイン）に対する不正アクセスが可能となる場合があることを確認したので報告する。危険度の高い攻撃手法であるので、サイト運営者には至急の対策を推奨する。 背景携帯電話のかんたんログインとは、ケータイブラウザ（たとえばiモードブラウザ）に用意された契約者固有IDを利用した簡易的な認証であり、ユーザがIDやパスワードを入力しなくても認証が可能となる。iモードIDは、NTTドコモの提供する契約者固有IDの一種で、URLにguid=ONというクエリストリングを含めることにより、端末固有の7桁のIDがWebサーバに送
Does CVE-2008-4609 affect Red Hat Enterprise Linux? - Red Hat Customer Portal
Environment Red Hat Enterprise Linux 3 Red Hat Enterprise Linux 4 Red Hat Enterprise Linux 5 Red Hat Enterprise MRG Issue Denial of service flaws in the way TCP connections are handled have been disclosed by Robert E. Lee and the late Jack C. Louis of Outpost24 AB. These flaws allow an attacker to create crafted TCP connections, which can eventually exhaust the receiver's system resources and lead
AX-VU2009-01：「TCP プロトコルの脆弱性」に関するご報告：アラクサラネットワークス株式会社
AX第1版 2009-10-02 AX第2版 2009-12-21 AX第3版 2010-9-10 アラクサラネットワークス株式会社 平素より、弊社ネットワーク製品に対し格別のご高配を賜り深謝申し上げます。 以下に、TCPの脆弱性について報告致します。 出典 JPCERT/CC Alert 2009-09-09 http://www.jpcert.or.jp/at/2009/at090019.txt CERT-FI - CERT-FI Advisory on the Outpost24 TCP Issues https://www.cert.fi/haavoittuvuudet/2008/tcp-vulnerabilities.html Common Vulnerabilities and Exposures CVE-2008-4609 http://cve.mitre.org/cgi-b
Apacheに新たな脆弱性発見 | スラド セキュリティ
ストーリー by hylom 2009年06月23日 15時12分 Slowlorisはワシントン条約で保護されている小型のサルだそうで 部門より Apacheに、DoS攻撃に繋がる脆弱性が新たに見つかったそうだ（本家/.記事より） この脆弱性は、これを利用したHTTP DoSツール「Slowloris」がリリースされたことから明らかになったとのこと。この攻撃ツールはApacheに不完全なリクエストヘッダーを送り続けるもので、Apacheが最後のヘッダが送られてくるのを待つ間、偽のヘッダを送ることで接続をオープンにし続け、Apacheのプロセスを一杯にさせるものだという。 脆弱性はApache 1.x、 2.x、 dhttpd、 GoAhead WebServer、そしてSquidにて確認されているが、IIS6.0、 IIS7.0、およびlighttpdでは確認されていないとのこと。 SA
Apache DoS攻撃ツール Slowloris
最近、HTTP DoS攻撃ツール Slowlorisがリリースされました。 http://ha.ckers.org/slowloris/ FreeBSD + Apache な環境で試してみましたが、確かに、アクセス不能な状態(Apacheが全部使われてしまう)状態になってしまいます。 FreeBSDのApacheは、Accept Filterを利用しているために、DoS耐性は強いと思っていたのですが、意外な結果でした。 Slowlorisは、HTTPサーバに不完全なリクエストヘッダを送り続けるツールです。 Apacheが最後のヘッダが送信されてくるまでの間、偽のヘッダを送信し続け、接続をオープンし続け、Apacheのプロセスを使用し続け、すべてのApacheを掴んで他のリクエストに応えられなくしてしまいます。 Apache 1.x, 2.x, httpd, GoAhead WebServe
「WEP」はもう危険？ 家庭の無線LANセキュリティ対策を考える
無線LANの暗号化方式「WEP」が、わずか10秒で解読されるという発表がコンピュータセキュリティシンポジウム2008で行われた。今回の特集ではWEPの危険性を踏まえた上で、家庭内で行える無線LANのセキュリティ対策について考えていく。 ■ 「WEPは約10秒で解読できる」と大学教授が発表 2008年10月に開催された「コンピュータセキュリティシンポジウム2008」で、神戸大学と広島大学のグループから無線LANの暗号化方式である「WEP」の解読にわずか10秒で成功したという興味深い発表がなされた（関連記事）。 無線LANは、電波を利用することで、面倒な配線をすることなくPCやゲーム機などをネットワークに接続することができるという利便性を持つ反面、そのセキュリティも問題になりがちだった。PCやゲーム機の間を流れるデータが電波の形で存在するため、これを盗聴することでその内容が第三者にも見えてしま
「Googleドキュメント」の文書、間もなく検索可能に
Googleは間もなく、Googleドキュメントの文書を検索結果に加えることを明らかにした。 約2週間以内に、ユーザーが公開設定にしているGoogleドキュメントの文書がGoogleの検索インデックスに含まれるようになる。 検索対象となるのは、ユーザーが「Webページとして公開」あるいは「公開／埋め込み」オプションで公開設定にした文書、検索クローラーにクロールされているWebページにリンクされた文書のみ。「不特定のユーザーにリンク先のアイテムの表示を許可する（ログイン不要）」を有効にしただけでは、検索インデックスには含まれない。 公開している文書を検索インデックスに含めたくない場合は、「共有」タブの「Webページとして公開」あるいは「公開／埋め込み」オプションで「公開停止」を選択する必要がある。Google Appsの場合、管理者の設定によっては文書を公開できない場合もある。
ゼロ円でできるインターネットVPN（1/4）
ゼロ円でできるインターネットVPN OpenVPNで手軽にVPN構築 オープンソースのソフトウェア「OpenVPN」を利用すれば、手軽にSSL-VPNによるインターネットVPN環境を構築することができます。そのインストール・設定方法を紹介しましょう。（編集局） Shin.鶴長 2008/5/2 元祖仮想化はネットワーク？ 高速なCPUの普及を背景に、XenやVMwareのような仮想化技術が注目されていますが、ネットワークにおいても、ブロードバンドのような高速インターネット回線の普及を背景に、インターネットVPNが利用されるようになっています。 VPNはインターネット上に仮想的な専用線を構築し、離れた拠点間を直接つなぐことができます。VPNはNATルータやファイアウォールを越えた接続も可能なため、外部のインターネットからはアクセスできない社内ツールに、自宅に居ながらアクセスすることができます
何故かあたり前にならない文字エンコーディングバリデーション
(Last Updated On: 2018年8月8日)私が4年前（2005年）に「Webアプリセキュリティ対策入門」を執筆していた時には、既に壊れた文字エンコーディングなどの不正な文字エンコーディングを利用したJavaScriptインジェクションやSQLインジェクション攻撃は比較的広く知られていました。この問題は当時のスラッシュドットジャパンでも取り上げられていました。/.で取り上げられたので、そこら中のWebサイトとユーザが被害に合うのでは？とヒヤヒヤしたので良く覚えています。 不正な文字エンコーディングを利用した攻撃は、文字エンコーディングを厳格に取り扱い、文字エンコーディングをバリデーションすれば無くなります。これを怠ると、システムのどこで問題が発生するか予想できなくなります。つまり、いい加減に文字エンコーディングを取り扱うと安全なシステムは作れないのです。 参考：エンジニア向けに
セキュリティ専門家でも間違える！文字エンコーディング問題は難しいのか?
(Last Updated On: 2018年8月13日)一見徳丸さんのブログは分かりやすいように思えますが、それは単純な実験により分かりやすいように見えるだけで複数の間違いがあります。 その間違いとは 意図の取り違い – 誤読 言語の仕様と実装の理解不足 HTTPやPHP仕様の理解不足 セキュリティ対策をすべき場所の理解不足 です。(※0) 徳丸さんは非常勤とは言え、国の出先機関の研究員であるし、その出先機関は職務放棄とも言える文書（「例えば、PHPを使用しない」と勧める文書）を公開している(いた?)のでしっかり反論しておく必用がありますね。IPAのあの文書は職務放棄と言える文書だと思っています。これについても後で意見を述べます。 意図の取り違い – 誤読 最初の間違いは私のブログのエントリ「何故かあたり前にならない文字エンコーディングバリデーション」に対する理解です。特にPHPユーザに
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 有料会員（月額プラン）は初月無料！ お申し込み 会員の方はこちら ログイン 日経クロステック TOPページ
コンピュータウイルス・不正アクセスの届出状況[2009年8月分]について：IPA 独立行政法人 情報処理推進機構
第09-39-163号 掲載日：2009年 9月 3日 独立行政法人情報処理推進機構 セキュリティセンター(IPA/ISEC) IPA (独立行政法人情報処理推進機構、理事長：西垣 浩司)は、2009年8月のコンピュータウイルス・不正アクセスの届出状況をまとめました。 (届出状況の詳細PDF資料はこちら) 最近、「パソコンを起動した時や、ウェブページを閲覧している時に、身に覚えのないゲームのサイトやアダルトサイトのウィンドウが開く」という相談が IPA に多く寄せられています。 パソコンにこのような動作を行わせる悪質なソフトウェアは、Internet Explorer などのインターネット閲覧ソフト（以下、ブラウザ）を乗っ取るという意味で、「ブラウザ・ハイジャッカー」と呼ばれます。ここでは、「ブラウザ・ハイジャッカー」に感染してしまう経緯の一例をもとに、注意すべき点について説明します。 (
Webアプリにおける11の脆弱性の常識と対策
Webアプリにおける11の脆弱性の常識と対策：Webアプリの常識をJSPとStrutsで身につける（11）（1/4 ページ） 本連載は、JSP／サーブレット＋StrutsのWebアプリケーション開発を通じて、Java言語以外（PHPやASP.NET、Ruby on Railsなど）の開発にも通用するWebアプリケーション全般の広い知識・常識を身に付けるための連載です 【2013年2月25日】編集部より、おわびと訂正のお知らせ 本稿において読者の皆さまより多数のご指摘をいただきまして、誠にありがとうございます。編集部であらためて調べた結果、間違いを把握し、あらためて修正版を掲載させていただきます。この度は、長期にわたり誤った内容を掲載したので、読者の皆さまに多大なご迷惑をお掛けしたした点をおわび申し上げます。 通常、記事に間違いがあった場合には、筆者確認後に修正版を掲載するのですが、今回の場
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
トレンドマイクロ、セキュリティ情報をTwitterで提供開始 | パソコン | マイコミジャーナル
Traficomin Kyberturvallisuuskeskus | Kyberturvallisuuskeskus
https://www.jpcert.or.jp/at/2009/at090019.txt
http://japan.internet.com/webtech/20090805/12.html