セブンネットショッピング、「デモ用ソースコード」が流出、XSS脆弱性も 「個人情報流出はない」
セブン＆アイグループが12月8日にオープンしたECサイト「セブンネットショッピング」のソースコードが流出したとネットで騒ぎになっている。同サイトの広報担当者によると、流出したのは「検証で使っていたデモ用コードで、本番用のものではない」。個人情報流出の可能性もないとしている。 デモ用のソースコードが公開サーバに置いてあり、誰でもアクセスできる状態になっていた。同社は12月17日午前、ソースコードに外部からアクセスがあったことに気付き、すぐに公開サーバから削除。「データベース等非公開サーバに侵入されたわけではなく、個人情報流出の危険はない」としている。 同サイトについては14日ごろから、XSS（クロスサイトスクリプティング）脆弱性も指摘されていた。「個人情報を扱うページではXSS脆弱性はなく、個人情報の流出はないが、そうでないページに脆弱性があった」とし、15日までに対策を取ったという。 届け
人気の圧縮ソフト「Lhaplus」にまたもや危険な脆弱性
情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）は2008年4月28日、ファイル圧縮・解凍ソフト「Lhaplus（ラプラス）」に新たな脆弱（ぜいじゃく）性が見つかったことを明らかにした。細工が施されたファイルを読み込むだけで、悪質なプログラム（ウイルスなど）を実行される危険性がある。同日公開された最新版「Lhaplus 1.57」では修正済み。 Lhaplusは、20種類以上のファイル形式を扱える圧縮・解凍ソフト。フリーソフトで、国内で広く使われている。今回報告された脆弱性は、Lhaplusが扱えるファイル形式の一つである「ZOO形式」で圧縮されたファイル処理に関するもの。 細工が施されたZOO形式の圧縮ファイルを読み込むと「バッファーオーバーフロー」と呼ばれるエラーが発生し、ファイルに仕込まれた悪質なプログラムを勝手に実行される恐れがある（図）。
Cisco Unififed Communications (VoIP) Vulnerabilities: Update your IP phones! - ripjyr's blog
CiscoのIP電話で複数の危険な脆弱性が存在するそうです。 早急に対応をしましょう！！！てことらしいです。 Cisco IP Phones present multiple and serious overflows and DoS vulnerabilities. It is time to update your VoIP phones! This issues affect phones using Skinny (SCCP) or/and SIP. The vulnerabilities affect several phone components, and the first four are specially relevant: DNS (CVE-2008-0530): Malicious DNS responses may trigger a buffer overfl
Live Mailのキャプチャを破るボットが登場、不正アカウントを大量取得
米Microsoftの無料Webメールサービス「Windows Live Mail」で、スパマーがボットプログラムを使ってアカウントを大量に不正取得し、迷惑メール送信に利用していることが分かった。セキュリティ企業のWebsenseが2月6日に伝えた。 Live MailなどのWebサービスでは、アカウントが不正取得されるのを防ぐため、「CAPTCHA」と呼ばれる画像で人間にしか判読できない変形文字を表示して入力させている。 しかしスパマー側は、CAPTCHAを破ってLive Mailのアカウントを取得できるボットを開発。登録したアカウントを使ってさまざまな攻撃を仕掛けているという。 このボットはLive Mailの登録ページでユーザー名などの欄に無作為の情報を入力。CAPTCHAの変形文字を入力するところまで来ると、CAPTCHA破りサービスに画像を送って読み取らせ、テキストを受け取る仕組
米マイクロソフトのセキュリティ情報「MS08-001」に対処する難しさ：ITpro
通常，Frequency X Blogでは特定の製品に言及するのを控えているが，今回はこのルールに例外を設けたい。筆者はプロダクト・マネージャであるがゆえに，製品の検討にかなりの時間を費やしている。 米マイクロソフトが2008年1月初頭に公開したセキュリティ情報「MS08-001」には，修復/保護の観点から，いくつか特殊な問題がある。まず，ユーザーは（Windows Updateで）更新プログラムそのものを受け取る。同プログラムは，中核をなすTCP/IPドライバを変更するが，この変更にはそうするだけの十分な理由がある。MS08-001でパッチが適用されたCVE-2007-0069の危険性をまだ知らない読者のために，以下に概要をまとめておこう。 現在サポート対象となっているマイクロソフトの全OSに影響する デフォルトで有効（Windows Server 2003は除く） リモート攻撃が可能
米マイクロソフトのセキュリティ情報「MS08-001」に対処する難しさ：ITpro - ripjyr's blog
でも思ったより、MS08-001は悪用されていませんよねぇ。。。。でも悪用されたらものすごく影響がでかいんですよ！これ。 MS08-001でパッチが適用されたCVE-2007-0069の危険性をまだ知らない読者のために，以下に概要をまとめておこう。 現在サポート対象となっているマイクロソフトの全OSに影響する デフォルトで有効（Windows Server 2003は除く） リモート攻撃が可能 ユーザーの操作は不要 これらは，「攻撃にはうってつけ」と言っているに等しい。詳細は，米IBM ISS（インターネット・セキュリティ・システムズ）のWebサイトに掲載されている。 ホストベースだったら攻撃を確認できないし、アンチウイルスも動作しないそうです。 なぜ？！？！昨今はFireWallやIPSがアンチウイルスに入っている気がするけど・・・ したがって，今回のTCP/IPカーネルのぜい弱性に対す
Windows関連のぜい弱性情報に賞金2万ドル
ITセキュリティ・サービスの米Digital Armamentsは，WindowsおよびWindows用アプリケーションに関するセキュリティ・ホール情報の提供を呼びかけている。情報提供者には2万ドルの賞金を支払う。 Digital Armamentsは，攻撃可能なセキュリティ・ホールの情報またはサンプル攻撃コードを集める目的で，「January-February Hacking Challenge」と題する活動を1月1日に開始した。情報の受け付けは2月29日に締め切る。賞金は通常の情報料に上乗せする形で提供する。 Digital Armamentsは定期的に未公開の検証コードを購入して，その詳細情報を顧客に再販する企業。米VeriSign傘下の米iDefense Labsや米Immunityなども同様の活動を行っている（関連記事：米Microsoft，ぜい弱性検証コードを公開したセキュリテ
脆弱性は気にしない？ PCユーザーの大半がパッチ修正を未適用
Secuniaの調べで、95％以上のユーザーのコンピュータから脆弱性を修正していないソフトが見つかった。 デンマークのセキュリティ企業Secuniaは1月9日、ソフトの脆弱性を修正しないまま使っているユーザーが95％強に上るという調査結果を発表した。 Secuniaは、コンピュータにインストールされているソフトのパッチ管理ツール「Secunia PSI」を提供しており、同ツールを過去7日間に新規導入したユーザー約2万人のコンピュータで、計180万あまりのアプリケーションのパッチ適用状況を調べた。 その結果、95.46％に「セキュアでないアプリケーション」がインストールされているのが見つかった。セキュアでないアプリケーションとは、ベンダーが公開している最新の脆弱性修正パッチを適用していない状態を指す。 セキュアでないアプリケーションが11本以上見つかったユーザーは41.94％。次いで6～10
「脆弱性情報はこう公表しよう」、IPAがマニュアルを公開
情報処理推進機構は、脆弱性に関して公表すべき項目などをまとめた「ソフトウェア製品開発者による脆弱性対策情報の公表マニュアル」を公開した。 情報処理推進機構（IPA）は5月30日、「ソフトウェア製品開発者による脆弱性対策情報の公表マニュアル」を公開した。ソフトウェア製品やWebサイトに存在する脆弱性情報の取り扱い方法をまとめることで、セキュリティ対策の推進を図ることが狙いだ。 IPAでは2004年7月より、経済産業省の告示に基づき、「情報セキュリティ早期警戒パートナーシップ」を運用してきた。脆弱性の発見から対応、情報公開までのプロセスを、ベンダーと複数のセキュリティ機関が協力して進めるもので、2007年3月までにソフトウェア製品とWebアプリケーション合わせて1299件の脆弱性が届出られている。 IPAではこうした経験を踏まえ、ソフトウェア開発者が過去にリリースした製品に脆弱性が存在すること
「金を払わなければ・・・」：セキュリティバグを人質にとる新ビジネスモデル:スペシャルレポート - CNET Japan
文：Dawn Kawamoto（CNET News.com） 翻訳校正：株式会社アークコミュニケーションズ、瀧野恒子、國分真人2007年08月23日 16時00分 ソフトウェアのバグはどのように公開されるべきか。最近設立されたあるセキュリティ調査会社のビジネスモデルをめぐって、さまざまな議論が交わされている。 2007年4月にJared DeMott氏が設立したVulnerability Discovery and Analysis Labs（VDA）は、製品中に発見されたセキュリティバグを開発元のソフトウェアベンダーに通知する。この点は他のセキュリティ研究者と変わらない。 次にVDAは、発見したバグや同社のコンサルティングサービスに対する支払いをベンダーに要求する。さもなければ、バグを第三者に売るか、あるいはセキュリティ上の脆弱性について詳細を公表するとベンダーを脅迫する。これはすべて、
オープンソースの暗号化ソフト「GNU Privacy Guard」に脆弱性
幅広く利用されているオープンソースの暗号化技術で問題が見つかった。攻撃者は、デジタル署名あるいは暗号化の施されたメールを悪用することができるという。 問題は、特定の電子メールアプリケーションが、「GNU Privacy Guard（GnuPGもしくはGPG）」を使って署名されたメッセージを表示する方法に存在するという。GnuPGグループが米国時間3月6日に公開したセキュリティ警告で明らかにした。GnuPGの処理方法を誤ると、メッセージのどの部分に署名が施されているのか、特定できなくなる可能性があるという。 警告によると、「署名のみ、あるいは署名と暗号化の施された『OpenPGP』メッセージの前後に新たにテキストを挿入して、新しいテキストも署名の対象となっているとユーザーに思わせることができる」という。 暗号化技術を使って、電子メールを認証したり暗号化したりするユーザーにとっては、これがリス
月例パッチの不具合は「2バイト言語環境」で発生、MSが技術文書公開
Excel 2000で1月の月例パッチを適用すると、一部ファイルが開けなくなるケースがあるという不具合は、日本語、韓国語、中国語環境で生じるものという。 Excel 2000の環境で1月9日にリリースされたセキュリティ更新プログラム「MS07-002」を適用すると、一部のExcel形式のファイルが開けなくなる場合があるという不具合に関して、マイクロソフトは1月12日、技術文書を公開した。 この情報によると、日本語、韓国語および中国語の環境で動作しているExcel 2000で作成された、ふりがな（phonetic information）を含む文書で問題が生じる。この条件に該当する文書を開く際のExcel 2000のプロセスによって不具合が生じてしまうという。 問題修正のためのプログラムなどはまだ用意されていない。マイクロソフトでは代替策として、Excel Viewer 2003やExcel
SRA、米Fortify製のアプリケーション脆弱性検知ソフトを発売
株式会社SRAは12月20日、アプリケーション脆弱性対策ソフト「Fortify Source Code Analysis Suite（以下、Fortify SCA）」の販売を開始したと発表した。 Fortify SCAは、アプリケーションの脆弱性を検知するソフトで、米Fortify Softwareが開発した製品。検知にあたっては、ソースコードをスキャンし、該当する部分を指摘するのみならず、推奨する対応方法もあわせて提示する。また言語やフレームワークごとの品質チェックルールも備えており、それをもとにチェックを行えるほか、独自のチェックルールを追加することもできる。 加えて、ソースコードスキャンのため、開発工程の途中におけるチェックも可能。セキュリティ上の問題点を早期にチェックでき、よる手戻り作業の発生やカットオーバー変更などを最小限で食い止められるメリットもあるという。 SRAでは、この製
「Vistaは2004年に見つかったマルウェアにも脆弱」--セキュリティ企業が警告
ウイルス対策ベンダーSophosが「Windows Vista」の複数の脆弱性について警告を発した。Vistaの完成版が正式に発表されてから初めてのものと思われる。 Sophosによると，Vistaは既に広く出回っているマルウェア3種類に対して脆弱であるという。これらのマルウェアのうち2種類は2004年から存在するものだ。 SophosがVistaで実行できたとする3種類のワームは，Sophosの呼び名では「Stratio-Zip」「Netsky-D」「MyDoom-O」となっている。 同社によれば，これら3種類のプログラムは現在出回っているマルウェアの39.7％を占めるという。MyDoomとNetskyの亜種に相当する2種類は2004年に発見されている。 Sophosによると，これらのマルウェアの影響を受けるのは，Vista上でサードパーティー製の電子メールクライアントを稼働している場合
Mac OSのゼロデイ脆弱性に対する攻撃コードが公開に
「Month of Kernel Bugs」キャンペーンの一環として最近発表された、いまだパッチが公開されていない「Mac OS X」の脆弱性に関して、セキュリティ研究者が攻撃コードを公にした。 研究者は米国時間11月20日、このコンセプト実証コードは、Apple ComputerのOSがディスクイメージ（DMG）ファイルを処理する方法に存在する脆弱性を悪用すると、キャンペーンのブログに記した。同キャンペーンは、ローレベルのソフトウェアで見つかった新たな脆弱性の詳細を、11月中毎日公開していくというもの。 「LMH」というイニシャルを使うこの研究者は、「Mac OS Xのcom.apple.AppleDiskImageControllerが、破損したDMGのイメージ構造を適切に処理できないため、悪用可能なメモリ破損エラーが生じ、特権を持たないユーザーによってカーネルモードで任意のコードを実
Firefoxでパスワードが流失する脆弱性が発覚 | OSDN Magazine
米Mozilla CorporationのWebブラウザ「Firefox」でパスワードが流失する脆弱性が発覚した。この問題は、Firefoxで使用されているパスワード管理ソフト「パスワードマネージャ」の欠陥が原因であり、これが悪用されると、パスワードなどのユーザー情報が攻撃者のWebサイトに送信されるおそれもある。 この脆弱性は、ユーザーがブログやSNS（ソーシャル・ネットワーキング・サービス）などに情報を書き込んで送信するときに発生する。脆弱性を発見した米国チャピン・インフォメーション・サービシズの社長、ロバート・チャピン氏は、「Firefoxのパスワードマネージャが、要求元のサーバに対してパスワードが送信されたかどうかを確認する仕様になっていないことが原因だ」と指摘。同氏はこの攻撃を「リバース・クロスサイト・リクエスト」と命名した。 実際、米国最大手のSNSである「MySpace」では
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA 脆弱性情報共有フレームワークに関する調査報告書 ～中小規模組織における脆弱性対策促進への各国の取り組み～ - まるちゃんの情報セキュリティ気まぐれ日記
「ソフトの脆弱性を修正しないまま使っているユーザーが95％強」との調査結果 | 情報セキュリティニュース | 情報セキュリティブログ | 日立システムアンドサービス
IPA、セミナー受付フォームにXSSの脆弱性が見つかる
Mac OS X用のセキュリティパッチ「2006-007」公開、22件の脆弱性を修正