WordPressの REST API における脆弱性の発表に伴い、Movable Type Data API の安全性についてお知らせします | Movable Type ニュース
WordPressの REST API における脆弱性の発表に伴い、Movable Type Data API の安全性についてお知らせします 先日、オープンソース・ソフトウェアである WordPress 4.7 / 4.7.1 の REST API に、認証を回避してコンテンツを書き換えられる脆弱性があったと発表されました。極めて容易に攻撃でき、コンテンツの改ざんを行うことができる深刻な脆弱性のため、最新版へのアップデートが強く呼びかけられています。また実際に、全国で多数のウェブサイトが改ざんの被害にあっています。 WordPress の脆弱性については下記をご参照ください。 Content Injection Vulnerability in WordPress | Sucuri Blog WordPress の脆弱性対策について：IPA 独立行政法人 情報処理推進機構 サイト改ざん相
SOAを利用したゾーン不存在情報を偽応答の評価に利用することについて。
@kazSuenaga 毒盛の話について： Orangeさんにも理解してもらえたので、対策話をしましょう。 否定返答についてくるSOAレコードをご存知かと思います。 — DNSはむずかしい (@beyondDNS) March 29, 2016 そのうち記事化します。 それまではリンク先の一連のやり取りをご参照ください。 [2016.04.02. 追記] 上記の一連のやり取りで教わったことをまとめます。 ※上記にでてくる「温泉」というのは DNS温泉番外編(2016年春) です。 ※自分自身、理解を進めながらの整理なので随時追記・修正があります。 この記事は前野さん1と鈴木さん2 がKaminsky および Müller 流の攻撃手法、およびそれらとその延長線にある一連のものとしてまとめられた 開いたパンドラの箱 - 長年放置されてきた DNS の恐るべき欠陥が明らかに によるキャッシュポ
VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について - debiruはてなメモ
2015年12月に私が発見した VALUE-DOMAIN での CSRF 脆弱性について、その脆弱性の報告と修正までの経緯を記しておきます。 きっかけ アカウント削除ページの作り アカウント削除ページの問題点 VALUE-DOMAIN への報告 CSRF 攻撃によるアカウント乗っ取りの問題 IPA への届出 余談：IPA への届出の仕方について IPA へ届出した後の状況 VALUE-DOMAIN ユーザの方へ きっかけ 数年前に VALUE-DOMAIN を利用していましたが最近は使っていないのでアカウントを削除しようとしたところ、アカウント削除操作を行うページの作りが「不自然である」ことに気付きました。更に調べたところ CSRF 攻撃によってアカウント乗っ取りが可能な状況であることが分かりました。 アカウント乗っ取りが可能な CSRF 脆弱性は2015年12月22日にIPAに報告し、2
JVNTA#99929369: 国内のウェブサイトに SQL インジェクションの脆弱性
日本国内のウェブサイトにおける SQL インジェクションの脆弱性が、国内外から JPCERT/CC に複数報告されています。 日本国内のウェブサイトにおける SQL インジェクションの脆弱性が、国内外から JPCERT/CC に複数報告されています。 オー プンソースの SQL インジェクション脆弱性診断ツール sqlmap を使用して、日本国内のウェブサイトで動作するウェブアプリケーションの脆弱性を検出しようとする海外からのアクセスが発生しています。こうしたアクセスは組織規模の大小によらず、中小企業や個人のウェブサイトに対しても行われています。SQL インジェクションの脆弱性が存在するウェブサイトでは、ユーザや開発者の意図しない SQL 文が実行され、様々な影響を受ける可能性があります。 sqlmap は、おもに次の 5つの手法を使用します。 Boolean-based blind WH
シーゲイト製の無線HDDに「隠し」rootアカウント--データ窃取の恐れ - ZDNet Japan
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Seagateの無線ハードディスクドライブ製品に非公開のrootアカウントが実装されており、リモートからのデータ窃取に悪用される可能性があることが判明した。 セキュリティ情報の収集と分析を手がける機関であるCERTが、セキュリティ企業Tangible Securityからの報告を受けて米国時間9月1日に公表したアドバイザリによると、該当するSeagateの無線ハードディスクドライブ製品は、マニュアルなどの技術文書に記載されていないTelnetサービスを提供しており、そのユーザー名とパスワードは既定で「root」に設定されている。該当する製品にはこれ以外にも複数の脆弱性が報告されており、これらを攻撃者によって悪用されると、無線経由でドライ
エフセキュアブログ : 悪意あるDNSサーバがFareitを配信する
悪意あるDNSサーバがFareitを配信する 2015年03月05日01:04 ツイート fsecure_corporation ヘルシンキ発 昨年、当ブログにて、Fareitが大量のスパムメールで送られていることについて書いた。 2か月後、感染系統に別の手段が追加された。悪意あるDNSサーバを経由させるものだ。 そのDNSサーバではFareitが使用する悪意あるサーバを指すように設定が書き換えられていて、無防備なユーザが一般的なWebサイトを訪れようとすると警告を出す。曰く「WARNING! Your Flash Player may be out of date. Please update to continue.（警告。このFlash Playerは古い可能性があります。先に進むには更新してください）」だ。 「Flash Player Pro」のダウンロードページは、ユーザが訪れよ
1200万台以上のルーターのファームウェアに脆弱性が判明、接続した全てのデバイスが攻撃対象に
By DeclanTM ネットワーク関連機器の組み込みソフトウェアを開発しているAllegro Softwareのファームウェアに脆弱性が発見されました。Allegroのファームウェアをインストールしているルーターの数は1200万台以上もありますが、これらのルーターが攻撃を受けると、接続している全てのデバイスがリモートコントロールされたり監視されたりする可能性があるとのことで、該当機種を使用しているユーザーは今すぐ何らかの対処をする必要があります。 Misfortune Cookie - Allegro Software Urges Manufacturers To Maintain Firmware for Highest Level of Embedded Device Security https://www.allegrosoft.com/allegro-software-urge
脆弱性"&'\ Advent Calendar 2014 (17日目) - 葉っぱ日記
この記事は脆弱性"&'<<>\ Advent Calendar 2014の17日目の記事です。今日は少し昔話をしようと思います。がはは。 かつて、日本製TwitterのようなWassrというサービスがありました。当時、Twitterは数日に一度くらいはサービスが落ちていて、Twitterユーザーも「またか」と思いながら我慢して使うようなサービスであり、Twitterが落ちるたびにWassrはユーザーを増やすとともに、画像の添付のように当時Twitterにはまだなかった機能をどんどんアグレッシブに取り入れていく、使っていて楽しいサービスでした。 さて、そんなWassrがある日絵文字機能を導入しました。当時はUnicode絵文字もなくスマートフォンも普及しておらず、主にレガシーな携帯電話で使える絵文字をなんとかWeb上でも使えるようにしたという感じのものでした。 絵文字をパレットから選択すると
ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]
WordPressのセキュリティ設定に関するブログ記事は山ほど見かけますが、今回はよく発生する改ざんについて「効果が高い」「比較的カンタンに出来る」「費用がかからない」という視点でピンポイントに対策したいと思います。 不正アクセスの目的と手口 そもそも何が目的で不正アクセスをしようとしてくるのか？ 自分も含めいろいろな改ざん報告を見ると、 改ざん者が関連しているウェブサイトへ誘導するスクリプトをこっそり書いていく 投稿の本文の文中にサイトへの誘導リンクを書き込む メールを自動送信するプログラムが書いてあるファイルをテーマディレクトリ内に置かれる というケースが多いようです。 効率良く改ざんするための手順 それでは、上記の事を達成するのに効率が良いのはどんな方法か？ 現実的に考えて、人間が手動で一つ一つのサイトにハッキングを試みるのはどう考えても効率が悪いです。そんな事をするくらいなら時給で
![ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/f766f5261227a22c288258afdfb88c6481b833da/height=288;version=1;width=512/https%3A%2F%2Fbizvektor.com%2Fwp-content%2Fuploads%2Fsec1-1024x538.jpg)
見直しませんか あなたの街のパトロール NHKニュース
例年、犯罪が増えるこれからの時期、地域の防犯ボランティアによるパトロールを目にすることが多くなるのではないでしょうか。 今、このパトロールに犯罪社会学の最新の成果を取り入れようという動きが始まっています。 犯罪学の手法をパトロールに 東京・北区では、５９の防犯ボランティア団体が活動しています。区は２８日から、こうした団体を対象にした講習会を始めました。指導するのは犯罪社会学が専門の立正大学の小宮信夫教授です。 海外の犯罪防止対策を研究してきた小宮さんが提唱するのは、「ホットスポット」と呼ばれる場所を集中的にパトロールする方法です。「ホットスポット」とは犯罪が起こりやすい場所のことで、「誰もが入りやすく、外から見えにくい」のが特徴です。犯罪者から見ると「犯行が行いやすく、気付かれにくい」場所となります。 「ホットスポット」を探せ ２８日は、実際に地区の中を歩いて、ホットスポットがどんな場所な
学校では教えてくれない、脆弱性発見時の対応のこと
生業として脆弱性検査をやっていない限り、Web サイトの脆弱性にぶち当たったりすることは、稀なことだとは思うんですよね。 自分も、ずいぶんと長いことコンピュータの仕事に関わってきましたけど、一ユーザとして脆弱性を見つけてしまったことは、後にも先にも以前書いた図書館システムの件だけだったりしますが…。 自分は、富士通のシステムが使われていた頃から、Web での図書の貸出予約が出来るように利用者登録をしていたので、新システム切り替わりと同時にパスワードを変更して使っていたわけですが、新システムに切り替わって 1 ヶ月になろうかという頃、利用者メニューにログインしているときに、ふといや～な予感が…。 [From セッション管理がダメダメな図書館システムを 3 年も前に見つけてしまった顛末 - Soukaku's HENA-CHOKO Blog] でもって、数日前に見かけた見かけた、こんな話。 学
(PDF)JPRS 登録情報の不正書き換えによるドメイン名ハイジャックとその対策について
補足資料：登録情報の不正書き換えによる ドメイン名ハイジャックとその対策について 初版作成：2014年11月5日 株式会社日本レジストリサービス（JPRS） Copyright © 2014 株式会社日本レジストリサービス 1 Copyright © 2014 株式会社日本レジストリサービス 2 登録情報に対する攻撃 • ここ数年、レジストリ・レジストラの登録情報に対 する攻撃事例が世界的に発生している 登録情報の例 具体的には ネームサーバー情報の 不正書き換え 登録情報の流れ • 登録者・リセラー ⇒ レジストラ ⇒ レジストリ • 受け取ったネームサーバー情報から、レジストリ の権威DNSサーバーにNSレコードを設定 Copyright © 2014 株式会社日本レジストリサービス 3 レジストリ レジストラ （指定事業者） 登録者・ リセラー example.TLD ネームサーバー
はてなブックマークボタンを設置した一部サイトに対するセキュリティ警告に関する調査の経過を報告します - はてなブックマーク開発ブログ
はてなブックマークボタンを設置したサイトの一部に対するセキュリティ上の警告について、10月18日に本ブログでお知らせしました。その後の経過について報告いたします。 はてなブックマークボタンを設置したサイトの一部に対し、はてなブックマークボタンが原因とされるセキュリティ上の警告が報告された件に関して、はてなでは10月15日より調査を開始し、これまでに以下の4点を確認しています。 はてなのサーバーに対する攻撃者の侵入はない はてなとレジストラの間の認証情報（アカウント）は悪用されていない 権威DNSサーバーに対する攻撃ではない はてなが契約するCDNサービスに対する攻撃ではない また、上記の問題について、10月20日に一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）よりドメイン登録情報の変更に関する情報が寄せられ、はてなでもJPCERT/CCなど関係機関に協力して調査を
複数の国内サイトがドメイン名ハイジャックされた件をまとめてみた - piyolog
2014年11月5日にJPCERT/CC、JPRSがドメイン名ハイジャックに関する注意喚起を公開しました。また同日日本経済新聞社が同社サイトがこの攻撃を受けていたことを速報で報じました。*1 ここでは関連情報をまとめます。 注意喚起・対策 JPCERT/CC 登録情報の不正書き換えによるドメイン名ハイジャックに関する注意喚起 JPRS （緊急）登録情報の不正書き換えによるドメイン名ハイジャックとその対策について（2014年11月5日公開） JPRS (PDF) 補足資料：登録情報の不正書き換えによるドメイン名ハイジャックとその対策について JPNIC IPアドレス・AS番号/ドメイン名に関する登録情報の不正書き換えに関する注意喚起 タイムライン 日付 出来事 9月第1週 Volexityが日経で不正なサイトへの接続を確認。 10月9日 VolexityがBlog記事を公開。 10月15日
第３３４号コラム「今年はソフトウェア脆弱性の当たり年？」 | デジタル・フォレンジック研究会
第３３４号コラム：上原 哲太郎 理事 （立命館大学 情報理工学部 情報システム学科 教授） 題：「今年はソフトウェア脆弱性の当たり年？」 今年(2014年)は本当に驚くほど深刻かつ影響範囲の大きいソフトウェア脆弱性が次々報告されており、後年から「当たり年」として記憶されるような年になりそうです。まずはそれを振り返ってみましょう。 まず4月、広範に使われているSSL/TLSライブラリであるOpenSSLに深刻な脆弱性が見つかりました。これはSSLの仕様にあるHeartbeatという機能の実装の不具合に起因していまして、攻撃者はこの不具合を突いてOpenSSLが用いられている各種サーバのプロセス内のメモリの一部を読み取ることができます。このメモリ内には、直前の利用者のユーザ名やパスワード、HTTPS通信時のCookie、そしてサーバ側の秘密鍵が入っている可能性があります。この脆弱性はその攻撃の
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
脆弱性"&'<<>\ Advent Calendar 2014 - Adventar
http://www.genusion.co.jp/pop_up.html
http://www.suzuki.sist.chukyo-u.ac.jp/security/yahoo/yahoo.html
事故になってしまった編 専門家に任せているから大丈夫！？｜保安事例｜電気保安情報｜一般財団法人 中国電気保安協会
untitled