IBM DB2に権限昇格の脆弱性
米IBMのDB2に権限昇格の脆弱性が見つかり、修正パッチが公開された。 セキュリティ企業のSecuniaによると、DB2の「db2dasrrm」プログラムに関して2件の脆弱性が存在する。悪用されると権限を昇格されたり、データを操作される可能性がある。 脆弱性はLinux版のDB2 9.1（Fix Pack 4／Fix Pack 3）で確認され、ほかのバージョンも影響を受ける可能性がある。各バージョンごとに、脆弱性に対処したパッチが公開されている。 深刻度はそれほど高くなく、Secuniaが5段階評価で下から2番目の「Less critical」、仏FrSIRTは4段階で下から2番目の「Moderate Risk」としている。
“解読不能”の新暗号の記事について、いつくかのお詫び ― ＠IT
先週末の金曜日に掲載した「『解読不能は数学的に証明済み』、RSAを超える新暗号方式とは」がアクセスランキングの2位に入っているが、はてなブックマークやブログで、たくさんのご指摘、ご批判をいただいた。取材、執筆したニュース担当記者である私（西村賢）はいくつかお詫びしなければならない。 1つは記事タイトルや冒頭の記述だけを見ると、まるで確定事項のように見えること。アルゴリズムの公開や検証が済んでいないので「原理的に解読不能と主張する研究者が現れた」と書かなければならないところだった。記事の末尾で「CAB方式は、まだ実績がなく事実上未公表の技術だ。情報が公になっていくにつれて、専門家たちがどう反応するかは未知数だ」と書いたときには、今後アルゴリズムが公表されてすぐに理論的な瑕疵が見つかる可能性があるという意味のつもりだったが、誤解を与える記事構成だった。 アルゴリズムを非公表にしたまま「解読不能
絶対に公開してはいけないPHPプログラミング
絶対に公開してはいけないPHPプログラミング ネタ元：AjaxMail：Ajaxを活用したフリーPHPメールフォーム これはひどいのに誰もつっこみを入れていないので、ツッコミを入れておきます。 セキュリティーフィックスされたました。 AjaxMailを利用しているサイトはスパムメールの踏み台にされます。 送信プログラムであるsendmail.phpの 150行目でPOSTで受け取ったアドレスをそのまま変数に入れて、 $reto = $_POST['email']; 168行目で直接メール関数に利用している。 if($remail == 1) { mail($reto,$resbj,$rebody,$reheader); } ありえない。 mail関数の第一引数には送信先のメールアドレスを設定できるのですが、カンマ区切りで複数のメールアドレスが指定できます。 リターンメールの性質上、リファラ
twitter のアカウント乗っ取りが可能だったかもしれない件 - 児童小銃
実際には試してないので勘違いかもしれないけど3/9の夕方まで twitter のアカウントが乗っ取り可能だったかもしれない、という話。←特殊なケースを除いて不可能だった模様。追記参照。 「ついったー足あと帳」(http://hamachiya.com/junk/twlog/)でアクセスした人のidと発言ログを抜き出す(protectedでも!)デモをやっていたり、それがきっかけで過去に settings から id とメールアドレスを抜き出す「(元祖)ついったー足あとちょう」があった(昨日までは動作していた)のを見て、ひょっとして、と思って昨夜少し調べてみた。 去年の11月のDK祭り*1の時に、パスワードクラック以外で乗っ取り可能か検討されたことがあった。 twitterの仕様を調査した結果、仮にtwitterにXSS脆弱性などがあり、セッションハイジャックができたとすると、第三者がパスワ
第1回 まずは「クッキー」を理解すべし
Webアプリケーションのぜい弱性がなかなかなくならない。メディアなどでも盛んに取り上げられているにもかかわらず，である。特に，セッション管理がからむアプリケーションのぜい弱性には，気付かないことが多い。具体的には「クロスサイト・リクエスト・フォージェリ」（CSRF），「セッション・フィクセーション」などである。これらはクロスサイト・スクリプティング，SQLインジェクションといった比較的メジャーなぜい弱性に比べて認知度が低く，対策も進んでいない。 原因の一つは，アプリケーションの開発者が原因を正しく理解していないこと。CSRFやセッション・フィクセーションについて言えば，セッション管理に使うクッキー（cookie）の動作を理解していないと対策が難しい。ところが最近の開発環境では，セッション管理の仕組みが隠ぺいされているため，必ずしもこの知識は要求されない。こうした開発者は容易にはぜい弱性に気
Apache Tomcatに不正Cookieの脆弱性
IPAとJPCERT/CCは、オープンソースソフトウェア「Apache Tomcat」で、不正なCookieが送信される脆弱性が見つかったと発表した。 情報処理推進機構（IPA）セキュリティセンターとJPCERTコーディネーションセンター（JPCERT/CC）は2月12日、Webアプリケーションサーバに脆弱性が発見されたと発表した。 サーバ上でJavaアプリケーションを動作させるためのオープンソースソフトウェア「Apache Tomcat」で、不正なCookieが送信される脆弱性が見つかった。Apache Tomcatは、HTTPリクエストに基づくCookie情報の生成過程で特定の文字を適切に処理しないため、遠隔からユーザーのWebブラウザに不正なCookieが送信される可能性がある。 影響を受けるシステムは「Apache Tomcat 4.1.0から4.1.36」「同5.5.0から5.5
はてなダイアリー日記を誰でも編集できる状態について - はてなダイアリー日記
はてなダイアリー日記が誰でも編集できる状態になっておりましたので、編集できないようにいたしました。 またこの間書き込まれた内容については勝手ながら削除させていただきました。ご了承ください。
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
3分LifeHacking：他人にPCを貸すときの設定法 - ITmedia Biz.ID
「ちょっとPCを貸してください──」。こんなとき一瞬躊躇した経験はおありだろうか？ セキュリティを保ったまま、他人にPCを使わせるときの設定方法。 「ちょっとPCを貸してください──」。来社したお客さまがインターネットに接続してデモンストレーションをしたいと言っているときや、同僚に少しだけPCを使わせてほしいと言われたとき、自分が普段使っているノートPCをそのまま渡していないだろうか。 こうしたノートPCには、業務で使っている各種ファイルが入っているのはもちろん、他人に知られてはならない情報がたくさん詰まっているもの。Webブラウザ1つ取ってみても、ついさっきまで業務でアクセスしていたサイトのURL履歴も残っているし、サイトパスワードも保存されているかもしれない。日本語IMEには（ATOKにもIME-2007にも）推測変換が搭載されつつあり、残された変換履歴から、入力していた文章も読み取れ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.machu.jp/posts/20071023/p01/