「SQLite」データベースに脆弱性--「Chromium」ベースのブラウザにも影響 - ZDNet Japan
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 広く普及している「SQLite」データベースエンジンにセキュリティ上の脆弱性が発見された。この脆弱性により、膨大な数のデスクトップアプリやモバイルアプリがリスクにさらされているという。 TencentのBladeセキュリティチームによって発見されたこの脆弱性が悪用された場合、被害者のコンピュータ上において悪意のあるコードの実行が可能になるとともに、それほど深刻ではないケースでもプログラムメモリのリークやプログラムのクラッシュが引き起こされる可能性がある。 SQLiteは膨大な数のアプリに組み込まれているため、この脆弱性はIoTデバイスからデスクトップソフトウェア、ウェブブラウザ、「Android」アプリ、「iOS」アプリに至るまでの広範
嵐のコンサートがあるとダブルブッキングしてしまうホテル予約システムを作ってみた
今年の5月1日に、仙台市内のホテルで多重予約のトラブルが発生したと報道されています。 部屋数２０３室の仙台市のビジネスホテルで、９月１８～２３日の宿泊予約を数千件受け付けるトラブルがあった。アイドルグループ「嵐」のライブが宮城県内で開催される期間だった。インターネットでの申し込みが殺到し、システム障害が起きたとみられるという。 トラブルがあったのは、仙台市泉区の「ホテルルートイン仙台泉インター」。ホテルなどによると、９月１９、２０、２２、２３日に宮城スタジアム（宮城県利府町）で嵐がライブを開くことが明らかになった後の５月１日午前５時ごろ、ネットを使った予約申し込みが殺到していることに気づいたという。 ２０３室のホテルなのに「予約」数千件 嵐公演で殺到か：朝日新聞デジタル より引用 5月1日の朝に何があったのか調べてみると、この日の早朝にテレビや新聞でコンサートの情報が流れたようですね。 お
「安全なSQLの呼び出し方」や「定期変更」で盛り上がる
12月のセキュリティクラスターは、IPAの「安全なSQLの呼び出し方」に対する意見が書かれたブログをきっかけとし、エスケープに関する議論と意見表明が、これまでにない盛り上がりを見せました。 その後は総務省がパスワードの定期変更を公式に推奨したことから、またまたパスワードの定期変更に関するツイートがタイムラインを賑わせます。そして、Androidの危険な脆弱性とIMEが入力した情報を勝手に送信していたことも話題となりました。 安全なSQLの呼び出し方とエスケープに対する意見が飛び交う 情報処理推進機構（IPA）から「安全なSQLの呼び出し方」という文書が公開されているのですが、“改訂前のこの文書は危険だった”という@yohgaki氏の「IPAの『安全なSQLの呼び出し方』が安全になっていた」というブログエントリが公開されました（注：IPA発行の「安全なSQLの呼び出し方」は改訂されたことはあ
間違いだらけのSQL識別子エスケープ
これから3回連載の予定で、SQL識別子のエスケープの問題について記事を書きます。SQL識別子のエスケープについてはあまり解説記事などがなく、エンジニア間で十分な合意がないような気がしますので、これらの記事が議論のきっかけになれば幸いです。 3回の予定は以下のとおりです。 間違いだらけのSQL識別子エスケープ(本稿) SQL識別子エスケープのバグの事例 SQL識別子は結局どうすればよいか ということで、まずはSQL識別子のエスケープの失敗例について説明します。この失敗例はあくまで説明のために作ったもので、実際のものではありません。また、想定が「ありえない」と思われるかもしれませんが、意図的なものですのでご容赦いただければと思います。また、「間違いだらけの」というタイトルは、今回の題材が間違いだらけという意味であり、巷のSQL呼び出しがそうであるという意味ではありません。本稿に登場する人物と団
「プリペアードクエリが基本だけど、動的に SQL を組み立てる場合もあるから、そういう場合に備えてエスケープも知っておいたほうがいいかも」
Kazuho Oku @kazuho ですよね。基本プリペアードクエリで良いということ > 「エスケープ処理を省略できるAPIが用意されている場合が〜これらのAPIの利用を推奨して構わない〜その良い例がプリペアードクエリ」 / “IPAの「安全なSQLの呼び出し方」が…” http://t.co/tWIraJ0p1T 2013-12-09 18:21:26 Kazuho Oku @kazuho 「プリペアードクエリが基本だけど、動的に SQL を組み立てる場合もあるから、そういう場合に備えてエスケープも知っておいたほうがいいかも」なら誰も異論はないんじゃないの 2013-12-09 18:22:38
SQLでエスケープなんてしたら負けかなと思ってる。 - めもおきば
オレオレSQLセキュリティ教育は論理的に破綻している | yohgaki's blog 「プリペアードクエリが基本だけど、動的に SQL を組み立てる場合もあるから、そういう場合に備えてエスケープも知っておいたほうがいいかも」 - Togetterまとめ SQLインジェクション対策で大垣靖男氏は何を勘違いしていたか | [ bROOM.LOG ! ] エスケープとプレースホルダをめぐる議論 - Togetterまとめ SQLインジェクション対策としてのプリペアドステートメントとエスケープについての議論 - Togetterまとめ IPAの「安全なSQLの呼び出し方」が安全になっていた | yohgaki's blog SQLへの安全な値の埋め込み方について、ここ数日で色々議論というか意見の投げ合いがありましたが、自分としての考えをまとめておきます。 1. SQLに値を埋め込む場合は、プリペ
SQLインジェクションとは何か？その正体とクラッキング対策。
世間では、今Gumblar祭りが勃発中であり、SQLインジェクションがニュースに出てくることは少なくなったが、だからと言ってSQLインジェクションの脅威がなくなったわけではない。SQLインジェクションはGumblarを仕掛ける手段としても利用されることがあり、Webアプリケーションを提供する全ての人にとって、対策を講じなければいけない驚異であることに変わりはない。SQLインジェクションという攻撃手法が認識され、大いに悪用されているにも係わらず、その本質に迫って解説している記事は少ないように思う。従来のWeb屋だけでなく、今やアプリケーション開発の主戦場はWebであると言っても過言ではなく、そういう意味ではSQLインジェクションについて理解することは、全てのプログラマにとっての嗜みであると言えるだろう。 というわけで、今日は改めてSQLインジェクションについて語ってみようと思う。 SQLイン
IPAの「安全なSQLの呼び出し方」が安全になっていた
(Last Updated On: 2018年8月4日)IPAは「安全なSQLの呼び出し方」（PDF）を以下のURLから公開しています。 http://www.ipa.go.jp/security/vuln/websecurity.html 「安全なSQLの呼び出し方」は危険である、とするエントリを書こうかと思い、内容を確認するとそうでもありませんでした。 訂正：ツイッターで徳丸氏に確認したところ、徳丸氏もエスケープを含めたSQLインジェクション対策が必要であると考えられていた、ことを確認しました。徳丸氏にはセキュリティ専門家として大変不名誉な記述であった事を訂正し、深くお詫びいたします。内容についての修正は、識別子エスケープについてブログに書くとの事でしたのでブログの内容を確認してから修正します。 別冊の「安全なSQLの呼び出し方」は基本中の基本である「正確なテキストの組み立て」によるセ
パスワードが漏洩しないウェブアプリの作り方 〜 ソルトつきハッシュで満足する前に考えるべきこと
■■序論 徳丸さんのスライド「いまさら聞けないパスワードの取り扱い方」に見られるように、昨今、ウェブアプリケーションの設計要件として、サーバ内に侵入された場合でもユーザーのパスワードをできるだけ保護すべきという論調が見受けられるようになってきました。 上掲のスライドでは、その手法としてソルトつきハッシュ化を勧めています。しかしながらスライドに書かれているとおり、ソルトつきハッシュには、複雑なパスワードの解読は困難になるものの、単純なパスワードを設定してしまっているユーザーのパスワードについては十分な保護を提供できないという問題があります。そして、多くのユーザーは適切なパスワード運用ができない、というのが悲しい現実です。 ソルトつきハッシュを使った手法でこのような問題が残るのは、ウェブアプリケーションサーバに侵入した攻撃者がユーザーの認証情報をダウンロードして、認証情報をオフライン攻撃するこ
データベースのデータを信用してはいけないか?
ネットを見ていたら「問題集 ： PHP技術者認定・初級」というのを見つけました。 【セキュリティ対策】 セキュリティ対策について、正しいものを1つ次の記述の中から選択せよ。 入力のフィルタリングのみ行う。出力のエスケープのみ行う。少なくとも、入力のフィルタリングと出力のエスケープを行う。データベースのデータは信頼してよい。ITトレメ PHP技術者認定・初級 － ＠IT自分戦略研究所より引用 過去問なのか練習用の想定問題なのかわかりませんが、「問題提供： PHP技術者認定機構」とあります。 PHPアプリケーションの問題ですから、Webアプリケーションセキュリティの問題ですね。茫漠とした問題文ですが、実は正答を得るのは難しくありません。選択肢から技術的な中味を抜いてみると下記になります。 ○○のみ行う。○○のみ行う。少なくとも、□□を行う。○○は信頼してよい。このように並べてみると、○○の選択
何が正しいのかを考える際は、正しさの基準が必要 - ockeghem's blog
大垣さんの寄稿記事「第44回 セキュリティ対策が確実に実施されない2つの理由：なぜPHPアプリにセキュリティホールが多いのか?｜gihyo.jp … 技術評論社」のまとめにて、『最後に「何が正しいのか？」常に考えるようにしてください』と書かれています。この部分は、私への反論のようですので、このエントリで返答したいと思います。 大垣さんの主張 先にも述べたように、大垣さんはこのエントリの「まとめ」として以下のように書かれています。 最後に「何が正しいのか？」常に考えるようにしてください。 http://gihyo.jp/dev/serial/01/php-security/0044?page=2 この主張自体には私も大賛成です。大垣さんの記事は以下のように続きます。 例えば，SQL文を作成する場合にリテラル（パラメータ）を文字列としてエスケープすると浮動小数点型のデータが正しく処理されないデ
Togetter - 「巫女テスター（17歳）、システムの致命的な欠陥を発見しサーバーごとシステムをシャットダウンした一部始終」
コミュニケーションが生まれるツイートまとめツール
『問題の本質伝えない岡崎図書館の被害届』
12月1日付け朝日新聞の朝刊、社会面に 逮捕の男性に業者が謝罪 岡崎図書館問題「不便かけた」 と、見出しがあった。 図書館のホームページで閲覧障害が起き、自作プログラムでアクセスした利用者の男性が逮捕されたという。 この問題で、この図書館システムを作成する三菱電機インフォメーションシステム（東京）が30日、会見した。 と記事にある。 読んでみれば、逮捕された男性がサイバー攻撃をしていると誤解され、業務妨害容疑で5月に逮捕され、業者の門脇社長が障害の原因を調べず、同じ障害が起きている別の図書館と情報を共有していなかったと説明しているが、男性が逮捕されたのは、業者に非があったようにもとれる。 また男性の逮捕と社長の説明の間に、どのような関係があるのか、逮捕と説明の関係が良く分からない記事の中身となっている。 ところが、オピニオン面の記者有論で、警察に被害届を出したのは、図書館だったことが解説さ
* 刑事的萎縮効果による技術停滞 岡崎図書館事件 - grandao's blog
技術者(自称)としてこの事件は見過ごせない。 要約すると。。。 市立図書館の図書貸出システムが使いづらいので、貸出システムを巡回して使いやすくするシステムを作って使っていた人が、ある日突然「システムに攻撃を加えた」として逮捕された。 セキュリティに詳しい技術者が調べたところ、三菱電機情報システムが開発した当該システムに「軽微なアクセスでもシステム障害を起こす」「個人情報が誰にも閲覧できる状態のままになっている」という欠陥が発見された。（暫くしてから、同じシステムを導入していた図書館で個人情報漏洩事件が起きた） その後被疑者は「嫌疑不十分」ではなく「起訴猶予」とされた。つまり「被疑事実が明白」であると判断されてしまったとのこと。 それを受けて、類似のシステムを作って公開していた技術者が、逮捕を恐れてサービスを停止した、というもの。 技術者視点で見るかぎり、非は100%三菱電機情報システムにあ
岡崎図書館未来企画フォーラム「図書館戦争」最前線!? - 気持ちよい生活を送ろう
岡崎図書館未来企画フォーラム「図書館戦争」最前線!? ネット時代の情報拠点としての図書館─ “Librahack” 事件から考える─ 12/18(土) 13:30-16:00 Libra（りぶら） 岡崎市図書館交流プラザ 開催要項： http://www.libra-sc.jp/news/2010111109565031.html で、パネリストをやってきました。 60人の会場がほぼ満員になりました。参加者の割合は、冒頭に挙手をしてもらって数えたところ SEやプログラマなどIT関係:13 公共図書館：9 大学図書館：2 その他図書館：4 岡崎市民：のこり半数 という感じでした(両方に手を挙げた人もいたみたいです)。 会場が半地下で、SoftBankの電波が入りにくかったからかTwitterでもたいしてつぶやかれなかったようですね。*1主催のりぶらサポータークラブ（以降はLSCと呼ぶ）が詳細
大手ITからベンチャー「CROOZ」への転身で分かったこと － ＠IT
2010/12/21 （2013/11/7更新 編集部注：小俣泰明氏はクルーズ株式会社を退職済み） 軽い茶髪にモヘアのカーディガン。腰よりも低く首から長く垂れ下がった柄物のストール。取材相手の男性は、デルのラップトップを片手に「ゆらり」と静かに会議室に現れた。 独特のスタイルに面食らう。 モバイル系ベンチャー企業とはいえ「取締役 技術統括担当執行役員」の肩書きから想像できないスタイル。小俣泰明さんの存在感は強烈だった。 驚くことに、小俣さんは、もともとは大手ICT企業のNTTコミュニケーションズに勤務していたこともあるという。MCSE（Microsoft Certified System Engineer）の肩書きまで持つエンタープライズ系のエンジニアだった。一緒に取材に応えてくれた技術統括部の池田朋大さんも、伊藤忠テクノソリューションズ（CTC）に在籍していたサーバ運用技術者だったという
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
まとめよう、あつまろう - Togetter
なぜPHPアプリにセキュリティホールが多いのか? 「第42回 PostgreSQL 9.0に見るSQLインジェクション対策」のまとめ
はてなブログ | 無料ブログを作成しよう
Ywcafe.net