IPAから「クリックジャッキング」に関するレポート出ました
Webアプリケーションのセキュリティの分野で「新しい攻撃手法」は実はそれほど多くないのですが、比較的新しく対応が求められているものとしてクリックジャッキングがあります。クリックジャッキングは、CSRFと同じように「Webアプリケーションのサーバー側機能」を利用者（被害者）に実行させる手法です。CSRFは、当該機能を実行するHTTPリクエストを送信させる罠を使いますが、クリックジャッキングの方は、iframe等に当該機能を呼び出す画面を表示しておき、利用者（被害者）に実行ボタンを押させる（=クリックジャック）手法です。クリックジャッキングに関しては従来詳しい解説がありませんでしたが、この3月26日にIPAから「クリックジャッキング」に関するレポートが公開されました。 このレポートから、クリックジャッキングのイメージを示す図4を引用します。 サイトAが攻撃対象のサイト、悪意のあるページは罠にな
Windowsのヘルプとサポートセンターに脆弱性--報告したグーグル社員に非難の声も
Googleのエンジニアが米国時間6月10日、「Windows XP」の脆弱性を公表し、さらにそのエクスプロイトコードを公開した。Microsoftは5日間の修正期間しか与えらなかったことに対し、Microsoftや外部のセキュリティ研究者らは、Microsoftが推奨している責任ある開示の慣習に従っていないとして非難した。 Tavis Ormandy氏は5日、顧客にテクニカルサポートを提供するオンラインの「Windowsヘルプ」および「サポートセンター」機能に脆弱性が存在することを、Microsoftに報告した。その後同氏は10日に、「Full Disclosure」セキュリティメーリングリストへの投稿において、脆弱性の詳細を公表し、概念検証用のコードを公開した。 同氏は、「動作するエクスプロイトなしで（本件を）報告すれば、無視されていたであろうことを指摘したい」と記してから、同氏の行動
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 月額プランが10月末まで無料 お申し込み 会員の方はこちら ログイン 日経クロステック TOPページ
2月のMS月例パッチは13件 WindowsとOfficeの脆弱性を修正
Microsoftの2月の月例セキュリティ情報は日本時間の10日に公開する予定だ。13件のうち5件が「緊急」レベルとなる。 米Microsoftは2月9日（日本時間10日）に13件の月例セキュリティ情報を公開し、WindowsとOfficeに存在する計26件の脆弱性を修正する。内訳は、深刻度が最も高い「緊急」レベルが5件、2番目に高い「重要」が7件、下から2番目の「警告」が1件となる。4日に公開した事前告知で明らかにした。 13件のセキュリティ情報のうち、11件はWindowsが対象、残る2件はOfficeが対象となる。緊急レベルの5件はいずれもWindowsに存在するコード実行の脆弱性に対処するもので、Microsoftはこのうち4件について、最優先で適用すべきだと勧告する。 Office関連のセキュリティ情報は2件とも重要レベルで、影響を受けるのは古いバージョンのOfficeのみ。Of
IEに情報流出の脆弱性、Microsoftがアドバイザリー公開
ユーザーがWindows XPを使っているか、IEの保護モードを無効にしている場合、ファイルにアクセスされてしまう恐れがある。 米Microsoftは2月3日、Internet Explorer（IE）の脆弱性情報が公開されたことに対応して、新たなセキュリティアドバイザリー（980088）を公開した。 Microsoftのこれまでの調べによると、この脆弱性はユーザーがWindows XPを使っているか、IEの保護モードを無効にしている場合に影響を受ける。悪用された場合、攻撃者がファイルにアクセスできてしまう恐れがあり、情報流出につながる可能性が指摘されている。現時点でこの脆弱性を突いた攻撃の発生は確認していないという。 なお、Windows Vista以降のOSで、IE 7と8をデフォルトの状態で使っている場合は、保護モードが機能するためこの問題の影響は受けないとしている。 Windows
［無視できない］IEのContent-Type無視
［無視できない］IEのContent-Type無視：教科書に載らないWebアプリケーションセキュリティ（2）（1/2 ページ） XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 無視できないIEの「Content-Type無視」問題 皆さんこんにちは、はせがわようすけです。 第2回では、Internet Explorer（以下、IE）の仕様でも特に悪名高い「Content-Type無視」について説明します。 IEのContent-Type無視問題は非常に複雑で、私自身も完全に説明できる自信はないのですが、それでもセキュアなWebアプリケーションを開発するうえで避けては通れない問題ですので、取り上げることにしました。
教科書に載らないWebアプリケーションセキュリティ 第1回 ［これはひどい］IEの引用符の解釈 − ＠IT
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 小さな話題が面白い 皆さん、はじめまして。はせがわようすけと申します。 「教科書に載らないWebアプリケーションセキュリティ」ということで、Webアプリケーションのセキュリティに関連する、普段あまり見掛けないような小さな話題を取り上げていきたいと思います。 セキュアなWebアプリケーションを実現するために、開発者の方だけでなく、Webアプリケーションの脆弱性検査を行う方々にも読んでいただきたいと思っています。重箱の隅を楊枝でほじくるような小さな話題ばかりですが、皆さんよろしくお願いします。 さて第1回は、Internet ExplorerがHTMLを解釈する際の引用
マイクロソフトの緊急セキュリティ更新「MS08-078」を確認する
マイクロソフトは18日未明、毎月の月例セキュリティ更新プログラム（修正パッチ）とは別に、緊急の修正パッチを公開した。今回リリースされた「MS08-078」は、現在ゼロデイ攻撃に使われているInternet Explorer（IE）の脆弱性「ポインター参照のメモリ破損の脆弱性（CVE-2008-4844）」に対応するものだ。 この脆弱性は、Webサイトを訪れたPCにトロイの木馬などをインストールさせるための攻撃に利用されていることが各所で報告されている。マイクロソフトでも12月11日に、セキュリティアドバイザリを公開し、回避策などの情報を提供していた。 回避策は、修正パッチがリリースされるまでの間の暫定的な対処方法で、適用することで副作用も存在するものだったが、今回、根本的な対策であるパッチ配布が行われることになったわけだ。 今回の脆弱性を利用した攻撃は、ユーザーがWebページを閲覧すること
CSSXSSを改良した？手法でmixiのpost_keyを抜き取るデモを作りました - ?D of K:
IDを抜き取る方法が思いつかなかったので、「はまちちゃん」の書き込みの二年来の再来とはいきませんが、セキュリティーホールだと思うので、早めに書いておきます。（修正済みです） 実証コード http://k75.s321.xrea.com/cssxss/mixi.html パッチ済みのIE6でmixiにログインしていた場合、post_keyの取得を確認できると思います。勘違いだったらすみません。その際、僕のmixiのあしあとに残るのでその点のみ注意してください。 手法 CSSの読み込み いわゆるCSSXSSと同じようにlinkを使って、ファイルを読み込みます。旧来の手法では中括弧があることでCSSと誤認識させ、cssTextで取得しましたが、今回は文中に「}selector{property:」という文字列を埋め込んで、selectorに該当する要素のcurrentStyle.property
「クリック乗っ取り」の脅威が出現、主要なブラウザに影響か
ユーザーは自分が見ているWebページのコンテンツをクリックしたつもりでも、実際には別のページのコンテンツをクリックさせられている可能性があるという。 Webサイト上でユーザーのクリック操作が乗っ取られる「クリックジャッキング」という新たな脆弱性が報告された。主要なWebブラウザのほとんどが影響を受けるとされ、US-CERTが研究者の報告や報道を引用して注意を呼び掛けている。 それによると、クリックジャッキング攻撃では、ユーザーがWebページ上でほとんど気付かないリンクやボタンなどをクリックさせられる恐れがある。つまり、ユーザーは自分が見ているWebページのコンテンツをクリックしたつもりでも、実際には別のページのコンテンツをクリックさせられている可能性があるという。 この脆弱性は、Internet Explorer（IE）やFirefox、Safari、Operaなどの主要ブラウザとAdob
クリックジャッキング：研究者が複数のブラウザに対する新たな脅威について警告
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2008-09-27 10:55 セキュリティ研究者が、すべての主要なデスクトッププラットフォームに影響のある、新たな恐ろしいブラウザに対する脅威に対する警告を発している。その対象となるのは、Microsoft Internet Explorer、Mozilla Firefox、Apple Safari、Opera、そしてAdobe Flashだ。 この脅威は「クリックジャッキング」と呼ばれるもので、OWASP NYC AppSec 2008カンファレンスで議論されるはずだったものだが、Adobeやその他の影響を受けるベンダーの要望で、包括的な修正が準備されるまではこの話題を公にすることが取りやめられていたものだ。 これを発見したのは、Robert Hansen氏とJeremiah Grossm
Microsoft UpdateでのIE 7導入に注意，セキュリティ・ホールが残る危険な状態に
仕事柄，様々な企業からセキュリティに関する相談を受けます。中でも最近特に増えてきたのが『情報漏えい対策』という切り口の相談です。 組織としてセキュリティ対策を考える場合，『情報漏えい対策』は身近でかつ優先順位も高い課題の一つになってきています。例えばウイルス感染に関するインシデントでも，「社内でウイルス感染が発生して多くのシステムが影響を受ける」のと，「社内でウイルス感染が発生し，その結果社外に個人情報や顧客業務情報が漏えいする」のとでは，企業や事業継続（BC：Business Continuity）への脅威という観点で全くインパクトが異なります。 こうしたことから，このコラムでは『情報漏えい対策』にこだわって，現場で発生する悩みや質問，課題を解決するヒントを書いていきたいと考えます。 情報漏えい対策の基本中の基本は，まず個々の機器（クライアントPCやサーバー）のセキュリティ対策を継続的に
複数のWebブラウザに文字コード処理の脆弱性、IE 7とOperaに影響
この問題を悪用し、文字コードを指定していないWebページをiframeなどで表示させ、クロスサイトスクリプティング攻撃を仕掛けられる恐れがある。 Internet Explorer（IE 7）7とOperaブラウザに、文字コード処理に関連したクロスサイトスクリプティングの脆弱性が報告された。 セキュリティ各社のアドバイザリーによると、この問題は、文字コードを指定していないWebページをframeなどで表示すると、親ページの文字コードセットを受け継いでしまうことが原因で発生する。 例えばiframeなどを使い、UTF-7の文字コードを使った悪意あるページに特定のサイトを組み込む形で悪用される恐れがあり、ユーザーのブラウザで任意のHTMLやスクリプトコードを実行して、クロスサイトスクリプティング攻撃を仕掛けることが可能になる。 Secuniaでは完全にパッチを当てたWindows XPで動作す
Firefoxのフィッシング対策はIE 7より優秀――Mozilla調査報告
Mozilla側の調査によれば、フィッシングサイトの遮断率はFirefox 2が80％前後だったのに対し、IE 7では自動チェックをオンにした場合で66.35％だった。 「Firefox 2はInternet Explorer（IE）7よりもフィッシングサイトの遮断率が高い」という調査結果を、Firefoxリリース元のMozilla Foundationが11月14日、発表した。 この調査はMozillaが独立系のソフトサービス／テスト会社SmartWareに委託して実施。フィッシングURL収集サイト「PhishTank」の情報を使い、既知のフィッシングサイト1040件について、FirefoxとIEでどのくらい遮断できるかを調べた。比較にはWindows XPで動作するFirefox 2（RC3／正式版）とIE 7（正式版）を使った。 フィッシングサイトの遮断率は、Firefox 2のLo
Microsoftのセキュリティ問題突いたコンセプト実証コードが公開
Microsoftは「ADODB.Connection」オブジェクトに関するコンセプト実証コードについて調査を開始。McAfeeはIEのゼロデイ攻撃が公開されたと報告している。 米Microsoftはセキュリティセンターのブログで10月27日、「ADODB.Connection」オブジェクトの脆弱性に関するコンセプト実証コードが公開されたことを明らかにした。 同社では、脆弱性の意図的な悪用が発生した場合の対策措置であるSoftware Security Incident Response Process（SSIRP）を立ち上げ、調査に当たっていると説明。調査の結果、顧客にとって脅威になると分かれば適切な措置を取るとしている。 一方、セキュリティソフトメーカーの米McAfeeはAvert Labsのブログで25日、Interne Explorer（IE）の未パッチの脆弱性を突いたゼロデイ攻撃
Windowsに新しいセキュリティ・ホール，任意のプログラムを実行される恐れあり
セキュリティ組織の米US-CERTなどは現地時間10月27日，Windowsに含まれる特定のActiveXコントロールにセキュリティ・ホールが見つかったことを明らかにした。このコントロールを呼び出す悪質なWebページにInternet Explorer（IE）でアクセスすると，IEが不正終了したり，攻撃者が意図したプログラム（コード）を実行されたりする恐れがあるという。対策は，IEの設定変更など。 今回のセキュリティ・ホールは，ActiveXコントロール「ADODB.Connection」に見つかった。同コントロールのExecute()関数にセキュリティ・ホールが存在するとされているが，詳細は不明。 このセキュリティ・ホールを突くことが可能であることを示す検証コード（Proof of Concept，POC）がネット上で公開されたことで，セキュリティ・ホールの存在が明らかになった。検証コー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
MSがIE修正パッチを22日に公開、“Google攻撃”の脆弱性に対応 
Video ActiveXコントロールのゼロデイ脆弱性に対応する 
テクノロジー : 日経電子版
Microsoft Corporation
