Oracle Java の脆弱性対策について(2024年7月) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
MyJVNバージョンチェッカで最新バージョンのソフトウェアをチェックする 概要 2024年7月17日（日本時間）に Oracle Java に関する脆弱性の修正プログラムが公表されています。 これらの脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンを制御されたりして、様々な被害が発生するおそれがあります。 攻撃が行われた場合の影響が大きいため、早急に修正プログラムを適用して下さい。 対象 サポートされている以下の Oracle 製品が対象です。 Oracle Java SE 22.0.1 Oracle Java SE 21.0.3 Oracle Java SE 17.0.11 Oracle Java SE 11.0.23 Oracle Java SE 8 Update 411-perf Oracle Java SE 8 Update 411 対策
重要情報を扱うシステムの要求策定ガイド | 社会・産業のデジタル変革 | IPA 独立行政法人 情報処理推進機構
独立行政法人情報処理推進機構（IPA）は、経済産業省からの要請を受けて、重要情報を扱うシステムにおけるサービスの安定供給にあたって、そのシステムのオーナーである管理者が、必要な対策を策定できる「重要情報を扱うシステムの要求策定ガイド」を公開しました。 概要 通信や電力などをはじめとした重要情報を扱うシステムには、サービスの安定供給が強く求められ、非平常時でも自らの統制力を確保する「自律性」が要求されます。一方で、ビジネス環境や技術環境がめまぐるしく変化する今日では、変化への対応力など「利便性」を備えたクラウドサービスなどへの要求も高まっています。そこでIPAは、重要情報を扱うシステムの構築・調達・運用時に、管理者が「自律性」と「利便性」の双方を両立したシステムの要求仕様を策定できるようガイドを定めました。 本ガイドは管理者が環境の変化を捉え、それに伴う問題・リスクや利便性の要素を整理し、対
セキュリティエンジニアのための English Reading | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 私たちは中核人材育成プログラム 第5期受講生として、1年間にわたり様々な講義を受け、演習を実施してきました。その過程で、変化し続けるサイバーセキュリティの世界では、世界中の情報を的確に収集し成長を続けることが大事であることを学びました。 世界中の情報を利用するためには英語の力、中でもリーディングの力が不可欠です。しかし、私たち日本のセキュリティエンジニアの多くは英語に苦手意識を持っており、的確な情報活用ができていないのが現状です。 本プロジェクトは、日本のセキュリティエンジニアの情報収集力・成長力レベルアップのため、その手段としての英語リーディングの意欲・能力向上を目指して企画されました。実務や学習にお役立ていただければ幸いです。 想定利用者 日本語話者のセキュリティエンジニア全般ですが、中でも「ユーザー企業や官公庁で働く実務担当者」を主なターゲットとしています。「英語はちょっと……
Apache Struts2 の脆弱性対策について(CVE-2018-11776)(S2-057) | アーカイブ | IPA 独立行政法人 情報処理推進機構
Apache Software Foundation が提供する Apache Struts は、Java のウェブアプリケーションを作成するためのソフトウェアフレームワークです。 Apache Struts 2 には、以下の条件の両方を満たす場合に、リモートで任意のコードが実行される脆弱性(CVE-2018-11776)が存在します。 alwaysSelectFullNamespace を true に設定している場合 Struts設定ファイルに、オプションのnamespace属性を指定しないか、ワイルドカードネームスペースを指定する "action"タグまたは "url"タグが含まれている場合 本脆弱性が悪用された場合、遠隔の第三者によって、サーバ上で任意のコードを実行される可能性があります。 本脆弱性を悪用する攻撃コードが公開されていますので、対策済みのバージョンへのアップデートをし
「ソフトウェア開発データが語るメッセージ2017」を公開～ソフトウェアの信頼性は向上するも生産性は低下傾向～：IPA 独立行政法人 情報処理推進機構
概要 独立行政法人情報処理推進機構ソフトウェア高信頼化センター（以下、IPA/SEC）は2018年3月6日、「ソフトウェア開発データが語るメッセージ2017」（以下、本書）を公開しました。 本書は、「ソフトウェア開発データ白書2018-2019」（2018年10月発行予定）作成用に収集した最新のプロジェクトデータに基づいて、ソフトウェア開発の傾向を分析したものです。 分析の結果、ソフトウェア開発の信頼性は向上しているものの、ソフトウェアの品質に対する要求の高まりにより、生産性は低下傾向にあることが分かりました。また、生産性・信頼性の向上には定量的管理を推進し、品質要求レベルに見合った生産性目標を設定すべきこと、さらに、要員の人材育成が重要であることが分かりました。 背景と目的 近年、ソフトウェアの大規模化／複雑化が進む一方、信頼性向上、生産性向上、開発期間短縮等の要求は高まっています。この
トレンドマイクロ株式会社製の複数の製品における DLL 読み込みに関する脆弱性について(JVN#28865183) | アーカイブ | IPA 独立行政法人 情報処理推進機構
トレンドマイクロ株式会社が提供する複数の製品には、当該製品をインストールした状態で他のアプリケーションのインストーラを実行した際に、他のアプリケーションのインストーラが配置してあるディレクトリに存在する特定の DLL が読み込まれてしまう脆弱性が存在します。
IPAテクニカルウォッチ 知らぬ間にプライバシー情報の非公開設定を公開設定に変更されてしまうなどの『クリックジャッキング』に関するレポート：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、知らぬ間にプライバシー情報の非公開設定を公開設定に変更されてしまうなどの恐れのある「クリックジャッキング」攻撃への対策状況に関する調査を行いました。その結果、ほとんどのウェブサイトで対策が行われていなかったため、「クリックジャッキング」の仕組みやその対策のポイントをまとめた技術レポート（IPAテクニカルウォッチ 第17回）を作成、公開しました。 「クリックジャッキング」は2008年にその脅威が周知された攻撃で、ユーザを視覚的にだまして正常に見えるウェブページ上のコンテンツを示し、実際は別のウェブページのコンテンツをクリックさせる攻撃のことです。操作した自覚がないにもかかわらず、SNSサイトなどウェブサイト上で非公開としていたプライバシー情報が公開設定に変更されてしまうなど、情報漏えいの原因の一つとなっています。既に主要なブラウザ
プレス発表：「安全なウェブサイトの作り方」に別冊「ウェブ健康診断仕様」を追加～基本的な脆弱性対策ができているか現状を知るために～：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、「安全なウェブサイトの作り方」に、別冊「ウェブ健康診断仕様」を加えた改訂第6版を2012年12月26日（水）からIPAのウェブサイトで公開しました。 URL： http://www.ipa.go.jp/security/vuln/websecurity.html 「安全なウェブサイトの作り方」は、IPAが届出を受けたソフトウェア製品及びウェブアプリケーションに関する脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が、適切なセキュリティを考慮したウェブサイトを作成するために公開している資料です。2006年の発行以来改版を重ね、広く活用されています。 今回、新たな別冊として「ウェブ健康診断仕様」を加えました。この別冊では、ウェブサイトで基本的な脆弱性対策ができている
「CSRF」と「Session Fixation」 の諸問題について
1 「CSRF」と「Session Fixation」 の諸問題について 独立行政法人産業技術総合研究所 情報セキュリティ研究センター 高木 浩光 http://staff.aist.go.jp/takagi.hiromitsu/ 情報処理推進機構 ウェブアプリケーション 開発者向けセキュリティ実装講座 2006年2月28日, 4月4日 後日配布資料 2 目次 • 前提知識の確認 – Webアプリにおけるセッション追跡と認証の実装手段 – セッションハイジャック攻撃の原理と脅威 • CSRF (Cross-Site Request Forgeries) 別名: Session Riding – 歴史的経緯、原因、脅威、技術的対策、適法な存在推定手段 • Session Fixation – 歴史的経緯、原因、脅威、技術的対策、適法な存在推定手段 3 セッション追跡と認証の実装手段 • セッ
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
情報処理推進機構：プレス発表
定量データに基づくプロジェクト診断支援ツールの一般公開開始 〜“経験”“勘”に拠らない数値に基づいたプロジェクト管理へ〜 独立行政法人 情報処理推進機構（略称：IPA、理事長：藤原 武平太）は、企業から収集したデータを基に分析・可視化した「ソフトウェア開発データ白書」の統計情報を活用し、ソフトウェア開発におけるプロジェクトのQCD(Quality：品質、Cost：価格、Delivery：納期)の見える化を支援する「定量データに基づくプロジェクト診断支援ツール」を、2007年12月25日より一般に公開しました。 IPAソフトウェア・エンジニアリング・センター(SEC)では、経済産業省主導の「ソフトウェア開発力強化推進タスクフォース 1」活動の一環で、ベンダ企業から収集したプロジェクトデータを統計分析し、「ソフトウェア開発データ白書」を2005年から毎年発行しています。今般、データ白書の
現行の「セキュア・プログラミング講座」：IPA 独立行政法人 情報処理推進機構
「セキュア・プログラミング講座」（旧版）のコンテンツを作成して以来、 4年が経過しました。 セキュリティセンターは、文部科学省からの科学技術振興調整費財源 [1] に基づいて「ソースコード検査技術の脆弱性検出能力向上のための研究」を実施した一環として、取りまとめた内容を「セキュア・プログラミング講座」の改訂版として編集しました。ここに公開します。 http://www.ipa.go.jp/security/awareness/vendor/programmingv2/index.html 前の版は、典型的な脆弱性について紹介し、それらについての対策を説明していましたが、今般の改訂版は、ソフトウェアの開発工程に沿って、意識すべき論点を整理しました。 これには下流の工程においては、取り返しがつかない脆弱性をもってしまわないように、上流工程（要件定義、設計）から脆弱性対策の論点を意識できるように
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
提案依頼書に含まれる 無理難題の分類
情報セキュリティ10大脅威 2020年版 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構