「SQLite」データベースに脆弱性--「Chromium」ベースのブラウザにも影響 - ZDNet Japan
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 広く普及している「SQLite」データベースエンジンにセキュリティ上の脆弱性が発見された。この脆弱性により、膨大な数のデスクトップアプリやモバイルアプリがリスクにさらされているという。 TencentのBladeセキュリティチームによって発見されたこの脆弱性が悪用された場合、被害者のコンピュータ上において悪意のあるコードの実行が可能になるとともに、それほど深刻ではないケースでもプログラムメモリのリークやプログラムのクラッシュが引き起こされる可能性がある。 SQLiteは膨大な数のアプリに組み込まれているため、この脆弱性はIoTデバイスからデスクトップソフトウェア、ウェブブラウザ、「Android」アプリ、「iOS」アプリに至るまでの広範
ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2010年7月1日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり PHPのデータベース・アクセス・ライブラリPDOは、DB接続時の文字エンコーディング指定ができないため、文字エンコーディングの選択によっては、プレースホルダを使っていてもSQLインジェクション脆弱性が発生します。 追記(2011/06/19) ここに来て急にブクマが追加されはじめていますが、このエントリを書いてから状況が改善しています。PHP5.3.6(2011/03/17)にて、PDOでもデータベース接続の文字エンコーディングを指定できるようになりました。この版で、UNIX版のPHPでは解決しましたが、Win
[SQLインジェクション対策]Webアプリケーションとかの入門本みたいのを書く人への心からのお願い。 - ＊「ふっかつのじゅもんがちがいます。」withぬこ
SQLインジェクションについて書くときに以下のメッセージを必ず含めて欲しいです。 単にプリペアドステートメントを使え 絶対に文字列結合でSQLを構築しようとしてはいけない IPAの「安全なSQLの呼び出し方」を読むこと なんでこんなことを書くかというと、同僚が献本されてた「プロになるためのWeb技術入門」なる本のSQLインジェクションの項で、SQLインジェクションの対策として以下のように書いてあったからです*1。 a) 値をバリデーションする b) プリペアドステートメントを使う ダメです。間違っています。単に間違っているだけでなく救いがたく間違っています。正しいSQLインジェクション対策はこう書くべきです。 単にプリペアドステートメントを使え 文字列結合でSQLを構築するな イケてない本を書く人はなんで値のバリデーションをプリペアドステートメントよりも先に書くんですか？値のバリデーション
![[SQLインジェクション対策]Webアプリケーションとかの入門本みたいのを書く人への心からのお願い。 - ＊「ふっかつのじゅもんがちがいます。」withぬこ](https://cdn-ak-scissors.b.st-hatena.com/image/square/abd76f3bb0ec0750428a791cbfbf7959c317f97d/height=288;version=1;width=512/https%3A%2F%2Fogimage.blog.st-hatena.com%2F17680117127052840568%2F17680117127052842215%2F1555633900)
</title> <meta name="Author" content=""> <meta name="Creator" content="PowerPoint 用 Acrobat PDFMaker 8.1"> <meta name="Producer" content="Acrobat Distiller 8.1.0 (Windows)"> <meta name="CreationDate" content=""> </head> <body> <pre> PostgreSQLセミナ�
PostgreSQLセミナー 2009春 〜セキュリティ事故のケーススタディ〜 独立行政法人 情報処理推進機構（ＩＰＡ） セキュリティセンター 相馬 基邦 Copyright © 2008 独立行政法人 情報処理推進機構 対象・ポイント • 対象 – 企業等のウェブサイト公開における安全性向上 について理解を深めたい方 • ポイント – 主に企業ウェブに関連したセキュリティ事故の ケーススタディによる脅威と対策の技術的解説 Copyright © 2008 独立行政法人 情報処理推進機構 2 本講の内容 1. 2. 3. 4. SQL インジェクションとは？ 事例:ショッピングサイトでウイルス感染？ SQL インジェクションの対策 安全なウェブ開発のための資料 Copyright © 2008 独立行政法人 情報処理推進機構 3 1. SQL インジェクションとは？
「Web改ざん攻撃は、IISの脆弱性が原因ではない」――マイクロソフト
米マイクロソフトは2008年4月25日、同社の公式ブログにおいて、最近頻発しているWebサイトへの攻撃に言及。同社のWebサーバー製品「Internet Information Services（IIS）」やデータベースサーバー製品「SQL Server」の脆弱（ぜいじゃく）性が不正侵入の原因としている一部報道を否定した。 2008年3月以降、「SQLインジェクション」によるWebサイトへの不正侵入が相次いでいる。不正侵入により、Webページを改ざんされたり、顧客情報などを盗まれたりしている。 一部報道では、侵入されたWebサイトのほとんどはIISやSQL Server、ASP（Active Server Pages）を利用していたので、一連の不正侵入は、これらの製品や技術の脆弱性を悪用している可能性があるとほのめかしている。記事の中には、2008年4月に同社が公表した、修正パッチ（セキュ
PostgreSQLがSQLインジェクションの脆弱性を修正 | OSDN Magazine
PostgreSQLプロジェクトは、PostgreSQL 8.1、8.0、7.4、7.3の最新バージョンを本日リリースした。この最新バージョンでは、SQLインジェクション（SQL injection）の脆弱性が修正されている。 この脆弱性は、今年3月に石田朗雄、大垣靖男、石井達夫の3名によって発見された。石田と大垣は日本PostgreSQLユーザグループの会員であり、石井はSRA-OSS日本支社に勤務している。この3名は、情報処理推進機構（IPA）セキュリティセンタのためにPostgreSQLほかのオープンソースソフトウェアを調査していた。 彼らは、PostgreSQLはSQLインジェクションに対して脆弱であり、PostgreSQLを実行している何らかのアプリケーションを通じてSQLインジェクション攻撃を受ける可能性があることを発見した。PostgreSQLのコア開発者であるJosh Be
［PostgreSQLウォッチ］第27回 SQLインジェクション脆弱性を修正，日本語ユーザーに大きな影響
［PostgreSQLウォッチ］第27回 SQLインジェクション脆弱性を修正，日本語ユーザーに大きな影響 SQLインジェクションに関する脆弱性の修正などを行ったPostgreSQL 8.1.4,8.0.8，7.4.13，7.3.15の各バージョンが，5月23日一斉にリリースされた（関連記事）。いずれも同じメジャーバージョン系列であれば，dump/restoreによるデータ移行なしでアップグレードできる(ただし，8.1，8.1.1から8.1.4への移行については注意が必要。詳細は付属のリリースノートを参照されたい)。 修正が提供されないPostgreSQL 7.2以前のバージョン 今回対策された脆弱性はPostgreSQL 7.2以前にも存在するが，開発者のポリシーにより，7.2以前はサポートの対象になっていない。いまだに7.2 以前のバージョンを使っているユーザーは，7.3以降にアップグレ
「PostgreSQL」にセキュリティ・ホール，SQLインジェクション攻撃を許す
PostgreSQL Global Development Groupは5月22日，オープンソースのデータベース管理システム（DBMS）「PostgreSQL 7.x／8.x」にセキュリティ・ホールが見つかったことを明らかにされた。不正なSQL文を送り込まれる「SQLインジェクション」攻撃を許して，データベース内の情報を操作される恐れなどがある。対策は，同日リリースされたバージョン 8.1.4／8.0.8／7.4.13／7.3.15にアップグレードすること。 今回見つかったセキュリティ・ホールは2種類。いずれもSQLインジェクション攻撃を許す恐れがあるもの。1つは，入力情報のチェックに関するセキュリティ・ホール。不適切にエンコードされた多バイト文字を含むパラメータを適切に処理できない場合があるという。このため攻撃者は，入力情報のチェック機構を回避して，不正なSQL文を送り込める可能性がある
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
無料で使えるSQLインジェクション対策スキャナ トップ１５*ホームページを作る人のネタ帳