輸出グレードのRSA暗号をサポートしていたことに起因する脆弱性FREAKに関する情報について関連情報をまとめます。 脆弱性概要 脆弱性の概要情報は次の通り。 愛称 FREAK (Factoring attack on RSA-EXPORT Keysの略) 輸出グレード暗号の強制使用に関する呼称 アイコン 無し CVE OpenSSL：CVE-2015-0204 Apple：CVE-2015-1067 Microsoft：CVE-2015-1637 発見者名 miTLS Inria(フランス国立情報学自動制御研究所)とMicrosoft Researchの合同チーム FREAK Attackの概要 中間者攻撃が行われるまでのFREAK Attackの流れは次の通り。(3月6日更新) MITMの攻撃成立条件 以下の条件が成立する場合、通信内容の盗聴や改ざんの影響を受ける可能性がある。 接続元・
ギズモード・ジャパンより転載：Wordpressでサイトを運用している方、ご注意！ ロシア製のマルウェア、「SoakSoak」が急激に広まっています。日曜日から確認されたものだけでも、すでに約10万以上のサイトに影響が及んでいると見られ、グーグルはすでに1万1000サイトをブロックしました。 人気プラグインが原因。手動アップデートが必要 セキュリティ関連企業「Sucuri」によると、このマルウェアは、スライドショーを簡単に作れることでとても人気のあるプラグイン「Slider Revolution」の脆弱性を狙ったもので、「Slider Revolutionの開発チームは、少なくとも9月にはこの脆弱性を知っていたのにその対策を怠っていた」と指摘。 Sucuriはまた、このマルウェアの根絶はとても難しいとも指摘しています。なぜなら、Slider Revolutionはその人気のため、テーマに初
--------------------------------------------------------------------- ■（緊急）複数のDNSソフトウェアにおける脆弱性（システム資源の過度な消費） について（2014年12月9日公開） - BIND 9では権威DNSサーバーにも限定的に影響、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2014/12/09（Tue） 最終更新 2014/12/25（Thu） （米国The CERT Divisionの注意喚起・Vendor Informationへのリンクを追加） --------------------------------------------------------------------- ▼概要 BIND 9・Unbound・PowerDNS Recursorを含む複
Windowsにデカい脆弱性。修正パッチ今すぐ入れよう2014.11.12 19:00 satomi 恐怖のパッチの日。 本日、春に騒がれたHeartbleed並みにおっかない脆弱性がWindowsの幅広い範囲で見つかり、深刻度｢緊急｣の修正パッチがリリースです。 まだこの脆弱性を悪用した事例の報告はマイクロソフトには上がってないようですが、｢特別に細工されたパケットの不適切な処理により、セキュア チャネル （Schannel）セキュリティパッケージにリモートでコードが実行される脆弱性が存在します｣と公式サイトには書かれています。 つまり攻撃者がパケットに特別な細工を施してサーバーを攻撃すると、アカウント認証抜きでリモートで任意のコードが実行されるっぽいのです。穴の在り処が、Windowの暗号化と認証を管理するレイヤーの｢セキュアチャネル（Schannel）｣のライブラリ内というところも深
The latest news and insights from Google on security and safety on the Internet Anonymous said... Does this apply to SSLv2 as well? October 14, 2014 at 7:39 PM Scott Ruebush said... I can't wait to see POODLE take over the internet! Thank goodness we have heroes to save us from the evils of SSL 3.0 and such and such, etc. October 14, 2014 at 8:52 PM Paul said... Not sure how to enable TLS_FALLBACK
Thankfully it's very easy to tell whether it's real. If anyone can publish the two, non-trivial factors of this number (where neither is 1!) then they'll have my attention: 0xe5c30e1286c41c7137dc06194199dde641120de591c1b7392de35ef6a961d6d29faa3bcdb7603d42768a90322197a7a46fa2cf23f6f10de5554db6e7322ba35e858f576f840347c795c8782c3f4ef9f530d2fd1f6b5c275ce49404958f0decddd0b53386d12c745891d5eeca1f265bdf8
This article was originally published on the Red Hat Customer Portal. The information may no longer be current. Update 2014-09-30 19:30 UTC Questions have arisen around whether Red Hat products are vulnerable to CVE-2014-6277 and CVE-2014-6278. We have determined that RHSA-2014:1306, RHSA-2014:1311, and RHSA-2014:1312 successfully mitigate the vulnerability and no additional actions need to be ta
環境変数に仕込まれたコードを実行してしまうBASHの脆弱性が CGIスクリプトに影響を与えるか試してみたら結果は悲惨な感じに Tweet 2014年9月25日 嶋田大貴 この記事は2014年のものです 朝から Bash specially-crafted environment variables code injection attack なるもので騒ぎになっていたので、さっそく手元の Apacheで試してみました。 /hoge.cgiというURIで実行されるように、一行のメッセージを出力するだけの CGIスクリプトを設置します。いっけん、なんの入力もクライアント側から受け付けていないため危険のありようもなく見えます。 #!/bin/sh echo "Content-type: text/plain" echo echo "Hi! I'm an ordinary CGI script w
攻撃手法を技術的に理解するための連載、第2回目はバッファーオーバーフローを狙う「スタック」への攻撃を解説します。 連載目次 スタックベースの攻撃を知る 第2回では、バッファーオーバーフローの代表的な手法である、スタックベースの攻撃について取り上げます。なお、ここで取り上げる内容は、現在はマイクロソフトのSecurity Science teamの一員である、Matt Millerの「A Brief History of Exploitation Techniques & Mitigations on Windows」をベースとして記載しています。 スタックベースの攻撃、特にスタックオーバーフローは、現在では古典的な攻撃手法です。マイクロソフトが公表している「Security Intelligence Report Volume 16」によれば、現在はスタックベースの攻撃はほとんど見られない
話題となったHeartbleedをきちんと理解できていますか？ 本連載では、ゼロデイ攻撃を議論するための基盤となる「基本的な技術情報」をまとめます。 連載目次 セキュリティ、“ちょっとだけ技術寄り”の基礎固め 「セキュリティ」という言葉が普及したことで、より「分かりやすいセキュリティ」が求められるようになりました。そして、その反動なのか、セキュリティに関する具体的な技術詳細について取り上げられる機会が少なくなったように思います。私自身、広く理解される内容を求められることが多く、少々フラストレーションが溜まっているような気がしています。 そこで、機会が少ないのであれば自分で取り上げてみようと、「誰もが理解できる」ことは忘れて、「Beyond Zero-day Attacks ～ゼロデイ攻撃をめぐる攻防～」と題したセミナーを、INTEROP Tokyo 2014においてトレンドマイクロの新井さ
JVNVU#95720792: Trend Micro Apex OneおよびApex One SaaSにおける複数の脆弱性（2024年12月） [2024/12/20 16:15] JVNVU#98968158: 複数のHitachi Energy製品における複数の脆弱性 [2024/12/20 14:45] JVNVU#90514806: Delta Electronics製DTM Softにおける信頼できないデータのデシリアライゼーションの脆弱性 [2024/12/20 14:45] JVNVU#92857767: Tibbo Systems製AggreGate Network Managerにおけるアップロードするファイルの検証不備の脆弱性 [2024/12/20 14:45] JVNVU#92082022: 複数のSchneider Electric製品における複数の脆弱性 [2
子どもが無料通信アプリ「ＬＩＮＥ」で友達から受け取ったメッセージを、親に代わって監視するサービスが登場した。いじめや性犯罪など、ＬＩＮＥを使ったトラブルに子どもが巻き込まれているのを、早期に発見するのがねらいだ。 ＩＴベンチャー「エースチャイルド」（東京都品川区）が、６月３０日から、交流サイト監視サービス「Ｆｉｌｉｉ（フィリー）」に、ＬＩＮＥを監視する新機能を加えた。「隠す」（持ち物を隠す）や「応援」（援助交際など）といった、いじめや犯罪に関係しそうな延べ約２万語を選定。子どもがＬＩＮＥで受け取るメッセージの中で連続して使われると、「いじめや犯罪の可能性がある」と、親が閲覧する専用ページに警告を表示する。警告は緊急度の高さに応じて３段階あり、親は、誰との会話でいつどんな単語が使われたかを確認できる。メッセージ本文を見ることはできない。同社によると、ＬＩＮＥを監視するサービスは初めてという。
--------------------------------------------------------------------- ■（緊急）BIND 9.10.xの脆弱性（DNSサービスの停止）について（2014年6月12日公開） - キャッシュ／権威DNSサーバーの双方が対象、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2014/06/12（Thu） --------------------------------------------------------------------- ▼概要 BIND 9.10.xにおける実装上の不具合により、namedに対する外部からのサー ビス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されまし た。本脆弱性により、提供者が意図しないサービスの停止が発生する可能性 があります。
必要な情報は http://heartbleed.com/ にまとまっているのですが、英語だし長いしって人のために手短にまとめておきます。 どうすればいいのか OpenSSL 1.0.1〜1.0.1fを使っていなければセーフ あてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも) SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。 サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。 PFS(perfect forward secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。 漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして
The Heartbleed Bug is a serious vulnerability in the popular OpenSSL cryptographic software library. This weakness allows stealing the information protected, under normal conditions, by the SSL/TLS encryption used to secure the Internet. SSL/TLS provides communication security and privacy over the Internet for applications such as web, email, instant messaging (IM) and some virtual private network
By SamsungTomorrow 充電中に炎上するなど、ハードウェアに何回か問題の発生したサムスンのGalaxy S4ですが、今度はGalaxy S4向けのセキュリティ・プラットフォームに脆弱性が発見された、とイスラエルのサイバーセキュリティ研究者が指摘しています。 Samsung Phone Studied for Possible Security Gap http://online.wsj.com/news/articles/SB10001424052702304244904579276191788427198 Security vulnerability reported in Samsung's Galaxy S4 - Neowin http://www.neowin.net/news/security-vulnerability-reported-in-samsungs-g
iOS 7対応の「evasi0n7」は、「Cydia」や中国語版のアプリストア「太極助手」のバンドルを巡って問題が発覚している。 AppleのiOS搭載端末に非公認アプリをインストールするための「脱獄（Jailbreak）」ツール「evasi0n」のiOS 7対応版が公開された。ところが、中国語版に新たに導入されたアプリストア「Taig」（太極助手）が海賊版を扱っていたことや、以前からバンドルされていたアプリストア「Cydia」がiOS 7に完全対応していないことが発覚し、問題になっている。 脱獄ツール最新版の「evasi0n7」はiOS 7.0～7.0.4を搭載したiPhone、iPod touch、iPad、iPad miniに対応する。注意点として、Cydiaの機能の多くはまだiOS 7に対応しておらず、iPhoneが起動する途中で止まってしまう可能性があるなどの問題も列挙され、ev
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
