J-WAVEでも64万件の個人情報流出の可能性、原因ソフトの利用者は至急パッチ適用を
J-WAVEは2016年4月22日、Webサイトへの不正アクセスにより、リスナーなどの個人情報約64万件を流出させた可能性があると公表した。原因はアイデアマンズ製「ケータイキット for Movable Type」の脆弱性で、同社は22日にパッチファイルを公開した。既に攻撃が成功しているため、同ソフトの利用者はパッチを至急適用する必要がある。 流出した可能性がある個人情報は、名前や住所、メールアドレス、電話番号、性別、年齢、職業など約64万件。2007年以降にJ-WAVEのWebサイトから番組あてに送ったメッセージやプレゼント応募者のデータという。「2006年以前のデータは保存期間を過ぎているため消去済みだった」（J-WAVE広報）。 同社は流出の可能性がある人にメールで知らせており、既に数件の問い合わせが来ているという。Webサイト上では件名にJ-WAVEの表記があるメール、メッセージな
hiddenなinput要素のXSSでJavaScript実行
脆弱性診断をやっていると、たまにtype=hiddenのinput要素にXSSがあるけど、現実的な攻撃には至らないものにぶちあたることがあります。サンプルコードを以下に示します。 <body> 入力確認をお願いします。 <?php echo htmlspecialchars($_GET['t']); ?><br> <form action='submit.php'> <input type='hidden' name='t' value='<?php echo htmlspecialchars($_GET['t']); ?>'> <input type='submit'> </body> 正常系の呼び出しは下記のようになります。 http://example/hidden-xss.php?t=yamada HTMLソースは下記の通りです。 <body> 入力確認をお願いします。 yamad
StartSSLにドメイン認証不備の脆弱性
Osama almanna's blogにて、StartSSLにドメイン認証に脆弱性があったと報告されています。 In 9 March, 2016 During my research I was able to replicate the attack and issue valid certificates without verifying the ownership of the website which I will explain later in my post, the vulnerability was reported and fixed within hours. ウェブサイトの所有権を検証しないで、正当な証明書が交付されるというものですね。脆弱性は報告の後数時間で修正されたとのことです。 以下、彼のブログ記事を元に、脆弱性の内容と修正方法について説明します。 問題
Engadget | Technology News & Reviews
Gmail will now filter your purchases into a new tabGoogle is rolling out an update for Gmail on mobile and the web that will make it easier to track emails for your deliveries. MotoE, the electric bike world championship, is going on hiatus due to lack of interestMotoE is going on hiatus due to lack of interest. The electric bike world championship started in 2019, but has struggled to find an aud
websec-room.com - websec room リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
【警告】新規Linux/Mayhemマルウェアの感染
先ずはMayhemボットネットを発見した時にここで書きましたので、なお、本攻撃の情報(Wordpress経由)はここで書きました。 その↑2件を先に読んで頂ければ以下の情報をもっと理解が出来ると考えています。 下記のＩＰアドレスからLinux/Mayhemマルウェアの感染動きを発見、wordpressのサイトが狙われています。 wordpressの安全性が低いパスワードを狙いbruteで攻撃され、クラッキングされるとＰＨＰマルウェアインストーラーファイルをサーバーにアップロードされてしまいます。その後、別のＩＰからアップロードされたＰＨＰインストーラーファイルを実行されてしまい、ELFと.shマルウェアインストーラーが実行されてしまいます。 マルウェアがインストールされたらマルウェアコントロールセンター(documents-live .com)にPOST HTTP/1.0のリクエストを送信
プレス発表 「安全なウェブサイトの作り方 改訂第7版」を公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、ウェブサイトの開発者や運営者向けの「安全なウェブサイトの作り方」にパスワードリスト攻撃への悪用防止対策等を新たに追加した改訂第7版を2015年3月12日（木）からIPAのウェブサイトで公開しました。 URL：https://www.ipa.go.jp/security/vuln/websecurity.html IPAでは、必要な技術的配慮が不足していたために起こるウェブサイトの情報漏えいや改ざん等、意図しない被害を防ぐため「安全なウェブサイトの作り方」を2006年から発行しており、これまでに6版を数えています。その内容には、IPAへの届出件数が多く攻撃による影響度が大きいソフトウェア製品やウェブアプリケーションに関する脆弱性関連情報を取り上げ、適切なセキュリティが考慮されたウェブサイト作成のためのポイントをまとめています。 7版
ssig33.com - よく分からない人のためのセキュリティ
いろいろと原則論はあるんですが。昨今のアプリケーションは複雑化し、扱う情報はよりセンシティブになり、そしてより幅広く使われるようになっています。よって「安全な」アプリケーションを作るために必要な知識はますます増える傾向にあります。 よく分かってない人は以下のことにとりあえず気をつけましょう 1. なるべく自分で作らない これは最も重要なことです。検索する、他人に聞く、自分で考えない。これは重要です。大抵の問題は他人が作ってくれた解決策を適用できます。 例えばセキュアな問合せフォームを作ることにしましょう。気をつけるべきことは以下のことぐらいでしょうか。 送信内容の確認画面を表示する場合、ユーザーの入力した値は適切にエスケープするように 送信内容をアプリケーションの DB に格納する場合には SQL インジェクションを防がなければならないので、プリペアドステートメントを用いる CSRF 対策
水泳 世界選手権 女子200m個人メドレー 成田実生が5位 | NHKニュース
シンガポールで開かれている水泳の世界選手権、競泳の女子200メートル個人メドレーは決勝が行われ、18歳の成田実生選手が5位に入りました。 シンガポールで開かれている水泳の世界選手権、競泳女子200…
脆弱性"&'\ Advent Calendar 2014 (17日目) - 葉っぱ日記
この記事は脆弱性"&'<<>\ Advent Calendar 2014の17日目の記事です。今日は少し昔話をしようと思います。がはは。 かつて、日本製TwitterのようなWassrというサービスがありました。当時、Twitterは数日に一度くらいはサービスが落ちていて、Twitterユーザーも「またか」と思いながら我慢して使うようなサービスであり、Twitterが落ちるたびにWassrはユーザーを増やすとともに、画像の添付のように当時Twitterにはまだなかった機能をどんどんアグレッシブに取り入れていく、使っていて楽しいサービスでした。 さて、そんなWassrがある日絵文字機能を導入しました。当時はUnicode絵文字もなくスマートフォンも普及しておらず、主にレガシーな携帯電話で使える絵文字をなんとかWeb上でも使えるようにしたという感じのものでした。 絵文字をパレットから選択すると
Boothの同人音楽ネットイベント「Apollo」で人のアカウントに意図せずログインできて人のクレカで買い物までできてしまっていたらしい件まとめ(1)
Pixiv/Booth/Apolloで発生したログインバグ・クレカ問題が起きた当時のBoothユーザーさんたちのつぶやきのみのまとめです。 まとめ目次 （１）http://togetter.com/li/751441 （ここです） （２）http://togetter.com/li/751845 続きを読む 問題の概要 Pixivの主催する同人誌委託・通販・DL販売サイト「Booth」 https://booth.pm/ で 2014年11月28～30日限定の同人音楽専門ネットイベント「Apollo」 https://booth.pm/apollo/ が 開催されているまさにその最中の29日18時頃、 「気付いたら自分のアカウントじゃないアカウントにログインできている」 「アカウント情報見たら他人のだった」 「カートに入れてたものが消えた」 「カートに入れた覚えのないCDが入ってる」 「買
国内大手サイトでハッキング？報告相次ぐ 「シリア電子軍」か 世界的に影響
国内の複数の大手企業サイトで11月27日夜、アクセスすると「シリア電子軍」（Syrian Electronic Army）のものと思われる画像に飛ばされるとの報告が相次いだ。世界各国の大手報道機関サイトでも同様の報告があり、シリア電子軍を名乗るTwitterアカウントが犯行声明と見られる投稿をツイートしているが、関連は不明だ。 Twitterなどでは27日夜、毎日新聞やSo-net、ロジクールなどのサイトにアクセスすると「シリア電子軍にハッキングされた」というポップアップメッセージが表れ、「OK」を押すとシリア電子軍のマークと思われる画像が表示されるという報告が相次いだ。ITmedia編集部でもこのうち1つのサイトで報告通りのことが起きるのを確認した。
盗難自転車情報検索・盗難対策サイト 【CSI 自転車特捜24時】
日本全国、ロードバイク・マウンテンバイク・クロスバイクなどの高級自転車の盗難被害情報をアーカイブした自転車盗難情報データベース。自転車防犯のツールや盗られにくい留め方などの防犯対策情報など、自転車盗難・防犯の総合サイト「CSI:自転車特捜24時」 CSI:自転車特捜24時について 健康＆エコロジーへの関心が高まるにつれて、スポーツ自転車のユーザーは増えました。またオークションサイトなどネットを介した匿名売買が可能なプラットフォームが成長したことにより、換金を目的とした高級自転車の盗難が増え社会問題になっています。その様な背景の元「CSI:自転車特捜24時」は、ロードバイクやマウンテンバイクといった高級自転車の盗難事件の共有・発見に繋がる情報提供を募集するサイトとして2010年より運営しています。 どんなにセキュリティ性能の高い鍵を使っても、自転車盗難を完全に防ぐことはできません。自転車防犯
2014年版 抑えておきたいサーバセキュリティ
Usully when we think of mlm marketing what comes to mind is...
そこそこセキュアなlinuxサーバーを作る - Qiita
先日「サーバーのセキュリティ設定がなにすればいいかわからない」と相談をうけまして。 自分も初心者の時どこまでやればいいかわからず手当たりしだいにやって沼に入っていたのを思い出しながら自鯖構築したときのメモを元にまとめてみました。 注意 セキュリティ対策は用途や場合などによって違います。 自分で理解したうえで自己責任でおねがいします。 対象読者 Linuxのサーバーを建て慣れていない人 Linuxはある程度さわれる人(自分でパッケージを入れたり、サービスを止めたりできる) ラインナップ ☆は導入の重要度と導入の容易さから個人的偏見からつけた値です。 4つ以上が"最低限やること"だと思ってください。 sshd
安全なPHPアプリケーションの作り方2014
SecurityとValidationの奇妙な関係、あるいはDrupalはなぜValidationをしたがらないのか
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
超絶技巧CSRF / Shibuya.XSS techtalk #7
新種ウイルス:ワンタイムパスワード無効化…８万台超感染 - 毎日新聞
HTTPSを使うなら“HSTS”と“HSTSプリロード”でセキュリティを高めよう など10+4記事 | 海外&国内SEO情報ウォッチ | Web担当者Forum
サービス終了のお知らせ