Apple、OS X向け緊急セキュリティアップデート公開 - NTPの脆弱性に対応
米Appleは12月22日(現地時間)、緊急セキュリティアップデート「OS X NTP Security Update」をリリースした。対象となるのは、OS X Yosemite(v10.10.1)、OS X Mavericks (v10.9.5)、OS X Mountain Lion(v10.8.5)など。NTP (Network Time Protocol)サービスを提供するソフトウエアの致命的なセキュリティの問題を解決するアップデートで、対象となるユーザーに可及的速やかにアップデートを実行するように呼びかけている。アップデートはApp Storeアプリの「アップデート」タブから行う。 セキュリティアップデートの対象となっている問題についてAppleは調査を継続しており、ユーザー保護を優先して詳細を公開していない。セキュリティアップデートの概要によると、バッファオーバーフローが引き起こ
How To：「Heartbleed」から身を守るには--セキュリティ専門家に聞く
「Heartbleed」と呼ばれる新しい重大なセキュリティ上の脆弱性が米国時間4月7日夜に明らかになり、ウェブ全体に深刻な影響が示唆されている。このバグによって、ユーザー名、パスワード、クレジットカード番号といった個人データをはじめ、慎重に扱うべきユーザーデータが保管されているサーバのメモリから、データを取得されてしまうおそれがある。 これは極めて深刻な問題であり、インターネット調査会社Netcraftによれば、約50万台のサーバに影響があるという。本記事では、自分の情報を保護するためにできることについて、米CNETがセキュリティの専門家に聞いた方法を紹介する。 影響を受けているサイトのアカウントには、その企業が問題にパッチを適用したことを確認できるまでログインしないこと。セキュリティとコンプライアンスを専門とするTrustWaveのセキュリティリサーチマネージャーであるJohn Mill
安全なPHPアプリケーションの作り方2013
PHPカンファレンス2013における徳丸のプレゼン資料です。後から、参考文献などを加筆しました。Read less
某レンタルサーバでの大規模改ざんで起こっていた（と推測される）状態の整理。 | 技術系メモ
2013/08/31 01:36 初版 2013/08/31 10:00 参考リンク追加 2013/08/31 18:45 体裁変更と「周辺情報とこれらからの推測」へ追記 注意喚起追記 2013/09/02 11:55 徳丸さんの解説記事へのリンクを追加 2013/09/03 12:30 さとうふみやすさんの解説記事へのリンクを追加 注意喚起追記 お願い追記 2013/09/09 22:15 公式リリース[2013/09/09 20:42 追記]について 追記 2013/09/09 22:30 某グループ代表の投稿について参考リンクに追記 http://lolipop.jp/info/news/4151/ http://lolipop.jp/info/news/4149/ [追記 2013.09.09. 22:15]← こちらに[2013/09/09 20:42 追記]として事象説明が出ま
ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策
既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
ロリポップでWordPressの改竄が拡がった理由
ロリポップでの大規模なWordPressサイトの改竄について http://lolipop.jp/info/news/4149/ ロリポップからのリリースでは、管理パスワードとログインへのアクセス制限の強化を推奨して、パーミッションの変更と全体のウイルスチェックを行うとしている。WordPressそのもののアップデートはマニュアルに方法が記載されているものの、リリースでは触れられていない。 このことから、被害が大きくなったのは、ロリポップの提供していたWordPressのインストール手順に問題があり、wp-config.phpなどのファイルのパーミッションが不適切だったためではないかと推察出来る。 いくつかのアカウントだけWordPressの管理パスワードが突破される、というのであれば、世界中でほぼいつでも起こっている。 もし、あるユーザーの管理パスワードが脆弱で推測することが出来てしまう
GMO ロリポップ不正アクセス騒動をまとめてみた。（メモ） - ハニーポッターの部屋
昨日から、Wordpress関係のWeb改竄がJPドメインに対して行われています。低価格のblogサービスを提供しているサイトのロリポップやGMOのInterQなどが被害を受けているようです。 原因は.htaccessとwp-config.phpの初期パーミッションが ◆.htaccess → 644 ◆wp-config.php → 444 だったようなので、同一サーバ内のユーザが侵入された場合、他のユーザの情報も閲覧可能であったため、wp-config.phpからDB情報（table名、ユーザID、パスワード）を取得して各ユーザのDBに不正アクセスしたのではないかと思われます。 公式見解が出ていないため、あくまで推測です。 最終的に ◆.htaccess → 644→604→600 ◆wp-config.php → 444→404→400 へアクセス権を変更したようですが、それでも、不
ロリポップ上のWordPressをWAFで防御する方法 | HASHコンサルティングオフィシャルブログ
(2013/08/29)追記 ロリポップ上のWordPressが不正アクセスされる事例が増えているようです（参考）。現時点で侵入経路等は明らかでありませんが、以下に説明する方法で、公開ページに対するSQLインジェクション攻撃や、管理コンソールに対する不正ログインに対しては、かなり効果があると考えられます。ユーザーの参考になれば幸いです。また、タイトルを変更しました。 追記終わり 今年の9月27日から、ロリポップのレンタルサーバーの全プランで、WAF(SiteGuard Lite)が標準装備されるようになりました。 WAF（ウェブアプリケーションファイアウォール）を導入いたしました ロリポップ！レンタルサーバーはWAF標準装備です。 http://lolipop.jp/waf/より引用 これは大変良いことですね。インターネット上のすべてのサイトが攻撃の対象ですし、被害も増えている印象がありま
【2ch】ニュー速クオリティ:●流出情報、一般社会に知れ渡る
1 ランサルセ(宮城県) 2013/08/26(月) 08:22:57.01 ID:l+iHb1GR0 [1/5] ?PLT(12001) ポイント特典 巨大掲示板群「2ちゃんねる」のデータが流出しました。 中には「●」ユーザーのクレジットカード情報や書き込み履歴、IPなども含まれており、とんでもない事態となりつつあります。 【2chデータTor流出関係】情報集約スレッド 巨大掲示板群「2ちゃんねる」の運用情報板によると、過去ログを読むことができ、規制対象のホストからも書き込める「2ちゃんねるビューア（通称●）」利用者約4万人分の各種情報が流出したそうです。 2013年8月26日7:25時点で流出したおそれがある情報は以下で、2011年7月29日20:51:37～2013年8月11日16:42:20までの購入分が対象。 メールアドレス、カード種別、カード番号、有効期限（年）、有
サービス終了のお知らせ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
【速報】２ちゃんねるで史上最大の流出！●ユーザ49000人の情報漏れ : IT速報
1: 以下、名無しにかわりましてVIPがお送りします 2013/08/26(月) 00:01:09.44 ID:ugpxo64U0 ●持ちの情報全て流出らしい しかも、その●で書き込んだ内容も流出 ●を買ったときの名前や住所、クレカ情報も流出 なんと過去10年以上の情報、全て コテ情報も流出 キャップ情報も流出 be情報も流出（らしい） ありとあらゆる情報が流出 なお、２ｃｈ運営は数日前から気付いてた模様 あまりにも危険な情報だから、 これ以上は自分達でググって調べて 洩れたデータを公開しているhttp://maru.unko.in/のようなサイトが複数作られています。洩れた対象の方は早めに対策を！ 漏れたもの ・全てのトリップ/キー情報(運営用の物含む) ・●ユーザ全員の過去十年の書き込み履歴 ・●ユーザ(クレカ払い)は、書き込み内容に紐付けて、本名住所電番クレカ番号も全公開 流出した●
「DNSが攻撃されてる！助けて！」→「いえいえ、アナタも攻撃に加担してます」:Geekなぺーじ
DNS Summer Days 2013の初日最後のセッションで面白い話が公表されていました。 JPCERT/CCに対して「うちのDNSが攻撃されています。助けて下さい」という問い合わせが来ることがあるらしいのですが、調べてみるとその大半がDDoSの踏み台として使われているのであって、実際は攻撃に加担してしまっているというものでした。 他者を攻撃するトラフィックを生成することで、自身の回線やサーバに負荷がかかってしまっている状態が凄くよくあるそうです。 「助けて！」と言っている人が、意図せずに誰でも使えるオープンリゾルバとして設定されており、攻撃者の踏み台にされているというものです。 キャッシュDNSサーバの設定を変更し、オープンリゾルバをやめると問題が解決することが多いとのことでした。 今年に入ってから、オープンリゾルバがDDoS攻撃の踏み台にされる話がインターネット通信業界で話題です。
WordPressのプラグインのセキュリティについて、少し真面目な話をします。
WordPressのプラグインのセキュリティについて、少し真面目な話をします。 2013.07.12 | 考える。 セキュリティ ども、最近でしゃばりすぎじゃないかという噂もあるブルーです。ヴァイオレットさんが書いた記事「なぜexec-PHPがモテるのか」も多少火種になりまして、TwitterやFacebookの観測範囲では、Exec-PHPプラグインについての様々な話題が挙がっていたように思います。このプラグインは、WordPressの投稿画面では、通常PHPのプログラムコードを入力してもセキュリティの観点から削除されますが、それを削除せず、表示の際にコードを実行するというプラグインです。 あえて個別を取り上げることはしませんが、個人的に気になったのは、危険性を啓蒙する記事の一方では、下記のような意見を持つ方も多そうだということです。 「上級者はセキュリティについてもよく分かってるっぽい
slideshareにはいつの間にかに他のユーザーでログインしている致命的なバグがある - UNIX的なアレ
先ほど気づいたのですが、かなり危険なバグかつ脆弱性なので手短に共有します。 他人でいつの間にかログインしていた facebook上のTLに流れてきたslideshareへのリンクを踏んで普通に資料を読んでいました。最初は気付かなかったのですが、なぜか右上にあるアイコンが自分のものではないアイコンが出ています。 ウチの会社の社長のアカウントなのですが、意図せずに勝手にユーザーアカウントが切り替わっています。 コメントも可能 ちょっと下にいくと、コメントができる欄がありますがここにも自分のアカウントではなくアカウントに切り替わっています。アイコンのURLが同一だからキャッシュしているなどではなく、完全に別ユーザーとしてログインをしている状態になっています。非常に危険な状態。 この時点で明らかにおかしいので本人に伝えました。 ※上記のキャプチャはコメント後に取得したキャプチャです。 コメント投稿
サイバー戦争になれば確実に負ける日本
イスラエルとパレスチナのイスラム過激派ハマスの軍事衝突。実弾が飛び交っただけでなく、サイバー空間上での戦争も行われていた。そこに3番目の勢力が介入してきたのだが……。 官公庁を襲うサイバー攻撃がしばらく前から頻発している。実際に「個人情報が盗まれた」「Webサイトが書き換えられた」というサイバー攻撃はちょこちょこ話題になっている。ただこの程度で大騒ぎしているようでは、あまりにも世界の現実を分かっていない。 日本はサイバー空間という領域の重要性を真剣にとらえていない。その根底には問題を先送りにする官僚の事なかれ主義があるようにも思うが、政府としてサイバー空間の重要性に向き合って、具体性を持って真剣に議論すべきだろう。 というのも、世界を見れば、ネット上はすでに「戦場」になっているからだ。データは兵器になり、もはや紛争や戦争においてサイバー攻撃は当たり前になっている。国家が考える軍事領域は、も
【遠隔操作ウイルスの戦慄】（下）崩壊するネット秩序 「書き込み放題」現実に （1/4ページ） - MSN産経west
「札幌ドームを爆破するぞ！！警察は必要ねぇよ」 インターネット掲示板「２ちゃんねる」に今月１６日、こんな犯罪予告が書き込まれた。通報を受けた北海道警は敷地内を捜索。翌日にあったプロ野球パ・リーグのクライマックスシリーズでも、警備強化を余儀なくされた。 「またウイルスか」 「逮捕楽しみ」 予告に続くコメント欄には、騒動をおもしろがる言葉が並んだ。 「脅迫、書き放題だね。ＩＰアドレスを根拠に追及されても『ウイルスのせいだ』と主張すれば済む」 一連の犯罪予告が冤罪（えんざい）の可能性が高いことが明らかになってから、こうした書き込みが急増した。実は、遠隔操作ウイルスの登場で警察当局が冤罪と並んで懸念を示しているのが、この「書き込み放題」になってしまうことだった。 ネットに投じられた遠隔操作ウイルスの一石は、早くも警察当局の懸念通り、サイバー空間の法秩序を崩壊に追い込みつつある。× × × ネットセ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenSSLの件がやばすぎてどう対応すればいいのかイマイチよく分かりません(山本一郎) - 個人 - Yahoo!ニュース
GMOグループのクラックわっしょい祭、永江一石氏「クラックされてるよ」→熊谷社長「されてないWPが悪い」→石森大貴氏「侵入経路分かったWP関係ない」 : 市況かぶ全力２階建
朝日新聞デジタル
Crazy Bone
