制御システムセキュリティカンファレンス 2017
制御システムセキュリティカンファレンス 2017 は終了いたしました。 ご参加いただきまして、誠にありがとうございました。 制御システムにおけるセキュリティ課題が台頭し始めた 2009年2月に、現状と課題を関係業界の皆様にご理解いただくことを主眼に、経済産業省とJPCERT/CCが当カンファレンスを始めてから、約 8年が経過しました。 幸いにして、制御システムにおける重大なインシデントの国内での報道はありませんが、国内でも一定の組織が制御システムのマルウェア感染等に見舞われているようです。しかしながら、こうした実態は広く共有されておらず、また制御システムで発生したインシデントは企業や社会に対して甚大な影響を引き起こしかねません。様々な対策を模索する動きが出ていますが、制御分野独特の諸事情を鑑みた対策技術やベストプラクティスの確立が望まれる状況にあります。 本カンファレンスでは、国内外の制御
「CERT」と「CSIRT」について
コンピュータセキュリティインシデントに対応する活動を行う組織名称に、しばしば「CERT」という語を用いることがあります。 JPCERT/CC の「CERT」は Computer Emergency Response Team (response: 対応) の頭文字ですが、米国 US-CERT の「CERT」は Computer EmergencyReadiness Team (readiness: 準備) の頭文字です。また、CERT/CC の「CERT」は、何かの頭文字ではないとされています。このように「CERT」という語は組織によってその意味が異なります。 このような組織を呼称する際の一般名詞としては、「CSIRT」(「シーエスアイアールティー」もしくは「シーサート」と読みます) という語を用いるのが一般的です。 参考文書（日本語） JPCERT/CC に関してよくある質問と答え 1.
Weekly Report 2016-12-28号
<<< JPCERT/CC WEEKLY REPORT 2016-12-28 >>> ■12/18(日)〜12/24(土) のセキュリティ関連情報 目 次 【1】SKYSEA Client View に任意のコードが実行可能な脆弱性 【2】サイボウズ ガルーンに複数の脆弱性 【3】Apache HTTP Web Server 2.4 に複数の脆弱性 【4】BlueZ 付属のユーティリティにバッファオーバーフローの脆弱性 【5】VMware ESXi にクロスサイトスクリプティングの脆弱性 【6】Cisco CloudCenter Orchestrator に脆弱性 【7】H2O に解放済みメモリ使用の脆弱性 【今週のひとくちメモ】長期休暇に備えて 2016/12 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/
クロスサイトリクエストフォージェリ(CSRF)とその対策
クロスサイトリクエストフォー ジェリ(CSRF)とその対策 JPCERT/CC 情報流通対策グループ 脆弱性解析チーム Japan Computer Emergency Response Team Coordination Center : Japan Computer Emergency Response Team Coordination Center DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response Team Coordination Center, cn=Japan Computer Emergency Response Team Coordination Center : 2015.10.19 18:17:01 +09'00' Copy
インターネットに接続された機器の管理に関する注意喚起
各位 JPCERT-AT-2016-0050 JPCERT/CC 2016-12-21 <<< JPCERT/CC Alert 2016-12-21 >>> インターネットに接続された機器の管理に関する注意喚起 - インターネットにつながったあらゆる機器が脅威にさらされています - https://www.jpcert.or.jp/at/2016/at160050.html I. 概要 JPCERT/CC では、監視カメラやストレージ機器、特定産業向け組込み通信機 器、DVR（デジタルビデオレコーダー）などを標的とした「Mirai」等のマルウ エアによる感染や、機器の探索と思われるパケットを継続して確認しています。 特に、機器がマルウエアに感染し、ボットネット化したいわゆる「IoT ボット ネット」が悪用され、大規模な DDoS 攻撃が発生しているとセキュリティ専門 企業などから指摘がなさ
JPCERT コーディネーションセンター Weekly Report
<<< JPCERT/CC WEEKLY REPORT 2016-12-21 >>> ■12/11(日)〜12/17(土) のセキュリティ関連情報 目 次 【1】複数の Microsoft 製品に脆弱性 【2】複数の Adobe 製品に脆弱性 【3】複数の Apple 製品に脆弱性 【4】Mozilla Firefox に複数の脆弱性 【5】Apache Tomcat に情報漏えいの脆弱性 【6】McAfee VirusScan Enterprise for Linux に複数の脆弱性 【7】Joomla! に複数の脆弱性 【8】サイボウズ デヂエに複数のアクセス制限不備の脆弱性 【9】Apache ActiveMQ にクロスサイトスクリプティングの脆弱性 【10】複数のソニー製ビデオ会議システムに認証不備の脆弱性 【11】EpubCheck に脆弱性 【今週のひとくちメモ】NISC が「
SKYSEA Client View の脆弱性 (CVE-2016-7836) に関する注意喚起
各位 JPCERT-AT-2016-0051 JPCERT/CC 2016-12-22(新規) 2017-03-08(更新) <<< JPCERT/CC Alert 2016-12-22 >>> SKYSEA Client View の脆弱性 (CVE-2016-7836) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160051.html I. 概要 Ｓｋｙ株式会社から SKYSEA Client View に関する脆弱性の情報 (CVE-2016-7836) が公開されました。SKYSEA Client View がインストールさ れている端末機において、特定の環境下で、リモートからの攻撃によって任意 のコードが実行される可能性があります。脆弱性の詳細については、Ｓｋｙ株 式会社の情報を確認してください。 【重要】グローバルIPアドレス環境で
PRE08-C. ヘッダファイル名が一意であることを保証する
PRE08-C. ヘッダファイル名が一意であることを保証する インクルードするヘッダファイル名は一意となるよう配慮せよ。C 言語規格のセクション 6.10.2 第 5 段落には次のように記載されている [ISO/IEC 9899:2011]。 処理系は，一つ以上の英字又は数字（5.2.1 で定義する）の列の後ろにピリオド（.）及び一つの英字が続く形式に対して，一意の対応付けを提供しなければならない。最初の文字は，英字でなければならない。処理系は，アルファベットの大文字と小文字の区別を無視してもよく，対応付けはピリオドの前8文字に対してだけ有効であると限定してもよい これはつまり以下を意味する。 ファイル名の最初の8文字までは有効であることが保証されている。 ファイル名中のピリオドの後には、非数字文字を一文字だけ持つ。 ファイル名中の文字の大文字小文字の区別が有効であることは保証されていない
Adobe Flash Player の脆弱性 (APSB16-39) に関する注意喚起
各位 JPCERT-AT-2016-0048 JPCERT/CC 2016-12-14 <<< JPCERT/CC Alert 2016-12-14 >>> Adobe Flash Player の脆弱性 (APSB16-39) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160048.html I. 概要 Adobe Systems 社から Adobe Flash Player に関する脆弱性の情報 (APSB16-39) が公開されました。脆弱性を悪用したコンテンツをユーザが開い た場合、リモートからの攻撃によって Adobe Flash Player が不正終了したり、 任意のコードが実行されたりする恐れがあります。脆弱性の詳細については、 Adobe Systems 社の情報を確認してください。 Security updates avai
2016年 12月 Microsoft セキュリティ情報 (緊急 6件含) に関する注意喚起
各位 JPCERT-AT-2016-0049 JPCERT/CC 2016-12-14 <<< JPCERT/CC Alert 2016-12-14 >>> 2016年 12月 Microsoft セキュリティ情報 (緊急 6件含) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160049.html I. 概要 マイクロソフト社から 2016年12月のセキュリティ情報が公開されました。 本情報には、深刻度が「緊急」のセキュリティ更新プログラムが 6件含まれて います。脆弱性を悪用された場合、リモートからの攻撃によって任意のコード が実行される恐れがあります。 脆弱性の詳細は、以下の URL を参照してください。 2016 年 12 月のマイクロソフト セキュリティ情報の概要 https://technet.microsoft.com/ja-jp/
JPCERT コーディネーションセンター Weekly Report
<<< JPCERT/CC WEEKLY REPORT 2016-12-14 >>> ■12/04(日)〜12/10(土) のセキュリティ関連情報 目 次 【1】Apache HTTP Web Server にサービス運用妨害 (DoS) の脆弱性 【2】PHP に複数の脆弱性 【3】BSD libc にバッファオーバーフローの脆弱性 【4】三菱電機 MELSEC-Q シリーズの Ethernet インターフェースモジュールに複数の脆弱性 【5】ForeScout CounterACT SecureConnector エージェントに権限昇格の脆弱性 【6】Sleipnir for Mac にアドレス表示偽装の脆弱性 【7】Android アプリ「株式会社三菱東京ＵＦＪ銀行」に SSL/TLS ダウングレード攻撃が可能となる脆弱性 【8】PHP FormMail Generator で作成し
DCL11-C. 可変引数関数に関連する型問題について理解する
DCL11-C. 可変引数関数に関連する型問題について理解する 可変引数関数の可変引数(関数宣言における ... の部分に相当する)は、va_arg() マクロによって解釈される。va_arg() マクロは、実装された可変引数関数本体のなかで、初期化された引数リストから次の引数を抽出する。抽出されるオブジェクトのサイズは指定された型により決定される。型とそれに対応する実引数が一致していない場合、動作は未定義となり、データの誤解釈やアラインメントエラーを引き起こす恐れがある(「EXP36-C. ポインタをより厳密にアラインされるポインタ型に変換しない」を参照)。 コンパイラは可変引数関数に渡される可変引数の型をチェックしない。そのため、プログラマは、実引数に既定の実引数拡張を行った後の型が、対応する仮引数の型と適合することを保証する義務がある。 int よりも順位の低い型の整数引数は、その型
STR31-C. 文字データと null 終端文字を格納するために十分な領域を確保する
STR31-C. 文字データと null 終端文字を格納するために十分な領域を確保する データをバッファにコピーする際、データを保持する十分な大きさがバッファにないと、バッファオーバーフローが発生する。バッファオーバーフローは、文字列の処理を行う際にしばしば発生する[Seacord 2013b]。このようなエラーを防ぐには、コピーする文字列を切り詰めるか、あるいは可能であればコピーする文字データと null 終端文字を保持できる十分なサイズをコピー先に確保すること(「STR03-C. null 終端バイト文字列を不注意に切り捨てない」を参照)。 違反コード (オフバイワンエラー) 以下に、一般に オフバイワンエラー と呼ばれるコード例を示す[Dowd 2006]。ループ処理では、src から dest へデータをコピーしている。しかし、このループ処理では null 終端文字を考慮していない
JPCERT コーディネーションセンター Weekly Report
<<< JPCERT/CC WEEKLY REPORT 2016-12-07 >>> ■11/27(日)〜12/03(土) のセキュリティ関連情報 目 次 【1】Mozilla 製品群に複数の脆弱性 【2】複数のアイ・オー・データ製のネットワークカメラ製品に脆弱性 【3】複数のソニー製のネットワークカメラ製品に脆弱性 【4】複数の日本年金機構製品のインストーラに脆弱性 【5】Android アプリ「kintone mobile for Android」に SSL サーバ証明書の検証不備の脆弱性 【6】WNC01WH に複数の脆弱性 【今週のひとくちメモ】LDAP サーバを探索するアクセスの増加 ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※PGP署名付きテキスト版および XML 版は以下のページをご覧くだ
電子メールソフトのセキュリティ設定について>Mozilla Thunderbirdの設定
目次 メール一覧で表示される情報の拡充 メールヘッダー情報の確認方法 メールアドレスの表示形式の設定 S/MIMEによる署名メールの表示例 PGP/GPG対応 迷惑メールフィルタの設定 メール送信フォーマットに関する設定 HTMLメールの表示に関する設定 開封確認機能に関する設定 各設定 メール一覧で表示される情報の拡充 表示項目の右端にあるアイコンをクリックする。 「受信者」を有効にすることで、表示項目に「受信者」が追加される。 Topへ メールヘッダー情報の確認方法 メールを選択する。 メニューの「表示」から「メッセージのソース」を選択する。 別ウィンドウが開き、メッセージのソースが表示される。 また、以下の手順を実行することでメール本文にメールヘッダ情報を表示します。 メール本文にメニューの「表示」から「ヘッダ」を選択する。 「すべて」を選択することで、メールヘッダー情報が表示される
JPCERT コーディネーションセンター Weekly Report
<<< JPCERT/CC WEEKLY REPORT 2016-11-30 >>> ■11/20(日)〜11/26(土) のセキュリティ関連情報 目 次 【1】Apache Tomcat に複数の脆弱性 【2】NTP.org の ntpd に複数の脆弱性 【3】Xen に複数の脆弱性 【4】複数の VMware 製品に脆弱性 【5】phpMyAdmin に複数の脆弱性 【今週のひとくちメモ】ネットワークカメラや家庭用ルータ等の IoT 機器を使用する際はパスワードの変更を ※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/ ※PGP署名付きテキスト版および XML 版は以下のページをご覧ください。 https://www.jpcert.or.jp/wr/2016/wr164701.txt https://www
騙せるPE解析ツールのImport API表示機能(2016-11-28) - JPCERT/CC Eyes
Windows実行ファイル（PEファイル）形式のマルウエアを分析する際に、PEファイルの構造をパースし表示をするツール（以下、PE解析ツールという）を使用して、マルウエアがインポートしているAPI（Import API）あるいはエクスポートしている関数の一覧を調べることがしばしばあります。それにより、通信をするのか、レジストリエントリを作成するのかなどのマルウエアの機能の予想をすることができるからです。このようにマルウエアの分析に使用されることが多いPE解析ツールですが、一方では、PE解析ツールによる分析を攪乱する手法を持ったマルウエアの存在も既に確認されています。[1] 今回は、PE解析ツールの多くに搭載されているImport APIの一覧を表示する機能に、誤った情報を表示させて分析者を騙す手口と、それに対抗するためにPE解析ツールに組み込むべき対策方法について解説します。 INT（Im
JPCERT コーディネーションセンター Weekly Report
<<< JPCERT/CC WEEKLY REPORT 2016-11-24 >>> ■11/13(日)〜11/19(土) のセキュリティ関連情報 目 次 【1】Mozilla Firefox に複数の脆弱性 【2】複数の Symantec 製品に脆弱性 【3】複数の VMware 製品に脆弱性 【4】細工された PDF による情報詐取について 【5】Ragentek 製のコードを使用した Android 端末の OTA アップデートに脆弱性 【6】WordPress 用プラグイン NextGEN Gallery に PHP ファイルインクルージョンの脆弱性 【7】DERAEMON-CMS にクロスサイトスクリプティングの脆弱性 【今週のひとくちメモ】JPCERT/CC が「インターネット定点観測レポート(2016年 7〜9月)」を公開 ※紹介するセキュリティ関連情報の選定基準は以下のペー
FIO10-J. read() を使って配列にデータを読み込むときには配列への読み込みが意図した通りに行われたことを確認する
HOME公開資料を見るFIO10-J. read() を使って配列にデータを読み込むときには配列への読み込みが意図した通りに行われたことを確認する InputStreamクラスおよびReaderクラスとそれらのサブクラスのread()メソッドの一般契約は、バイト配列もしくは文字配列にどう書き込むかという点において複雑である。Java API 仕様 [API 2006] には、InputStreamクラスの read(byte[], int, int) メソッドは以下の動作をすると記されている。 このメソッドのデフォルトの実装は、入力データが要求された長さに達するか、EOFを検出するか、例外が投げられるまでブロックする。サブクラスではこのメソッドをより効率的な実装にすることが推奨される。 一方、read(byte[])メソッドについては以下のように記されている。 入力ストリームから、あるバイ
EXP32-C. 非 volatile 参照により volatile オブジェクトにアクセスしない
EXP32-C. 非 volatile 参照により volatile オブジェクトにアクセスしない volatile 修飾型オブジェクトは、処理系が関与しない方法で変更されたり、その他の未知の副作用を持つ可能性がある。非 volatile 値を使用して volatile オブジェクトを参照することができるが、未定義の動作が引き起こされる可能性がある。C 標準 [ISO/IEC 9899:2011] セクション 6.7.3 には次のように記載されている。 volatile 修飾型で定義されたオブジェクトを、非 volatile 修飾型の左辺値を使って参照しようとした場合、その動作は未定義とする。 (C 標準の附属書 J 「未定義の動作」の 65 も参照すること。) 違反コード この例では、volatile オブジェクトは非 volatile 修飾の参照を通じてアクセスされ、未定義の動作が発生
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
