Intel、「Meltdown」と「Spectre」に対処する最新マイクロコードをリリース
Intel、「Meltdown」と「Spectre」に対処する最新マイクロコードをリリース：「Kaby Lake」「Coffee Lake」「Skylake」プラットフォームをカバー Intelは、「Meltdown」および「Spectre」と呼ばれるCPUの脆弱（ぜいじゃく）性に対処するための最新マイクロコードをリリースし、関連する最新セキュリティ情報を公開した。 Intelは2018年2月20日（米国時間）、Googleのセキュリティチーム「Project Zero」が明らかにした「Meltdown」および「Spectre」と呼ばれるCPUの脆弱（ぜいじゃく）性に対処するためのマイクロコードアップデートを、OEM顧客およびパートナー向けにリリースしたと発表した。 このマイクロコードアップデートは、「Kaby Lake」「Coffee Lake」「Skylake」（いずれもコード名）ベー
安全な脆弱性の作り方 - 葉っぱ日記
この記事は 「脆弱性"&'<<>\ Advent Calendar 2016」16日目の記事です。具体的な脆弱性の話でなくてすみません。いろいろコードを書いていると、安全に脆弱性を発生させたくなるときがあります。って書くとさっぱり意味がわからないと思いますが、セキュリティの講義のための演習環境とかそういうやつです。 受講生自身の手でWebアプリケーションの脆弱性を探してもらうような演習では、検査対象となる脆弱性を含むWebアプリケーションを用意する必要があります。こういった「脆弱なWebアプリケーション」は例えば Broken Web Applications Project のようなものを代表にいくつかのものがありますが、これらはUIが英語であったり、あまりにもメジャーすぎて受講生も触っている可能性があったりと、場合によっては利用が難しいことがあります。特に、単一のWebサーバに対して複
プレス発表 IPAテクニカルウォッチ「ウェブサイトにおける脆弱性検査手法」の公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：富田 達夫）セキュリティセンターは、2013年に公開した“IPAテクニカルウォッチ”「ウェブサイトにおける脆弱性検査手法の紹介」を更新し、「ウェブサイトにおける脆弱性検査手法（ウェブアプリケーション検査編）」として本日公開しました。 本書では、5種の無償ツールによる検出方法等の解説や、無償ツールの活用例を3点提案しています。 URL：https://www.ipa.go.jp/security/technicalwatch/20160928-2.html ウェブサイトの脆弱性が原因で発生した、情報漏えいや悪意あるサイトへの誘導などの被害は組織の業種、規模を問わず後を絶ちません。一般的にウェブサイトの脆弱性の検出と対策は“継続的な実施”と“開発時の集中的な実施”に大別されます。 IPAでは、こうした相次ぐインシデントは、後者の“開発時の集中的な実
バグハントの話2016up
AVTokyo2016で発表した「バウンティハンターになろう!2016」のスライドですRead less
実例に学ぶXSS脆弱性の発見と修正方法/line_dm 16 20160916 how to find and fix xss
LINE Developer Meetup in Fukuoka #16 http://connpass.com/event/38413/
Vulsで危険な脆弱性を最速検知！(The fastest detection of dangerous vulnerability by Vuls! )
Vulsで危険な脆弱性を最速検知！(The fastest detection of dangerous vulnerability by Vuls! )
脆弱性情報はこうしてやってくる
NetskopeTM is the leader in cloud app analytics and policy enforce- ment. Only Netskope eliminates the catch-22 between being agile and being secure and compliant by providing complete visibility, enforcing sophisticated policies, and protecting data in cloud apps. The document discusses the cyber kill chain framework, which outlines the stages of a cyber attack: reconnaissance, weaponization, del
MMSを受け取るだけでiPhoneの各種認証情報・パスワードを抜き取れる脆弱性が明らかに
By Omar Jordan Fawahl MMSを開いたりTwitterのリンクをクリックするだけで端末を乗っ取られるというAndroid端末の95％に存在していた脆弱性「Stagefright」が2015年7月に報告されていましたが、このStagefrightに酷似した脆弱性がiOSおよびOS Xにも存在することが判明しました。 Cisco Talos Blog: Vulnerability Spotlight: Apple Remote Code Execution With Image Files http://blog.talosintel.com/2016/07/vulnerability-spotlight-apple-remote.html#more Apple Lovers Get Patching -- Just One Text Can Steal Your iPho
ImageMagickの脆弱性(CVE-2016-3714他)についてまとめてみた 2016-05-04 - piyolog
画像処理ソフトImageMagickに複数の脆弱性が存在するとして2016年5月3日頃、CVE-2016-3714他の脆弱性情報が公開されました。ここでは関連情報をまとめます。 ImageMagick 開発チームの情報 2016年5月3日 ImageMagick Security Issue 脆弱性情報 対象 ImageMagick CVE CVE-2016-3714 CVE-2016-3715 CVE-2016-3716 CVE-2016-3717 CVE-2016-3718 影響 RCE 重要度 CVE-2016-3714：Important(Redhat)/緊急(JPCERT/CC) PoC PoC公開あり。 in the wildとの情報もあり。 CVSS(v2) CVE-2016-3714：6.8(Redhat)/9.3(CERT/CC) 発見者 Nikolay Ermishki
あなたのサーバは本当に安全ですか？今もっともイケてる脆弱性検知ツールVulsを使ってみた - Qiita
はじめに サーバ管理をしている身としては、 セキュリティ は常に付きまとう悪魔みたいなもので、このセキュリティに関しては何をどこまで頑張ればいいのか不透明な部分が多い。 脆弱性に関しては、CVEなど、毎日情報は入ってくるが、それがどのサーバの何に関連したものなのかなんていちいち調べてられないし、どの脆弱性がすぐに対応しなければいけないもので、どの脆弱性があとあと対応すればいいものなのかなんてわからない。 実際のところ、大きな話題になった脆弱性くらいしか緊急で対応してないという人は多いのではないかと思う。 そんな中、満を持して登場したのが vuls !! 各サーバの脆弱性情報を取得して、個々のサーバそれぞれでどんな脆弱性があり、どのくらいやばい脆弱性なのかを検知できるようになった！ 今回はこのvulsを紹介します。 Vulsとは 公式でロゴが発表されたので、差し替えました 公式ドキュメント:
古いAndroidは「XP状態」、ランサムウェア感染攻撃を確認
「Android 4.xを搭載した端末の多くはWindows XPを搭載したPCと同じ状態」と専門家は解説する。 Androidの過去のバージョンに存在する複数の脆弱性を突いて、Webページを見ただけでランサムウェアに感染させる攻撃が出回っているという。セキュリティ企業のBlue Coat Systemsが4月25日のブログで伝えた。 それによると、この攻撃には広告を使ってWebページから不正なJavaScriptを読み込ませる新たな手口が使われていた。問題のJavaScriptには、イタリア企業のHacking Teamから流出した「libxslt」の脆弱性を突くコードが仕込まれ、これを使ってランサムウェアアプリをインストールさせる仕組みだった。Androidアプリをインストールする過程で通常は表示されるパーミッション確認画面も表示されなかったという。 ランサムウェアは捜査当局を名乗って
OpenSCAPの検証/導入編 - s_tajima:TechBlog
SCAPとは SCAP(Security Content Automation Protocol)とはNISTによって管理されている規格。 エンタープライズシステムのセキュリティメンテナンスの標準化のためにつくられたもの。 パッチの存在確認の自動化 システムのセキュリティ設定の確認 不正アクセスの痕跡の調査 ...等 OpenSCAPとは SCAPの構成要素は脆弱性や設定等のセキュリティデータを伝えるための、複数の複雑なデータ変換フォーマットを含む。 歴史的な理由から、これらの情報に適切なフォーマットで問い合わせをするツールはほとんどなかった。 そのようなツールの欠落は、SCAPを使ってもらうことの障壁になっていた。 OpenSCAPプロジェクトは、SCAPへのアクセシビリティを向上させることを目的としている。 OpenSCAPは、以下のコンポーネントで構成される。 Library - S
【セキュリティ ニュース】VMware ESXiや仮想アプライアンスに「glibc」の脆弱性が影響（1ページ目 / 全1ページ）：Security NEXT
VMwareは、同社製品の一部がGNUのCライブラリ「glibc」に見つかった脆弱性「CVE-2015-7547」の影響を受けるとしてアドバイザリを公表した。 脆弱性は「ESXi 5.5」と「ESXi 6.0」に影響があり、前者に対してはパッチ「ESXi550-201602401-SG」を用意。後者へ「ESXi600-201602401-SG」を提供する。「同5.5」より以前のバージョンは、問題の「glibc」を含まず、影響を受けないという。 また「VMware仮想アプライアンス」に脆弱性が存在する「glibc」が含まれる場合があり、回避策を講じるなど対策を呼びかけている。 （Security NEXT - 2016/02/25 ） ツイート
HTTPSサイトの3割に影響する「DROWN」脆弱性見つかる--OpenSSLはパッチ公開
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2016-03-02 11:13 最近発見されたOpenSSLのセキュリティホールは、かなり前に使用が禁止されたセキュリティプロトコルであるSSLv2を利用して、最新のウェブサイトを攻撃するというものだ。 この「DROWN」（Decrypting RSA with Obsolete and Weakened eNcryption）と名付けられた攻撃手法は、全HTTPSサーバの少なくとも3分の1に有効だと推定されている。 DROWNの危険性は、Alexaのランキングで上位に入っているウェブサイトの一部（米Yahoo、Sina、Alibabaを含む）に、DROWNを使った中間者攻撃に対する脆弱性が存在していることからも分かる。 よく使われていることもあって、DROWN攻撃の対象
しりちゃん LINEボット - 【LINE脆弱性】LINE公式からの回答と不明点について。 - ブログ (Blog)
こんばんは(｀・ω・´) 本日18時ごろLINE公式から返答がありましたので、ご連絡させていただきます。 今回、返答の結果を交え、皆様が疑問に思われている点等を含めまして書かせていただこうと思います。 ■脆弱性対応状況について ご報告いただいた4つの脆弱性についての対応状況は以下のとおりです。 1.タイムラインの認証キーについて 2.非公開設定の人のタイムラインが閲覧できることについて 3.他人になりすましてタイムラインにコメントできることについて 4.グループノートが自由に閲覧できることについて 2〜4については、2016/02/25 深夜1時頃に対応を完了いたしました。 1については、仕様の悪用に起因する問題でもあることから、ユーザーの利便性を考慮しつつ、より安全にLINEをご利用いただける方法を検討中です。 （つづきへ・・・) 脆弱性につきましては以上の返答がまいりました。2.〜4.
CVE-2015-7547 glibc における getaddrinfo の脆弱性について – IIJ Security Diary
この脆弱性は2016年2月17日に対策済みバージョンと共に公開されました。内容としては getaddrinfo の呼び出しにおいてスタックバッファオーバーフローが発生する物です。公開時点で以下の通り、PoC を含めた技術的な詳細が公開されています。本記事では、脆弱性が発生するまでの処理と、回避策について解説したいと思います。 CVE-2015-7547 — glibc getaddrinfo() stack-based buffer overflow Google Online Security Blog: CVE-2015-7547: glibc getaddrinfo stack-based buffer overflow 脆弱性に至るまで 今回の脆弱性は getaddrinfo の呼び出しに起因しています。脆弱性のある箇所までの関数呼び出しは以下の様になっています。 getaddri
（緊急）GNU C Library（glibc）の脆弱性について（CVE-2015-7547）
--------------------------------------------------------------------- ■（緊急）GNU C Library（glibc）の脆弱性について（CVE-2015-7547） - 関連情報の収集・パッチの適用を強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2016/02/18（Thu） 最終更新 2016/02/23（Tue） （脆弱性の影響を軽減可能なフルリゾルバーの条件を明確化） --------------------------------------------------------------------- ▼概要 2016年2月16日（協定世界時）、GNU C Library（以下、glibc）の名前解決 ライブラリgetaddrinfo関数の脆弱性に関する緊急の注意喚起が公開されま した。
(dnsmasq への追記あり) CVE-2015-7547 glibcのgetaddrinfo に stack buffer overflow の脆弱性
受ける この情報は下記から CVE-2015-7547: Critical Vulnerability in glibc getaddrinfo https://isc.sans.edu/forums/diary/CVE20157547+Critical+Vulnerability+in+glibc+getaddrinfo/20737/ getaddrinfo() を使ってる場合に、影響を受ける可能性があります。 すでに PoC は公開されていています。 https://github.com/fjserna/CVE-2015-7547 ここに公開されている CVE-2015-7547-proc.py とかを root 権限付きで実行すると、この手の buffer overflow を引き起こすパケットを返してくる DNSキャッシュサーバもどきになってくれます。 これをローカルで動かした状態
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
脆弱性体験学習ツール AppGoat | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
【凄腕のバグハンターそろいました】脆弱性、見つける人と見つけられる人のパネルディスカッションまとめ（＠ITセキュリティセミナー・ダークサイドへようこそ）
