脆弱性発見のプロ「キヌガワ マサト」さんは日本人だった
脆弱性を見つけてセキュリティ対策に貢献しているのが、「バグハンター」と呼ばれる存在だ。Googleなどベンダーの報奨金で生計を立てているという「キヌガワ マサト」さんが、プロのバグハンターとしての“愉しみ”を紹介してくれた。 ソフトウェアのバグや脆弱性は、軽微な不具合からセキュリティ上の深刻な問題を引き起こすものまで、様々なものがある。開発者が幾ら注意しても脆弱性をなくすことは非常に難しいが、外部の立場から脆弱性を見つけてセキュリティ対策に貢献する「バグハンター」という存在をご存じだろうか。 GoogleやMicrosoft、サイボウズなど一部のベンダーは、脆弱性を報告したバグハンターに報奨金などを支払う制度を運営。その報奨金で生計を立てるプロの一人が「キヌガワ マサト」さんだ。12月18、19日に行われたセキュリティカンファレンス「CODE BLUE」では、キヌガワさんがプロのバグハンタ
脆弱性"&'\ Advent Calendar 2014 (17日目) - 葉っぱ日記
この記事は脆弱性"&'<<>\ Advent Calendar 2014の17日目の記事です。今日は少し昔話をしようと思います。がはは。 かつて、日本製TwitterのようなWassrというサービスがありました。当時、Twitterは数日に一度くらいはサービスが落ちていて、Twitterユーザーも「またか」と思いながら我慢して使うようなサービスであり、Twitterが落ちるたびにWassrはユーザーを増やすとともに、画像の添付のように当時Twitterにはまだなかった機能をどんどんアグレッシブに取り入れていく、使っていて楽しいサービスでした。 さて、そんなWassrがある日絵文字機能を導入しました。当時はUnicode絵文字もなくスマートフォンも普及しておらず、主にレガシーな携帯電話で使える絵文字をなんとかWeb上でも使えるようにしたという感じのものでした。 絵文字をパレットから選択すると
CVE-2014-8090: REXML における XML 展開に伴う新たなサービス不能攻撃について
Posted by usa on 13 Nov 2014 REXML において XML のパラメータエンティティの展開によりサービス不能攻撃が可能となる新たな脆弱性が報告されました。 この脆弱性は、既に修正済みの「REXML におけるエンティティ展開に伴うサービス不能攻撃について (CVE-2013-1821)」および「CVE-2014-8080: REXML におけるXML展開に伴うサービス不能攻撃について」と類似していますが、これらとは別に対応が必要となります。 この脆弱性は CVE-2014-8090 として CVE に登録されています。 ユーザーの皆さんには Ruby を更新することを強くお勧めします。 詳細 この脆弱性はCVE-2013-1821およびCVE-2014-8080と関連しています。 これらの脆弱性に対しては、再帰的エンティティ展開において、置換実行数および展開後文字
IPAにIPAの脆弱性を報告した - kusano_k’s blog
JVNDB-2014-000133 iLogScanner におけるクロスサイトスクリプティングの脆弱性 IPAはソフトウェアやウェブアプリケーションの脆弱性関連情報の届け出を受け付けている。 IPAがiLogScannerというツールを出していることを知った。 Apacheとかのログを入力すると攻撃の兆候を検出してくれるという便利そうなツール。 IPAのソフトに脆弱性があったら面白いと思い、探すことにした。 とりあえず、まずは動かしてみようと、ksnctfのログを食わせてみた。 何もしていないけど、終了。 脆弱性の詳細 iLogScannerは攻撃と思われるログを出力するけど、その際エスケープが行われていなかった。ブラウザのURLに<や>などを入力してもURLエンコードされてしまうが、telnetなどで直接書き込むとApacheのログにも<や>が残る。 脆弱性の悪用方法 攻撃者がターゲッ
「ShellShock」は公式パッチでは不十分、JPCERT/CCが追加の注意喚起
図中の*1は、JPCERT/CCが公開されている検証コードを用いて脆弱性への影響を確認したことを、*2は発見者がパッチ適用により影響を軽減できると報告していることを示している JPCERTコーディネーションセンター（JPCERT/CC）は2014年9月30日、LinuxなどUNIXベースのOSで広く使われているシェル「GNU Bash」で2014年9月24日に見つかった非常に危険な脆弱性、いわゆる「ShellShock」に関して、現在公式に提供されているパッチでは防ぎ切れない攻撃があるとし、追加の注意喚起を行った。 ShellShock関連の脆弱性は9月30日現在、大きく5種類報告されている。これらの脆弱性に対して、GNUプロジェクトが配布しているGNU bash 4.3のソースファイルにパッチを累積的に適用し、コンパイルして検証したところ（OSはCentOS 6.4）、最新バージョンであ
BASHの脆弱性でCGIスクリプトにアレさせてみました
環境変数に仕込まれたコードを実行してしまうBASHの脆弱性が CGIスクリプトに影響を与えるか試してみたら結果は悲惨な感じに Tweet 2014年9月25日 嶋田大貴 この記事は2014年のものです 朝から Bash specially-crafted environment variables code injection attack なるもので騒ぎになっていたので、さっそく手元の Apacheで試してみました。 /hoge.cgiというURIで実行されるように、一行のメッセージを出力するだけの CGIスクリプトを設置します。いっけん、なんの入力もクライアント側から受け付けていないため危険のありようもなく見えます。 #!/bin/sh echo "Content-type: text/plain" echo echo "Hi! I'm an ordinary CGI script w
管理できていないウェブサイトは閉鎖の検討を：IPA 独立行政法人 情報処理推進機構
～ IPA に今まで届出のあった “安全でない CMS を利用しているウェブサイト” 241 件のうち、脆弱性解消の目処が立っていないのは 50 件（約 2 割） ～ 対象 古いバージョンのコンテンツ管理システム（CMS：ウェブサイトのページを管理するシステム）の脆弱性を狙ったウェブ改ざんが横行しています。改ざんによりウェブサイトにウイルスを仕掛けることも可能なため、問題のあるウェブサイトを放置しておくことは、ウイルス拡散に悪用されかねません。 ウェブ改ざんによってウェブ閲覧者がウイルス感染するイメージ図 特に、Web Diary Professional（以後、WDP）と Movable Type という CMS については、以下の注意喚起の通り、攻撃が活発化しています。 大阪府警察 偽サイトへ誘導するページを蔵置するための不正アクセスの手口について http://www.police.
閲覧だけでウィルス感染のおそれ--「H.I.S.」など3サイトで発覚
旅行会社の「H.I.S.」とブログサービス「JUGEM」、動画サービス「PANDORA.TV」のウェブサイトが、何者かによって、閲覧しただけでウイルスに感染するよう仕組まれていたことがわかった。セキュリティソフトのシマンテックによれば、日本のユーザーの銀行口座情報などが狙われたという。Adobe FlashやJavaScriptの脆弱性を悪用した攻撃だとしている。 H.I.Sを運営するエイチ・アイ・エスと、JUGEMを運営するGMOペパボは、ウィルスの除去がすでに完了したことを伝え、サイト閲覧者にウィルス感染の確認と駆除を促している。韓国パンドラTVが運営するPANDORA.TVについては、シマンテックが発表したレポートに、ウィルス感染の攻撃を受けたウェブサイトとして名前が挙げられている。5月31日15時時点で、パンドラTVによる文書などでの発表はない。 ウィルス感染の確認と駆除をするには
OAuthとOpenIDに深刻な脆弱性か--Facebookなど大手サイトに影響も
OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。 シンガポールにあるNanyang Technological University（南洋理工大学）で学ぶ博士課程の学生Wang Jing氏は、「Covert Redirect」という深刻な脆弱性によって、影響を受けるサイトのドメイン上でログイン用ポップアップ画面を偽装できることを発見した。Covert Redirectは、既知のエクスプロイトパラメータに基づいている。 たとえば、悪意あるフィッシングリンクをクリックすると、Faceboo
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
