Mozilla Links 日本語版: Firefox のプライバシー問題
原文：On privacy concerns over Firefox by Percy Cabello -- Friday, January 20, 2006 今回の記事はちょっとテクニカルなものになります。 Google の検索結果をクリックすると、ユーザは気づきませんが、ブラウザは Google にアクセスしています。Google のサーバはこのアクセスを受けて、探しているコンテンツがどこにあるのかをブラウザに教えます。ブラウザは、それから最終目的地のサーバにアクセスします。このメカニズムはリダイレクションと呼ばれ、Google は検索条件に最適な結果を知るために使用しています。次回ほかの誰かが同じ情報を探した場合、クリックされた結果が上位に表示されます。他の人もクリックしていることから、探している情報の回答である可能性が高いからです。このプロセスおよびデータ収集は、すべての Goo
緊急パッチから数日、WMFに新たな脆弱性
緊急フィックスリリースの数日後に、WMFの新しいバグが2件指摘された。実証コードらしきものも既に公開されている。 MicrosoftのWindowsのイメージレンダリングの悪夢は終わりそうにない。 ゼロデイ攻撃に対処するためのフィックスが緊急リリースされてからわずか数日で、セキュリティ研究者は、WindowsのグラフィックスレンダリングエンジンがWMF（Windows Metafile）画像を処理する方法に少なくとも2件の新しい脆弱性があると指摘している。 この警告は1月9日、「cocoruder」と呼ばれる研究者がBugtraqメーリングリストに投稿した。 その数時間後に、この脆弱性の実証コードとおぼしきものが公開された最初の兆候が見られた。 Microsoftの広報担当者は、公開された実証コードは単にサービス拒否（DoS）攻撃でクラッシュを引き起こすだけだと主張している。 「結局のとこ
Microsoft、WMF脆弱性パッチを前倒し公開
WMFの脆弱性修正パッチを1月5日に前倒しで公開。10日には「緊急」レベルを含む定例セキュリティアップデートを追加リリースする。 Windows Metafile（WMF）の脆弱性を突いた攻撃が広がっている問題で、Microsoftは予定を前倒しして1月5日にセキュリティパッチをリリースすると発表した。「MS06-001」のアップデートを米太平洋標準時午後2時（日本時間6日午前7時）に公開する。 これまでは10日に予定されている月例アップデートで対処する方針だったが、攻撃の発覚を受けて前倒しを決定。予定よりも早くテストが終了し、公開の準備が整ったことに加え、「できるかぎり早急にリリースすべきだという顧客からの強い要望に応えた」と説明している。 この問題ではこれまでに、セキュリティ企業などから非公式パッチが公開されたほか、Microsoftも攻撃回避手段を紹介していたが、同社の対応の遅さを批
高木浩光＠自宅の日記 - ASPとかJSPとかPHPとかERBとか、逆だったらよかったのに
■ プログラミング解説書籍の脆弱性をどうするか 印刷されて流通する書籍に脆弱性がある、つまり掲載されているサンプルコードにズバリ脆弱性があるとか、脆弱性を産みやすいコーディングスタイルを身につけさせている解説があり、それが脆弱なプログラマを生産し続ける根源になっている問題は、「なんとかしないといけないねえ」と以前から言われてきた。 ソフトウェア製品の脆弱性は、指摘があればパッチが提供されたり修正版に差し替えられたりするが、書籍の脆弱性はどうか。正誤表が差し込まれるとか、回収する措置がとられるかというと、それは望めそうにない。言論には言論で対抗すればよいということになるだろうか。 久しぶりにいくつかの書籍について調べてみた。先月園田さんの日記などで比較的評判良く紹介されていた2冊を読んだ。 山本勇, PHP実践のツボ セキュアプログラミング編, 九天社, 2004年6月 GIJOE, PHP
最新のノートンがインストールされたPCでも感染するWMFファイル
携帯にメールや電話の着信が急に増えたり スマホで今まで使用していなかったロック機能を使うようになった お出かけや外泊の機会が増えた 衣装が派手になった というケースは浮気の可能性があるかもしれません。 もし浮気を続けられると、された側は精神的に苦しい思いを続けることになり、する方も後ろめたい気持ちが膨れ上がり良いことはありません。 やめてもらいたいか、いっそのこと別れて人生をやり直すかはしっかりとした証拠がそろってから考えてもよいかと思います。 そのためには下手に動かず、東京都で興信所のプロによる浮気調査をするのが良いでしょう。 その理由としては、浮気が原因で離婚となれば慰謝料の請求が可能となり、その法的な証拠を得るには素人よりプロの方の作りだすものが決定的なものになるためです。 全てをすっきりさせて今後の人生をやり直しやすくするためにも利用することをおすすめします。
セキュリティホール memo - IE：新手法CSSXSS、Google Desktopの情報が盗まれる恐れ…というかGoogleばかりでないです、ヤバイのは、こりゃ参りましたね。
》 Network Security Forum 2005 - 教科書で教えるべきWebサイトを安全に利用する秘訣 - 産総研・高木氏 (MYCOM PC WEB, 12/28)。 関連: Phishing対策ツールバーなんていらない！ 元々あるIEの機能を使う (高木浩光＠自宅の日記, 12/24) 》 Network Security Forum 2005 - 医療の電子化、安全のための工夫 (MYCOM PC WEB, 12/28) 》 盗聴で揺れるＮＳＡ、サイトに「違法」の情報収集技術 (CNN, 12/30)。cookie だそうで。 》 「患者適応型ＥＳ細胞なし」ソウル大調査委 (中央日報, 12/29)、 ０４年論文のヒトクローンＥＳ細胞も存在しない (東亜日報, 12/30) 》 山形特急転覆：原因は「ダウンバースト現象」の可能性 (毎日, 12/30) 》 【北朝鮮偽ドル
Windowsにゼロデイ攻撃を受ける深刻な脆弱性 | スラド
oddmake曰く、"Internet Watchの記事によると、デンマークSecuniaやSANS InstituteがWindows Sever 2003やWindows XPに脆弱性があると警告したという。Windowsメタファイル（WMF形式）の処理に問題があることが原因であり、脆弱性の深刻度は「非常に深刻」であり、既に攻撃コードが出回っているそうだ。 WMF形式の脆弱性は最近2年間で3度パッチがあたっており、一番最近のものは今年11月のMS05-053なのだが、この脆弱性と攻撃コードを分析したKaspersky LabsのShane CoursenがInformation Weekに語ったところによると、同じDLLがターゲットとなるが攻撃方法が違うため、MS05-053では対応できないのだという。パッチができるまで、ファイルを開いたりIEを使う時には慎重になろう。"
スラッシュドット ジャパン | UTF-7エンコードされたタグ文字列によるXSS脆弱性に注意
jbeef曰く、"本家に「Cross Site Scripting Discovered in Google」というストーリが掲載された。 これは、Web Application Security Consortiumが主宰するメーリングリストに投稿された記事を伝えるもの。その記事によると、Google.comにXSS（クロスサイトスクリプティング）脆弱性が見つかり、発見者が11月15日にGoogleに連絡したところ、12月1日に修正されたという。この脆弱性の原因と対策は以下の通り。" (つづく...) "まず、Googleの404 Not Foundのページはこの例のように、リクエストされたURLのパス名を画面に表示するようになっている。ここで、そのパス名にHTMLのタグを構成する文字「<」「>」が含まれている場合、Googleは、これをきちんと「<」「>」にエスケープして出
Windows脆弱性を突く「Dasher」ワームがネット上で拡散
Windowsを標的とし、脆弱なPCにスパイウェアを植え付けるワームがインターネット上でまん延しつつあると、セキュリティ専門家が警鐘を鳴らした。 セキュリティ企業が米国時間16日に発表したところによると、この「Dasher.B」ワームは「Microsoft Distributed Transaction Coordinator（MSDTC）」に存在する脆弱性を悪用するという。Microsoftは2005年10月、トランザクションを処理する同コンポーネントのセキュリティホールについて明らかにし、パッチをリリースした。しかし、このアップデートには不具合があり、一部のユーザーが適切な修復を施せなかった可能性があると、セキュリティ企業Sophosは述べている。 SophosのシニアテクノロジーコンサルタントGraham Cluleyは、「パッチに問題があるために、一部の脆弱なコンピュータでは適切な
[mixi] 登録済みメアドのみでアカウントを量産する方法 :: ぼくはまちちゃん！
mixiに登録済みのメールアドレスのみを使って新規アカウントを取得する方法。 ただし複数アカウントを持つのは規約違反だから、この方法を使うのは パソコンが苦手なバアチャンとかを招待したい時だけにしようね！ まずはmixi新規登録手順のおさらいだ。 招待するひと：Aさん 招待されるひと：Bさん 1. Aさんがmixiの画面から招待 2. AさんからBさん宛に招待メールとどく 3. Bさんが仮登録 4. mixiからBさん宛に確認メールとどく 5. Bさんが確認メールのURLにアクセス 6. 完了 この流れをAさんのメールアドレスのみを使ってやる。 -------- [前準備] ・友人を招待のページ http://mixi.jp/invite.pl へいく ・適当なメールアドレスを入力 ※ブラックリスト入りしてるアドレスだとマズイので、 なるだけ「ありえないアドレス(ありえないドメイン)」を入
Firefox の history.dat に関する脆弱性 - えむもじら
各所で既報の Firefox 1.5 の history.dat に関する脆弱性（SANS）ですが、Mozilla Japan から報告されているように、大騒ぎするようなことは無いようです。Secunia のランクも5段階の一番下の Not Critical です。 極端に長いタイトルの付いた Web ページが原因で (提供された概念実証コードは 250 万文字)、Mozilla Firefox および Mozilla Suite が起動時にブラウザの履歴データを読み込む際、「ハング」したような状態に陥ることが報告されました。これは低速なコンピュータでは数分かかることがありますが、ブラウザはそのうち正常に起動します。この現象は、その長いタイトルの付いたアイテムが履歴ファイルから削除されるか、最終的に期限切れになるまで続きます。 私たちはこの問題を調査し、このサービス拒否 (DoS) 攻撃が
Javaに危険度「高」のぜい弱性，アプレットからファイルの書き込みや実行が可能に
デンマークのSecuniaが現地時間11月29日に，米Sun MicrosystemsのJava開発キット「Java Development Kit（JDK）」，Java実行環境「Java Runtime Environment（JRE）」，Javaソフトウエア開発キット「Java Software Development Kit（SDK）」において，システムへの不正なリモート・アクセスを見逃すぜい弱性が複数存在すると警告した。Secunia社は危険度を「高」としている。 Secunia社によると，ぜい弱性が存在するバージョンは以下の通り。 ・Sun Java JDK 1.5.x ・Sun Java JRE 1.3.x ・Sun Java JRE 1.4.x ・Sun Java JRE 1.5.x／5.x ・Sun Java SDK 1.3.x ・Sun Java SDK 1.4.x この
アドレスバー偽装 - 星澤裕二メモ
アドレスバーに表示されるURLを確認することはフィッシング詐欺対策として有効である。しかし、万全な対策というわけではない。アドレスバーが偽装されている可能性があるからだ。アドレスバーの偽装には二通りある。ひとつは、ブラウザのセキュリティホールを利用したもの。もうひとつは、JavaScriptなどを使って偽装する方法だ。デンマークSecuniaのWebサイトには、下表のようにアドレスバーの偽装を可能にするセキュリティホールが複数公開されている。パッチをあてるなどセキュリティホールへの対処をしていないブラウザを使用している場合、アドレスバーに表示されるURLは信用できないものとなる。 対象ソフトウェア 公開日 管理番号 URL IE 2004-08-16 SA12304 http://secunia.com/advisories/12304/ Mozilla, Firefox 2004-07-
多様化するWebアプリケーションへの攻撃
第１回「機密情報に合法的に近づけるWebアプリケーションを守れ」では、「Unvalidated Input（許可されていない入力）」における「Hiddenフィールドマニピュレーション」の手法について説明した。いままでアプリケーションセキュリティに携わらなかった方にも、Webサイトが攻撃されるメカニズムが、意外に単純なものであることが理解してもらえたと思う。 前回の内容に対して、周囲からいくつか質問をもらった。「こんなこと書いていいのか？」というものである。つまり、誰もが簡単に攻撃を行えることを示すことによって、かえって被害を増加させるのではないか、という懸念を持たれたわけだ。今回の記事では、より多くの攻撃手法を説明していくため、本論に移る前にこういった質問に回答しておきたい。 私たちはすでに本連載で記しているような脅威の中にいる。それは、Webアプリケーションセキュリティに携わったことのあ
アップルの「iTunes」に深刻な脆弱性--マシン乗っ取りのおそれ
[2005/11/20 15時35分 修正] Appleの音楽管理ソフト「iTunes」の一部のバージョンに深刻な脆弱性が見つかった。この脆弱性を悪用し、攻撃者がユーザーのコンピュータをリモートから乗っ取る可能性があると、あるセキュリティ調査会社が米国時間17日に注意を呼びかけた。 Appleは先ごろ「iTunes 6 for Windows」用のセキュリティアップデートを公開していたが、今回の脆弱性はそのわずか数日後に見つかったことになる。 この脆弱性は、iTunes for Windowsの以前のバージョンに存在していたもので、最新のセキュリティアップデートでは修正されていなかった、とセキュリティ対策企業のeEye Digital Securityは警告のなかで述べている。 同社は当初、このiTunesの脆弱性が「すべてのオペレーティングシステム」に影響をあたえるとする告知をウェブサイ
Windows XP SP1とWindows 2000 SP4に脆弱性--エクスプロイトコードが公開に
Microsoftは米国時間17日、Windows XP SP1とWindows 2000 SP4の脆弱性を悪用するエクスプロイトコードが公開されたとして注意を呼びかけた。 このエクスプロイトコードは、Windows XP SP1およびWindows 2000 SP4が動作するマシンでのDoS（サービス拒否）攻撃に使われるおそれがあるが、深刻度はそれほど高くないと、セキュリティ調査会社eEye Digital Securityのプロダクトマネジャー、Stephen Manzuikは述べている。 「このエクスプロイトコードの深刻度は10段階でいうと4もしくは5といったところだろう。一部のマシンがクラッシュする可能性はあるものの、ほかのマシンに影響を与えることはない」（Manzuik） このエクスプロイトコードを使うと、すべてのサービスパックを適用したWindows 2000マシンからでもリモ
MS05-051 不具合
All Microsoft Microsoft 365 Office Windows Surface Xbox Deals Support Software Windows Apps OneDrive Outlook Skype OneNote Microsoft Teams Microsoft Edge PCs & Devices Computers Shop Xbox Accessories VR & mixed reality Phones Entertainment Xbox Game Pass Ultimate Xbox Live Gold Xbox games PC games Windows digital games Movies & TV Business Microsoft Azure Microsoft Dynamics 365 Microsoft 365 Micro
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
XPなど複数のWindows OSに深刻な脆弱性、“0-day exploit”も登場
Google Talk、実行中メモリに名前やパスワードが平文で保存されていた
ファミリーマートで「ウイルスバスター2006」のシリアル番号を販売