脆弱性関連情報の届出｜IPA 情報処理推進機構
主に日本国内からのアクセスが想定されるウェブサイトで稼動するウェブアプリケーションが該当します。例えば、主に日本語で記述されたウェブサイトや、URL のホスト名の最上位ドメインが「jp」ドメインのウェブサイト等を指します。 ※ ソフトウェアとウェブアプリケーションの分類が難しい場合 修正作業が事業者側のみで済む場合をウェブアプリケーション、製品利用者側の対応が必要な場合をソフトウェア製品として判断してください。 ※インターネット上で公開されている、脆弱性を発見・検証するツールなどは、その動作をよく把握せずに使用すると、サーバに負荷や障害を発生させる可能性があるため、実行しないでください。 ※ 脆弱性関連情報取扱いの仕組みは、関係者の善意により成り立つものであり、IPA では以下のことは実施できません。そのため、必ずしも期待する対応がとられるとは限らないことを、ご了承ください。 届出者に対す
ウェブ届出フォーム Advent Calendar 2017 - Adventar
ウェブ届出フォームが再公開される様子をレポートします （現在、アドベントカレンダーは停止しております。再公開は2017年12月頃を予定しています。）
EC-CUBE脆弱性 公開中止関連反響まとめ
後からこの件について知りたくなった方のために反響・関連発言をまとめました。 （発言をまとめただけで特に結論的なものはありません。）
EC-CUBE脆弱性情報の公開の是非 | サンクユーWEB制作ブログ
脆弱性てなんて読むの？ 脆弱性とは「ぜいじゃくせい」と読みます。 たまに、お客様と会話していると「きじゃくせい」と言われる方がおられ、さりげなく「そのぜいじゃくせいですが・・・」と正しい読み方を教えてあげるくらいは優しい私です。 ごく稀に、制作会社の方でも「きじゃくせい」と言われる方がおられるのにはビックリ仰天です。 それだけWEB制作業界も敷居が低くなったんだなぁ。。。と感慨深くなります。 脆弱性て何？ すみません。 冒頭から脱線しました。 脆弱性とは、システムの不具合（プログラムの不具合、仕様の不具合）によるセキュリティの欠陥のことを言います。 悪意のある人がその脆弱性を利用して、システムの内部に入り込んだり、情報を盗んだりすることができます。 ですので、システム（サイト）に脆弱性が発見された際には、速やかに対応する必要があります。 脆弱性はあってはならないものですが、ほとんどのシステ
EC-CUBEで発見した脆弱性の詳細 前編
本件はEC-CUBEに関しての一番最初の届出だったのですが、再現方法が複雑で、自分の説明がうまくなかったのもあって、IPAの方と話がうまくかみ合わず苦労した覚えがあります。 これはPostgresを利用しているEC-CUBEの上記バージョンにおいて、不正なUTF-8文字コードをリクエストに含めるとエラーが発生し、エラーメッセージとして、PHPSESSIDに紐づいているPHPセッションオブジェクトに入っている情報の先頭680バイト部分（長さは環境による）が、ユーザーのブラウザ上で暴露されてしまう、という脆弱性と、そのエラーメッセージのダンプにタグを含ませることができ、XSSが可能、という脆弱性です。 再現に使ったPostgreSQLのバージョンは9.2.3で、MySQL利用のEC-CUBEだと再現せず、またEC-CUBE2.12.3では同様の攻撃を行っても情報は出力されませんでした。 当時使
残念だが当然の結果
お久しぶりです。 僕です。 久しく特段何も無かったのですが、今回とうとう僕が想定していたセキュリティ上の問題が起こりました。 教育システム管理用ＩＤ、生徒が見られる場所に - 日本経済新聞 > 佐賀県の教育情報システムから大量の個人情報が盗まれた不正アクセス事件で、県内の複数の高校が、システム管理者の情報を生徒も閲覧できる状態にしていたことが27日、警視庁への取材で分かった。 > 警視庁サイバー犯罪対策課によると、県立高校などの校内ネットワークシステムは、教員と生徒それぞれにＩＤとパスワードが割り当てられているが、生徒が閲覧できる範囲は限られている。全生徒の個人情報を閲覧するには管理者用のＩＤなどが必要になる。 > しかし、複数の高校は管理者用ＩＤなどを含むファイルを、システム上の生徒が閲覧できる場所に保管していた。 まぁ僕の想定の範囲内です。 なぜなら 2014年4月16日の時点で生徒用
情報処理推進機構：情報セキュリティ：脆弱性対策：脆弱性関連情報の届出
IPAでは、以下の脆弱性関連情報の届出を受付けています。 (1) ソフトウエア製品脆弱性関連情報 OSやブラウザ等のクライアント上のソフトウエア、ウェブサーバ等のサーバ上のソフトウエア、プリンタやICカード等のソフトウエアを組み込んだハードウエア等に対する脆弱性を発見した場合に届け出てください。脆弱性そのものの情報以外にも、検証方法や攻撃方法、回避方法などについての情報についても届出を受付けます。 (2) ウェブアプリケーション脆弱性関連情報 インターネットのウェブサイトなどで、公衆に向けて提供するそのサイト固有のサービスを構成するシステムに対する脆弱性を発見した場合に届け出てください。 脆弱性とは 脆弱性とは、ソフトウエア製品やウェブアプリケーション等におけるセキュリティ上の問題箇所です。コンピュータ不正アクセスやコンピュータウイルス等により、この問題の箇所が攻撃されることで、そのソフト
VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について - debiruはてなメモ
2015年12月に私が発見した VALUE-DOMAIN での CSRF 脆弱性について、その脆弱性の報告と修正までの経緯を記しておきます。 きっかけ アカウント削除ページの作り アカウント削除ページの問題点 VALUE-DOMAIN への報告 CSRF 攻撃によるアカウント乗っ取りの問題 IPA への届出 余談：IPA への届出の仕方について IPA へ届出した後の状況 VALUE-DOMAIN ユーザの方へ きっかけ 数年前に VALUE-DOMAIN を利用していましたが最近は使っていないのでアカウントを削除しようとしたところ、アカウント削除操作を行うページの作りが「不自然である」ことに気付きました。更に調べたところ CSRF 攻撃によってアカウント乗っ取りが可能な状況であることが分かりました。 アカウント乗っ取りが可能な CSRF 脆弱性は2015年12月22日にIPAに報告し、2
本日の情報セキュリティコラム[国民を守る情報セキュリティサイト] - デジタル初心者・高齢の立場から考える『情報セキュリティ対策』 老テク研究会 事務局長 近藤 則子
２月１日～３月１８日は「サイバーセキュリティ月間」です。 普及啓発活動へご協力ください。 不審なメールによる情報漏えい被害や個人情報の流出など、生活に影響を及ぼすサイバーセキュリティに関する問題が多数報じられています。 誰もが安心してITの恩恵を享受するためには、国民一人ひとりがセキュリティについての関心を高め、これらの問題に対応していく必要があります。 このため、政府では、サイバーセキュリティに関する普及啓発強化のため、２月１日から３月１８日までを「サイバーセキュリティ月間」とし、国民の皆様にサイバーセキュリティについての関心を高め、理解を深めていただくため、サイバーセキュリティに関する様々な取組を集中的に行っていきます。
![本日の情報セキュリティコラム[国民を守る情報セキュリティサイト] - デジタル初心者・高齢の立場から考える『情報セキュリティ対策』 老テク研究会 事務局長 近藤 則子](https://cdn-ak-scissors.b.st-hatena.com/image/square/807d51f8f5c93f9a7c74859fd3cd49086fe5b68f/height=288;version=1;width=512/https%3A%2F%2Fsecurity-portal.nisc.go.jp%2Fassets%2Fimages%2Fcybersecuritymonth%2Fscreenshot-index.png)
サイボウズグループ | ニュース | サイボウズCSIRT、JPCERT/CCより感謝状を受領
2015.08.04 サイボウズCSIRT、JPCERT/CCより感謝状を受領 脆弱性報奨金制度による自社製品の脆弱性情報の調査、公表が ソフトウェアのセキュリティを高める模範活動と評価される サイボウズ株式会社 Tweet 15080401.pdf（213KB） サイボウズ株式会社（本社：東京都中央区、社長：青野 慶久、以下 サイボウズ）の社内セキュリティ組織である「サイボウズ株式会社CSIRT」(以下、Cy-SIRT)は、サイバーセキュリティ対策の取り組みを評価され、2015年8月3日(月) に一般社団法人JPCERTコーディネーションセンター様（以下、JPCERT/CC）より感謝状を受領いたしました。 ■ 感謝状受領の背景 JPCERT/CCは、日本国内における情報及び制御システムの円滑な運用とコンピューターセキュリティインシデントによる被害の最小化を目的として、情報収集、分析、注意
追記7月16日 【山と溪谷社より】不正アクセスによる会員情報漏洩のお詫びとご報告 | 山と溪谷社 新着情報 | 山と溪谷社
2015/07/16 不正アクセスによる会員情報漏洩のお詫びとご報告 この度、弊社が運営しております「涸沢フェスティバル特設サイト」（http://special.yamakei.co.jp/karasawa/）のウェブサーバを経由して、ヤマケイオンラインの会員データベース・サーバに対して外部から不正アクセスがあり、サーバ内の一部情報が取得された旨が判明いたしました。この不正アクセスにより取得された情報は以下の通りです。 １)漏洩が確認された会員情報 ヤマケイオンライン会員データ 580 件 対象項目 : メールアドレス 579件、パスワード(暗号化済) 1件 ２）内容 不正アクセスの内容については、「脆弱性を利用した不正アクセスが行われ、弊社データベース・サーバ内の一部情報を取得されている」旨の情報提供を情報セキュリティ団体〔JPCERTコーディネーションセンター（以下JPCERT）〕よ
グレーゾーン解消制度又は企業実証特例制度適用申請の背景と主旨 株式会社スプラウト
This domain may be for sale!
マイクロソフト 報奨金プログラムの展開 – Azure および Project Spartan | MSRC Blog | Microsoft Security Response Center
This blog post is older than a year. The information provided below may be outdated. 本記事は、Microsoft Security Response Center b のブログ “Microsoft Bounty Programs Expansion – Azure and Project Spartan” (2015 年 4 月 23 日公開) を翻訳した記事です。 投稿: ジェイソン シャーク – プリンシパル セキュリティ ストラテジスト – MSRC この度、マイクロソフト 報奨金プログラム (英語情報) において意義深い展開をお知らせできることを嬉しく思います。マイクロソフトは、オンライン サービス バグ発見報奨金プログラムを発展させ、Project Spartan 新規報奨金プログラムの立ち上
若きホワイトハッカーの悩み
この脆弱性はいわゆるホワイトハッカーによって発見され、彼らの属する株式会社スプラウトからソフトウェア等の脆弱性情報を取り扱うIPA（独立行政法人情報処理推進機構)に通知され、それを受けてLINE株式会社が対応してアプリを修正したものだった。 世界中で5億人以上が使っているメッセージアプリLINE。今回の脆弱性は利用者のスマートフォンに保存されているLINE内のトーク履歴や写真、友達リストなどを外部から不正に抜き出されたり、改竄される恐れがあるというもので、深刻だったと言える。今回は、発見された脆弱性が正式なルートで通知され、そして改善された上で公表された、といういい結果になったわけだが、それはこれを発見した人たちがいわゆるホワイトハッカー(善意のハッカー)だったからだ。もしこれがホワイトハッカーではない悪意のあるハッカーによって発見されていたら、LINE株式会社に対し巨額金銭を要求するとか
ラックの扱われ方に見る脆弱性調査のあり方 | クロスジール
SQLインジェクション判決が広まりを見せています 先日、以下の記事を書きました。 ・SQLインジェクション脆弱性の有無が重過失の判断に影響を与えた判決 http://www.crosszeal.co.jp/blog/20150209_sqlインジェクション脆弱性の有無が重過失の判断に影響を与えた判決.html この記事にも書いたとおり、北海道大学の町村先生、HASHコンサルティングの徳丸先生のエントリでこの件を知りブログを書いたわけですが、同じ方々も多いようで、この判決に関する情報や意見が検索で多くヒットするようになりました。 中には「脆弱性が一つでもあったら損害賠償が認められる」といった誤っている認識であったり、「SQLインジェクション対策をしたら費用が多くかかってしまう」といった首をかしげる意見もありますが、こういった情報が広まるのは良いことだと思います。今後広まっていく中で、正しい認
JVN#41281927: LINE における意図しないアプリ内関数が呼び出される脆弱性
Android 版 LINE バージョン 5.0.2 およびそれ以前iOS 版 LINE バージョン 5.0.0 およびそれ以前 LINE株式会社が提供する LINE は、コミュニケーションアプリです。LINE は、WebView 上の通信の一部で SSL/TLS を使わない HTTP 通信を許可しているため、中間者攻撃により通信内容を改ざんされた場合、意図しないアプリ内関数が呼び出される等の可能性があります。 中間者攻撃 (man-in-the-middle attack) によって通信内容を改ざんされ、不正な JavaScript コードが実行される可能性があります。結果として、意図しないアプリ内関数が呼び出される可能性があります。 アップデートする 開発者が提供する情報をもとに、最新版へアップデートしてください。 開発者は次のように述べています: サーバー側での修正が完了していますが
クロスサイトスクリプティング(XSS)ってたまに聞くけどいったい何のこと？ | hi-context
クロスサイトスクリプティング(XSS)とは？ クロスサイトスクリプティングとは、攻撃者がセキュリティ上穴のあるWebサイトへ、悪意のあるスクリプトを埋め込む攻撃です。 世間を騒がせた大きな事件としては、パソコン遠隔操作冤罪事件で横浜市のサイトに小学校襲撃予告の書き込みがされたことは、皆さまも記憶に新しいかと思います。 この時に行われた攻撃手法がXSSの一種であるクロスサイトリクエストフォージェリ(CSRF)というものです。 XSSは、悪意のあるスクリプトを埋め込む攻撃の総称であり様々な攻撃手法があります。 具体的にそれらがどのような、攻撃方法なのか解説して行きたいと思います。 セッションハイジャック 例えば、ショッピングサイトで買物をしたことがある方は想像しやすいと思います。 買物かごの情報を複数ページ間で持ち回り、内容が保持された状態になっている体験をされたことがあると思います。こ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
伊藤 彰嗣 / ITO Akitsugu on Twitter: "脆弱性のコード上の修正方法が公開されているOSSでも、CVSSでいう「攻撃される可能性(E) 」が上がる脆弱性の PoC 公開されることは許容できないという事例として参考になります。ベンダーが事前に脆弱性の発見者にどの情報までは公開してよいかを明確にするのが望ましいのでしょうね。"
[PDF] IPA 平成26年度業務実績報告書 - 000047682.pdf
[PDF] IPA「脆弱性情報ハンドリングシステム開発」に係る一般競争入札 入札説明書