グーグルのProject Zero、トレンドマイクロのパスワード管理ツールの脆弱性を報告

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Trend Microのパスワード管理ツール「Password Manager」に、遠隔地からのコード実行を許す脆弱性が存在していたことをGoogleのセキュリティチーム「Project Zero」が明らかにした。このツールは、同社のウイルス対策ソフトウェアをインストールした際に、デフォルトでインストールされるようにもなっている。 この脆弱性を発見したのは、Project ZeroのTavis Ormandy氏だ。Password ManagerはJavaScriptとNode.jsを用いて構築されており、ローカル環境上でウェブサーバを起動し、APIコマンドを受け付けるようになっているものの、その際にはホワイトリストや、同一オリジンポリ

[FTTH]

まだトレンドマイクロで消耗してるの？

[at_yasu]

(ヽ´゜ω゜)普通にバックドアですやん…

[call_me_nots]

Ormandy氏「しっかりしたセキュリティコンサルタントの監査を受けずに、こんなものを『デフォルトで』すべての顧客のマシンにインストールするなんて」

[bouzuya]

任意のコマンドを実行される恐れがあるパスワードマネージャ。

[ebo-c]

ちょっと前にあった「いくら指摘してもChrome extensionの正しい修正しねーんだ！」の正規表現でお茶を濁そうとしたヤツと別件？

[ohesotori]

「Password ManagerはJavaScriptとNode.jsを用いて構築され」

[smbd]

ファーｗｗｗｗｗｗ

[ad2217]

「Password Manager」って総務省が推奨していたやつでは? https://twitter.com/HiromitsuTakagi/status/1023480111008382976

[sho]

さすがにこれはない……

[Francis]

入れるほうが危険になるとは。これぞまさしく「ウイルスソフト」

[takagiichiro2012]

『前代未聞／インターネット上のどこからでも、すべてのパスワードをこっそり盗めるだけでなく、ユーザーの関与なしに任意のコードを実行できる』以前、グーグルの技術者がトレンドマイクロ製品を批判した記事。

[klim0824]

"翻訳校正： 編集部 2016年01月13日 11時39分"

[tmyk_kym]

トレンドマイコー

[snaka72]

“「何と言ってよいか分からない。しっかりしたセキュリティコンサルタントの監査を受けずに、こんなものを『デフォルトで』すべての顧客のマシンにインストールするなんて」（Ormandy氏）”

[mikage014]

“「私はメールに『前代未聞のとんでもない作りだ』と書いた」（Ormandy氏）”

[atotto]

うは「前代未聞のとんでもない作りだ。しっかりしたセキュリティコンサルタントの監査を受けずに、こんなものを『デフォルトで』すべての顧客のマシンにインストールするなんて」

[curion]

なかなかひどい

[cvshin]

wwwww笑うしかねー グーグルのProject Zero、トレンドマイクロのパスワード管理ツールの脆弱性を報告 @zdnet_japanさんから

[Chishow]

SafeSyncの一件でもうすっかりアンチトレンドマイクロです　この会社は大嫌いだ

[koyhoge]

トレンドマイクロ企業ページトップにはこれに関して何のアナウンスもないね。アップデートすれば落ち度はなくなると考えているのであれば、信用も失われていくと思うなぁ。

[gurutakezawa]

ちょっと前に見た件？と思ったら、それはAVGだった。 http://cpplover.blogspot.jp/2015/12/avgchrome.html

[t-w-o]

しっかりしたセキュリティコンサルタント

[gam-22]

これはひどい…ただのバックドアだ

[mfluder]

"インターネット上のどこからでも、すべてのパスワードをこっそり盗めるだけでなく、ユーザーの関与なしに任意のコードを実行できるようになっている。この驚愕すべき事実が示すことの重大さをしっかりと認識しても

[ardarim]

セキュリティを売りにしてるはずの会社がこの様ってショボすぎるでしょ…。自社製品はテストしないのかな。

[igrep]

"ローカル環境上でウェブサーバを起動し、APIコマンドを受け付けるようになっているものの、その際にはホワイトリストや、同一オリジンポリシー（Same-Origin Policy）を適用することなく..."

[sk111111p]

ユーザーの関与なしに任意のコードを実行できるようになっているパスワード管理ツールって((((；ﾟДﾟ))))

[stealthinu]

これ、想定してたよりずっと酷いわ。ちょっと考えただけでもすげえ危ないだろこれ。

[naga_sawa]

同じnodejsベース、Web技術ベースなElectron使ったアプリは大丈夫なんだろうか

[phound]

お笑い技術力に定評のあるトレンドマイクロ

[nilab]

「Password ManagerはJavaScriptとNode.jsを用いて構築されており、ローカル環境上でウェブサーバを起動し、APIコマンドを受け付ける」

[secseek]

パスワード管理ソフトなのにウェブサーバーで公開するって意味が分かりません。なんのためにそんなことをしたんでしょう？

[kanmimono]

"しっかりしたセキュリティコンサルタント"ではないとコメントされてるトレンドマイクロさん

[Cujo]

コメントでコテンパンにされてますな。。。。。

[shag]

反省しない面々...。

[yukung]

おっぴろげ / "しっかりしたセキュリティコンサルタントの監査を受けずに、こんなものを『デフォルトで』すべての顧客のマシンにインストールするなんて"