[B! 脆弱性] kochizufanのブックマーク

1年以上前に発売されたOS X Macは要注意!?重大な脆弱性が発見される!リモート乗っ取りが可能に | 小龍茶館

セキュリティ研究者が先日、AppleのMac用OS、OS Xを外部からコントロールできてしまう方法を見つけたという情報がSlashGearから入った。この悪意のある攻撃ツールを使えば、攻撃者はリモートでファームウェアを上書きし、デバイスを再起動することができてしまうという。そしていったん攻撃者に狙われると、再起動後は意のままにその攻撃対象のOS X搭載マシンを操られてしまうという。これは恐ろしい攻撃ツールだ。 Pedro Vilaca氏による攻撃ツールでどこにいてもOS Xマシンをリモートで乗っ取られるように。。この攻撃ツールについてはセキュリティ研究家Pedro Vilacaのブログ記事にて詳細が語られている。この攻撃方法は持続的に、しかも物理的な接触なしにMacの低層レベルのコントロールを可能にしてしまうもので、簡単にいえば悪意のあるハッカーが地球上どこにいたとしても、あなたのシステ

kochizufan 2015/06/02

リンク

華麗なる因数分解:FREAK攻撃の仕組み - ぼちぼち日記

1. はじめにちょうど今朝 OpenSSLをはじめとした様々なTLS実装の脆弱性の詳細が公表されました。この InriaとMSRのグループは以前からTLSのセキュリティに関して非常にアクティブに調査・検証をしているグループで、今回も驚きの内容でした。このグループは、TLSのハンドシェイク時の状態遷移を厳密にチェックするツールを開発し、様々なTLS実装の脆弱性を発見・報告を行っていたようです。特にFREAKと呼ばれるOpenSSLの脆弱性(CVE-2015-0204)に関しては、ちょうど修正直後の1月初めに Only allow ephemeral RSA keys in export ciphersuites で見ていましたが、具体的にどのように攻撃するのかさっぱりイメージできず、あのグループだからまた超絶変態な手法だろうが、まぁそれほど深刻じゃないだろうと見込んでいました。今回

kochizufan 2015/03/05

またか

リンク

GPS2点間距離を使用した住所特定の脆弱性 - 素人がプログラミングを勉強していたブログ

先日、非常に珍しい、GPSつかったチャットの脆弱性を発見したので、ここに注意もかねて書いておく。簡単に言うと、WebSocketに生で自分でGPS座標を送り、相手との距離差を何度でも取得できる脆弱性で、離れてる、近いくらいしか分からないことを前提にGPS使用を許可してる時に〜町にいる、とわかってしまうという、聞いたことない感じの珍しい脆弱性である。websocketでイベント駆動にしてるとついうっかりステート管理があやふやになりがちである。さて、下記は脆弱性の存在したchatpad.jpのサポートに送ったメールである。 Subject: GPSを使用した機能に関する脆弱性について初めまして。いつも楽しくChatPad使わせて頂いております。件名の通り、GPSに関する脆弱性を発見しました。これは相手の住所が相手の意図に反し高精度（最大で市町村程度まで）特定できてしまうというもので、

kochizufan 2013/03/08

リンク

大学のシステムに脆弱性を発見し報告した学生が退学処分に

正直者がバカを見る... モントリオールのドーソン大学（Dawson College）が、大学のオンライン学生ディレクトリに脆弱性を見つけて報告してきた学生をなんだかんだいちゃもんつけて退学処分にしていたことがわかりました。退学になったのはコンピュータサイエンス専攻のアーメド・アルカバーズ（Ahmed Al-Khabaz）君。アルカバーズ君は大学のデータに携帯からアクセスできるモバイルアプリを友だちと一緒に開発してたんですが、その作業の途中で、学生の個人情報リークに繋がる恐れのある極めて深刻な脆弱性（本人は｢ずさんなコーディング｣と呼んでいる）があることに気づきました。リスクに晒されてる個人情報はどういうものかと申しますと、｢社会保険番号（SIN）、自宅住所、講義スケジュールなど...基本的に大学側が管理する学生情報すべて｣（アーメド・アルカバーズ君）。こりゃえらいこっちゃ...と

kochizufan 2013/01/25

リンク

Evernote の XSS 脆弱性に関して mala 氏のつぶやき

要するに、解決されるまではログアウトしとけということだそうデス。【2011/04/20 12:20 追記】ひゃっはー的なおまけを追加しました。【2011/04/20 00:30 追記】多分これで最後。以降は Evernote の正式発表を待った上で、それを信用して利用するかどうかは各個人の判断にお任せします。【2011/04/19 17:05 追記】午後の部追記。なお、エントリを起こされている方がおりましたのでご紹介。＞『bulkneets氏によって報告されたEvernoteのXSS脆弱性とは危険と対策』( http://d.hatena.ne.jp/pichikupachiku/20110419/1303158373 ) 続きを読む

kochizufan 2012/02/15

リンク

Android OSで新たなセキュリティ脆弱性発見の報告 - 搭載端末の99%に影響 - WirelessWire News（ワイヤレスワイヤーニュース）

ほぼすべてのAndroid搭載端末に影響を与えそうなセキュリティ脆弱性が見つかったと、独ウルム大学の研究者が報告している。現地時間13日に公表されたこの報告によると、バージョン2.3.3までのAndroid OSでは、ユーザー認証のための「ClientLogin」というプロトコルがきちんと実装されていないため、この点を悪用されると、Google サーバー上にあるユーザーのカレンダーや電話帳データなどの個人情報が簡単に盗まれてしまうおそれがあるという。この問題に対処するため、グーグル（Google）は今月に入ってAndroid OSの新しいバージョン（ver. 2.3.4）をリリースしていた。だが、この新バージョンでもAndroid端末が写真共有サービス「Picasa」のサーバとデータを同期する際には、個人情報などが暗号化されずに通信される問題が残っているという。グーグルによれば、同社の