VALUE-DOMAIN に存在していた2種類のドメインハイジャック脆弱性について - debiruはてなメモ
2022年3月2日に確認した VALUE-DOMAIN でのサブドメインハイジャックが可能な脆弱性について経緯を説明します。 ついでに2016年の記事「VALUE-DOMAIN に存在していたアカウント乗っ取り可能な CSRF 脆弱性について」の続報も含めて、この記事で2022年現在の VALUE-DOMAIN の状況についてお伝えします。 脆弱性を2つ発見しました 第一：子ゾーン作成によるサブドメインハイジャック 第一の脆弱性の攻撃の原理 VALUE-DOMAIN のネームサーバについて 第一の脆弱性 発見後の経緯 サブドメインハイジャック攻撃を受けた場合の影響 第二：CSRF 攻撃によるドメインハイジャック ドメインハイジャック攻撃を受けた場合の影響 CSRF 攻撃によるドメインハイジャックの対策状況 VALUE-DOMAIN ユーザの方へ 脆弱性を2つ発見しました （第一）子ゾーン作
Spring Frameworkの脆弱性 CVE-2022-22965（Spring4shell）についてまとめてみた - piyolog
2022年3月31日、Spring Frameworkに致命的な脆弱性が確認され、修正版が公開されました。ここでは関連する情報をまとめます。 １．何が起きたの？ JDK9以上で実行されるSpringMVC、SpringWebFluxでリモートコード実行が可能な脆弱性（CVE-2022-22965）が確認された。脆弱性の通称にSpring4shellまたはSpringShellが用いられている。 Spring FrameworkはJavaで採用される主流なフレームワークの1つのため、Javaで実行されるWebアプリケーションで利用している可能性がある。 2022年3月31日時点で脆弱性のExploitコードが出回っており、関連するインターネット上の活動が既に報告されている。 ２．脆弱性を悪用されると何が起きるの？ 脆弱性を悪用された場合、リモートから任意コード実行が行われることで、機密情報の
個人情報保護法改正案が波紋…海外の顧客データ活用 遠のく？ 解説スペシャル : ＩＴ＆メディア : 読売新聞（YOMIURI ONLINE）
開会中の国会に提出予定の個人情報保護法改正案。ところが、取りまとめの最終段階で骨子案に盛り込まれた一節が、波紋を呼んでいる。「利用目的の制限緩和」。企業が集めた個人情報を利用しやすくするのが狙いだが、この一節を入れたことにより、今改正の大きな目的の一つだった「欧州連合（ＥＵ）の十分性認定問題」の解決が、危うくなってきたのだ。 ＥＵ基準満たさない恐れ ■利用目的の変更 「検査のために自分の遺伝子情報を提供したつもりが、いつの間にか広告に使われ、遺伝子から予測される病気にあわせた健康食品の勧誘がくるようになったら……」。政府の検討会で消費者の立場から法改正を議論してきた長田三紀委員はこう憤る。 問題視しているのは、個人情報の利用目的を変更する際の手続き。昨年１２月、検討会に事務局が示した骨子案に急に入ってきた内容だった。 現行法では、企業などが個人情報を取得する際は利用目的をできる限り特定し、
PC19台がウイルス感染＝原発事故情報が流出―原子力安全基盤機構 （時事通信） - Yahoo!ニュース
経済産業省所管の独立行政法人「原子力安全基盤機構」の業務用パソコンが外部のサイトと勝手に通信した問題で、同機構は11日、19台が新種のコンピューターウイルスに感染していたと発表した。 同機構によると、昨年1月、本部事務所（東京都港区）の業務用パソコン1台がウイルスに感染。その後、ほかのパソコンにも感染が広がったという。
開発アプリの脆弱性を検査、IBMのツールがモバイル対応
日本IBMは6月11日、Webアプリケーションの脆弱性検査ツールの最新版「IBM Security AppScan Source V8.6」を発表した。Android端末用アプリケーション開発時に自動でセキュリティ検査ができる機能を搭載している。 最新版は、Androidアプリケーション開発の初期段階でソースコードを分析し、データがアプリケーションでどのように利用され、アプリケーションの外部に引き渡されるのかを識別。脆弱性悪用などによる情報漏えい発生の危険性を開発途中で把握することで、修正に要するコストの発生や開発の遅延を抑制できるという。 利用料金は1194万1000円（税別）から。12日から提供を開始する。
News from the Lab Archive : January 2004 to September 2015
We don't see that many Internet worms these days. It's mostly just bots and trojans. But we just found a new Internet worm, and it's spreading in the wild. The worm is called Morto and it infects Windows workstations and servers. It uses a new spreading vector that we haven't seen before: RDP. RDP stands for Remote Desktop Protocol. Windows has built-in support for this protocol via Windows Remote
mixi足あと廃止に寄せて - 最速転職研究会 | コメント mixiって今ほとんどがモバイルでアクセスされてたはずだけど、スマホ以外のガラケーでもこの問題が起きるの？
mixiが6年以上に渡って放置してきた足あと機能を使って訪問者の個人特定が可能な脆弱性を修正した。簡単に説明するとmixi以外のサイトからでもユーザーに気付かれずに、その人のmixiアカウントを特定するということが出来たが、出来なくなった。(正確にはユーザーが気付いたとしても特定された後) アダルトサイトが訪問者のmixiアカウント収集したり、ワンクリック詐欺サイトがmixiアカウント特定して追い込みかけたり、知らない人からメッセージ送られてきてURL開いたらmixiアカウント特定されてたり、そういうことが今まで出来ていたのが出来なくなった。 過去にもいろんな人が言及してるし、すでに終わった議論だと思ってる人もいるだろう。世間一般にどれぐらい認知されていたのかはよく分からないが、少なくとも技術者やセキュリティ研究者の間ではよく知られている問題だった。 http://internet.kil
SSL入門
2005/10/02更新 高木浩光＠自宅の日記を拝見するにつけ、PKI としての SSL が 中途半端な理解により台無しにされている場面が多いように思えます。そこで（セキュリティの専門家ではないものの）私が理解している範囲で自分なりに入門解説を書いてみました。 ちなみに、SSL v3 に少しの改良を加えたものが TLS v1.0 ですが、技術的な細かい点を気にしない 場合は、SSLと総称されています。 ここでも、そんな細かいことは気にしていないので SSL と総称しています。 SSLしくみ解説 まず、SSLを理解するために必要な用語を解説し、次に SSLが PKI としてどのような構成要素で安全な通信路を形成しているか解説します。 暗号化と復号化 コンピューターで暗号化というと、暗号化する前のデータ （以下、「平文（ひらぶん）」と呼びます）と鍵となるデータ（以下「鍵」と呼びます） を使って
「フェイスインターネットショップ」「ツートップインターネットショップ」への不正アクセス発生のご報告とお詫び
弊社通販サイト 「フェイスインターネットショップ」 「ツートップインターネットショップ」 への 不正アクセス発生のご報告とお詫び このたび、パソコン関連事業を展開する株式会社ユニットコム（社長：大野三規 本社所在地：大阪府大阪市浪速区）が運営する通販サイトのウェブサーバーに対して海外からの不正アクセスがあり、その内容を調査いたしましたところ、フェイスインターネットショップのウェブサーバーから、 「フェイスインターネットショップ」 http://www.faith-go.co.jp/ 「ツートップインターネットショップ」 http://www.twotop.co.jp/ をご利用頂いたお客様情報の一部が流出したことを確認いたしました。 9月初旬より、フェイスインターネットショップ会員情報データベースとツートップインターネットショップ会員データベースの統合を進めるため、ツートップインター
セキュリティに関するブリーフィング - ビューステートのセキュリティ
ここでは、ビュー ステートに保存されているデータの情報漏えいの脅威に取り組むため、機密性の緩和対策を講じる必要があります。この場合、最も有効な機密性緩和対策テクノロジは暗号化です。 ASP.NET 2.0 には、ViewStateEncryptionMode プロパティという、ビュー ステートの暗号化を有効にする機能が組み込まれています。ViewStateEncryptionMode プロパティは、ページ ディレクティブまたは web.config ファイルから有効にします。 <%@ Page ViewStateEncryptionMode="Always" %> または <configuration> <system.web> <pages viewStateEncryptionMode="Always"> ViewStateEncryptionMode に設定できる値には、Always
【コラム】ITセキュリティのアライ出し (35) 久々登場! "アライ出し・再生"の一発目はWindowsセキュリティ | エンタープライズ | マイコミジャーナル
どうもご無沙汰しております。前回のアライ出しは一昨年の9月、もはや「アライ出し更新しないんですか?」という声も止んで久しい今日この頃であるが、皆様いかがお過ごしでしょうか。この不定期連載の更新を心待ちにしていた方が一人でもいらっしゃったのであれば、それは非常にありがたいことである。 筆者の近況はというと、昨年は経営に携わる仕事が中心であったため、どうしても情報セキュリティの最新事情よりも、会社の事業活動をウォッチして是正することが主となっていた。しかしながら、今年はふたたび研究開発部門を主管する立場となったため、従来どおりの活動が可能となった。そこで、本連載も復活ののろしを上げたい。復活の最初のテーマは、やはりこれしかないだろう。それはもちろんWindowsのセキュリティについてである。 昨年の10月、MicrosoftはEnhanced Mitigation Evaluation Too
携帯電話事業者に学ぶ「XSS対策」 - ockeghem's blog
NTTドコモとソフトバンクモバイルは、フィーチャーフォン（いわゆるガラケー）にてJavaScriptの対応を始めています。JavaScriptに対応すると、クロスサイト・スクリプティング(XSS)脆弱性の懸念が高まりますが、両社は独自の手法によりXSS対策をしている（しようとしている）挙動が観測されましたので報告します。この内容は、オレ標準JavaScript勉強会でネタとして使ったものです。 NTTドコモに学ぶ「XSS対策」まず、サンプルとして以下のようなXSS脆弱なスクリプトを用意します。 <?php session_start(); ?> <body> こんにちは<?php echo $_GET['p']; ?>さん </body>これを以下のURLで起動すると、IE7では下図のような表示になります。 []http://example.com/xss01.php?p=山田<scrip
ふぐ子 on Twitter: "機種変したいけど、色んなサイトの簡単ログインの設定し直すのめんどいから悩む(´ω｀) ＩＤとパスワードもう忘れたよｗｗｗ"
機種変したいけど、色んなサイトの簡単ログインの設定し直すのめんどいから悩む(´ω｀) ＩＤとパスワードもう忘れたよｗｗｗ
Norton Police City in Ameba キャンペーン ブログパーツ改ざんに関する対処方法のご案内
Norton Police City in Ameba キャンペーン ブログパーツ改ざんに関する対処方法のご案内Norton Police City in Ameba キャンペーン ブログパーツ改ざんに関する対処方法のご案内 Norton Police City in Ameba キャンペーン ブログパーツ改ざんに関する対処方法のご案内 いつもAmebaをご利用いただきまして、ありがとうございます。 この度は下記のブログパーツ改ざん（※）により、多くの皆様にご迷惑をおかけいたしました。改めてお詫び申し上げます。 ※事象発生の経緯等の詳細は、弊社リリース（http://www.cyberagent.co.jp/pdf/2010/0107_3.pdf）をご覧ください。 今回のブログパーツ改ざんの影響で、2009年12月26日～2010年1月6日の間に「Norton Police City in
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
スマートフォンゲームのチート事情
Citigroup
McAfee | Secure Short URL Service
ボクがChromeからFirefox4に乗りかえた6つの理由 | ライフハッカー・ジャパン
http://japan.internet.com/webtech/20100811/12.html
Windowsに新たな脆弱性、ショートカットアイコン表示でコード実行の危険性 