Internet Explorerの脆弱性 CVE-2015-0072 についてまとめてみた。 - piyolog
2015年1月31日にFull DisclosureにInternet Explorerの脆弱性情報が投稿されました。ここでは脆弱性に関連する情報をまとめます。 脆弱性の概要 脆弱性識別情報 CVE：CVE-2015-0072 脆弱性の通称 UXSS（ユニバーサルクロスサイトスクリプティング） 脆弱性を悪用した攻撃手法の通称であり、この脆弱性をユニークに示すものではない。 (他UXSSとされる例 その１、その２) 脆弱性の影響 信頼できないページへのリンクをクリックする等をした際に任意のドメインで任意のJavaScriptが実行される。 同一生成元ポリシーの回避が可能なことによる。 影響を受ける製品・バージョン Internet Explorer 10 (Windows7、Windows8.1) Internet Explorer 11 (Windows7、Windows8.1) 脆弱性深
シマンテック、オンラインセキュリティにおける2014年の4大事件を発表
シマンテックは12月1日、同社のブログに「2014年のオンラインセキュリティにおける4大事件」という記事を公開した。同記事では、2014年にオンラインセキュリティの世界で発生した4つの重要な事件を振り返るとともに、そこから得られた(または得るべき)教訓と来年予想される出来事を考察している。 同社は、「Heartbleed 脆弱性および ShellShock(Bash Bug)脆弱性の発見」「組織化されたサイバースパイ活動とサイバー妨害工作の可能性:DragonflyおよびTurla」「狙われたクレジットカード」「法執行機関との協力体制の強化」を2014年のオンラインセキュリティにおける4大事件としている。 Heartbleedは今週に見つかったOpenSSLの脆弱性であり、また、ShellShock(Bash Bug)は今秋に見つかったBashの脆弱性で、いずれも広く利用されているソフトウ
無線ルーターからＩＤ流出…中国向けサーバー : ＩＴ＆メディア : 読売新聞（YOMIURI ONLINE）
中国の利用者向けの「中継サーバー」がインターネットの不正接続に悪用された事件で、警視庁に摘発されたサーバー運営会社２社が使用した他人名義のＩＤやパスワードの大半が、パソコン周辺機器メーカー大手の無線ルーターから流出したものだったことが、同庁幹部への取材でわかった。 同庁と京都、鹿児島など１９道府県警の合同捜査本部は１９日、サーバー運営会社の中国人ら１１人を不正アクセス禁止法違反容疑などで逮捕したと発表。ＩＤなどの入手経路を追及する。 警視庁はこのうち、中継サーバー運営会社の「大光」（東京都台東区）、「ＳＵＮテクノ」（豊島区）の２社の関係先１２か所を捜索。大光社長の張徳育容疑者（３０）（北区）ら男６人を、いずれも不正アクセス禁止法違反容疑で逮捕した。６人は「わかりません」などと容疑を否認している。 警視庁幹部によると、２社は大手プロバイダー（ネット接続業者）のサーバーに接続するため、約１５０
脆弱性「Shellshock」を利用した新たな攻撃を確認。SMTPサーバを狙う |
トレンドマイクロでは、Linux などで使用されるオープンソースプログラム「Bourne Again shell（bash）」に存在する脆弱性「Shellshock」を利用して Simple Mail Transfer Protocol（SMTP）サーバを狙う新たな攻撃を確認しました。エクスプロイトコードを侵入させるために攻撃者は Eメールを利用しました。脆弱性を抱える SMTPサーバ上でこのエクスプロイトコードが実行されると、「JST Perl IrcBot」として知られる Internet Relay Chat （IRC）ボットがダウンロードされ、実行されます。実行後に、この IRC ボットは自身を削除しますが、これは監視から逃れ検出を回避するためと考えられます。 図1 は、この攻撃の手順を表したものです。 攻撃者は、「件名」「送信者」「宛先」「CC」の欄に脆弱性「Shellshock
PC でパワポを開いただけで「乗っ取り」被害に -- 現行 Windows ほぼすべてに脆弱性 [インターネットコム]
普段使っている PC で「PowerPoint」形式のプレゼンテーション資料などを開いただけで、「乗っ取り」の被害に遭う恐れがある。米国 Microsoft（MS）がサポート対象としている Windows OS のほぼすべてにこうした脆弱性（ぜいじゃくせい）があると、同社が発表した。対応するセキュリティ更新はまだないが、「Fix it」という応急策が利用できる。 MS はすでに英語圏向けの文書を公開しているが、続けて日本語の情報発信も充実させつつある。詳しい内容は公式ブログおよびセキュリティアドバイザリで確認できる。またセキュリティ組織である JPCERT/CC の注意喚起も役立つ。 以下に概要をまとめると、「CVE-2014-6352」と呼ばれるこの脆弱性は、Windows Server 2003 を除き、MS がサポート対象とする Windows OS すべてで存在を確認済み。Wind
![PC でパワポを開いただけで「乗っ取り」被害に -- 現行 Windows ほぼすべてに脆弱性 [インターネットコム]](https://cdn-ak-scissors.b.st-hatena.com/image/square/9a1a985f975627d51392e3f2bdd0b6a0534ec6c1/height=288;version=1;width=512/https%3A%2F%2Fimage.internetcom.jp%2Fimg%2F20141022%2F1413955640.jpg)
緊急コラム： bash 脆弱性（ CVE-2014-6271 ）の影響範囲の調査方法について | NTTデータ先端技術株式会社
Tweet 先週公開された bash の脆弱性について、管理されているサーバーへの影響を気にされている方が多いと思います。そこで緊急コラムとして、影響範囲の調査方法について紹介します。 bash は非常に多くの場面で使用されているプログラムであるため、 bash を呼び出す可能性のあるプログラムや場面をソースコード解析により列挙することは困難です。また、設定ファイルでの指定内容などにも依存する可能性もあり、文章でのお問合せにより漏れの無い的確な判断ができるかどうか不安が残ります。 Red Hat Enterprise Linux （ RHEL ）には SELinux というセキュリティを強化するための機能が搭載されています。しかし、脆弱性の問題に限らず、システムのトラブル予防と適切な対処を行う上では、対象となるシステムの設定や挙動を事前に把握しておくことが重要であると考えます。 今回の脆弱
Shellshock: Better 'bash' patches now available
The problem with the first patch, as Red Hat explained in its Shellshock FAQ, was that it only took care of the original bash flaw CVE-2014-6271. This, the true Shellshock bug, is the worst bash security hole. There were also others. Red Hat said: "Shortly after that issue went public a researcher found a similar flaw that wasn’t blocked by the first fix and this was assigned CVE-2014-7169." This
Linuxアプライアンス類もBash脆弱性対策を - .@sknn's tumblr.
[NEW] 2014/09/30: アプライアンスの対応状況まとめを随時更新中 CVE-2014-6271及びCVE-2014-7169ねた(Bash脆弱性)。 世間では、外部公開サーバー(特にWebサーバー)への対処が着々と進められています。Webサーバーだけでなく、メールサーバーへの攻撃パターンも早期に見付かっています。外部公開サーバーに対する総合的な点検が近いうちに進んでいくものと思われます。 bash Shellshock through MAIL .forward / qmail-alias piping (ML program etc.) CVE-2014-6271 http://t.co/QPbSE8dppM http://t.co/AFuHudkCdh September 26, 2014しかし、一般的なサーバー類だけでなく主にファイアウォールの内部に設置されているアプライ
先程から騒ぎになっているbashの脆弱性について – 上田ブログ
確認しました（苦笑） （追記: envを抜いてましたが、それだとCシェル系で確認できないので加えました） ueda@remote:~$ env x='() { :;}; echo vulnerable' bash -c 'echo this is a test' vulnerable this is a test 最初のワンライナーでなにがおこってるかというと、xの値であるはずの「() { :;}; echo vulnerable」の、echo vulnerableの部分がなぜか実行されています。 bashの文法ではシングルクォートで囲んだ中のものは何がどう書いてあっても単なる文字列であって、evalとかshとかに突っ込まない限り実行されるわけはないので、これは実装ミスかと。（と、書いたのですが環境変数に関数を仕込めるという仕様があるという話を初めて聞いて愕然と・・・。いま慌てて調べてます
「Bump」に脆弱性、使用停止を呼びかけ 端末をぶつけてデータ交換するアプリ
まだ使っている人は、削除したほうがいいでしょう。JPCERTコーディネーションセンターと情報処理推進機構（IPA）が、「Bump」のAndroid版アプリに脆弱性が存在することを発表しています。 Bumpは、スマートフォン同士をコツンとぶつけるだけで、連絡先情報や写真などのデータを交換できる老舗アプリ。その機能性やアクションのユニークさから、飲み会などを盛り上げてくれるツールとして、多くのユーザーに利用されました。 今回Bumpには、暗黙的Intentの扱いに関する脆弱性が認められたと報告されています。具体的な影響として、Bumpで取得した連絡先情報の一部が不正なAndroidアプリケーション経由で第三者に漏えいする可能性があるとしています。 Bumpを提供していたBump Technologies, Inc.は2013年9月にGoogleにより買収されており、すでに2014年1月31日を
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
サイボウズの「脆弱性報奨金制度」は2015年も続行、一部条件の緩和も
Flash Playerのゼロデイ脆弱性、修正パッチ配信開始 
ASUS製Wi-Fiルーターに脆弱性、意図しない操作をさせられる可能性、対策済みファームウェアにアップデートを 
1200万台以上のルーターに影響する深刻な脆弱性、古い製品のユーザーも確認を 
時刻同期のntpdに危険度の高い脆弱性、不正パケット受信でコード実行の可能性 
MS、公開を延期していた“緊急”の修正パッチ「MS14-068」を定例外で公開
サービス終了のお知らせ
Microsoft withdraws another buggy update
キヤノンのプリンタをハックして画面で『DOOM』起動してやったぜ！4カ月かかったけどな