Windows標準ブラウザのEdge上で表示した画像がMicrosoftに送信されている、無効化方法はコレ
by Dennis Sylvester Hurd Windowsに標準搭載されているウェブブラウザ「Edge」が、ブラウザ上で表示した画像のURLを自動的にMicrosoftに送信していることが判明しました。Edgeが搭載している、「超解像技術を用いてウェブ上の画像の鮮明さやシャープネス、照明、コントラストを向上させる」という画像補正機能が原因と見られています。 Edge sends images you view online to Microsoft, here is how to disable that - Neowin https://www.neowin.net/news/edge-sends-images-you-view-online-to-microsoft-here-is-how-to-disable-that/ 'Enhance Image' Function in
Windows 7/8.1をWebページから停止させることも可能なNTFSのバグ | スラド IT
Windows 7/8.1のNTFSで、WebページからOSを停止させることの可能なバグが発見された(Ars Technicaの記事、 Aladdin RDのブログ記事、 The Vergeの記事)。 NTFSのマスターファイルテーブル(MFT)は、ルートディレクトリの「$mft」というファイルに格納されている。このファイルはファイルシステム上から参照することはできず、ファイル名を直接指定して開こうとしてもアクセスは拒否される。ただし、「C:\$mft\123」のようにディレクトリ名として指定してアクセスすると、新たにプログラムが起動できなくなったり、BSoDが発生したりする。 これはディレクトリとして$mftを開くために排他アクセスを取得し、ディレクトリでないことが判明した際に$mftのERESOURCEを解放してしまうことが原因となっているようだ。そのため、Windowsを再起動しない
暮らしに役立つITコラム ChromeやSafariの自動入力機能が、なぜ「悪いデザイン」なのか
autofill_ui.md 見た目の上で、隠されているフィールドに対しても自動入力してしまうという問題が話題になっている(2017年1月) https://github.com/anttiviljami/browser-autofill-phishing のだけれど、この問題の歴史はとても古い。自分も調査したり問題を報告したりしているので、振り返ってみる。 2012年の話 2012年4月のShibuya.XSS #1 https://atnd.org/events/25689 で、Hamachiya2が発表した http://hamachiya.com/junk/x-autocompletetype.php この問題に関連して「手の込んだクリックジャッキング」を使って情報を盗み出すデモを作った。 https://plus.google.com/112675818324417081103/
マイクロソフト「ＩＥ」安全対策 最新版のみに NHKニュース
世界中で広く使われているインターネットの閲覧ソフト「インターネット・エクスプローラー」について、開発したマイクロソフトは、最新版以外のセキュリティー対策を１２日で終了します。専門家は、サイバー攻撃が巧妙化するなかで、ソフトウエアメーカーの対策には限界があり、利用する個人や企業などの側でのセキュリティー対策がより重要になっていると指摘しています。 マイクロソフトは、「インターネット・エクスプローラー」でサイバー攻撃を受けるおそれがあるプログラム上の弱点が見つかった場合、「パッチ」と呼ばれるばんそうこうのような修正プログラムを作り、無料で配布しています。 しかし、先月までの２年間に見つかり「パッチ」を作成した弱点は合わせて５２７にも上り、そのうちの８５％は情報漏れにつながるおそれがある危険性が高いものとなっています。 このため、マイクロソフトは、これまでの態勢で安全対策を続けるのは難しくなった
「AdobeはFlash終了を宣言すべき」とFacebookのセキュリティ責任者
Flashの脆弱性問題が連日報道される中、6月にFacebookの最高セキュリティ責任者（CSO）に就任したばかりのアレックス・スタモス氏が「Adobe SystemsはFlashの終了期日を決めて発表するべきだ」とツイートした。 「Adobe SystemsはFlashの終了日を宣言し、Webブラウザ企業にその日にFlashを無効化するよう依頼すべきだ」──。米FacebookのCSO（最高セキュリティ責任者）に就任したばかりのアレックス・スタモス氏は7月11日（現地時間）、自身のTwitterアカウントでこうツイートした。 これは、ここ最近相次いだFlashの脆弱性発覚を受けたもの。7日に伊Hacking Teamが発表した顧客データ流出で発覚した脆弱性に対処するパッチが提供されたのは発覚から1日後だった。 この後さらに2件の深刻な脆弱性が報告され、Adobeは12日の週に臨時セキュリ
Mozilla Re-Mix: Google Chromeの人気拡張機能が買収されてスパイウェア/アドウェアとして配布されている件。
Google Chromeの人気拡張機能がいくつかの企業によって買収され、その後の改良によってアドウェアやマルウェアを仕込まれた状態で配布されているというニュースが先週から話題になっています。 このような現象は以前の記事でも触れたように、Firefoxアドオンでも確認されており、ユーザーは不審な接続や拡張機能のオーナーが誰なのかを確認するなどの注意が必要です。 こうした拡張機能を導入してしまうと、ユーザーが意図しないアクセスによる広告の表示や、なんらかのブラウジングデータを勝手に送信して情報を収集されてしまうなどの恐れがあります。 このような注意喚起をいち早く記事にしている[How-To Geek]では、代表的な拡張機能として100万ユーザー超えの[HoverZoom]を挙げており、この拡張機能による勝手な情報収集、およびそれらを規約にひっそりと掲載していることを紹介しています。 同サイト
Google Chromeにパソコンを盗聴器に変える脆弱性、---米メディアが報道
米GoogleのWebブラウザ－「Chrome」に、パソコンを盗聴器に変えてしまう脆弱性が見つかったと、複数の米メディア（InformationWeek、Gizmodoなど）が現地時間2014年1月22日に報じた。悪意のあるサイトは同脆弱性を利用することで、パソコンのマイクを起動し、パソコン周辺の音声を拾って記録できるという。 Chromeの脆弱性を最初に確認したイスラエルのWeb開発者、Tal Ater氏によると、ユーザーが不正サイトから離れても盗聴は継続され、Chromeが起動している限り、パソコンのすぐそばで行われる会話や通話が記録される可能性がある。 ユーザーがChromeの音声認識技術に対応したサイトを訪れた場合、サイトはマイクを使用する許可をユーザーに求める。ユーザーが承認すると、音声認識が有効になっていることを示すアイコンがタブに表れる。通常、ユーザーが音声認識を無効に切り替
Android OSに深刻な脆弱性、任意のコード実行やパスワード読み取りの恐れも
Android OSに深刻な脆弱性、任意のコード実行やパスワード読み取りの恐れも：アップデート、もしくは標準以外のWebブラウザ利用を推奨 情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）は2013年12月17日、「Android OS」に、細工を施したWebページを閲覧するだけで任意のコードを実行される深刻な脆弱性が存在することを明らかにした。 情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）は2013年12月17日、「Android OS」に深刻な脆弱性が存在することを明らかにした。スマートフォンやタブレット端末から細工を施したWebページを閲覧するだけで任意のコードを実行される恐れがあり、早急なアップデートが推奨される。 この脆弱性はAndroid OS 3.0～4.1.xに存在する。Androidの標準
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
日本の銀行を標的にした「Zeus」亜種、登場
シマンテックによると、オンラインバンキングサービスを狙うトロイの木馬「Zeus」に、日本の大手銀行の利用者のみを標的にする亜種が登場した。 シマンテックは2月13日、オンラインバンキングサービスを狙うトロイの木馬「Zeus」に、日本の大手銀行の利用者のみを標的にする亜種が登場したと、ブログを通じて警告を発した。 Zeusは、「SpyEye」と並んで、欧米で大きな被害を及ぼしてきたトロイの木馬だ。感染すると端末を乗っ取られ、リモートからコントロールされてしまう。中でも、オンラインバンキングサービスにアクセスした際に、バックエンドでトランザクションを書き換えるMan in the Browser（MITB）攻撃によって、数億ドルに上ると見られる金銭的被害を及ぼしてきた。深い専門知識を持たない人物でもオリジナルの亜種を作成できる「ツールキット」が流通していることも、Zeusによる被害を増大させて
ユーザーが制御できない「秘密cookie」、半数強のサイトが利用
米研究チームの発表によると、Adobe Flashを使ってネット上のユーザーの行動をひそかに追跡し続けるサイトが増えているという。 Adobe Flashを使ってネット上のユーザーの行動を追跡し続ける「秘密cookie」を利用するサイトが増えているという。米カリフォルニア大学バークリー校などの研究チームがこのほど論文を発表した。 「Flash cookie」は通常のcookieとは異なり、ブラウザのセキュリティ設定ではコントロールできないという。研究チームが大手サイトによる同cookieの利用実態について調べたところ、調査対象としたサイトの半数以上がFlash cookieを使ってユーザー情報を保存していることが判明した。 中にはユーザーが削除したHTTP cookieを、Flash cookieを使って復活させているケースもあった。しかしその存在についてはサイトのプライバシーポリシーでも
そろそろクリックジャッキングについて一言いっておくか - 最速転職研究会
Firefox3で「サードパーティのCookieも保存する」をオフにする。 防げる。 いずれのブラウザにもサードパーティ製のcookieを制限するオプションがあるが、Firefox3以外だと、フレーム内表示された場合に「新規にcookieを保存しない」だけで保存済みのcookieは送信してしまう。 軽く調べてみたところ、次のようになった。(間違ってたら教えてください) サードパーティのcookieの新規保存 サードパーティの保存済みcookieの送信 表示中のドメインのcookieの保存/送信 IE6,7,8(デフォルト) x o o IE6,7,8(セキュリティ高) x x x Opera9.6(デフォルト) o o o Opera9.6(制限) x △ o Safari(制限/デフォルト) x o o Safari(全て受け入れる) o o o Firefox2(デフォルト) o o
クリックジャッキングってこうですか？ わかりません
↑ この透過されているiframeは、ブラウザの最前面に配置されています ※はてなにログインしていると、どのようにボタンが被っているのかわかりやすくなります
教科書に載らないWebアプリケーションセキュリティ 第1回 ［これはひどい］IEの引用符の解釈 − ＠IT
XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 小さな話題が面白い 皆さん、はじめまして。はせがわようすけと申します。 「教科書に載らないWebアプリケーションセキュリティ」ということで、Webアプリケーションのセキュリティに関連する、普段あまり見掛けないような小さな話題を取り上げていきたいと思います。 セキュアなWebアプリケーションを実現するために、開発者の方だけでなく、Webアプリケーションの脆弱性検査を行う方々にも読んでいただきたいと思っています。重箱の隅を楊枝でほじくるような小さな話題ばかりですが、皆さんよろしくお願いします。 さて第1回は、Internet ExplorerがHTMLを解釈する際の引用
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
アダルト動画をタップ→スマホブラウザーを乗っ取られ、登録料金9万9800円要求 日本のアダルトサイトで“新手”のワンクリック詐欺登場
闇情報を検索できるダークな「Google」が登場
ggsoku.com
ggsoku.com
ggsoku.com
主要ブラウザすべてに影響する「クリックジャッキング」攻撃とは