初めてのAPT攻撃にあわてないための秘伝の書、JPCERT/CCが一般にも公開 
脆弱性を識別するCVE番号の新体系による採番のお知らせ
脆弱性を識別するCVE番号の新体系による採番のお知らせ 米国MITRE社*1が管理運営する脆弱性の識別子CVE (Common Vulnerabilities and Exposures)*2番号の体系が、2014年から年間1万件を超える脆弱性にも対応できるよう拡張されました。 CVEを参照している組織等においても、固定長のCVE番号を前提とした機械処理をしている場合には、誤動作する可能性があるため、米国MITRE社は、2014年1月15日、CVEのWebサイト上で新番号体系による運用を開始している旨のNotificationを公表、7月15日には、CVE番号体系変更のReminder Notificationを公表しました。そして、2014年9月17日、CNAをはじめとするCVE利用者や脆弱性情報を参照するエンドユーザに至るまで、このCVE番号の新体系を広く周知すべく、改めてプレスリリー
OpenSSL の脆弱性に関する注意喚起
各位 JPCERT-AT-2014-0013 JPCERT/CC 2014-04-08(新規) 2014-04-11(更新) <<< JPCERT/CC Alert 2014-04-08 >>> OpenSSL の脆弱性に関する注意喚起 https://www.jpcert.or.jp/at/2014/at140013.html I. 概要 OpenSSL Project が提供する OpenSSL の heartbeat 拡張には情報漏えいの 脆弱性があります。結果として、遠隔の第三者は、細工したパケットを送付す ることでシステムのメモリ内の情報を閲覧し、秘密鍵などの重要な情報を取得 する可能性があります。 管理するシステムにおいて該当するバージョンの OpenSSL を使用している場合 は、OpenSSL Project が提供する修正済みバージョンへアップデートすること をお勧めしま
JPCERT/CCの「HTML5(中略)調査報告書」が安全になっていた - 葉っぱ日記
JPCERT/CCは「HTML5を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」(PDF))を以下のURLから公開しています。 http://www.jpcert.or.jp/research/html5.html 「HTML5を利用したWebアプリケーションのセキュリティ問題に関する調査報告書」はお勧めである、とするエントリを書こうかと思い、久しぶりにJPCERT/CCのトップページを確認すると改定されていました。 古いJPCERT/CCのトップページは右肩のお知らせ欄で「HTML5(中略)調査報告書」をリンクしていました。国内情報セキュリティの向上を目指しているのがJPCERT/CCですが、多数のお知らせに流れて「HTML5(以下略)」が消えてしまいました。はっきり言うと当然でした。 しかし、今も「HTML5を利用したWebアプリケーションのセキュリティ問題に関す
オープンリゾルバー確認サイト
JPCERT/CCでは、オープンリゾルバー(外部の不特定のIPアドレスからの再帰的な問い合わせを許可しているDNSサーバー)となっているDNSサーバーが日本国内に多く存在していることを確認しています。 オープンリゾルバーは国内外に多数存在し、大規模なDDoS攻撃の踏み台として悪用されているとの報告があります。 また、DNSサーバーとして運用しているホストだけではなく、ブロードバンドルーターなどのネットワーク機器が意図せずオープンリゾルバーになっている事例があることを確認しています。 本確認サイトでは、お使いのPCに設定されているDNSサーバーと、本確認サイトへの接続元となっているブロードバンドルーターなどのネットワーク機器がオープンリゾルバーとなっていないかを確認することが可能です。 本サイトの詳細についてはこちらをご参照ください。 ただいま処理中です。しばらくお待ちください。 ※判定処理
HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書
HTML5 は、WHATWG および W3C が HTML4 に代わる次世代の HTML として策定を進めている仕様であり、HTML5 およびその周辺技術の利用により、Web サイト閲覧者 (以下、ユーザ) のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など、従来の HTML4 よりも柔軟かつ利便性の高い Web サイトの構築が可能となっています。利便性が向上する一方で、それらの新技術が攻撃者に悪用された際にユーザが受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されています。 JPCERT/CCでは、HTML5 を利用した安全な Web アプリケーション開発のための技術書やガイドラインのベースとなる体系的な資料の提供を目的として、懸念されるセキュリティ問題を抽出した上で検討を加え、それらの問題
Apache HTTP Server のサービス運用妨害の脆弱性に関する注意喚起
各位 JPCERT-AT-2011-0023 JPCERT/CC 2011-08-31(初版) 2011-09-15(更新) <<< JPCERT/CC Alert 2011-08-31 >> Apache HTTP Server のサービス運用妨害の脆弱性に関する注意喚起 Apache HTTP Server DoS Vulnerability https://www.jpcert.or.jp/at/2011/at110023.txt I. 概要 Apache HTTP Server には、サービス運用妨害 (DoS) の脆弱性があります。 遠隔の第三者が細工した HTTP リクエストを Apache HTTP Server に送ること でシステムリソースが大量に使用され、結果としてサービス不能状態に陥る可 能性があります。 Range header DoS vulnerability
セキュアなソフトウエア開発を支援する資料 | JPCERT コーディネーションセンター
「Java セキュアコーディング 並行処理編」 「Java セキュアコーディング 並行処理編」（原著 CERT/CC「Java Concurrency Guidelines」）は、カーネギーメロン大学ソフトウエア工学研究所の CERTプログラムと Oracle の共同作業の成果である「CERT Oracle Secure Coding Standard for Java」の中から、次のカテゴリに含まれる並行処理プログラミングに関連したガイドラインをまとめた資料です。 可視性とアトミック性(VNA) ロック(LCK) スレッドAPI(THI) スレッドプール(TPS) スレッドの安全性に関する雑則(TSM) セキュアな Java マルチスレッドプログラミングに取り組む際の手引きとしてご活用ください。 本資料に記述されたガイドラインを含む「CERT Oracle Secure Coding S
プレス発表 ソフトウェア製品における脆弱性の減少を目指す「脆弱性検出の普及活動」を開始：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、ソフトウェア製品における脆弱（ぜいじゃく）性の減少を目指す「脆弱性検出の普及活動」を、2011年8月から開始します。 近年ソフトウェア製品において開発者が認知していない脆弱性（未知の脆弱性）を悪用する攻撃や事件が後を絶ちません。これらの攻撃や事件では、世界中で広く使用されているソフトウェア製品だけでなく、主に日本国内のみで広く使用されているソフトウェア（*1）や、産業用制御システム（*2）なども標的とされています。 IPAとJPCERT/CC（*3）は2004年7月から、経済産業省の告示の下で「情報セキュリティ早期警戒パートナーシップ（*4）」を運営しており、ソフトウェア製品の脆弱性関連情報の受付と、製品開発者に対するその修正の依頼を実施しています。このパートナーシップ運営開始から7年が経過した2011年6月末時点で、累計1,2
Androidの一部にSSL関連の重大な脆弱性が発覚、フィッシング詐欺に遭う危険
IPA（情報処理推進機構）のセキュリティセンターとJPCERT/CC（JPCERTコーディネーションセンター）は2011年7月29日、Android OSの一部にSSL（Secure Sockets Layer）証明書の表示に関する危険度が高い脆弱性が見つかったことを公表した。SSL証明書は、Webアクセス時に接続先サーバーの身元（正規のドメイン名であるかどうかなど）を確かめるために使う情報である。 対象となるのは、Android OSの2.2より前のバージョン（全端末が関係するかどうかは現時点では定かではない）。該当するAndroid端末のWebブラウザーで「外部サイトのコンテンツを読み込むタイプのWebサイト」にアクセスし、身元を確認するためにSSL証明書を表示させると、本来の接続先Webサイト（ドメイン名）に対する証明書ではなく、外部サイトの証明書を表示してしまう。脆弱性を発見し、I
情報セキュリティ早期警戒パートナーシップガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
情報セキュリティ早期警戒パートナーシップガイドラインとは 「情報セキュリティ早期警戒パートナーシップ」は、「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」（平成29年経済産業省告示第19号、最終改正令和6年経済産業省告示第93号）の告示を踏まえ、国内におけるソフトウェア等の脆弱性関連情報を適切に流通させるために作られている枠組みです。 IPA、一般社団法人JPCERTコーディネーションセンター（略称：JPCERT/CC）、一般社団法人 電子情報技術産業協会(略称：JEITA)、一般社団法人 ソフトウェア協会(略称：SAJ)、一般社団法人 情報サービス産業協会(略称：JISA)及び特定非営利活動法人 日本ネットワークセキュリティ協会(略称：JNSA)は、脆弱性関連情報の適切な流通により、コンピュータウイルス、不正アクセスなどによる被害発生を抑制するために、関係者及び関係業界と協調して国
JPCERT Coordination Centerソースコード解析ツールを活用した CERT セキュアコーディングルールの有効性評価報告書
こちらはご意見・ご感想用のフォームです。各社製品については、各社へお問い合わせください。 ※本フォームにいただいたコメントへの返信はできません。 返信をご希望の方は「お問合せ」 をご利用ください。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[PDF] 今から始めるHTML5セキュリティ
https://www.jpcert.or.jp/at/2011/at110015.txt