OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ
オープンソースのSSL／TLS実装ライブラリ「OpenSSL」に64Kバイトのメモリが露呈されてしまう脆弱性が発覚し、この問題を修正した「OpenSSL 1.0.1g」が4月7日に公開された。 OpenSSLのセキュリティ情報によると、脆弱性はTLS Heartbeat拡張の処理における境界チェックの不備に起因する。悪用された場合、最大64Kバイトのメモリが接続されたクライアントやサーバに露呈される恐れがある。 この脆弱性は、OpenSSL 1.0.1fと1.0.2-beta1を含む1.0.1および1.0.2-betaリリースに存在しており、1.0.1gで修正された。直ちにアップグレードできない場合のために、「OPENSSL_NO_HEARTBEATS」のフラグを有効にして再コンパイルする方法も紹介している。 この問題についてOpenSSLを使ったサービスを提供しているセキュリティ企業のC
ANAの個人情報開示請求により1ヶ月間のログイン履歴が確認できた
先日のエントリ「ANAマイレージクラブのログインを少しでも安全にする運用を考えてみたが見つからない」で紹介したように、ANAの個人情報開示手続きにてAMCホームページへのアクセス履歴が開示されるということなので申し込んでおりましたが、昨日封書にて到着しましたので皆様の参考のために公開します。 ますば、送付案内です。 これを見て、以下の疑問が生じました。 アクセス履歴の項目 IPアドレスについても開示されると思っていましたが、「※IPアドレスにつきましては、社内規定に則り開示をすることは出来かねます。」とありますが、上記の情報だけだと、自分のアクセスなのか、第三者によるものなのかの判別が難しいと考えます。 Yahoo!のログイン履歴にはIPアドレスが表示されます（参考）し、Googleの最近のアクティビティには市区町村までの地域が表示されます（参考）。 表示されるIPアドレスは原則として自分
とあるECサイトのアクセス制御不備
商売柄、脆弱性や侵入事件のニュースがあると背景を調べることが多いのですが、このエントリは、侵入されたサイトを見に行って発見した脆弱性のお話です。 とあるECサイトが外部から侵入されたというニュースを見て、再開後のECサイトを見に行きました。普通に会員登録してログインしてみると、セッションIDの他に気になるクッキーが発行されていました（クッキーの名前と値は変えてあります）。 Set-Cookie: login=123456; path=/ Set-Cookie: loginflg=1; path=/ 直感的に、login=123456は内部的なユーザID(ユーザ番号)、loginflg=1はログイン済みであることを示すフラグのように思えました。しかし、まさかね。今時それはありえないアルよ。 そこで検証のために、先ほどとは別のユーザを登録してログインしてみました。すると、以下のクッキーが発行さ
ANAマイレージクラブのログインを少しでも安全にする運用を考えてみたが見つからない
既に「ANAの不正ログイン事件について徳丸さんに聞いてみた」で書いたように、ANAマイレージクラブ(AMC)のWebサイトに不正アクセスがあり、利用者 9人、計112万マイルがiTunesギフトコードに不正交換されました。ITproの記事を引用します。 ANAに申告があった9人分、計112万マイルについて、3月7～9日の間にiTunesギフトコードへ交換されていたことを確認したという。【中略】同社は10日18時30分以降、iTunesギフトコードへの交換サービスを停止した。不正ログインの手段など攻撃の詳細や、他にも不正ログインがあったかについては調査中という。 ニュース - ANAマイレージクラブへの不正ログインで112万マイルが詐取、住所なども閲覧可能に：ITproより引用 攻撃があってから一週間たちますが、まだANAに申告があった利用者の被害しか発表されていません。上記9名以外にも、マ
ANAの不正ログイン事件について徳丸さんに聞いてみた
高橋: こんにちは、高橋です。先月に引き続き徳丸さんをお招きして、今度はANAの不正ログイン事件についてお話を伺います。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。よろしくお願いします。 高橋: まず、事件の概要を説明します。「ANAマイレージクラブ」のWebサイトに不正ログインがあり、顧客9人のマイレージ、総計112万マイルがiTunesギフトコードに勝手に交換されていたとするものです。当初顧客の通報で発覚した点はJALの場合と同じですね（参考）。 徳丸: で、私はなにをしゃべればいいのですかね。お招きいただいたので出てきましたが、パスワードがJALは数字6桁、ANAは4桁ですが、それ以外はあまり変わらないのですよね。 高橋: JAL、ANAと事件が続きましたが、攻撃手口は見えてきていないのでしょうか? 徳丸: 公式発表も報道もあまり情報がないので確定的なことは言えないのですが、
ANAマイレージクラブでも不正アクセスによりマイルが盗まれる被害が発生 | スラド セキュリティ
全日空（ANA）の「ANAマイレージクラブ」で不正アクセスが発生、マイルが盗まれる被害が発生した模様（朝日新聞、日経ITpro、ANAの発表）。 同様の事件として、日本航空（JAL）が運営する会員サービスである「JALマイレージバンク」のWebサイトに不正アクセスが発生し、顧客のマイルが盗まれる被害が発生していたが、その問題点として、ログインには数字7桁もしくは9桁の「マイレージ番号」を使用し、またパスワードは数字6桁でアルファベットなどを含めることができないという、同サイトの仕様が挙げられていた（過去記事）。 ANAマイレージクラブもJALマイレージバンクと同様、数字10桁の会員番号と数字4桁のパスワードを使用しており、数字4桁のパスワードの危険性はかねてから指摘されていた（JALマイレージWebサイトへの不正アクセスに関する高木浩光先生のつぶやき）。
cheeers! のオープンリダイレクタ脆弱性が修正された
クラウドファンディングサイトcheeers!にはオープンリダイレクタ脆弱性がありましたが、サイト運営者に連絡したところ修正されましたので報告します。 cheeers! のログイン画面は下記の通りですが、アドレスバーに注目ください。from=というクエリ文字列にURLをパーセントエンコードしたものがついています。 以上は正常系の流れですが、それではfrom=に、cheeers! とは無関係のURLを指定したらどうなるでしょうか。たとえば、from=https://twitter.com/HiromitsuTakagi/status/350971098248118272 と指定しておくと、ログイン成功後に下記の画面が表示されていました（現在は表示されません）。 爆笑。大草原不可避。wwwwwwwwww wwwwwwwwww wwwwwwwwww wwwwwwwwww wwwwwwwwww pi
よくわかるPHPの教科書 PHP5.5対応版のクロスサイト・スクリプティング
たにぐちまことさんの よくわかるPHPの教科書がこのたび改版されて、よくわかるPHPの教科書 【PHP5.5対応版】として出版されました。旧版はmysql関数を使ってSQL呼び出ししていましたが、mysql関数がPHP5.5にて非推奨となったための緊急対処的な内容となっているようです。つまり、従来mysql関数を呼び出していた箇所をmysqliの呼び出しに変更したというのが、主な変更点のようで、これ以外はあまり変更点は見あたりません。 既に、Amazonでは、熱烈な読者の方からの詳細のレビューが届いています。 神本御降臨！ 言わずと知れたPHPプログラミング書籍のロングセラー。 2010年9月に発売された前作の改訂版。 PHPのバージョンも最新の5.5に対応、内容は前作と殆ど同じ。 少し前に前作を購入した方も本書を購入した方がいいでしょう。 【中略】 それにしても、帯の「３万人に読まれた定
正規表現によるバリデーションでは ^ と $ ではなく \A と \z を使おう
正規表現によるバリデーション等で、完全一致を示す目的で ^ と $ を用いる方法が一般的ですが、正しくは \A と \z を用いる必要があります。Rubyの場合 ^ と $ を使って完全一致のバリデーションを行うと脆弱性が入りやすいワナとなります。PerlやPHPの場合は、Ruby程ではありませんが不具合が生じるので \A と \z を使うようにしましょう。 はじめに 大垣さんのブログエントリ「PHPer向け、Ruby/Railsの落とし穴」には、Rubyの落とし穴として、完全一致検索の指定として、正規表現の ^ と $ を指定する例が、Ruby on Rails Security Guideからの引用として紹介されています。以下の正規表現は、XSS対策として、httpスキームあるいはhttpsスキームのURLのみを許可する正規表現のつもりです。 /^https?:\/\/[^\n]+$/
電子証明書方式によるログインとログインＩＤ方式によるログインのリスクについて - Yahoo!知恵袋
holy_night_knight_catさん 電子証明書方式によるログインとログインＩＤ方式によるログインのリスクについて みていただきありがとうございます。 知人の代理質問です。 インターネットバンキングの件ですが、 現在ログインＩＤ方式（ログインＩＤとパスワードを入力してログイン）を使用しているそうです。 それを、電子証明書方式？に変えてくれと銀行から言われたそうです。 簡単に言えば「１台のパソコンからのみアクセス可能にする」ってことらしいのですが…。 よくわからないのですが、その方がセキュリティ面からみて、良いと言われたそうです。 ただし、パソコンが壊れた時や他のパソコンからのアクセスが出来なくなるため、 ご主人が使ってるパソコンと自分のパソコンとでインターネットバンキングを使ってたので、困るからしたくないけど、 銀行がしつこく勧めるのと、そのままでは怖いと脅かさ
ニュースリリース：2008年1月18日：日立
印刷される方はこちらをご覧ください（PDF形式、16kバイト） このニュースリリース記載の情報(製品価格、製品仕様、サービスの内容、発売日、お問い合わせ先、URL等)は、発表日現在の情報です。予告なしに変更され、検索日と情報が異なる可能性もありますので、あらかじめご了承ください。なお、最新のお問い合わせ先は、お問い合わせ一覧をご覧下さい。 2008年1月18日 株式会社日立製作所 廃棄処理過程におけるハードディスクドライブの流出について 株式会社日立製作所(執行役社長：古川一夫)が、東京消防庁より依頼を受けて、修理交換を行い、廃棄したビジネスPC(FLORAシリーズ)のハードディスクドライブ(以下、HDD)の一部が、その処理過程において、誤って中古品量販店に流出していたことが、2008年1月14日に判明しました。流出したHDDの一部には、東京消防庁のデータが含まれておりましたが、同日、当該
)
SQL インジェクション
SQL インジェクションとは、後で SQL Server のインスタンスに渡され解析および実行が行われる文字列に、有害なコードを挿入するという攻撃です。SQL Server では、構文的に有効であれば受信したクエリがすべて実行されるため、SQL ステートメントを構成するすべてのプロシージャにおいて、インジェクションに対する脆弱性を検証する必要があります。高いスキルを持つ決然たる攻撃者は、パラメータ化されたデータであっても操作できるのです。 SQL インジェクションは主に、SQL コマンドと連結されて実行されるユーザー入力変数にコードを直接挿入することにより行われます。それほど直接的ではない攻撃では、悪意のあるコードが、テーブル内の記憶領域に格納される文字列に挿入されたり、メタデータとして挿入されたりします。格納された文字列が動的な SQL コマンドに後で連結された場合、悪意のあるコードが実
Webアーキテクチャ設計術 --- ITpro
Webシステムを設計するアーキテクトが検討すべきポイントを連載でお届けします。まず，「HTTPの仕組み」を説明した後，「可用性」「パフォーマンス」「セキュリティ」「運用性」の4点を取り上げます。この4点を，ソフトウエアの品質について定めた国際規格「ISO/IEC 9126-1」に基づいてマッピングすると，図1のようになります。網掛け部分が連載のターゲットです。
「Firefox 2.0.0.11」の認証ダイアログに脆弱性--中間者攻撃に悪用される恐れ
Mozillaのウェブブラウザ「Firefox 2.0.0.11」に、第三者による中間者攻撃（man-in-the-middle attack）に悪用される可能性がある脆弱性が見つかった。 イスラエルのセキュリティ研究者Aviv Raff氏によると、Firefox 2.0.0.11にはユーザーインターフェースを偽装（スプーフィング）される脆弱性があるという。 Raff氏は、2008年1月2日（現地時間)に自身のブログで、Firefox 2.0.0.11では、基本認証ダイアログボックス内に表示される情報が偽装され、ユーザーが悪意のウェブサイトへリダイレクトされてしまう可能性があると報告した。2.0.0.11以前のバージョンにも同じ脆弱性があるかもしれない。 Raff氏によると、ウェブサーバがステータスコード「401」を返す場合、Firefoxは認証ダイアログボックスを表示する。401ステータ
「aircrack-ptw」 がヤバすぎる (»Д｀；) - にわか鯖管の苦悩日記 ＿|￣|● (2007-04-27)
携帯にメールや電話の着信が急に増えたり スマホで今まで使用していなかったロック機能を使うようになった お出かけや外泊の機会が増えた 衣装が派手になった というケースは浮気の可能性があるかもしれません。 もし浮気を続けられると、された側は精神的に苦しい思いを続けることになり、する方も後ろめたい気持ちが膨れ上がり良いことはありません。 やめてもらいたいか、いっそのこと別れて人生をやり直すかはしっかりとした証拠がそろってから考えてもよいかと思います。 そのためには下手に動かず、東京都で興信所のプロによる浮気調査をするのが良いでしょう。 その理由としては、浮気が原因で離婚となれば慰謝料の請求が可能となり、その法的な証拠を得るには素人よりプロの方の作りだすものが決定的なものになるためです。 全てをすっきりさせて今後の人生をやり直しやすくするためにも利用することをおすすめします。
Flashで簡単にキーロガーができてしまった - hitode909のダイアリー
flash「タブのフォーカスに関係なく音が出る」ボタンを作ったところ、それはセキュリティ的にどうなんだという意見をいだたいた。kanasanです。うちの環境下では再現しないのですが、他のタブのkeypressイベントも取得できるという事は、掲示板等の文章やid/passwordが盗めたりするということですか?SSLのタブまで可能なのであればエラい事なんですけど。rubyneko - yharaであなたも快適なyharaライフを!で、コメント返そうとしたらよく考えるとnowaのアカウント持ってなかったのでここに。 ちょっとやってみたところ、簡単にキーロガーができてしまった。MacのFirefoxかCaminoで動く。http://hitode909.googlepages.com/keylog2.htmlこれをどっかのタブに開いておくと、入力した文字が表示される。Gmailのパスワードとかも
Webアプリの落とし穴に改めて注意
今年9月，Gmailにクロスサイト・リクエスト・フォージェリ（CSRF）のぜい弱性が見付かった。ユーザーはメールを盗み見される危険にさらされていた。また，10月にはバッファローの無線LAN製品「AirStation」に組み込まれている設定ツール（Webアプリケーション）に存在するCSRFのぜい弱性が発見された。第三者にAirStationの設定を勝手に書き換えられる可能性があった。 これらのぜい弱性は， ユーザーがWebアプリケーションにログインした状態で，攻撃者が用意した悪意のあるリンクを誤ってクリックすると，ユーザーが予期しない処理を実行されてしまうというもの。Gmailなら例えば勝手にフィルタ・プログラムを作成して任意のアドレスにメールを転送するなどの仕組みを実現できる。 グーグルは既にこのぜい弱性を修正済みだが，万が一，利用者のフィルタ・リストに攻撃者が作成したフィルタが存在してい
IEとFirefoxで「リファラを送信しない設定」をする : LINE Corporation ディレクターブログ
こんにちは、佐々木です。 他社サイトへのリンクが含まれるような開発環境で作業を進める場合、使用しているブラウザを「リファラを送信しない設定」にする必要があります。うっかりクリックしてしまったサイトに送信したリファラから「開発環境のURLがばれてしまう」という危険を防ぐためです。 つまり、リファラを送信する設定のまま開発環境で作業を進めることは、「スーツの内ポケットにキャバクラのマッチが入ったままになっている」のと同じくらい無防備な状態といえます。惨事が起こる前に、しっかりと準備をしておきましょう。 『Internet Explorer』の場合 『Internet Explorer』（以下、IE）の場合は「Proxomitron」を使う方法もありますが、リファラを送信しない設定だけであれば「Fiddler2」のほうが簡単ですので、ここではその方法を紹介します。 Fiddler2 を使ってIE
高木浩光＠自宅の日記 - EZwebブラウザの「お気に入り登録」は偽サイトを見分ける手段にならない
■ EZwebブラウザの「お気に入り登録」は偽サイトを見分ける手段にならない 6月6日の日記「Upcoming Advisories」で書いていた、脆弱性届出「IPA#45031375」*1*2の件について、製品開発者がFAQとして事実を公開し、IPA#45031375 は11月26日に取り扱い終了となった。 EZwebで表示中のページのURLを確認する方法はありますか？, KDDI, よくあるご質問/お問い合わせ, 公表日不明*3 質問： EZwebで表示中のページのURLを確認する方法はありますか？ 回答： 確認方法はございません。 なお、お気に入り登録時にURLが表示されますが、そのURLはサイト提供者が任意に指定することができるため、必ずしも閲覧中のサイトと一致しない場合があります。 PCサイトビューアーの場合、「メニュー」から「ページ情報」で確認が可能です。 FAQには掲載された
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
アメーバーをする時、最近、「インターネットエクスプローラーは、クロスサイトス... - Yahoo!知恵袋