クラウドファンディングサイトcheeers!にはオープンリダイレクタ脆弱性がありましたが、サイト運営者に連絡したところ修正されましたので報告します。 cheeers! のログイン画面は下記の通りですが、アドレスバーに注目ください。from=というクエリ文字列にURLをパーセントエンコードしたものがついています。 以上は正常系の流れですが、それではfrom=に、cheeers! とは無関係のURLを指定したらどうなるでしょうか。たとえば、from=https://twitter.com/HiromitsuTakagi/status/350971098248118272 と指定しておくと、ログイン成功後に下記の画面が表示されていました（現在は表示されません）。 爆笑。大草原不可避。wwwwwwwwww wwwwwwwwww wwwwwwwwww wwwwwwwwww wwwwwwwwww pi

IPAは脆弱性関連情報を受け付けて、（JPCERT/CCに通知してJPCERT/CCが）製品開発者に連絡するという仕事をしている（噂によると専任の人がいるわけではないらしい）。どういう問題が脆弱性として受理されるかはIPAが公開している脆弱性の一覧を見ればわかるけど、どういう問題が受理されないかは公開されないので、私が報告して受理されなかった問題をまとめてみた。脆弱性ではない問題が報告されてIPAの手間を増やすリスクより、脆弱性が報告されないリスクのほうが高いだろうから、迷ったら報告するべきだとは思う。ちなみに、脆弱性ではないということで受理されなくても、望ましくない実装なら開発者に通知してくれる。 IPAの脆弱性の定義は、 脆弱性とは、ソフトウエア製品やウェブアプリケーション等において、コンピュータ不正アクセスやコンピュータウイルス等の攻撃により、その機能や性能を損なう原因となり得るセキ

はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28

メールアドレスの「ルール」に関する話題が盛り上がっていますね。 「メールアドレスのルール」系まとめがそろって間違ってるのでご注意を 「メールアドレスのルール」なんて使ってはいけない3つの理由 これらのエントリに異論があるわけでありません。メールアドレスに関するルールというとRFC5322などがあるものの、現実の運用では簡易的な仕様を用いている場合が大半である…という事情は、私も以前ブログに書きました。、 本稿では、「空前のメールアドレスのルールブーム(?)」に便乗する形で、RFC5322に準拠したメールアドレスで、XSSやSQLインジェクションの攻撃ができることを紹介します。と言っても、SQLインジェクションについては、過去に書きましたので、本稿では、RFC5322バリッドなメールアドレスでSQLインジェクションとXSSの両方ができるメールアドレスを紹介します。 まず、攻撃対象として、以下

共通脆弱性タイプ一覧CWE概説 CWE（Common Weakness Enumeration） ～脆弱性の種類を識別するための共通の脆弱性タイプの一覧～ >> ENGLISH 共通脆弱性タイプ一覧CWE（Common Weakness Enumeration）(*1)は、ソフトウェアにおけるセキュリティ上の弱点（脆弱性）の種類を識別するための共通の基準を目指しています。 1999年頃から米国政府の支援を受けた非営利団体のMITRE(*2)が中心となり仕様策定が行われ、2006年3月に最初の原案が公開されました。その後、40を超えるベンダーや研究機関が協力して仕様改善や内容拡充が行われ、2008年9月9日にCWEバージョン1.0が公開されました。 CWEでは、SQLインジェクション、クロスサイト・スクリプティング、バッファオーバーフローなど、多種多様にわたるソフトウェアの脆弱性を識別するた

先日に書いた CGI版PHPへのApache Magica攻撃の観察 の記事ですが、さくらのVPSに来ているアクセスを追っていると、この攻撃はここ1週間ほど猛烈な勢いで行われているようです。 どうも日本国内でもかなりの数のサーバが攻撃を受けてボット化している気がする(というか、気がするんじゃなくて事実しているはず)ため、ここでちょっとした注意喚起をしてみたいと思います。というかこの攻撃、名前付いてないんでしょうかね。本当に魔法少女アパッチ☆マギカ攻撃でいいんだろうか?(CGI版PHPに対する魔法少女アパッチマギカ攻撃を観測しました | 徳丸浩の日記) 確認が必要な対象者 CGI版PHPをインストールしてインターネットに公開しているWebサーバ管理者です。ここで注意しないといけないのは、CGI版PHPはインストールしているつもりが無くても入ってしまっている場合が多々あるということです。そのた

先日、徳丸先生のブログ「CGI版PHPに対する魔法少女アパッチマギカ攻撃を観測しました」で挙げられていたアタックが、個人で借りてるさくらのVPSに来ていたのでちょっとまとめます。 Apache Magicaとは何か 詳しいことは徳丸先生のブログに書かれているので、そちらを参考いただくとして。 この脆弱性は、CGI版PHPのCVE-2012-1823およびCVE-2012-2311に起因するものです。これはCGI版のPHPにおいて、GET引数のパラメタがそのままPHPの実行時パラメタとして渡ってしまうというものでした。これにより、GET引数でちょちょいとパラメタを投げることで、php://input を有効にして外部からPHPスクリプトを「食わせる」ことができるようになります。 あるいは2012年に大騒ぎになった、「GET引数に?-sを付けるとソースコード丸見え」という件を覚えている方も多い

はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28

PHPカンファレンス2013における徳丸のプレゼン資料です。後から、参考文献などを加筆しました。Read less

昨日の福井新聞の報道（魚拓）によると、中学生がYahoo!の「秘密の質問と答え」を悪用して同級生のYahoo!アカウントにログイン成功し、不正アクセス禁止法などの疑いで書類送検されたようです。 同課によると、同級生との間には当時トラブルがあり、男子生徒は「自分の悪口をメールに書いているのではないか」と考え、盗み見たという。 男子生徒は、パスワードを再設定しようと「秘密の質問」のペットの名前に何度か答え、合致しパスワードを変更した。 ログインできなくなった同級生がパスワードを変更し直したが、男子生徒は再びパスワードを変更したという。同級生が「身に覚えのないログインがある」と警察に相談し、容疑が明らかになった。 不正アクセスで県内中学生を初摘発 容疑で県警、同級生のメール盗み見 より引用（赤字は引用者） 後述するように、Yahoo!の「秘密の質問と答え」を知っていると強大な権限が与えられたこと

CVE(Common Vulnerabilities and Exposures) ～一つ一つの脆弱性を識別するための共通の識別子～ >> ENGLISH 共通脆弱性識別子CVE(Common Vulnerabilities and Exposures)(*1)は、個別製品中の脆弱性を対象として、米国政府の支援を受けた非営利団体のMITRE社(*2)が採番している識別子です。脆弱性検査ツールや脆弱性対策情報提供サービスの多くがCVEを利用しています。 個別製品中の脆弱性に一意の識別番号「CVE識別番号(CVE-ID)」を付与することにより、組織Aの発行する脆弱性対策情報と、組織Xの発行する脆弱性対策情報とが同じ脆弱性に関する対策情報であることを判断したり、対策情報同士の相互参照や関連付けに利用したりできます。 CVEは、1999年1月20日～22日に、アメリカのパーデュ大学で開催された2n

MSDNフォーラムで表記の質問を見かけました。同フォーラムの活動実績がないせいか、回答にリンクを貼ると拒否されましたので、こちらに回答します。 ここからが質問なのですが、プログラムの実装が完了したあと、脆弱性が潜んでいないかをチェックする必要があるのですが、脆弱性を検出するツールなどがありましたら教えてください。できれば、無償で使える物で、環境にあまり依存しないもの(Windows Serverのバージョンや、DBMSの種類に依存しないもの）がよいです。 Webアプリの脆弱性を検出するツールはありますか？ 以下、回答です。 ご要望の条件をすべて満たすツールは、おそらくないと思います。 少し古いエントリになりますが、以下のブログにWebアプリケーションの脆弱性を調べるツールがまとめられています。 サーバ/Webアプリケーション脆弱性チェックツールの個人的まとめ（フリー/有償） 良い物は高価、

2012年8月31日 改訂 本件につきましては、7月29日ごろに問題が公表されてから8月20日前後まで、メーカーや公的機関等からの詳細な情報提供がありませんでした。弊社としては、早期の告知を優先し、まずは明らかになっている情報を報告させていただいたため、初版のリリース時には脆弱性の影響範囲について過大な評価となる記述となっておりました。 一部のお客様、および関係者の方々よりご指摘をいただき、ご迷惑をおかけしたことをお詫び申し上げます。メーカーからのアドバイザリや追加情報をもとに記載内容を見直しましたため、以下の通り改訂させていただきます。 暗号化通信（VPN）や無線LAN（WPA2）の認証として、一般企業で広く使われているMS-CHAPv2（Microsoft CHAP version 2）というプロトコルに、パスワードが完全に解読されてしまうという脆弱性が発見され、公表されました。 その

新たに見つかった「Gauss」は、国家の関与が指摘されるFlameやStuxnetなどのマルウェアと深いかかわりがあるとKasperskyは指摘する。 ロシアのセキュリティ企業Kaspersky Labは8月9日、国家が関与する新手のサイバースパイツール「Gauss」が見つかったと発表した。中東のユーザーを標的として、オンラインバンキングの情報などを盗み出す機能を持っているという。 Kasperskyによると、Gaussは国際電気通信連合（ITU）に協力してサイバー兵器についての調査を進める過程で見つかった。発見の端緒となったのは、先に見つかった高度なマルウェア「Flame」とGaussが酷似していたことだったという。 国家の関与を確信する根拠として、両マルウェアはアーキテクチャプラットフォーム、モジュール構造、コードベース、制御用サーバとの通信手段などが共通しており、同じ「工場」で製造さ

Anker's 3-in-1 MagSafe foldable charging station drops back down to its Prime Day price

はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28