GHOST 脆弱性は如何様に使うのか | Webシステム開発／教育ソリューションのタイムインターメディア
先日 GHOST と呼ばれる glibc の脆弱性が発表された。なんでも、「リモートから任意のコードを実行できる可能性がある」らしいではないか。しかも様々なプログラムで利用されているライブラリ部分の問題とあって、影響範囲がとても広い。なかなか厄介なことである。 はて、しかし一体全体どうやってリモートから任意のコードを実行しようというのだろう？ 話を聞くに、たかが数バイトの情報を範囲外のメモリに書き込める可能性があるだけだという。実際それだけのことでサーバーの乗っ取りなどできるものなのだろうか。そんなわけで、その疑問に答えるべく、本記事では以下の URL で解説されている実際の攻撃方法を若干端折って紹介してみようと思う。 http://www.openwall.com/lists/oss-security/2015/01/27/9 なお、本記事はこの脆弱性そのものに対する緊急度などについて言
IPAが安全なAndroidアプリ開発のためのチェックリスト公開
独立行政法人 情報処理推進機構（IPA）は2012年6月13日、「『Androidアプリの脆弱性』に関するレポート」を公開した。Androidアプリの脆弱性の例と、Androidアプリで脆弱性を作り込みやすいポイントをまとめた簡易チェックリストを掲載している。 IPAによれば、同機構に届け出られるAndroidアプリの脆弱性関連情報が増加しているという。2012年5月末までの累計で42件の届け出があり、その7割超が「アクセス制限の不備」の脆弱性だった。すなわち、アクセス制限が適切に実施されていないために、非公開または公開を限定すべき情報や機能に、第三者がアクセス可能になっていた。 「Androidの仕組みを理解し、適切にアクセス制限の設定をしていれば防ぐことのできる脆弱性だが、多くの届け出があったという事実から、このAndroid特有の設定の内容が開発者に周知できておらず、結果的に、アクセ
もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
MozillaがJavaをブラックリストに入れることを検討
