Disclosure of three 0-day iOS vulnerabilities and critique of Apple Security Bounty program
Disclosure of three 0-day iOS vulnerabilities and critique of Apple Security Bounty program I want to share my frustrating experience participating in Apple Security Bounty program. I've reported four 0-day vulnerabilities this year between March 10 and May 4, as of now three of them are still present in the latest iOS version (15.0) and one was fixed in 14.7, but Apple decided to cover it up and
Meltdown and Spectre
Meltdown and Spectre Vulnerabilities in modern computers leak passwords and sensitive data. Meltdown and Spectre exploit critical vulnerabilities in modern processors. These hardware vulnerabilities allow programs to steal data which is currently processed on the computer. While programs are typically not permitted to read data from other programs, a malicious program can exploit Meltdown and Spec
OWASP Zed Attack Proxy (ZAP)ã¨ã¯ï¼Ÿ
Software WebSecurity OWASP Zed Attack Proxy (ZAP)ã¨ã¯ï¼Ÿâ€»å½“サイトã«ã¯ãƒ—ãƒãƒ¢ãƒ¼ã‚·ãƒ§ãƒ³ãŒå«ã¾ã‚Œã¦ã„ã¾ã™ã€‚ 概è¦OWASP Zed Attack Proxy (ZAP)ã®å…¬å¼ã‚µã‚¤ãƒˆã«ã‚ˆã‚‹ã¨ä»¥ä¸‹ã®ã‚ˆã†ã«èª¬æ˜Žã•ã‚Œã¦ã„ã¾ã™(翻訳ã—ã¦ã¿ã¾ã—ãŸ)。 The Zed Attack Proxy (ZAP)ã¯ã€Webアプリケーションã®è„†å¼±æ€§ã‚’見付ã‘ã‚‹ãŸã‚ã®ç°¡å˜ã«ä½¿ãˆã‚‹çµ±åˆãƒšãƒãƒˆãƒ¬ãƒ¼ã‚·ãƒ§ãƒ³ãƒ†ã‚¹ãƒˆãƒ„ールã§ã™ã€‚幅広ã„ã‚»ã‚ュリティã®çµŒé¨“ã‚’æŒã£ãŸäººã€…ã«ä½¿ã£ã¦è²°ãˆã‚‹ã‚ˆã†ã«ãƒ‡ã‚¶ã‚¤ãƒ³ã•ã‚Œã¦ãŠã‚Šã€ã¾ãŸãƒšãƒãƒˆãƒ¬ãƒ¼ã‚·ãƒ§ãƒ³ãƒ†ã‚¹ãƒˆã‚’ã—ãŸã“ã¨ãŒãªã„開発者や機能テスターã«ã¨ã£ã¦ã‚‚ç†æƒ³çš„ãªã‚‚ã®ã«ãªã£ã¦ã„ã¾ã™ã€‚ ZAPã¯æ‰‹å‹•ã§è„†å¼±æ€§ã‚’見付ã‘ã‚‹ã“ã¨ãŒã§ãるツール群ã¯ã‚‚ã¡ã‚ã‚“ã®ã“ã¨ã€è‡ªå‹•ã‚¹ã‚ャナーもæä¾›ã—ã¾ã™ã€‚ OWASP Zed Attack Proxy Project 基本的ãªæƒ…å ±OWASP ã®
プレス発表　安全ãªã‚¦ã‚§ãƒ–サイト構築ã®ãŸã‚ã®è„†å¼±æ€§ä½“験å¦ç¿’ツール“AppGoatâ€ï¼ˆã‚¢ãƒƒãƒ—ゴート）最新版公開：IPA 独立行政法人 æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹
IPAï¼ˆç‹¬ç«‹è¡Œæ”¿æ³•äººæƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹ã€ç†äº‹é•·ï¼šå¯Œç”° é”夫）セã‚ュリティセンターã¯ã€2011å¹´1月ã‹ã‚‰å…¬é–‹ã—ã¦ã„る脆弱性体験å¦ç¿’ツール“AppGoatâ€ï¼ˆã‚¢ãƒƒãƒ—ゴート）をV2.0ã‹ã‚‰V3.0ã«ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ã—ã€æœ€æ–°ç‰ˆã¨ã—ã¦æœ¬æ—¥å…¬é–‹ã—ã¾ã™ã€‚ 最新版ã§ã¯ã€çµ„ç¹”ã§ã®é›†åˆå¦ç¿’を想定ã—ãŸç®¡ç†è€…（教育担当者）å‘ã‘機能ãªã©ã‚’æ–°ãŸã«è¿½åŠ ã—ã¦ã„ã¾ã™ã€‚ URL：https://www.ipa.go.jp/security/vuln/appgoat/ IPAã§ã¯ã‹ãã¦ã‚ˆã‚Šã€ã‚¦ã‚§ãƒ–サイトã«ä½œã‚Šã“ã¾ã‚Œã¦ã—ã¾ã†è„†å¼±æ€§ã®å¤šãã¯ã€é–‹ç™ºè€…ã®è„†å¼±æ€§ã¸ã®çŸ¥è˜ã®ä¸å分ã•ãŒåŽŸå› ã§ã‚ã‚‹ã¨è€ƒãˆã¦ã„ã¾ã™ã€‚ウェブサイトã¯ä»Šã‚„事æ¥é‚è¡Œã«ãŠã‘ã‚‹ä¸å¯æ¬ ãªå˜åœ¨ã§ã€è„†å¼±æ€§ã‚’ç‹™ã£ãŸæ”»æ’ƒã«ã‚ˆã‚‹å½±éŸ¿ã¯ã€çµ„ç¹”ã¸ã®å£²ä¸Šè²¢çŒ®ã‚„コスト削減ã¨ã„ã£ãŸå½¹å‰²ã‚’æãªã„ã‹ãã¾ã›ã‚“。ã¾ãŸã€è„†å¼±æ€§ã‚’悪用ã•ã‚ŒãŸçµæžœã€å€‹äººæƒ…å ±ã®æ¼ãˆã„や閲覧者ã¸ã®ã‚¦ã‚¤ãƒ«ã‚¹æ„ŸæŸ“ãªã©äºŒæ¬¡è¢«å®³ã«ã¤ãªãŒã‚‹å¯
OpenSCAPã®æ¤œè¨¼/導入編 - s_tajima:TechBlog
SCAPã¨ã¯ SCAP(Security Content Automation Protocol)ã¨ã¯NISTã«ã‚ˆã£ã¦ç®¡ç†ã•ã‚Œã¦ã„ã‚‹è¦æ ¼ã€‚ エンタープライズシステムã®ã‚»ã‚ュリティメンテナンスã®æ¨™æº–化ã®ãŸã‚ã«ã¤ãられãŸã‚‚ã®ã€‚ パッãƒã®å˜åœ¨ç¢ºèªã®è‡ªå‹•åŒ– システムã®ã‚»ã‚ュリティè¨å®šã®ç¢ºèª ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ã®ç—•è·¡ã®èª¿æŸ» ...ç‰ OpenSCAPã¨ã¯ SCAPã®æ§‹æˆè¦ç´ ã¯è„†å¼±æ€§ã‚„è¨å®šç‰ã®ã‚»ã‚ュリティデータをä¼ãˆã‚‹ãŸã‚ã®ã€è¤‡æ•°ã®è¤‡é›‘ãªãƒ‡ãƒ¼ã‚¿å¤‰æ›ãƒ•ã‚©ãƒ¼ãƒžãƒƒãƒˆã‚’å«ã‚€ã€‚ æ´å²çš„ãªç†ç”±ã‹ã‚‰ã€ã“れらã®æƒ…å ±ã«é©åˆ‡ãªãƒ•ã‚©ãƒ¼ãƒžãƒƒãƒˆã§å•ã„åˆã‚ã›ã‚’ã™ã‚‹ãƒ„ールã¯ã»ã¨ã‚“ã©ãªã‹ã£ãŸã€‚ ãã®ã‚ˆã†ãªãƒ„ールã®æ¬ è½ã¯ã€SCAPを使ã£ã¦ã‚‚らã†ã“ã¨ã®éšœå£ã«ãªã£ã¦ã„ãŸã€‚ OpenSCAPプãƒã‚¸ã‚§ã‚¯ãƒˆã¯ã€SCAPã¸ã®ã‚¢ã‚¯ã‚»ã‚·ãƒ“リティをå‘上ã•ã›ã‚‹ã“ã¨ã‚’目的ã¨ã—ã¦ã„る。 OpenSCAPã¯ã€ä»¥ä¸‹ã®ã‚³ãƒ³ãƒãƒ¼ãƒãƒ³ãƒˆã§æ§‹æˆã•ã‚Œã‚‹ã€‚ Library - S
Apache Struts2ã«å«ã¾ã‚Œã‚‹æ·±åˆ»ãªè„†å¼±æ€§ã€ŒS2-037ã€ã«ã¤ã„ã¦ï¼ˆ2016å¹´6月20日）| æ ªå¼ä¼šç¤¾ãƒ©ãƒƒã‚¯
Apache Struts2ã«å«ã¾ã‚Œã‚‹æ·±åˆ»ãªè„†å¼±æ€§ã€ŒS2-037ã€ã«ã¤ã„㦠2016å¹´6月20日　|　プレス æ ªå¼ä¼šç¤¾ãƒ©ãƒƒã‚¯ï¼ˆæœ¬ç¤¾ï¼šæ±äº¬éƒ½åƒä»£ç”°åŒºã€ä»£è¡¨å–ç· å½¹ç¤¾é•·ï¼šé«™æ¢¨ è¼å½¦ã€ä»¥ä¸‹ãƒ©ãƒƒã‚¯ï¼‰ã¯ã€å›½å†…ã§å¤šæ•°ç¨¼å‹•ã—ã¦ã„ã‚‹Webアプリケーション フレームワーク 「Apache Struts 2ã€ã®è„†å¼±æ€§ã€ŒS2-037ã€ã«é–¢ã—ã¦ã€ä»Šå¾Œæ·±åˆ»ãªã‚µã‚¤ãƒãƒ¼æ”»æ’ƒã«æ‚ªç”¨ã•ã‚Œã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã€å¯¾ç–ã‚’å¼·ã推奨ã™ã‚‹æƒ…å ±ã‚’å…¬é–‹ã—ã¾ã—ãŸã€‚ Apache Strutsã¯ã€Apacheソフトウェア財団ã®Apache Strutsプãƒã‚¸ã‚§ã‚¯ãƒˆã§é–‹ç™ºã¨ã‚µãƒãƒ¼ãƒˆãŒãŠã“ãªã‚ã‚Œã¦ã„るオープンソースã®Java Webアプリケーションフレームワークã§ã€ãã®ãªã‹ã§Apache Struts 2ã¯ã€æ—¥æœ¬å›½å†…ã«ãŠã„ã¦ã‚‚多数ã®Webサイトã§æŽ¡ç”¨ã•ã‚Œã¦ã„ã‚‹ã¨è€ƒãˆã‚‰ã‚Œã¾ã™ã€‚ Apache Struts 2ã«ã¯ã€REST プラグインã¨å‘¼ã°ã‚Œã‚‹æ©Ÿèƒ½ãŒã‚ã‚Šã€
日産「リーフã€ã®ã‚¢ãƒ—リã«è„†å¼±æ€§ã€ä»–人ã®è»Šã‚’é éš”æ“作å¯èƒ½ã« （ITmedia エンタープライズ） - Yahoo!ニュース
日産自動車ã®é›»æ°—自動車「リーフã€ã®å°‚用アプリã«ã€ä»–人ã®ãƒªãƒ¼ãƒ•ã®ã‚¨ã‚¢ã‚³ãƒ³ãªã©ã‚’é éš”æ“作ã§ãã¦ã—ã¾ã†è„†å¼±æ€§ãŒã‚ã‚‹ã“ã¨ãŒåˆ†ã‹ã‚Šã€ã‚»ã‚ãƒ¥ãƒªãƒ†ã‚£ç ”ç©¶è€…ãŒ2月24æ—¥ã€ãƒ–ãƒã‚°ã§è©³ç´°ã‚’公表ã—ãŸã€‚地çƒã®è£å´ã‹ã‚‰ä»–人ã®è»Šã‚’æ“作ã™ã‚‹å®Ÿè¨¼ãƒ“デオも公開ã—ã¦ã„る。 ã€ç”»åƒï¼šãƒªãƒ¼ãƒ•ã®ã‚¢ãƒ—リ「NissanConnect EVã€ã€‚エアコンã®è¨å®šã‚„充電状æ³ã€é‹è»¢å±¥æ´ãªã©ã‚’見るã“ã¨ãŒã§ãる】 　セã‚ãƒ¥ãƒªãƒ†ã‚£ç ”ç©¶è€…ãƒˆãƒã‚¤ãƒ»ãƒãƒ³ãƒˆæ°ã®ãƒ–ãƒã‚°ã«ã‚ˆã‚‹ã¨ã€å•é¡ŒãŒç™ºè¦šã—ãŸãã£ã‹ã‘ã¯ã€åŒæ°ãŒãƒŽãƒ«ã‚¦ã‚§ãƒ¼ã§è¡Œã£ãŸãƒ¯ãƒ¼ã‚¯ã‚·ãƒ§ãƒƒãƒ—ã§ã€ãŸã¾ãŸã¾ãƒªãƒ¼ãƒ•ã‚’ä¿æœ‰ã—ã¦ã„ã‚‹å‚åŠ è€…ãŒã€iPhoneアプリã®ãƒªã‚¹ã‚¯ã‚’指摘ã—ãŸã“ã¨ã ã£ãŸã€‚ 詳ã—ã調ã¹ãŸã¨ã“ã‚ã€ãƒªãƒ¼ãƒ•ã®ã‚¢ãƒ—リã®APIã«ã¯èªè¨¼ã®ä»•çµ„ã¿ãŒå®Ÿè£…ã•ã‚Œã¦ãŠã‚‰ãšã€å€‹ã€…ã®è»Šã«å‰²ã‚Šå½“ã¦ã‚‰ã‚Œã¦ã„る車両è˜åˆ¥ç•ªå·ï¼ˆVIN）ã®ä¸‹5ケタã•ãˆåˆ†ã‹ã‚Œã°ã€ä»–人ã®ãƒªãƒ¼ãƒ•ã‚’制御ã§ãã¦ã—ã¾ã†ã“ã¨ãŒåˆ¤æ˜Žã€‚VINを列挙ã™ã‚‹æ–¹æ³•ã§ã€åå¿œãŒã‚ã£ãŸ
commons-collectionsã®InvokerTransformer脆弱性ã«ã¤ã„㦠- R42日記
2015-11-12 追記ã‚り。「Springã¨Groovyã«ã‚‚直列化オブジェクト脆弱性ã€ã‚‚å‚ç…§ã—ã¦ãã ã•ã„。 昨日ã‹ã‚‰Java界隈ã§è©±é¡Œã«ãªã£ã¦ã„ã‚‹commons-collectionsã®è„†å¼±æ€§ã«ã¤ã„ã¦ã€‚ å…ƒãƒã‚¿ã¯ã“ã¡ã‚‰ã€‚ 対応ã™ã‚‹ãƒã‚±ãƒƒãƒˆã¯ã“ã¡ã‚‰ã€‚ InvokerTransformerãªã‚“ã¦ã‚¯ãƒ©ã‚¹ã¯åˆã‚ã¦çŸ¥ã‚Šã¾ã—ãŸãŒã€ãりゃã“ã†ã„ã†ã“ã¨ã«ãªã‚Šã¾ã™ã‚ˆãã‡â€¦ã¨ã„ã†ã®ãŒæ„Ÿæƒ³ã§ã™ã€‚ 影響をå—ã‘るシステムInvokerTransformerã¯commons-collectionsã¨commons-collections4ã®ä¸¡æ–¹ã«å˜åœ¨ã—ã¦ã„ã¾ã™ã€‚ ã„ãšã‚Œã‹ã®ãƒ©ã‚¤ãƒ–ラリ(commons-collections.jarã¾ãŸã¯commons-collections4.jar)ãŒã‚¯ãƒ©ã‚¹ãƒ‘スã«å˜åœ¨ã—ã¦ã„ã‚‹ã¨ã〠以下ã®ã„ãšã‚Œã‹ã®æ¡ä»¶ã‚’満ãŸã—ã¦ã„ã‚‹ã¨æ”»æ’ƒãŒæˆç«‹ã™ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ 直列化ã—ãŸã‚ªãƒ–ジェクトを
Weak Diffie-Hellman and the Logjam Attack
Diffie-Hellman key exchange is a popular cryptographic algorithm that allows Internet protocols to agree on a shared key and negotiate a secure connection. It is fundamental to many protocols including HTTPS, SSH, IPsec, SMTPS, and protocols that rely on TLS. We have uncovered several weaknesses in how Diffie-Hellman key exchange has been deployed: Logjam attack against the TLS protocol. The Logja
（緊急）BIND 9.xã®è„†å¼±æ€§ï¼ˆDNSサービスã®åœæ¢ï¼‰ã«ã¤ã„ã¦ï¼ˆ2015å¹´7月31日更新）
--------------------------------------------------------------------- ■（緊急）BIND 9.xã®è„†å¼±æ€§ï¼ˆDNSサービスã®åœæ¢ï¼‰ã«ã¤ã„ã¦ï¼ˆ2015å¹´7月31日更新） - フルリゾルãƒãƒ¼ï¼ˆã‚ャッシュDNSサーãƒãƒ¼ï¼‰ï¼æ¨©å¨DNSサーãƒãƒ¼ã®åŒæ–¹ãŒå¯¾è±¡ã€ ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ã‚’å¼·ã推奨 - æ ªå¼ä¼šç¤¾æ—¥æœ¬ãƒ¬ã‚¸ã‚¹ãƒˆãƒªã‚µãƒ¼ãƒ“ス（JPRS） åˆç‰ˆä½œæˆ 2015/07/29（Wed） 最終更新 2015/07/31（Fri） （PoCãŒå…¬é–‹ã•ã‚Œã€æ—¥æœ¬å›½å†…ã«ãŠã„ã¦è¢«å®³äº‹ä¾‹ãŒå ±å‘Šã•ã‚ŒãŸæ—¨ã‚’è¿½åŠ ï¼‰ --------------------------------------------------------------------- â–¼æ¦‚è¦ BIND 9.xã«ãŠã‘る実装上ã®ä¸å…·åˆã«ã‚ˆã‚Šã€namedã«å¯¾ã™ã‚‹å¤–部ã‹ã‚‰ã®ã‚µãƒ¼ãƒ“ スä¸èƒ½ï¼ˆDoS）攻撃ãŒå¯
JVNVU#93531657: ISC BIND 9 ã«ã‚µãƒ¼ãƒ“スé‹ç”¨å¦¨å®³ (DoS) ã®è„†å¼±æ€§
BIND 9.7.1 ã‹ã‚‰ 9.7.7 ã¾ã§ BIND 9.8.0 ã‹ã‚‰ 9.8.8 ã¾ã§ BIND 9.9.0 ã‹ã‚‰ 9.9.7 ã¾ã§ BIND 9.10.0 ã‹ã‚‰ 9.10.2-P1 ã¾ã§ ISC BIND 9 ã«ã¯ã€DNSSEC 検証を有効ã«ã—ãŸå†å¸°çš„åå‰è§£æ±ºå‡¦ç†ãŒã€ç‰¹å®šã®æ¡ä»¶ä¸‹ã«ãŠã„ã¦ç•°å¸¸çµ‚了ã™ã‚‹è„†å¼±æ€§ãŒå˜åœ¨ã—ã¾ã™ã€‚ ISC ã®ã‚¢ãƒ‰ãƒã‚¤ã‚¶ãƒªã«ã¯æ¬¡ã®ã‚ˆã†ã«è¨˜è¼‰ã•ã‚Œã¦ã„ã¾ã™ã€‚ A very uncommon combination of zone data has been found that triggers a bug in BIND, with the result that named will exit with a "REQUIRE" failure in name.c when validating the data returned in answer to a re
è¯éº—ãªã‚‹å› 数分解:FREAK攻撃ã®ä»•çµ„ã¿ - ã¼ã¡ã¼ã¡æ—¥è¨˜
1. ã¯ã˜ã‚ã« ã¡ã‚‡ã†ã©ä»Šæœ OpenSSLã‚’ã¯ã˜ã‚ã¨ã—ãŸæ§˜ã€…ãªTLS実装ã®è„†å¼±æ€§ã®è©³ç´°ãŒå…¬è¡¨ã•ã‚Œã¾ã—ãŸã€‚ ã“ã® Inriaã¨MSRã®ã‚°ãƒ«ãƒ¼ãƒ—ã¯ä»¥å‰ã‹ã‚‰TLSã®ã‚»ã‚ュリティã«é–¢ã—ã¦éžå¸¸ã«ã‚¢ã‚¯ãƒ†ã‚£ãƒ–ã«èª¿æŸ»ãƒ»æ¤œè¨¼ã‚’ã—ã¦ã„るグループã§ã€ä»Šå›žã‚‚é©šãã®å†…容ã§ã—ãŸã€‚ ã“ã®ã‚°ãƒ«ãƒ¼ãƒ—ã¯ã€TLSã®ãƒãƒ³ãƒ‰ã‚·ã‚§ã‚¤ã‚¯æ™‚ã®çŠ¶æ…‹é·ç§»ã‚’厳密ã«ãƒã‚§ãƒƒã‚¯ã™ã‚‹ãƒ„ールを開発ã—ã€æ§˜ã€…ãªTLS実装ã®è„†å¼±æ€§ã‚’ç™ºè¦‹ãƒ»å ±å‘Šã‚’è¡Œã£ã¦ã„ãŸã‚ˆã†ã§ã™ã€‚ 特ã«FREAKã¨å‘¼ã°ã‚Œã‚‹OpenSSLã®è„†å¼±æ€§(CVE-2015-0204)ã«é–¢ã—ã¦ã¯ã€ã¡ã‚‡ã†ã©ä¿®æ£ç›´å¾Œã®1月åˆã‚ã« Only allow ephemeral RSA keys in export ciphersuites ã§è¦‹ã¦ã„ã¾ã—ãŸãŒã€å…·ä½“çš„ã«ã©ã®ã‚ˆã†ã«æ”»æ’ƒã™ã‚‹ã®ã‹ã•ã£ã±ã‚Šã‚¤ãƒ¡ãƒ¼ã‚¸ã§ããšã€ã‚ã®ã‚°ãƒ«ãƒ¼ãƒ—ã ã‹ã‚‰ã¾ãŸè¶…絶変態ãªæ‰‹æ³•ã ã‚ã†ãŒã€ã¾ããã‚Œã»ã©æ·±åˆ»ã˜ã‚ƒãªã„ã ã‚ã†ã¨è¦‹è¾¼ã‚“ã§ã„ã¾ã—ãŸã€‚ 今回
GHOST 脆弱性ã¯å¦‚何様ã«ä½¿ã†ã®ã‹ | Webシステム開発ï¼æ•™è‚²ã‚½ãƒªãƒ¥ãƒ¼ã‚·ãƒ§ãƒ³ã®ã‚¿ã‚¤ãƒ インターメディア
先日 GHOST ã¨å‘¼ã°ã‚Œã‚‹ glibc ã®è„†å¼±æ€§ãŒç™ºè¡¨ã•ã‚ŒãŸã€‚ãªã‚“ã§ã‚‚ã€ã€Œãƒªãƒ¢ãƒ¼ãƒˆã‹ã‚‰ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ã‚’実行ã§ãã‚‹å¯èƒ½æ€§ãŒã‚ã‚‹ã€ã‚‰ã—ã„ã§ã¯ãªã„ã‹ã€‚ã—ã‹ã‚‚様々ãªãƒ—ãƒã‚°ãƒ©ãƒ ã§åˆ©ç”¨ã•ã‚Œã¦ã„るライブラリ部分ã®å•é¡Œã¨ã‚ã£ã¦ã€å½±éŸ¿ç¯„囲ãŒã¨ã¦ã‚‚広ã„。ãªã‹ãªã‹åŽ„介ãªã“ã¨ã§ã‚る。 ã¯ã¦ã€ã—ã‹ã—一体全体ã©ã†ã‚„ã£ã¦ãƒªãƒ¢ãƒ¼ãƒˆã‹ã‚‰ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ã‚’実行ã—よã†ã¨ã„ã†ã®ã ã‚ã†ï¼Ÿ 話をèžãã«ã€ãŸã‹ãŒæ•°ãƒã‚¤ãƒˆã®æƒ…å ±ã‚’ç¯„å›²å¤–ã®ãƒ¡ãƒ¢ãƒªã«æ›¸ãè¾¼ã‚ã‚‹å¯èƒ½æ€§ãŒã‚ã‚‹ã ã‘ã ã¨ã„ã†ã€‚実際ãã‚Œã ã‘ã®ã“ã¨ã§ã‚µãƒ¼ãƒãƒ¼ã®ä¹—ã£å–ã‚Šãªã©ã§ãã‚‹ã‚‚ã®ãªã®ã ã‚ã†ã‹ã€‚ãã‚“ãªã‚ã‘ã§ã€ãã®ç–‘å•ã«ç”ãˆã‚‹ã¹ãã€æœ¬è¨˜äº‹ã§ã¯ä»¥ä¸‹ã® URL ã§è§£èª¬ã•ã‚Œã¦ã„る実際ã®æ”»æ’ƒæ–¹æ³•ã‚’若干端折ã£ã¦ç´¹ä»‹ã—ã¦ã¿ã‚ˆã†ã¨æ€ã†ã€‚ http://www.openwall.com/lists/oss-security/2015/01/27/9 ãªãŠã€æœ¬è¨˜äº‹ã¯ã“ã®è„†å¼±æ€§ãã®ã‚‚ã®ã«å¯¾ã™ã‚‹ç·Šæ€¥åº¦ãªã©ã«ã¤ã„ã¦è¨€
Qualys SSL Labs - Projects
SSL Labs APIs SSL Labs APIs expose the complete SSL/TLS server testing functionality in a programmatic fashion, allowing for scheduled and bulk assessment. SSL/TLS Deployment Best Practices The SSL/TLS Deployment Best Practices document provides clear and concise instructions to help overworked administrators and programmers spend the minimum time possible to deploy a secure site or web applicatio
Linuxã«å˜åœ¨ã™ã‚‹è„†å¼±æ€§ã€ŒGHOSTã€ã€ã‚·ã‚¹ãƒ†ãƒ 管ç†è€…ã¯è½ã¡ç€ã„ã¦å¯¾å‡¦ã‚’ |
Linux GNU Cライブラリ（glibc）ã«å˜åœ¨ã™ã‚‹è„†å¼±æ€§ãŒã‚»ã‚ュリティä¼æ¥ã€ŒQualysã€ã«ã‚ˆã£ã¦ç¢ºèªã•ã‚Œã¾ã—ãŸã€‚ã“ã®è„†å¼±æ€§ã€ŒCVE-2015-0235ã€ãŒåˆ©ç”¨ã•ã‚Œã‚‹ã¨ã€Linuxã®ã‚ªãƒšãƒ¬ãƒ¼ãƒ†ã‚£ãƒ³ã‚°ã‚·ã‚¹ãƒ†ãƒ （OS）をæ載ã™ã‚‹ PC上ã§ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ã‚’実行ã™ã‚‹ã“ã¨ãŒå¯èƒ½ã«ãªã‚Šã€çµæžœçš„ã«ã‚µãƒ¼ãƒãƒ¼ã®ä¹—ã£å–ã‚Šã‚„ä¸æ£ãƒ—ãƒã‚°ãƒ©ãƒ 感染ã•ã›ã‚‹ã“ã¨ãŒã§ãã¾ã™ã€‚「Heartbleedã€ã‚„「Shellshockã€ã€ã€ŒPOODLEã€ã¨åŒæ§˜ã«ã€ã“ã®è„†å¼±æ€§ã¯ã€ŒGHOSTã€ã¨å付ã‘られã¾ã—ãŸã€‚ãã®å¾Œã®èª¿æŸ»ã«ã‚ˆã‚Šã€ã“ã®è„†å¼±æ€§ã¯æ·±åˆ»ã§ã‚ã‚‹ã‚‚ã®ã®ã€æ”»æ’ƒã«åˆ©ç”¨ã™ã‚‹ã®ãŒé›£ã—ãã€æ”»æ’ƒã®å¯èƒ½æ€§ã¯æ¥µã‚ã¦ä½Žã„ã“ã¨ãŒåˆ¤æ˜Žã—ã¾ã—ãŸã€‚ 「GHOSTã€ã¯ã€glibc ã®é–¢æ•°ã€Œgethostbyname*()ã€ã‚’呼ã³å‡ºã™ã“ã¨ã§å¼•ãèµ·ã“ã•ã‚Œã‚‹ãƒãƒƒãƒ•ã‚¡ãƒ¼ã‚ªãƒ¼ãƒãƒ¼ãƒ•ãƒãƒ¼ã®è„†å¼±æ€§ã§ã™ã€‚ã“ã®é–¢æ•°ã¯ã€ãƒ‰ãƒ¡ã‚¤ãƒ³åã‚’ IPアドレスã«è§£æ±ºã™ã‚‹ãŸã‚ã«ã•ã¾ã–ã¾ãªã‚¢
（緊急）複数ã®DNSソフトウェアã«ãŠã‘る脆弱性（システム資æºã®éŽåº¦ãªæ¶ˆè²»ï¼‰ã«ã¤ã„ã¦ï¼ˆ2014å¹´12月25日更新）
--------------------------------------------------------------------- ■（緊急）複数ã®DNSソフトウェアã«ãŠã‘る脆弱性（システム資æºã®éŽåº¦ãªæ¶ˆè²»ï¼‰ ã«ã¤ã„ã¦ï¼ˆ2014å¹´12月9日公開） - BIND 9ã§ã¯æ¨©å¨DNSサーãƒãƒ¼ã«ã‚‚é™å®šçš„ã«å½±éŸ¿ã€ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ã‚’å¼·ã推奨 - æ ªå¼ä¼šç¤¾æ—¥æœ¬ãƒ¬ã‚¸ã‚¹ãƒˆãƒªã‚µãƒ¼ãƒ“ス（JPRS） åˆç‰ˆä½œæˆ 2014/12/09（Tue） 最終更新 2014/12/25（Thu） （米国The CERT Divisionã®æ³¨æ„喚起・Vendor Informationã¸ã®ãƒªãƒ³ã‚¯ã‚’è¿½åŠ ï¼‰ --------------------------------------------------------------------- â–¼æ¦‚è¦ BIND 9・Unbound・PowerDNS Recursorã‚’å«ã‚€è¤‡
SSL 3.0ã«æ·±åˆ»ãªè„†å¼±æ€§ãŒè¦‹ã¤ã‹ã‚‹ | スラド ã‚»ã‚ュリティ
Googleã®ã‚»ã‚ュリティãƒãƒ¼ãƒ ãŒã€SSL 3.0ã«æ·±åˆ»ãªè„†å¼±æ€§ãŒå˜åœ¨ã™ã‚‹ã“ã¨ã‚’発見ã€ãã®è©³ç´°ã«ã¤ã„ã¦ç™ºè¡¨ã—ãŸï¼ˆGoogle Online Security Blogã€ITmediaã€è©³ç´°ã«ã¤ã„ã¦è§£èª¬ã—ãŸPDF）。 ã“ã®è„†å¼±æ€§ã¯ã€ŒPOODLEã€ã¨å‘¼ã°ã‚Œã¦ãŠã‚Šã€æ‚ªç”¨ã™ã‚‹ã¨ãƒ‘スワードやCookieã«ä¸æ£ã«ã‚¢ã‚¯ã‚»ã‚¹ã§ãã‚‹ã¨ã„ã†ã€‚対ç–ã¨ã—ã¦ã¯ã€SSL 3.0ã®åˆ©ç”¨ã‚’åœæ¢ã™ã‚‹ã“ã¨ãŒæŒ™ã’られã¦ã„る。 SSL 3.0ã¯1995å¹´ã«ç™ºè¡¨ã•ã‚ŒãŸæŠ€è¡“ã§ã‚ã‚Šã€Netscape Navigator 2.0ã«ãŠã„ã¦å®Ÿè£…ã•ã‚Œã¦ä»¥æ¥ã€ç¾åœ¨ã§ã¯ã»ã¼ã™ã¹ã¦ã®Webブラウザã§åˆ©ç”¨ã§ãるよã†ã«ãªã£ã¦ã„る。ã¨ã¯ã„ãˆã€ç¾åœ¨ã§ã¯ã‚ˆã‚Šæ”¹è‰¯ãŒé€²ã‚られãŸTLSãŒã»ã¨ã‚“ã©ã®Webブラウザã§åˆ©ç”¨å¯èƒ½ã§ã‚ã‚Šã€SSL 3.0ã‚’ç©æ¥µçš„ã«åˆ©ç”¨ã™ã‚‹ç†ç”±ã¯ãªã„。ãã®ãŸã‚ã€Chromeã§ã¯ã™ã§ã«SSL 3.0ã®ã‚µãƒãƒ¼ãƒˆã‚’廃æ¢ã—ã¦ãŠã‚Šã€ã¾ãŸMozillaã‚‚F
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
IPAテクニカルウォッãƒã€€ã‚¦ã‚§ãƒ–サイトã«ãŠã‘る脆弱性検査手法ã®ç´¹ä»‹(ウェブアプリケーション検査編)
OpenVAS - Qiita
クラウドホスティング - kousoku AWS
{{#tags}}- {{label}}
{{/tags}}