サクサク読めて、アプリ限定の機能も多数！
タグをすべて表示
タグの絞り込みを解除
ランキング
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
1
Xユーザーの徳丸 浩さん: 「これは国土交通省の事例が有名ですね。2017年3月にStruts2の脆弱性を把握していたものの、予算がないため翌年度の予算で改修としたところ、6月に侵入が判明、実際の侵入は5月だったので、発覚時に即座に対策していれば防げていた https://t.co/SmoOeWeoE1」 / X
Xユーザーのmalaさん: 「pictBLandの会社(GMW社)、実際の改ざんや漏えいの経路は情報が無いので把握してないけれど全般的に保守期限がとっくの昔に切れたバージョンのフレームワークで長年の運用や新規サービス公開してるように見えるので大丈夫なんですかという問い合わせ送った。ソルト無しMD5よりも技術選定の方がまず問題」 / X
Xユーザーのmalaさん: 「もしpictBLandなどログインして利用していたパソコンに詳しい人がいれば、https://t.co/WnqZMm6GFg に保存されていたcookieを確認してみてください。GMWの他のサービスと同様の問題があれば、cookie内にユーザーの氏名やメールアドレスなどが保存されたままになっている懸念があります。」 / X
Xユーザーのmalaさん: 「GMW社の各サービスはPHPのフレームワークCodeIgniter2が使われていると思われます。 2015年10月31日にEOL https://t.co/uAflzhre47 その後CodeIgniterには任意コード実行も含め脆弱性が複数報告されているが2.xにはセキュリティ修正はバックポートされていません(漏洩原因と推定するものではないです)」 / X
Xユーザーのmalaさん: 「GMW社のまだ稼働しているサービスでCodeIgniterの発行するcookieにsecureフラグが付いておらずcookie内にユーザーの名前やEmail、パスワードのmd5ハッシュなどの個人情報が含まれている状態でした。ログイン済みユーザーが悪意のあるWiFiに接続するなどした場合には、これらの情報は盗聴されうる」 / X
Xユーザーのmalaさん: 「pictBLandの会社(GMW社)、実際の改ざんや漏えいの経路は情報が無いので把握してないけれど全般的に保守期限がとっくの昔に切れたバージョンのフレームワークで長年の運用や新規サービス公開してるように見えるので大丈夫なんですかという問い合わせ送った。ソルト無しMD5よりも技術選定の方がまず問題」 / X
