ブログツールの「Movable Type」にXSSの脆弱性
シックスアパートの「Movable Type」にクロスサイトスクリプティングの脆弱性が見つかった。9月に報告された内容とは異なる。 シックスアパートのブログ作成ソフトウェア「Movable Type」にクロスサイトスクリプティング（XSS）の脆弱性が見つかった。情報処理推進機構（IPA）セキュリティセンターとJPCERT コーディネーションセンターが10月17日、JVN（Japan Vulnerability Notes）に情報を公表した。 脆弱性は、Movable Type 4（Open Source版も対象）および同Enterprise 4、同Community Solution 4の各バージョン4.21以前に存在する。シックスアパートによると、脆弱性はアプリケーション管理画面の一部で適切に入力がエスケープされないことに起因するという。また、今回の脆弱性は9月に公開したものとは異なると
告白 [サーバーを Spam メール送信の踏み台にされました]
[PR] 本ブログの商品紹介リンクには広告が含まれています 実にお恥ずかしい。自分で管理しているサーバーをスパム送信の踏み台にされてしまいました。みだりに公開するようなことではないというご意見の方もいらっしゃるかもしれませんが、以て他山の石、同じ轍を踏む人が少しでも減るように、また、踏んでしまった人の問題解決の糸口になるように、でもお子供たちが安易にいたずらで真似できないように気をつけながら差し障りのない範囲で恥をさらします。 今回のインシデントのポイントは、Web サーバーに普通に置いていたオープンソースの PHP スクリプトの脆弱性をついて、サーバーをスパム送信につかわれてしまったという点。「自分は Web サーバーを借りているだけでメールサーバーは管理していないから関係ないや」と思っている人も、同じ手口でやられるかもしれないというところがミソ。 発覚のきっかけは、ある日突然 “Ret
無線ＬＡＮの暗号を解読．．．ＷＥＰは一瞬で解ける - 森井教授のインターネット講座（神戸大学大学院工学研究科教授 森井昌克）
ＣＳＳ２００８は明日から沖縄で開かれるのですが，その中で我々の研究グループの発表が数件あります．その中で『ＷＥＰを一瞬で解読する方法』を発表します．今まで，発表された方法では，理論的に解読されたとはいえ，現実に解読することは，かなり困難でした．昨年4月にダルムシュタット大学（ドイツ）から発表された，Ｔｅｗｓらによる「60秒でＷＥＰを解読する」という論文も，現実には，不正アクセスを行う必要があり，無条件に解読することは不可能でした．我々の方法では，一瞬でＷＥＰの鍵を導出できます．詳しくは，発表の中で．
Microsoft Learn: Build skills that open doors in your career
Microsoft Learn. Spark possibility. Build skills that open doors. See all you can do with documentation, hands-on training, and certifications to help you get the most from Microsoft products. Learn by doing Gain the skills you can apply to everyday situations through hands-on training personalized to your needs, at your own pace or with our global network of learning partners. Take training Find
クリップボードを乗っ取る悪質Flash広告が登場 | スラド セキュリティ
FlashのSystem.setClipboard()メソッドを悪用し、クリップボードの内容を偽セキュリティソフト配布用URLで上書きする悪質なFlash広告が確認されている（IT Proの記事、sofos.com、本家/.）。 このFlash広告は通常のサイト（Newsweek/Digg/MSNBCなどで確認されている）に掲載されており、そのサイトにアクセスすると偽セキュリティソフト配布サイトのURLがクリップボードにコピーされてしまう。この状態でWebブラウザのアドレスバーにペーストしページを表示させると、偽セキュリティソフトの配布サイトにアクセスしてしまう。メールや掲示板などからURLをコピペするのは頻繁に行われる動作であり、またユーザが普段からアクセスしているサイトに仕込まれる形となっているため被害に繋がっているようだ。 なお、本家にてこの手法の無害なデモ版が紹介されている。 注）
OpenIDにフィッシングの危険発覚
DNSキャッシュポイズニングの脆弱性の影響で、「OpenID」の認証システムが危険にさらされているという。 最近問題になっているDNSキャッシュポイズニングの脆弱性に関連して、シングルサインオンに使われる認証システム「OpenID」の弱点が指摘されている。 Sun Microsystemsのロビン・ウィルトン氏は、ブログでこの問題について解説。OpenIDはDNSシステムに依存しているため、根幹となるDNSインフラがキャッシュポイズニング攻撃を受けると、OpenIDの発行や認証を担う「OpenIDプロバイダー」（OP）と、OpenID対応サイトの「Relying Parties」（RP）の間で正規サイトと偽サイトの区別ができなくなるだろうと指摘した。 Googleのセキュリティ担当者ベン・ローリー氏とケンブリッジ大学の研究者リチャード・クレイトン氏も、この問題についてアドバイザリーを公開し
高木浩光＠自宅の日記 - MacユーザはIPv6を切るかnet.inet6.ip6.use_tempaddr=1の設定を
■ MacユーザはIPv6を切るかnet.inet6.ip6.use_tempaddr=1の設定を Mac OS Xの初期設定の危険性 私の周囲に物理的に近づくことのできる人は、私が使っているノート型コンピュータの無線LANインターフェイスのMACアドレス*1を知ることができる。たとえば、セミナー等で私が講演している会場に来れば、講演中に私が無線LANのスイッチを切り忘れていたなら、無線LANのパケットを傍受することで私のMACアドレスを知るだろう*2。それだけでは他の人のアドレスと混じって区別できないだろうが、別の場所で再び同じことをすれば、両方に存在したものが私のMACアドレスだ。 これはもう隠しようがないので、先に自ら暴露してしまおう。「00:1f:5b:d1:ec:bd」は私のMACアドレスだ（図1）。 これを暴露するのはリスクのある行為であり、お薦め出来ない。また、仮に他人のMA
高木浩光＠自宅の日記 - 日本のインターネットが終了する日
■ 日本のインターネットが終了する日 （注記：この日記は、6月8日に書き始めたのをようやく書き上げたものである。そのため、考察は基本的に6月8日の時点でのものであり、その後明らかになったことについては脚注でいくつか補足した。） 終わりの始まり 今年3月31日、NTTドコモのiモードが、契約者固有ID（個体識別番号）を全てのWebサーバに確認なしに自動通知するようになった*1。このことは施行1か月前にNTTドコモから予告されていた。 重要なお知らせ:『iモードID』の提供開始について, NTTドコモ, 2008年2月28日 ドコモは、お客様の利便性・満足の向上と、「iモード(R)」対応サイトの機能拡充を図るため、iモード上で閲覧可能な全てのサイトへの提供を可能としたユーザID『iモードID』（以下、iモードID）機能を提供いたします。 （略） ■お客様ご利用上の注意 ・iモードID通知設定は
株式会社フーバーブレイン
製品・サービスの テクニカルサポートについて ご購入前の製品に関する技術的なご質問や製品評価時のご質問につきましては、弊社代理店または弊社営業担当までお問い合わせください。
ケータイの暗証番号が解読される？ : サイバー護身術 : セキュリティー : ネット＆デジタル : YOMIURI ONLINE（読売新聞）
携帯電話（以下ケータイ）には、他人に勝手に操作されないようにするロック機能が必ずある。ケータイを守るためのセキュリティ機能だが、あまり信用できるものではない。実はロック用の暗証番号を解読される危険性があるのだ。 ケータイ盗難でお金を盗まれる事件発生 財布とケータイを入れていたカバンを盗まれ、犯人によって銀行口座の現金を引き出されるという事件が起きている。犯人が何らかの手段で、被害者のキャッシュカードの暗証番号を知ったためだ。なぜ暗証番号がわかったのか？ その原因は、ケータイの操作ロック機能にあった。 ケータイの操作ロックでは、ロック設定と解除に暗証番号を利用する。なんとこの暗証番号が、パソコンソフトで解読できてしまうのである。犯人はまずケータイの暗証番号をパソコンで解読。それでわかった暗証番号を、銀行のキャッシュカードに入れてみたところ、ドンピシャ当たりだったというわけ。つまり被害者が「ケ
サイト脆弱性をチェックしよう！--第1回：ウェブアプリケーションに潜む危険
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます ウェブアプリケーションに潜む危険は数多くあるが、これまでのセキュリティ対策で指摘されてきたのは脆弱性の種類から見た危険性とその対策だった。 たとえば、クロスサイトスクリプティングの脆弱性とは何か、SQLインジェクションの脆弱性とは何か、そしてそれらへの対策とは……。これらについては、既に的確な解説をウェブ上で見つけることができるので、この連載では改めてその視点での解説はしない。 この連載では逆の視点から、つまり原因となる行動に焦点をあてて、ウェブアプリケーションにおける脆弱性を考えていきたいと思う。 まず、ウェブアプリケーションの脆弱性が発生する原因だが、「既製品の脆弱性」および「カスタマイズアプリケーションの脆弱性」の大きく2つに分類
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Webcam ClickJacking
英Sophos、WEPの利用禁止を呼びかけ
isocchi.com
PC
http://www.yomiuri.co.jp/net/cnet/20070829nt04.htm