Flash LSO XSS のお話 - ほむらちゃほむほむ
3行で頼む swfobject.js 附属の ExpressInstall.swf を 適当な引数で呼び出して すったもんだの末に www.macromedia.com で alert でたよ． はじめに swfobject.js がアレな話 の延長戦的な方向で ExpressInstall に絡んでこういう事例がありましたというお話です． アレな話の時には，主として 「swfobject.js を使って swf を設置しているページで，不適切な使い方をしてしまうとそのドメインで問題が起きます」という話でしたが，今回は，「不適切な expressInstall.swf ( autoUpdator.swf ) の呼び出しによって flash Plugin のインストール後に www.macromedia.com 上で任意のスクリプトが実行される」というお話です． これまでの話 Express
すでに攻撃発生中 WindowsもMacもAdobe Flash Playerの緊急アップデート (APSB13-04)を適用しよう
米Adobe Systems社は現地時間2月7日に、Flash Playerの緊急セキュリティアップデートを提供開始しました。 同アップデートの対象プラットフォームは、Windows/Mac/Linux/Androidです。 すでに、Windows、Macに対する攻撃が確認されており、両OSについては米Adobe Systems社が「優先度１」（すぐにアップデートすることを推奨するレベル）としています。両OSのユーザは速やかにアップデートを行った方がよいでしょう。 なお、Flash Playerはブラウザごとに使用しているモジュールが異なります。また、ブラウザにより最新のバージョンも異なるため、ご利用中のすべてのブラウザで以下の手順を試してください。 1.まず、お使いのブラウザで以下のURLにアクセスします。 Find version 2.現在使用中のFlash Playerのバージョンが
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 月額プランが10月末まで無料 お申し込み 会員の方はこちら ログイン 日経クロステック TOPページ
Flashアニメでrootkitに感染、チベット騒乱便乗攻撃止まず
北京五輪とチベット騒乱に便乗したマルウェアが相次いで出現している。セキュリティ企業の米McAfeeによると、Fribetというトロイの木馬が出現したのに続き、手の込んだFlashムービーでrootkitに感染させる手口が新たに見つかった。 問題のFlashムービーは「RaceForTibet.exe」というファイル名が付いている。実行すると、複雑な演技を披露した中国人選手に対し、審判全員が零点を付けるアニメが再生され、中国とチベット関連の写真がフラッシュバックで表示される。 政治的メッセージがあるように見せかけたこのムービーが再生されている陰で、PCには多数のrootkitが、ユーザーの目に見えない形で植えつけられている。これらrootkitはキーロガーとして動作し、感染マシンから収集した情報を隠しファイルに保存して、中国にあるリモートのIPに送信する。 今後もマスコミの騒ぎや国際的関心の
kunzo.log:Flash Player が4月にアップデートされるワケだが - livedoor Blog（ブログ）
いってるそばから、Updateされるらしいです。 akihiro kamijo: 来月 （2008/4） の Flash Player セキュリティアップデート 確かに、昨年末には発表してたけど、予定日の発表おそすぎます。 夏くらいかなぁ？と余裕ぶっこいてました。 ま。不満を言ってても始まりませんので。 さて。 前回のエントリーしましたが、Socket用のcrossdomain.xmlは同一ドメインでもダメで、HTTP経由のcrossdomain.xmlでもダメになりますという話で、今回もそこを中心に補足したいと思います。 なお、通常の（Socket,XMLSocketクラス以外）crossdomain制約については従来通りと思いますので、ご心配なく。 ちょっとアレゲなことをしている人達が被害にあいます。 （他の変更点もあるので、安心しないでください。kamijoさんのブログ参照。） かな
akihiro kamijo: Flash Player 9.0.115.0 セキュリティポリシー変更について
先日公開された Flash Player 9.0.115.0 からいくつかのセキュリティポリシーが変更されています。そのため、新しいプレーヤをインストールすると今までは閲覧できていたコンテンツが表示されなくなる状態が発生する可能性があります。 今回の変更に関する情報及び対処方法については US サイトの DevNet に詳しく説明されています。（Security changes in Flash Player 9）日本語版も既に翻訳が開始されているとのことなので、近々日本のサイトにも記事が公開されることと思います。 今回はとりあえず主な変更点を 3 点簡単に説明しておきます。もし該当する状況にあたった場合には上記のドキュメントをご覧ください。 ポリシーファイルのフォーマット ポリシーファイルが正しいフォーマットの XML ファイル以外は無視されるようになります。例えば、トップレベルのタグは
Flashで簡単にキーロガーができてしまった - hitode909のダイアリー
flash「タブのフォーカスに関係なく音が出る」ボタンを作ったところ、それはセキュリティ的にどうなんだという意見をいだたいた。kanasanです。うちの環境下では再現しないのですが、他のタブのkeypressイベントも取得できるという事は、掲示板等の文章やid/passwordが盗めたりするということですか?SSLのタブまで可能なのであればエラい事なんですけど。rubyneko - yharaであなたも快適なyharaライフを!で、コメント返そうとしたらよく考えるとnowaのアカウント持ってなかったのでここに。 ちょっとやってみたところ、簡単にキーロガーができてしまった。MacのFirefoxかCaminoで動く。http://hitode909.googlepages.com/keylog2.htmlこれをどっかのタブに開いておくと、入力した文字が表示される。Gmailのパスワードとかも
Adobe Flash & Facebook Platform samples | Adobe Developer Connection
Flash Player’s EOL is coming at the end of 2020. See the roadmap for Flash Player and AIR’s EOL: Adobe Flash Player EOL General Information Page The Future of Adobe AIR You can access the archived documents relevant to Flash Runtime even after the Flash EOL date. We are providing access to the archived documents for all the user/developers community to download. These documents are now no longer u
2007-07-31
1か月以上ご利用いただいていない日記の「スパムコメント・トラックバックの拒否」を有効にしました 先ほど、はてなダイアリーとはてなグループにおいて、1か月以上更新のない休眠状態のブログに対して「スパムコメント・トラックバックの拒否」設定をはてなにより有効とさせていただきました。 はてなダイアリー及びはてなグループにはコメントやトラックバックを外部から受け付ける機能があり、以前からご利用いただいております。しかしこの数ヶ月間、スパムコメントやトラックバックの数が非常に増加しており、日記一覧ページやアンテナで記事が更新されたと思って見に行ったらスパムコメントだけがついていたり、あるいは毎日のように大量のスパムトラックバックが飛んでくるため、いつもスパムへの誘導リンクを見てしまうといった被害が大量に発生しています。 はてなでは、先日からDNSBLを用いたトラックバックフィルターやコメント時の画像認
ウェブサービスAPIにおける『成りすまし問題』に関する一考察
先週の末に、はてなのウェブ・サービスAPIを使ったMash-upアプリをFlash上で作り始めていきなりつまずいたのが、Cross-Domainセキュリティ。satoshi.blogs.comから取得したswfファイル上のActionScriptからb.hatena.ne.jp下にあるRSSフィードだとかXML-RPCにアクセスができないのだ。 「確か方法があったはず」と調べてみると、はてな側がサーバーにcrossdomain.xmlというファイルを置いて明示的にCross-Domainアクセスを許可していなければならない、という。そこで見つけたのが、「Flashから各APIの操作、データのロードができるよう、サーバ上に「crossdomain.xml」というポリシーファイルの設置をお願いしたい。」というはてなアイデアへのリクエスト。2006年の2月にリクエストが出されているのだが、11月
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
FlashからUPnPによりルータの設定を変更できる問題、US-CERTなどが警告
http://livedocs.adobe.com/flex/201_jp/html/wwhelp/wwhimpl/common/html/wwhelp.htm?context=LiveDocs_Book_Parts&file=05B_Security_176_03.html
https://www.adobe.com/devnet/adobe-media-server/articles/protecting_video_fms.pdf