「Flash Player」に2つのゼロデイ脆弱性が見つかる ロシア企業が発見、エクスプロイト・コードを侵入テスト・ツール・モジュールに統合 米国Adobe Systemsの「Flash Player」に、任意のコードのリモート実行に悪用可能な2つの脆弱性が新たに見つかった。米国US-CERT（U.S.Computer Emergency Readiness Team）や、複数のセキュリティ調査会社がセキュリティ・アドバイザリで報告している。 これらの脆弱性は、ロシアの脆弱性調査会社Intevydisによって発見された。同社はそれらを突くエクスプロイト・コードを同社の「Vulndisco」に統合済みだ。Vulndiscoは、米国Immunityの広く普及した侵入テスト・アプリケーション「CANVAS」のアドオン・モジュール。 「これらの脆弱性をAdobeに通報する予定はない」と、Intev
securityとflashに関するWatsonのブックマーク (18)
-
Watson 2011/12/13
-
-
アドビ、「Flash Player」に深刻な脆弱性を発見--修正は来週中を予定
Adobe Systemsは、ユーザーに深刻な問題を引き起こすおそれのある「クリティカルな脆弱性」を「Flash Player」で発見した。 同社は米国時間3月14日、この脆弱性により、ユーザーのコンピュータまたは携帯端末がクラッシュしたり、さらに深刻な問題として、「影響を受けたシステムが攻撃者によって制御される可能性がある」と述べた。これまでのところ同社は、Flashファイル内、および「Microsoft Excel」を介してこの脆弱性が悪用されているのを発見している。Adobeは、「Adobe Reader 9.x for UNIX」「Adobe Reader for Android」「Adobe Reader 8.x」「Adobe Acrobat 8.x」はこの問題の影響を受けないと述べている。 同脆弱性は、Windows、Macintosh、Linux、Solarisなど、すべての
-
-
【コラム】ITセキュリティのアライ出し (38) Adobe Flash PlayerおよびReaderのゼロディ脆弱性を分析する その2 | エンタープライズ | マイコミジャーナル
先日、勤め先の先輩の結婚式二次会に出席させていただく機会を得た。その先輩は、筆者が新入社員として今の勤め先に入社した際の先生役であり、これまでとてもお世話になっている。同時に「永遠の独身貴族」とも噂されていたが、このほど遂に人生の伴侶を得たということで、同先輩を慕う大勢の参加者が加わった、とても盛大な会になった。そして、そこではとても懐かしい面々と再会できた。私の同期入社の方々である。 私が今の勤め先に入社したのは折しも就職氷河期のまっただ中、2000年のことである。当時、勤め先はお台場に所在しており、通勤の足には新交通ゆりかもめを観光客やカップルの波にもまれながら使っていた。また、ガンダムが降り立つことなどいっさい想像できないような空き地だらけの風景が広がっていた。海が近かったことで、毎日のようにお昼はお弁当を買って浜辺で食べていた。同期入社の面々との再会を通じてそんな日々を過ごしていた
-
アドビがFlash Playerに「クリティカル」なアップデート、32件の脆弱性を修正
Adobeは、今や多くの人が利用しているFlash Playerの32件の脆弱性を修正する、「クリティカル」なアップデートを公開した。 アップデート版であるAdobe Flash Player 10.1.53.64のリリースは、6月第1週にAdobe ReaderとFlash Playerのゼロデイ脆弱性に対する攻撃が出回ったことを受けたものだ。このパッチでは、他にも31件の重大なセキュリティ問題を修正している。 Adobeはこのアドバイザリで、今回の問題の緊急度について説明している。 Adobe Flash Player 10.0.45.2とそれ以前のバージョンに、クリティカルな脆弱性が存在することが確認されている。これらの脆弱性により、該当するアプリケーションがクラッシュしたり、場合によっては攻撃者が対象システムを制御できるようになる可能性がある。 この一連のパッチで修正された脆弱性は
-
Adobe FlashとReaderに脆弱性: べつになんでもないこと
Adobe - Security Advisories: Security Advisory for Flash Player, Adobe Reader and Acrobat Adobe Flash Player 10.0.45.2, 9.0.262, and earlier 10.0.x and 9.0.x versions for Windows, Macintosh, Linux and Solaris Adobe Reader and Acrobat 9.3.2 and earlier 9.x versions for Windows, Macintosh and UNIX Note: The Flash Player 10.1 Release Candidate available at http://labs.adobe.com/technologies/flashplay
-
「Adobe Reader」と「Flash Player」に深刻な脆弱性--アドビが警告
Adobe Systemsは米国時間2月11日、「Adobe Reader」と「Adobe Flash Player」に存在する新しい深刻なセキュリティホールについて明らかにし、Flash Playerの脆弱性を対象とするセキュリティアップデートをリリースした。Adobeによれば、Reader向けのパッチも来週公開される予定だという。 Adobeによるセキュリティ情報の事前通知によれば、以下のソフトウェアを対象とするアップデートが16日にリリースされるという。 Windows版、Mac版、Unix版のReader 9.3 Windows版、Mac版の「Adobe Acrobat 9.3」 Windows版、Mac版のReader 8.2 Windows版、Mac版のAcrobat 8.2 16日のアップデートではFlash Playerの問題も修正される、とAdobeは述べた。 セキュリテ
-
AdobeがFlash Playerの脆弱性を放置、責任者が「過ち」を認める
Flash Playerにクラッシュの脆弱性情報があるとの情報は2008年9月に寄せられたが、修正は次のリリースに先送りされた。 米Adobe Systemsはプロダクトマネジャーのブログで、Flash Playerに脆弱性があるとの報告を受けていながらこれまで放置してきたことを認め、謝罪した。 Flash Playerプロダクトマネジャー、エミー・ファン氏のブログによると、2008年9月にセキュリティ研究者からFlash Playerにクラッシュの脆弱性があるという情報が寄せられた。社内でこれを再現し、脆弱性を確認したが、翌10月に「Flash Player 10」の出荷を控えてチームが手一杯だったため、この脆弱性の修正を次のリリースである「Flash Player 10.1」に先送りしてしまうという「過ちを犯した」としている。 その後、2009年11月にリリースしたFlash Play
-
-
SWFファイルを使うFlashエクスプロイト：新しい瓶に詰めた古いワイン
McAfee Avert Labs Blog 「SWF Flash Exploits: Old Wine in a New Bottle」より July 7，2009 Posted by Rahul Mohandas Flashアプリケーションは，数年前から主要セキュリティ問題の一つとなっている。Flash関連ぜい弱性の情報が大量に公開された上，Flashが広く普及しているため，サイバー犯罪者にとってFlashファイルは魅力的なのだ。細工を施したバナー広告という手口は目新しくない。こうしたFlashベースの「malvertisements」（悪質な広告：「malicious」（悪質な）と「advertisement」（広告）という単語の合成語）は，以前から広告主と著名Webサイトを悩ませてきた。 攻撃用Flashファイルには，素直でだまされやすいユーザーに安全なファイルだと思い込ませるため
-
Flash Playerの脆弱性はWindowsユーザーの9割強に影響 Secunia調べ
Windows PCの92％に、脆弱性のあるFlash Player 10がインストールされていることが分かったという。 Adobe Flash PlayerとReader／Acrobatに未解決の深刻な脆弱性が見つかった問題で、デンマークのセキュリティ企業Secuniaは、Windows PCの9割以上に脆弱性のあるFlash Playerがインストールされていることが分かったとブログで報告した。 脆弱性はFlash Playerのバージョン9および10と、Reader／Acrobatのバージョン9に存在し、不正なPDFファイルやサイト改ざんによるゼロデイ攻撃の発生も伝えられている。 SecuniaはWindows向けに無償提供している脆弱性発見・パッチ適用支援ソフト「Secunia PSI」のユーザー約90万人について、脆弱性のあるFlash PlayerとReader／Acrobat
-
-
AdobeがFlash Playerの深刻な脆弱性に対処
米Adobe Systemsは2月24日、Flash Playerの深刻な脆弱性を解決するアップデートを公開した。 Adobeのアドバイザリーによると、脆弱性が存在するのはAdobe Flash Player 10.0.12.36までのバージョン。バッファオーバーフロー問題や入力値検証の問題、クリックジャッキング問題など複数の脆弱性があり、全プラットフォームが影響を受ける。 攻撃者が脆弱性を悪用すると、ユーザーにFlash Playerで悪質なSWFファイルをロードさせ、システムを制御できるようになる。Adobeは最新バージョンの10.0.22.87と9.0.159.0でこの問題を解決し、ユーザーに更新を呼びかけている。 なお、Adobe製品についてはAdobe ReaderとAcrobatにもゼロデイの脆弱性が見つかったが、こちらの脆弱性を解決するアップデートはまだ公開されていない。 過
-
アドビ、「Flash Player」の「クリックジャッキング」回避策を発表
Adobeは米国時間10月7日、攻撃者が「Flash」のセキュリティ設定を変更できるという重大な問題に対する回避策を発表した。 WhiteHat Securityの最高技術責任者（CTO）であるJeremiah Grossman氏が9月にブログに投稿した内容によると、「クリックジャッキング（clickjacking）」という言葉は、「攻撃者がユーザーをだまし、ほとんど気付かないか、気付くチャンスが一瞬しかないような何かをクリックさせるような攻撃手法」に付けられた名前であるという。また同氏は、「クリックジャッキングへの対策は主としてブラウザベンダーの双肩にかかっている」と述べたものの、自身とRobert Hansen氏は協議のうえで、これ以上の詳細情報の公開を控えるとともに、最近開催された「OWASP NYC AppSec 2008 Conference」で行う予定だった討論もAdobeから
-
ユーザのクリックを乗っ取る「クリックジャック」 | スラド
ZDNet（日本語訳）にて、多くのブラウザやAdobe Flashに存在するクリックジャック（Clickjacking）に対する脆弱性について報じられている（本家/.より）。この脆弱性はIE、Firefox、Safari、Operaなど多くブラウザやAdobe Flashに存在し、影響を受けないブラウザはLynxくらいだそうだ。 クリックジャックされると、ユーザのクリック全てがクリックジャックのクリックとなり、ユーザの意図や動作とは無関係にページ上のリンクやボタンをクリックしたことになってしまう。このため、Flashゲームなどは格好のターゲットとなり得る。攻撃はブラウザの根本的な欠陥を突いたもので、DHTMLを利用しているとのこと。また、JavaScriptは必須ではないため、JavaScriptを無効にしても完全には防げないそうだ。 クリックジャックはOWASP NYC AppSec 2
-
crossdomain.xml と CSRF 脆弱性について - 2nd life (移転しました)
crossdomain.xml を安易に設置すると CSRF 脆弱性を引き起こす可能性があります。というのも、ここ数が月、それなりの数の crossdomain.xml による CSRF 脆弱性を発見し(現在、それらのサイトでは対策がなされています)、まだまだ Web プログラマに脆弱性を引き起こす可能性がある、という考え方が浸透してないんじゃないか、と思ったので。 先月、Life is beautiful: ウェブサービスAPIにおける『成りすまし問題』に関する一考察にも crossdomain.xml について書かれてたのですが、その後もいくつかのサービスで crossdomain.xml を許可ドメインすべてにしているサービスがあったので、注意喚起としてエントリーに書き起こします。 自分も一年半ぐらい前は、crossdomain.xml を許可ドメインすべて ('*') にして設置し
-
Flash完成！ でも最後の仕上げを忘れずに － ＠IT
とうとう星野君が作成していたFlashが完成！ 早速赤坂さんはそれを見せてもらいました。しかし赤坂さんの見方はちょっとベクトルが違っていました……。 Flashをめぐる赤坂さんの探求、番外編最終回！
-
1
公式Twitter
- @HatenaBookmark
リリース、障害情報などのサービスのお知らせ
- @hatebu
最新の人気エントリーの配信
キーボードショートカット一覧
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Copyright © 2005-2025 Hatena. All Rights Reserved.
設定を変更しました