一部のHP製ノートPCにキー入力を記録するバグ、緊急パッチで対応
ドライバレベルのキーロガーが何百機種ものHP製ノートPCで発見されたことを受けて、同社は緊急パッチをリリースした。 このバグは、「ZwClose」としても知られるセキュリティ研究者のMichael Myng氏によって発見された。Myng氏はSynapticsの「SynTP.sys」というシステムキーボードドライバと、ノートPCのキーボードのバックライトが点灯する仕組みを調べていたとき、キーロガーのように見える怪しいコードに遭遇した。 ZwClose氏がブログの記事で述べたところによると、スキャンコードをWPPトレースに保存するキーロガーはそのドライバ内に存在するという。さらに、このキーロガーはデフォルトで無効になっているが、レジストリ値を変更して（ユーザーアカウント制御が必要）、有効にすることが可能だという。 「私はキーロガーを発見したことについて、HPにメッセージを送った。同社は極めて迅
ウェブサイトに侵入された大学のリリースに見る侵入対策への誤解
ここ数日大学等のウェブサイトに対する侵入事件の報道やプレスリリースが続いています。 スケジュール管理ウェブサイトの改ざんについて – 早稲田 サイバー攻撃：徳島大電子会議システムサーバー乗っ取り - 毎日新聞 これらを読んで気になったことがあります。大学側が一定のセキュリティ対策を施していたが、それでも侵入されてしまったような論調だからです。まずは早稲田大学の事例ですが… ３．不正侵入の原因について スケジュール管理サーバにはアンチウィルスソフトウェアをインストールし、最新のパターンファイルを装備していました。しかし、当該サーバのOSのセキュリティパッチは最新のものではなく、また当該サーバに対しファイアウォールによる監視が行えていなかったため、不正侵入を防御できませんでした。現在は、OSのセキュリティパッチを最新のものに更新し、ファイアウォールの監視対象として防御しています。 スケジュール
脆弱性"&'\ Advent Calendar 2014 (17日目) - 葉っぱ日記
この記事は脆弱性"&'<<>\ Advent Calendar 2014の17日目の記事です。今日は少し昔話をしようと思います。がはは。 かつて、日本製TwitterのようなWassrというサービスがありました。当時、Twitterは数日に一度くらいはサービスが落ちていて、Twitterユーザーも「またか」と思いながら我慢して使うようなサービスであり、Twitterが落ちるたびにWassrはユーザーを増やすとともに、画像の添付のように当時Twitterにはまだなかった機能をどんどんアグレッシブに取り入れていく、使っていて楽しいサービスでした。 さて、そんなWassrがある日絵文字機能を導入しました。当時はUnicode絵文字もなくスマートフォンも普及しておらず、主にレガシーな携帯電話で使える絵文字をなんとかWeb上でも使えるようにしたという感じのものでした。 絵文字をパレットから選択すると
学校では教えてくれない、脆弱性発見時の対応のこと
生業として脆弱性検査をやっていない限り、Web サイトの脆弱性にぶち当たったりすることは、稀なことだとは思うんですよね。 自分も、ずいぶんと長いことコンピュータの仕事に関わってきましたけど、一ユーザとして脆弱性を見つけてしまったことは、後にも先にも以前書いた図書館システムの件だけだったりしますが…。 自分は、富士通のシステムが使われていた頃から、Web での図書の貸出予約が出来るように利用者登録をしていたので、新システム切り替わりと同時にパスワードを変更して使っていたわけですが、新システムに切り替わって 1 ヶ月になろうかという頃、利用者メニューにログインしているときに、ふといや～な予感が…。 [From セッション管理がダメダメな図書館システムを 3 年も前に見つけてしまった顛末 - Soukaku's HENA-CHOKO Blog] でもって、数日前に見かけた見かけた、こんな話。 学
OpenSSL #ccsinjection Vulnerability
[English] 最終更新日: Mon, 16 Jun 2014 18:21:23 +0900 CCS Injection Vulnerability 概要 OpenSSLのChangeCipherSpecメッセージの処理に欠陥が発見されました。 この脆弱性を悪用された場合、暗号通信の情報が漏えいする可能性があります。 サーバとクライアントの両方に影響があり、迅速な対応が求められます。 攻撃方法には充分な再現性があり、標的型攻撃等に利用される可能性は非常に高いと考えます。 対策 各ベンダから更新がリリースされると思われるので、それをインストールすることで対策できます。 （随時更新） Ubuntu Debian FreeBSD CentOS Red Hat 5 Red Hat 6 Amazon Linux AMI 原因 OpenSSLのChangeCipherSpecメッセージの処理に発見
Endpoint Protection - Symantec Enterprise
シマンテックは、すべてのバージョンの Internet Explorer に影響するゼロデイ脆弱性（CVE-2014-1776）が報告されていることを確認しています。 Microsoft 社は、限定的な標的型攻撃に悪用されている Internet Explorer の脆弱性についてセキュリティアドバイザリ（2963983）を公開しました。この脆弱性に対するパッチはまだ提供されていません。また、このブログの執筆時点で、パッチのリリース予定日も公表されていません。 シマンテックでテストしたところ、この脆弱性によって Windows XP 上の Internet Explorer がクラッシュすることを確認しています。Microsoft 社は 2014 年 4 月 8 日（日本時間の 2014 年 4 月 9 日）をもって Windows XP のサポートを終了しているため、これは Window
「履歴書.zip」に注意、「Microsoft Office」の脆弱性を悪用する標的型攻撃（IPA） （ScanNetSecurity） - Yahoo!ニュース
「履歴書.zip」に注意、「Microsoft Office」の脆弱性を悪用する標的型攻撃（IPA） ScanNetSecurity 11月21日(木)14時22分配信 独立行政法人 情報処理推進機構（IPA）は11月20日、マイクロソフト社が提供する「Microsoft Office」などの脆弱性を悪用する国内の組織に対する標的型攻撃を確認したとして、注意喚起を発表した。この脆弱性（CVE-2013-3906）を悪用する標的型メール攻撃は、件名、本文、添付ファイル名などには日本語が使われており、「履歴書.zip」という名称の添付ファイルを解凍して得られるWordファイルを開くことで、PCがマルウェアに感染する。 他の写真を見る この攻撃は、業務上、添付ファイルを開いて内容を確認する必要がある、組織外向けの問い合わせ窓口へのメールを装うという手口が使われていた。IPAでは、今後発生しうる他
LIXILのスマートフォンと連動するトイレ「SATIS」に脆弱性が発見される メーカーは放置中？ GaGaGadget
誰でも操作が可能なんだとか LIXIL社が発売したトイレ「SATIS（サティス）」に脆弱性が発見されたとして、ソフトウェアセキュリティ企業「Trustwave社」が指摘しています。 このトイレには Bluetoothを利用したスマートフォンと連動する機能が搭載されており、専用のアプリを使えば蓋の開け閉めから使用後の水流し、シャワートイレの細かな個人設定など、様々な事をスマートフォンで行うことが出来る未来的なトイレです。 今回そのBluetooth部分に脆弱性が発見されたそうで、トイレ側とアプリ側の両方に同じハードコードされたPIN「0000」が組み込まれているため、公式アプリ「My SATIS」を使えば誰でもペアリングが可能といいます。 つまり、悪意のある人物がBluetoothの範囲内にいた場合、小の最中にシャワートイレを発動させたり、蓋を閉めたりも出来るということです。もちろん本体側を
アプリから非公開ツイートにアクセスできてしまう脆弱性、Twitterが対処
サードパーティーアプリにTwitterのアカウントを使ってログインすると、非公開のはずのダイレクトメッセージが表示されてしまう問題をセキュリティ研究者が発見した。 Twitterのアカウントを使ってサードパーティーのアプリケーションにログインすると、非公開のはずのダイレクトメッセージにそのアプリからアクセスできてしまう問題が見つかったとして、セキュリティ研究者が1月22日のブログで情報を公開した。 この問題は、セキュリティ企業のIOActiveの研究者が、開発中のあるWebアプリをテストしていて発見した。このアプリはTwitterにサインインできるオプションを利用すると、自分のタイムラインのツイートを読んだり、ツイートを投稿したりできる仕様になっていた。しかし説明を読む限り、パスワードやダイレクトメッセージにはアクセスできないはずだった。 そこでサインインして使ってみたところ、このアプリと
IE6～10にマウスカーソルの位置を追跡される脆弱性、パスワードなど盗まれる恐れ
By Paul.White Internet Explorer 6から10までのバージョンに、マウスカーソルの位置を追跡される脆弱性があることが明らかになりました。一度この追跡が始まると、IEのウインドウを最小化しても追跡は続くとのことで、バーチャルキーボードやキーパッドを使って情報を入力するようなサービスを利用する場合、パスワードやクレジットカード情報が盗まれる恐れがあります。 spider.io — Internet Explorer Data Leakage http://spider.io/blog/2012/12/internet-explorer-data-leakage/ 具体的にどのようなことが行われているのかというのは以下のムービーを見るとわかります。 IE Cursor Exploit Demo - YouTube https://www.youtube.com/wat
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DeNA Engineering - DeNAエンジニアのポータルサイト
一太郎に危険な脆弱性、PCを完全に制御される恐れ