どのようにして5,000ドルのGoogleマップXSSを発見したか | POSTD
数ヵ月前、私はGoogleマップを、もっと正確に言うとGoogleストリートビューを利用しました。Googleストリートビューは子供の頃に思い描いた未来的なテレポートみたいで、とても気に入っています。私は、普段そうするように、その時もアドレスバーを見ました。2014年のいつ頃からか、パラメータは単なるクエリの文字列ではなくなり、その代わりに感嘆符で区切られた英数字の奇妙な寄せ集めになったようです。 難解で、現在のところ公開されたドキュメンテーションもなく、多くの人々に毎日使用され、リバースエンジニアリングが可能なプロトコル。こういうコードを目の前にすると、私は解読したくてウズウズしてきます。 私はブラウザのWebコンソールも見てみました。AJAX APIへのリクエストが同じようにエンコードされていただけではなく、もしレスポンスの一部が画像だった場合、その他のレスポンスは暗号を用いたバイナリ
「Android」フォンの87％で脆弱性が放置--ケンブリッジ大調査
UPDATE 英国のケンブリッジ大学が実施した調査によると、「Android」搭載デバイスの90％近くは、メーカーがパッチの配布を怠っていることが理由で、少なくとも1件の深刻な脆弱性にさらされているという。 Androidスマートフォンを評価する際、個人ユーザー、規制当局、および導入企業が直面する共通の問題がある。GoogleがAndroidのセキュリティバグの修正を行ったあと、どのメーカーがパッチを供給するのか、誰にも分からないのだ。 ケンブリッジ大学のDaniel Thomas氏、Alastair Beresford氏、Andrew Rice氏による調査チームは今回の論文（PDF）で、「難しいのは、Androidのセキュリティ市場が現在、情報の非対称性により不良品ばかりが出回ってしまう状態にあることだ」と指摘している。 「メーカーはデバイスが現在セキュアかどうか、将来セキュリティ更新を
Androidにまた脆弱性、今度は不正アプリで悪用の恐れ
この種の攻撃はユーザーが発生源を突き止めるのが難しく、不正アプリは数カ月もの間、検出されないこともあるという。 Androidに標準搭載されているメディアサーバコンポーネントに新たな脆弱性が見つかり、Googleが「Android Open Source Project」（AOSP）を通じてパッチを公開した。セキュリティ企業のTrend Microが8月17日のブログで明らかにした。 Trend Microによると、脆弱性はAndroidに搭載されている「Mediaserver」の「AudioEffect」というコンポーネントに存在し、Androidのバージョン2.3～5.1.1が影響を受ける。悪用された場合、攻撃者に任意のコードを実行される恐れがある。この問題を突く攻撃の発生は現時点で確認されていないという。
アップルとグーグル、「FREAK」脆弱性のパッチを準備中
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます フランス国立情報学自動制御研究所（INRIA）の研究チームは米国時間3月3日、SSL/TLS暗号化プロトコルにまたしても発見された新たな脆弱性「FREAK」に関する情報を公表した。この脆弱性はAppleのSafari（Mac OS XとiOS用）と、GoogleのAndroid標準ブラウザおよびChrome（AndroidとMac OS X用）が影響を受けるため、両社は脆弱性を修正するパッチを準備中である。 脆弱性の影響を受けるブラウザとウェブサイトは、本来の強固なRSA暗号から、「（米国）輸出仕様」の脆弱なRSA暗号に強制的にダウングレードされてしまう可能性がある。この輸出仕様のRSA暗号は、米国が1990年代に行っていた暗号化技術の
グーグルの「Project Zero」、脆弱性情報の公開に14日間の追加猶予
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます ゼロディ攻撃の撲滅を目指すGoogleのセキュリティチーム「Project Zero」が、脆弱性に関する情報公開の方針を変更した。 Project Zeroはこれまで、発見した脆弱性に関する情報を、開発元に通知してから90日後に一般公開するという方針を堅持してきた。2014年12月から翌1月にかけて、「Windows 8.1」などの脆弱性に関する90日の期限が切れたとして複数の脆弱性情報をパッチ発行前に公開したことから、この方針について疑問の声が挙がっていた。 Googleは、脆弱性の修正状況に関するデータを考慮するとともに、脆弱性の公開期限に関する異例ケースについての議論や外部からのフィードバックを参考に、以下のように方針を改定したと
Google PlayストアのWEBサイトにユーザーからの許可を得ることなくアプリをインストールできてしまう脆弱性があると報告される | juggly.cn
Google Play ストアの WEB サイトに多くの Android 端末でユーザーの許可を得ることなくアプリをインストールできてしまうという新たな脆弱性が調査会社 Rapid7 のエンジニアリングマネージャー Tod Beardsley 氏により報告されました。 今回の問題は、iframe から WBE ページが読み込まれることを防ぐ X-Frame-Options ヘッダの実装に関する欠陥によって、最近報告された WebView におけるユニバーサル・クロスサイト・スクリプティング（UXSS）攻撃に対する脆弱性を持つ WEB ブラウザをインストールしている Android 4.3 （Jelly Bean）以下の端末において、攻撃者がユーザーの許可を得ずに Google Play ストアから任意のアプリをインストールして起動させることが可能になるというものです。 Google Pla
Androidに問題、Google Playと標準ブラウザの脆弱性悪用で
Google Playストアの脆弱性とAndroid標準ブラウザの脆弱性を突く攻撃の組み合わせによって、攻撃者がリモートから不正なアプリをインストールして起動できてしまう恐れがある。 Google Playストアの脆弱性とAndroid標準ブラウザの脆弱性を突く攻撃の組み合わせによって、攻撃者がリモートから不正なアプリをインストールして起動できてしまう問題があることが分かり、脆弱性検証ツールの「Metasploit」にこれを実行するモジュールが追加された。Metasploitを提供するRapid7が2月10日のブログで明らかにした。 Rapid7によると、Google Playストアの脆弱性は、同ストアのWebアプリケーションドメイン（play.google.com）でクリックジャック対策のためのX-Frame-Options（XFO）サポートが徹底されていないことに起因する。 この脆弱性
物議を醸すグーグルの「Windows」脆弱性公表から学ぶべきこと
Paco Hope （Special to TechRepublic） 翻訳校正： 石橋啓一郎 2015-02-04 06:00 ゼロデイ攻撃の撲滅を目指すGoogleのProject Zeroは2014年の米国時間12月30日、Windows 8.1に存在する脆弱性の詳細（および実際に動作する攻撃コード）を公開した。問題はGoogleが、Microsoftがパッチを公開したかどうかに配慮することなく、90日で詳細を公開するというスケジュールを厳密に守ったことだ。その90日の期限は、冬のホリデーシーズンの最中に訪れた。 また2015年1月5日には、セキュリティ研究者のPaul Price氏が、数百万人単位の顧客のデータを漏えいさせる可能性のある、Moonpig.comのAPIに関する問題の詳細を公開した。同氏はMoonpig.comと連絡は取っていたものの、同社は1年間の間その問題を修正せ
Google、古いAndroid向けWebViewパッチ打ち切りについて説明
米GoogleでAndroidセキュリティ担当リードエンジニアを務めるエイドリアン・ラドウィッグ氏は1月24日（現地時間）、旧バージョンのAndroidについて、同社が脆弱性を修正するパッチの提供を打ち切ったという情報について説明した。この情報は12日、Rapid7の研究者であるトッド・ビアズリー氏がブログで伝えたものだ。 ビアズリー氏は、Googleに4.4よりも前のバージョンのWebViewの脆弱性を報告したところ、Googleのインシデント対応担当者からメールで「もし影響を受けるのが4.4（コードネーム：KitKat）よりも前のバージョンであれば、我々は一般的に、自らパッチを開発しない。4.4より前のバージョンに影響する報告で、パッチを伴わないものについては、OEMに通知する以外の対応はできない」という返事を受けたという。 Google自身が公開している統計によると、1月5日の時点で
Google、Project Zeroで発見したOS Xのゼロデイ脆弱性3つを公開。AppleはOS X 10.10.2でこれらを修正するもよう。
Ars Technicaの記事”Google drops three OS X 0days on Apple“によると「Googleが公開したOS Xに関する3つの脆弱性（Issue 130, 135, 136）は2014年の10月に発見された後Appleに伝えられ、Project Zeroの『脆弱性が90日経過しても修正されない場合には公開する』という開示方針の下一昨日公開された」そうで、どの脆弱性も攻撃者が直接Macにアクセスする必要があるため”Critical”ではないようですが、 Don’t look now, but Google’s Project Zero vulnerability research program may have dropped more zero-day vulnerabilities—this time on Apple’s OS X platfor
誰のための情報公開？--未パッチの「Windows」脆弱性を公表するグーグルの是非
Tony Bradley （Special to TechRepublic） 翻訳校正： 川村インターナショナル 2015-01-19 06:00 米国時間1月13日はMicrosoftの月例パッチ公開日だったが、Googleはこの2日前に「Windows」の脆弱性に関する詳細を実証コードも含めて公表した（編集部注：さらに15日にも、Windowsの別の脆弱性に関する情報を公開している）。 Microsoftは、そうした無責任に思われるGoogleの情報の公表について、公然と批判している。しかしGoogleはもともと、その脆弱性の詳細を2014年10月13日にMicrosoftに伝えており、これは公開までに90日の猶予期間を設けるという厳格なポリシーに従っている。Microsoftの90日の猶予期間が切れた時点で、Googleはバグの詳細を公開した。 どちらの企業が正しいのだろうか。「責任
グーグル、Windows脆弱性をまた公開--ここ1週間で2度目
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleが、メモリ上のデータを暗号化するCryptProtectMemory関数の脆弱性が「Windows 7」と「Windows 8.1」にあることを発見し、ゼロデイ攻撃の撲滅を目指すプロジェクト「Project Zero」が設ける90日間の期日が過ぎたとして、情報を公開した。 脆弱性を見つけたのは、特権昇格のバグを米国時間1月11日にも公開しているJames Forshaw氏。特権昇格のバグが公開された際には、Microsoftは苦言を呈している。 Forshaw氏によると、今回の脆弱性は、なりすましチェックの回避につながるもので「CryptProtectMemory関数はプロセス、ログオンセッション、コンピュータの3つのシナリ
脆弱性発見のプロ「キヌガワ マサト」さんは日本人だった
脆弱性を見つけてセキュリティ対策に貢献しているのが、「バグハンター」と呼ばれる存在だ。Googleなどベンダーの報奨金で生計を立てているという「キヌガワ マサト」さんが、プロのバグハンターとしての“愉しみ”を紹介してくれた。 ソフトウェアのバグや脆弱性は、軽微な不具合からセキュリティ上の深刻な問題を引き起こすものまで、様々なものがある。開発者が幾ら注意しても脆弱性をなくすことは非常に難しいが、外部の立場から脆弱性を見つけてセキュリティ対策に貢献する「バグハンター」という存在をご存じだろうか。 GoogleやMicrosoft、サイボウズなど一部のベンダーは、脆弱性を報告したバグハンターに報奨金などを支払う制度を運営。その報奨金で生計を立てるプロの一人が「キヌガワ マサト」さんだ。12月18、19日に行われたセキュリティカンファレンス「CODE BLUE」では、キヌガワさんがプロのバグハンタ
アプリの偽装を可能にするAndroidの脆弱性「Fake ID」
出典：ITpro 2014/08/29 （記事は執筆時の情報に基づいており、現在では異なる場合があります） 世界のセキュリティベンダーのブログから、押さえておきたい話題をピックアップして紹介する。一つはアプリケーションの偽装を可能にするAndroidの脆弱性について。「Fake ID」と名付けられた脆弱性で、米マカフィーなどいくつかのセキュリティベンダーが注意を呼びかけている。ここではマカフィーのブログを紹介しよう。 Fake IDは、不正なアプリケーションが正規アプリケーションのIDを模倣できてしまうというもの。上位権限を獲得してしまうおそれがある。 各アプリケーションが持つ固有のIDは開発者によって定義される。IDは電子証明書として、アプリケーションパッケージ（apkファイルなど）の署名に使われ、ツールやOSによって信頼性を検証される。 しかし、開発者は他のアプリケーションからIDを複
【Android】標準ブラウザに深刻な脆弱性。アカウントを不正に利用される恐れあり - ライブドアニュース
2014年10月2日 10時0分 by ライブドアニュース編集部 ざっくり言うと 研究者が「Androidの標準ブラウザに深刻な脆弱性がある」と発表した 細工が施されたサイトにアクセスした場合、データを奪われる危険性がある アカウントを不正利用される可能性もあると警告されている どうやら大きな穴が発見されたようです。 パキスタンのセキュリティ研究者がの標準に、深刻ながあると発表しました。 Android に標準搭載されたブラウザの脆弱性について - 9月 - 2014 - Sophos Press Releases, Security News and Press Coverage - Sophos Press Office | Sophos News and Press Releases - ソフォス 大ざっぱに説明しますと、細工が施されたサイトに標準ブラウザでアクセスした場合、本来なら
Google Driveを通じて非公開データが流出するおそれ
出典：ITpro 2014/07/25 （記事は執筆時の情報に基づいており、現在では異なる場合があります） 世界のセキュリティ関連ベンダーのブログから、押さえておきたい話題を紹介する。今回は、米グーグルの「Google Drive」に関する話題から。スロバキアのイーセットが企業ユーザーに対し、情報漏洩のリスクがあると警告している。 具体的には、Google Driveを介して共有された一部ファイルが、意図しない相手にも閲覧可能になっていた。グーグルは最近、法人のGoogle Drive導入を促進するためにビジネスニーズに対応した機能を追加したが、Google Driveは以前から多くの企業で使用されている。 グーグルは問題の脆弱性を修正するパッチをすでにリリースし、どのようなファイルが影響を受けるか説明している。該当するファイルは、別のプログラムで作成され、Google Driveのフォー
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Androidのパッチは不完全？ Stagefrightの脆弱性対応で批判
TechCrunch
Android 4.3以前の標準ブラウザーは修正パッチの提供打ち切り、セキュリティ担当者が見解を示す