SQLインジェクション対策不備の責任 東京地判平30.10.26（平29ワ40110） - IT・システム判例メモ
SQLインジェクション対策をしていなかったことについて開発会社の責任が問われた事例。 事案の概要 Xは，Yに対し，Xの提供する車・バイクの一括査定システム（本件システム）の開発を約320万円で委託し，平成24年9月に納品を受けた。 その後Xは，平成28年12月に，IPA*1から，中国のサイトに本件システムの脆弱性に関する情報が掲載されているという指摘を受けて，Yに対し，その調査と報告を依頼した。 その結果，本件システムには，ＳＱＬインジェクション対策が不十分という脆弱性が判明したことから，XはYに対し，その脆弱性はYの被用者の故意過失によって生じたものであるから，使用者であるYには使用者責任があると主張して，民法７１５条１項所定の損害賠償請求権に基づき，緊急対策費用４７万５２００円，詳細な調査，抜本的な修正費用６４０万円，サーバー移転費用３５万６４００円，セキュリティ対策のための本件システ
Drupal の脆弱性 (CVE-2019-6340) に関して検証してみた - とある診断員の備忘録
どうも、Drupalを一回も運用したことがないのに、インストールするのがどんどん早くなっていく、とある診断員です。 今回は先日PoCが公開されたDrupal の脆弱性 (CVE-2019-6340) に関してちょこっと検証してみました。 折角なので検証した内容についてブログに記載をしておきます。 脆弱性に関する情報 脆弱性の種類 RCE（Remote Code Execution）です。リモートの攻撃者よりWebサーバの動作権限にて任意のコードを実行されてしまう危険性があります。 脆弱性の影響を受けるバージョン Drupal 8.6.10 より前の 8.6 系のバージョン Drupal 8.5.11 より前の 8.5 系のバージョン 脆弱性の影響を受ける条件 以下のようなREST API を利用するモジュールが有効になっている場合、影響を受けます。 RESTful Web Services
正規表現でPHPを脆弱にする (1) 「^ と $」 - Qiita
みなさん正規表現は好きですか？ 私は好きです。簡単に脆弱性を作り込めて、とても便利ですからね。 この記事ではPCRE関数(preg_match(), preg_replace()など)を利用して、みなさまにPHP正規表現のバッドノウハウを教示いたします。 先に結論を書きます 単独の文字列のマッチに $ を用いるのは予期しないパターンになるのでやめましょう。^は特に危険ではありませんが、^と$の組み合せではなく**\Aと\zの組み合せ**を覚えましょう。ただし、m修飾子で複数行(マルチラインモード)で、行頭と行末にマッチさせたい場合を除きます。 文字列のマッチに ^ と $ のペアを利用する そうですね、例としてQiitaのようなユーザー登録サイトの表示名 @tadsan のような文字列を登録する前の検査をするとします。 要件としては、使用可能な文字は abcdefghijklmnopqrs
問題：間違ったCSRF対策～初級編～
脆弱性診断の学習のお供に、比較的簡単なCSRF対策バグの問題を提供します。この記事では問題のみを出し、想定解答は後日公開することにします。ネタバレとなるブックマークコメントやツイートなどは控えていただけると幸いです（「思いのほか簡単だった」など感想は可）。ブログ記事等に解説記事を書くことは歓迎いたします。 以下はテスト用に「ログインしたことにする」スクリプト（mypage.php）。ログイン状態で呼び出すこともでき、いずれの場合でもログインユーザのメールアドレスを表示します。 <?php // mypage.php : ログインしたことにする確認用のスクリプト session_start(); if (empty($_SESSION['id'])) { // ログインしたことにしてメールアドレスも初期化 $_SESSION['id'] = 'alice'; $_SESSION['mail'
Chrome 70から、WebAuthnでMacのTouchIDとAndroidの指紋認証がデフォルトで利用可能に。Webサイトへのログインもタッチで
Chrome 70から、WebAuthnでMacのTouchIDとAndroidの指紋認証がデフォルトで利用可能に。Webサイトへのログインもタッチで パスワードを使わずデバイス側での指紋認証やPINコードなどによる認証によりWebサイトへログインできるWebAuthnは、2018年4月にW3Cの勧告候補になり、Chrome、Firefox、Microsoft Edgeへの実装が進められています。 参考：パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ Googleは5月にリリースしたChrome 67でWebAuthnへの対応を行いましたが、10月にリリースされるChrome 70では実装を進化させ、デフォルトでMacのTouchIDとAndroidの指紋認証に対応するこ
Webサーバをセキュアに保つ設定のまとめ - Qiita
はじめに Webサーバをセキュアに保つ為、個人的に行っている設定をざっくりまとめてみました。 設定内容はApache 2.4での運用を想定していますので、他のHTTPdをお使いの方は適宜読み替えてください。 各設定項目は以下のオンラインテストサイトでA+相当を取ることを目指しています。 設定ファイル生成 Mozilla SSL Configuration Generator オンラインテスト Mozilla Observatory Qualys SSL Server Test 前提条件 以下で設定する項目は特にHTTPS接続や攻撃防止に関するものになります。 HTTPdそのものに関する基本設定については別記事をご参照ください。 SSLProtocol 危殆化した古いプロトコルを有効にしている場合、古いプロトコルを標的としたダウングレード攻撃等を受ける可能性がある為、新しいプロトコルのみを有
【セキュリティ ニュース】「Drupal」脆弱性で感染を拡大するボット「Muhstik」見つかる（1ページ目 / 全2ページ）：Security NEXT
コンテンツマネジメントシステム「Drupal」に深刻な脆弱性「CVE-2018-7600」が見つかった問題で、ボットネットが感染を拡大する際に同脆弱性を悪用していたことがわかった。 同脆弱性に関しては、実証コードが公開された4月12日以降、悪用が観測されているが、攻撃を観測したQihoo 360 Netlabによれば、少なくとも3グループが同脆弱性を悪用していたという。 そのなかの1グループがボットに脆弱性を悪用するエクスプロイトを実装。現在は活動を停止しているが、ワームとして感染拡大に脆弱性を利用していたという。 ボットは「Tsunami」の亜種と見られ、同社では、バイナリファイルの名称やIRCチャンネルから「Muhstik」と命名している。
【セキュリティ ニュース】脆弱性「Drupalgeddon 2.0」、実証コード公開で攻撃段階に（1ページ目 / 全2ページ）：Security NEXT
コンテンツマネジメントシステム「Drupal」に深刻な脆弱性「CVE-2018-7600」が見つかった問題で、公開から約2週間、目立った動きは観測されていなかったが、実証コードの公開により、脆弱性が悪用されるフェーズへと移行した。 問題の「CVE-2018-7600」は、3月28日に公開されたセキュリティアップデート「同8.5.1」「同7.58」で修正された脆弱性。リモートよりコードを実行されるおそれがあり、影響の大きさから別名「Drupalgeddon 2.0」とも呼ばれている。 リモートより容易に悪用でき、開発チームではアップデートに先立ち、事前予告を実施するなど利用者へ注意を呼びかけてきた。また悪用された際に与える影響の大きさから、サポートが終了しており、本来アップデートの提供対象とならない「8.4.X」「8.3.X」に対しても、「同 8.4.6」「同8.3.9」をリリースし、対策が
パスワード「頻繁に変更はNG」 総務省が方針転換 - 日本経済新聞
定期的に変えるのはかえって危険――。総務省がインターネット利用時のパスワードについて、従来の"常識"を覆すような注意喚起を始めた。「推測しやすい文字列になって不正アクセスのリスクが増す」というのが理由で、複雑なパスワードを使い続けるよう呼びかけている。方針転換に困惑する声も少なくない。「定期的にパスワードを変更しましょう」。3月1日、総務省の「国民のための情報セキュリティサイト」からこんな記述
安全なWebアプリケーションの作り方改訂のお知らせ
徳丸本こと、「体系的に学ぶ 安全なWebアプリケーションの作り方」は、2011年3月の発売以降大変多くの方に読んでいただきました。ありがとうございます。 ただ、発売から既に7年が経過し、内容が古くなってきた感は否めません。たとえば、クリックジャッキングの説明はほとんどないですし、OWASP Top 10 2017で選入された安全でないデシリアライゼーションやXXEの説明もありません。なにより、Web APIやJavaScriptのセキュリティ等がほとんど書かれていないことが課題となっていました。 そこで、版元のSBクリエイティブと相談して、この度改訂することにいたしました。3月末脱稿、6月頃発売の見込みです。 改訂にあたり、以下を考えています。 Web APIとJavaScriptに関する説明を4章に追加 XHR2対応に向けてCORSの説明を3章に追加 携帯電話の章は丸ごと削除して、別の内
もし『よくわかるPHPの教科書』の著者が徳丸浩の『安全なWebアプリケーションの作り方』を読んだら - ockeghem's blog
たにぐちまことさんの書かれた『よくわかるPHPの教科書（以下、「よくわかる」）』を購入してパラパラと見ていたら、セキュリティ上の問題がかなりあることに気がつきました。そこで、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方（以下、徳丸本）」の章・節毎に照らし合わせて、「よくわかる」の脆弱性について報告します。主に、徳丸本の4章と5章を参照します。 4.2 入力処理とセキュリティ 「よくわかる」のサンプルや解説では、入力値検証はほとんどしていません。しかし、入力値検証をしていないからといって即脆弱かというとそうではありません。徳丸本でも強調しているように、入力値検証はアプリケーション要件（仕様）に沿っていることを確認するもので、セキュリティ対策が目的ではないからです。 「よくわかる」の中で、私が見た範囲で唯一の入力値検証は、郵便番号のチェックをするものです。以下に引用します（「よくわ
%25E3%2582%25BB%25E3%2582%25AD%25E3%2583%25A5%25E3%2583%25AA%25E3%2583%2586%25E3%2582%25A3%25E3%2581%25A7%25E9%25A3%25AF%25E9%25A3%259F%25E3%2581%2584%25E3%2581%259F%25E3%2581%2584%25E4%25BA%25BA%25E5%2590%2591%25E3%2581%2591%25E3%2581%25AE%25E5%25BF%2583%25E3%2581%25AE%25E6%258C%2581)
(翻訳)セキュリティで飯食いたい人向けの行動指針 - Got Some \W+ech?
(7/21) コメント欄の指摘を受け英訳追記 前文 本記事はGoogleのセキュリティ担当者 Parisa Tabriz氏(異名: Security Princess)のSo, you want to work in security?を翻訳したものです。 go for it!— Parisa Tabriz (@laparisa) 2016年12月25日 うっ…半年以上前… 意訳したりわからない部分もあったので、原稿の全てを反映できているか自信はありません。元ブログも是非ご一読ください。 —————————————- ここから翻訳 ————————————————- セキュリティ分野(コンピュータ、情報、サイバー…etc)でキャリアを積みたい人からメールをもらうことがある。素晴らしいことだと思う。テクノロジーを安全にしていくパション、創造性を持ち、ハードワークをこなせる仲間はいつだって必要
Webエンジニアだったら当然知っておきたい「 クリックジャッキング対策 」とは？ | 株式会社ヌーラボ(Nulab inc.)
こんにちは。Typetalkチームの永江です。今回は4月にリリースした、BacklogとTypetalkの連携機能である「Backlogカード」の実装の際に行った クリックジャッキング対策 について説明します。 Backlogカードとは Backlogカードは、Typetalkのトピック内にBacklogの課題やコメントをカード形式にして表示する機能です。Backlogの課題キーや課題のURLを貼り付けるだけで、以下の画像のように表示できます（※詳しいご利用方法についてはこちらの「Typetalkのトピック上で課題の詳細を見られる Backlogカード をリリースしました！」をご参照ください）。 Backlogカードの実装は、TypetalkからBacklogに用意した埋め込み用の課題ページを<iframe>で表示するというものです。このような実装にしたのは、もともとBacklogに<if
セキュリティの都市伝説を暴く
PHPカンファレンス2020での講演資料です。 アジェンダ 誤解1: Cookieは誤解がいっぱい 誤解2: 脆弱性があるページにのみ影響がある 誤解3: 脆弱なECサイトはセキュリティコードを保存している 誤解4: クレジットカードをサイトに保存すると漏洩リスクが高まる 誤解5: ハッシュ値で保存されたパスワードは復元されない 誤解6: 高価なSSL証明書ほど暗号強度が高い 誤解7: TRACEメソッドの有効化は危険な脆弱性である 誤解8: 怪しいサイトを閲覧すると情報が盗まれたりウイルスに感染する 誤解9: イントラのウェブサイトは外部からは攻撃できない 誤解10: セキュリティ情報はウェブで収集する
Google、HTTPページに警告表示 まずはパスワード入力から
WebサイトのHTTPS接続を推進している米Googleは9月8日、パスワードやクレジットカード番号を入力させるWebページに通信の内容が暗号化されないHTTP接続が使われている場合、2017年1月から安全でないページとみなすと発表した。長期的には全てのHTTPページを安全でないページとして扱う方針。 発表によると、2017年1月にリリース予定のWebブラウザ「Chrome 56」から、パスワードなどを入力させるWebページにHTTPが使われている場合はアドレスバーのURLの前に灰色で「Not secure」の文字を表示する。 Googleは、WebサイトがHTTPSを使っているWebサイトを検索で優先するなど、HTTPからHTTPSへの移行を促す措置を講じてきた。HTTPSの実装にかかるコストなどの負担も軽減されつつあり、デスクトップ版のChromeで読み込まれるWebページのうち、HT
自サイトのドメインを入力するだけで安全性・セキュリティを自動スキャンしてFからA+までのスコアを付けて評価してくれる「Observatory by Mozilla」
By Merrill College of Journalism Press Releases Mozillaが作ったセキュリティ評価サイト「Observatory by Mozilla」は、ウェブサイトのドメインを入力するだけでウェブセキュリティがどれくらい構築できているかを分析し、総合的な評価をわかりやすくFからA+まででランク付けしてくれるようになっています。 Observatory by Mozilla https://observatory.mozilla.org/ 「Scan your site」の下にある入力欄に調べたいサイトのドメインを入力して「Scan Me」をクリック。今回は「yahoo.co.jp」で調べてみます。 しばらくするとスコアが表示され、以下のように項目ごとにどのように評価されたのかがわかるようになっています。 「Scan Summary」の項目には総合的な
PHPにおけるhttpoxyの対応 - Shin x Blog
HTTP リクエストに任意の値をセットすることで、Web アプリケーションからの HTTP 通信を傍受したり、中間者攻撃（Man-in-the-Middle）を可能にする脆弱性が見つかっています。 専用サイト httpoxyという名前が付けられ、専用サイトが立ち上がっています。詳細は、このサイトが詳しいです。 httpoxy.org 攻撃内容 アプリケーションからHTTP通信を行う際に、環境変数HTTP_PROXYの値を、HTTPプロキシとして見るライブラリがある。 HTTPリクエストにProxyヘッダを付けられると、環境変数HTTP_PROXYにその値がセットされる。（これは、CGIの仕様） つまり、任意のプロキシを外部から指定できてしまうので、通信内容の傍受や偽装ができてしまう。 対象となる PHP アプリケーション HTTP リクエストを受けて動作する PHP アプリケーション アプ
Drupal 8.1.7がリリース - 脆弱性"httpoxy"への対応
Drupalは18日(現地時間)、脆弱性などセキュリティ上の修復を図ったアップデートを行った8.1.7を公開した。公式ブログでは、8.x系統ユーザーには早期のアップデートを強く勧めるとしている。 アップデートは、CVE-2016-5385に対応するもので、8系統で使われていたPHPライブラリGuzzleのアップデートを含んだものとなる。Drupal Security Teamは、7系統でのアップデートはないが、PHPやPythonなどを使ったCGIアプリケーションにけるHTTP Proxy header周りの脆弱性を指摘する"httpoxy"への対応であり、.htaccess内に <IfModule mod_headers.c> RequestHeader unset Proxy </IfModule> を付加するなど、https://httpoxy.org/にある緩和策を参考にすることを
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OSSで始めるセキュリティログ収集/oss-securitylog-builderscon2017
「HTTP_PROXY」を参照する広範なウェブサーバーに脆弱性 PHP、GO、Apache HTTP Server、Apache Tomcat、HHVM、Pythonに影響
