やっと出たので動作差分です。主に2.2.20でエンバグして修正された点が主になります。 現時点ではまだリリースノートは更新されていませんが、開発者によるGA投票通過して ミラーもされてるので引っ込む事は無いでしょう。 ともあれ今回の件はこれで最後になるといいなぁ。 アドバイザリはこちら。(2011/09/14 ドラフトから正式版に張り替え) 大きな変更としては1.3系が影響対象外になった旨が記載されています。 Apache HTTPD Security ADVISORY UPDATE 3 - FINAL http://httpd.apache.org/security/CVE-2011-3192.txt Rangeリクエスト関連の処理で2.2.19から動作が変わった点は以下です。 2番目と4番目は本質的には同じでしたが、実際にバグを踏んだ例があったので 分離しています。 リグレッションした

「XML」「セキュリティ」という単語でWeb検索すると、多くヒットするのはXMLデジタル署名やXML暗号などを説明したWebページです。 本日の日記では、それとはちょっと違うテーマ（XXEと呼ばれる攻撃）について書きます。 脆弱なコードと攻撃方法 さっそく脆弱性があるサンプルプログラムです。 import java.io.*; import javax.servlet.*; import javax.servlet.http.*; import org.w3c.dom.*; import org.apache.xerces.parsers.*; import org.xml.sax.*; public class Test1 extends HttpServlet { public void service(HttpServletRequest request, HttpServletRe

このブラウザーはサポートされなくなりました。 Microsoft Edge にアップグレードすると、最新の機能、セキュリティ更新プログラム、およびテクニカル サポートを利用できます。 XML サービス拒否攻撃と防御策 Bryan Sullivan サービス拒否 (DoS) 攻撃は、Web サイトに対する攻撃の中で、最も古くからある種類の攻撃の 1 つです。DoS 攻撃は、少なくとも 1992 年の記録には既に残っており、SQL インジェクション (1998 年に発見されました)、クロスサイト スクリプティング (JavaScript が発明されたのは 1995 年になってからです)、およびクロスサイト リクエスト フォージェリ (CSRF (クロスサイト リクエスト フォージェリ) 攻撃は一般にセッション Cookie を必要としますが、Cookie が世に出たのは 1994 年になってか

リンクトブレインと三井物産セキュアディレクション（MBSD）は2月5日、ソーシャルゲームに特化したセキュリティ診断サービス「LB Check!」を提供する。 リンクトブレインと三井物産セキュアディレクション（MBSD）は2月5日、ソーシャルゲームに特化したセキュリティ診断サービス「LB Check!」を提供することを発表した。ソーシャルゲーム開発者やSNSプラットフォーム事業者を対象に、ブラウザやAndroid／iOS上で動作するアプリのセキュリティ上の欠陥を診断するサービスで、不正利用による被害拡大防止を図る。 MBSDはこれまで10年以上にわたって、PC向けWebアプリケーションの脆弱性を検査するサービスを提供してきた。新サービスのLB Check!は、ソーシャルネットワーキングサービス（SNS）上で提供されるゲームアプリケーションが対象だ。通常のWebアプリケーションが抱える脆弱性に

TAKAGI, Hiromitsu @TakagiHiromitsu 「地方公共団体における情報システムセキュリティ要求仕様モデルプラン（Webアプリケーション）」http://t.co/giM0AzYb 「Webアプリケーションを導入するにあたって、システムの脆弱性をなくし、安全に運用するために必要な要求仕様事項を取りまとめた特記仕様書の例です」 2012-10-22 15:00:03 TAKAGI, Hiromitsu @TakagiHiromitsu LASDEC「Webアプリケーションセキュリティ要求仕様等検討委員会」に参画し、長年の懸案であったセキュアな発注仕様の一つの在り方を示しました。 「地方公共団体における情報システムセキュリティ要求仕様モデルプラン（Webアプリケーション）」http://t.co/giM0AzYb 2012-10-22 19:46:01 TAKAGI,

スクウェア・エニックスは10月16日、同社が運営するオンラインショッピングサービス「スクウェア・エニックス オフィシャルグッズオンラインショップ」について、不正アクセスによる個人情報が窃取された形跡を確認。同ショッピングサービスを終了することを発表した。 同社は9月13日の時点で不正アクセスの可能性があったことを告知。その後の同社ならびに外部調査機関による調査の結果、当該サーバーに格納されていた、サイト上で登録している個人情報の「氏名」「住所」「電話番号」「性別」「生年月日」「メールアドレス」が窃取された形跡を確認したとのこと。なお、購入にあたり入力されたクレジットカード番号については、不正アクセスが可能な状態であったことは確認されているが、窃取された形跡は確認されていない。 当該サーバーは、同社のキャラクターグッズ販売のみに使用している専用サーバーであり、業務委託先が管理。同社のその他の

情報を守り、未来を創造するパイオニアとしての信頼と自信で、もっと先へ 最高峰のセキュリティサービスと、ITトータルソリューションを提供します。 もっと知る

私物のiPhoneやAndroid端末などを業務利用させる「BYOD（Bring Your Own Devices）」。国内企業の一部でもBYOD採用の動きが広がりつつある中、BYOD解禁から一転、原則中止してスマートフォンの会社支給へとかじを切ったのが、ソーシャルゲーム国内大手のディー・エヌ・エー（以下、DeNA）である。 DeNAは、なぜBYODの原則中止に踏み切ったのか。会社支給のスマートフォンには、どういったセキュリティ対策を施しているのか。スマートフォン導入を担当した、同社システム統括本部本部長の茂岩祐樹氏と、経営企画本部の玉木伯岳氏に話を聞いた。 関連記事 【事例】コニカミノルタの私物iPhone／iPad解禁を促したセキュリティ対策 Ford担当者に聞く、私物スマートフォン持ち込み許可時のセキュリティ対策 私物iPhone／Androidの普及が企業にもたらす課題 私物スマー

New Metasploit 0-day exploit for IE 7, 8 & 9 on Windows XP, Vista, and 7 Last updated at Tue, 25 Jul 2017 13:10:10 GMT We have some Metasploit freshness for you today: A new zero-day exploit for Internet Explorer 7, 8, and 9 on Windows XP, Vista and 7. Computers can get compromised simply by visiting a malicious website, which gives the attacker the same privileges as the current user. Since Micro

Meta will soon officially permit users as young as 10 to use its Meta Quest 2 and 3 VR headsets — if their parents say it’s okay, anyway. In a blog post, the tech giant says that there’s Nikola Corp. is laying off 270 employees, or about 23% of its workforce, and restricting its electric truck efforts to North America as it seeks to preserve cash. The company said Friday it will lay o