KDDIの新GWで「かんたんログイン」なりすましの危険性あり直ちに対策された
au/KDDIの2011年秋冬モデル（現時点ではF001のみ）にてEZwebとPCサイトビューア（以下PCSV）のゲートウェイが統合されたことに伴い、かんたんログインを実装しているサイトに対して、F001のPCSVからJavaScriptを用いた「なりすまし」攻撃ができる状態でした。この問題をKDDIに通報したところ、直ちに対策が取られ、現在は安全な状態です。以下、詳しく報告します。 目次概要 経緯 何が問題か 経緯説明(1)基本的なチェックは対処済みだった 経緯説明(2)ハイフンをアンダースコアに変えるトリックは対策済み 経緯説明(3)海老原氏が発見したトリックとは 経緯説明(4)KDDIに連絡→翌日に対処 実証例 外部からJavaScriptを実行できる条件 影響を受けるサイトの条件 影響 対策 今回の問題は、端末あるいはau設備の脆弱性なのか まとめ 概要以前、「EZwebの2011
auのPCサイトビューアーで脆弱性が発覚か？ – 続:auのEZWebがそろそろ終了しそうな件 | [ bROOM.LOG ! ]
ニコニコPodder iPhone/iPod/iPad対応ニコニコ動画簡単インポートツール aggregateGithubCommits GitHubレポジトリでのコミット数をAuthor/期間別に集計します probeCOCOATek 新型コロナ接触確認アプリCOCOAが配布するTEKを表示・集計 この記事はauのEZWebがそろそろ終了しそうな件の続編です。 当該記事では「EZブラウザとPCサイトビューアーのIPアドレス帯域が統一される」ことから場合によってはEZWebの課金システムや一部認証が脆弱性に晒され得るのではないかと危惧したのだが、もしかすると本当に現在それが起きていた(いる)かも知れない。 F001のHTTPヘッダ F001（PCサイトビューアー）※一部伏せ字 あれ？REMOTE_ADDRが111.87.241.##？ これ、2011年秋冬モデル以降の一部機種のEZブラウザ
800MHz帯の周波数再編に伴う「CDMA 1X」などのサービス終了等のお知らせ〈別紙〉 | 2010年 | KDDI株式会社
●1. 800MHz帯の周波数再編について 携帯電話等で利用されている800MHz帯周波数の電波については、周波数の有効利用等を目的として、2003年10月に総務省が公表した「周波数の再編方針」に従い、2012年7月24日 (火) までに現在の使用方法が変更されることとなっています。 これに伴い、再編後の新たな割り当て周波数に対応していないau携帯電話は、周波数再編完了以降、ご利用いただけなくなります。 KDDIおよび沖縄セルラーでは、従来の周波数に対応したエリアの維持に加え、再編後の新たな周波数に対応するエリアの充実を進めています。 ●2. 新規受付終了について (1) 内容 以下のお申込み受付を終了します。 CDMA 1X WIN」のau ICカード非対応機種への新規お申込み(注1) (注2) 注1) 「CDMAぷりペイド」サービス、データカード、通信モジュールは除きます。 注2) 「
au,SoftBankでSSLでCookieセッションを使用する場合の問題点 - maru.cc@はてな
前回、「auのSSLでのCookieの挙動がおかしい - maru.cc@はてな」というエントリを書いたところ @suzukiさんから次のような発言をいただきました。 http://twitter.com/suzuki/statuses/809076312 @maru_cc https+Cookieでのセッション管理にはsecure属性付けようよ説が基本とのこと http://www.ipa.go.jp/security/ciadr/20030808cookie-secure.html http://www.ipa.go.jp/security/ciadr/20030808cookie-secure.html (一部抜粋) SSL/TLS でクッキーを使うときはsecure 属性を付けるのを基本とする ・方法 A： すべてのページを https://...にしてセッション管理用のクッキーに
auのSSLでのCookieの挙動がおかしい - maru.cc@はてな
auはCookieを使うことが出来る。キャリアの公式情報としても公開されている。 「404 Not Found」 EZweb対応端末においてCookieは、EZサーバに保管されます。 ただし、WAP2.0ブラウザ搭載端末ではEnd to EndのSSL通信時は端末に保管されます。 なお、EZサーバに保管されたCookieはKDDI設備のメンテナンスなどによりリセットされる場合があります。 つまり httpの非SSL領域では、ゲートウェイ（EZサーバ）がCookieを保管する httpsのEnt to EndのSSL領域では、端末がCookieを保管する ということだ。 これが結構曲者である。 さらに、公式な資料はないけど、端末の挙動から想像するに以下のような挙動をする。 http領域では、GWと端末の両方のCookieを送ってくる http領域で、GWと端末に同じ名前でCookieが設定さ
東芝 biblio のクチコミ掲示板
タッチスタイル操作対応3.5型フルワイド480×960ピクセル液晶/電子書籍ビューアー「Book Player」/7GBメモリー/511万画素CMOSカメラなどを備えた横スライド式ワンセグ携帯電話
「Wi-Fi WIN」の提供開始について〈別紙〉 | 2009年 | KDDI株式会社
●1. 「Wi-Fi WIN」概要 「Wi-Fi WIN」は、au携帯電話からご自宅などの無線LANと固定ブロードバンド回線を利用して、インターネットをご利用いただけるサービスです。 お使いになる無線LAN親機をあらかじめ登録しておくことで、無線LAN親機のWi-Fiエリア内ではWi-Fi経由で接続、Wi-Fiエリア外ではCDMA 1X WINでの接続と、携帯電話の操作をすることなくエリアに応じた接続方法でご利用いただくことが可能です。 〈サービスイメージ〉 ●2. 「Wi-Fi WIN」向けコンテンツの提供について 「Wi-Fi WIN」ご利用時において、従来より大きなファイルを携帯電話にダウンロードできるなど、快適にリッチなコンテンツがご利用いただけます。 (1) 映画やドラマ・アニメをはじめとする「LISMO Video」の多彩なコンテンツを、PC等を経由せずに携帯電話に直接ダウンロ
Wi-Fi WIN | 機能 | au by KDDI
Wi-Fi通信って何? パケット通信料無料のワケ Wi-Fi通信はご自宅のブロードバンド回線と無線LANを利用する通信です。 auのケータイ用電波&回線は使用しないので、パケット通信料はかかりません。 Wi-Fi WINご利用について 本サービスのご利用にあたって、以下の通信環境をご用意いただく必要があります。 Wi-Fi WIN対応機種 FTTH、ADSL、CATVなどのブロードバンド回線 (一部の環境では使えない事があります)。 契約条件について Wi-Fi WINはお申し込みが必要となります。 EZ WINコース・パケット通信料割引サービス (ダブル定額・ダブル定額ライト・パケット割WINスーパー/WINミドル) への加入が必要です。 ダブル定額 ダブル定額ライト パケット割WINスーパー/WINミドル 料金について 月額使用料: 525円 ※ ただし、
ある意味斬新なモバイルSEO｜Sphinn Japan Blog
あまりに「斬新」なモバイルSEO関連手法をここ数カ月で発見したので、共有をしておきたいと思います。 auでしか使えない「斬新」な手法 今では一般的ではないau向けサイトの記述方法として、wml言語があります。 この言語を利用することで、クリアキー（戻るボタン）などのボタンをジャックすることができます。 その技術を利用し、検索経由で入ってきたユーザーを検索結果画面に戻さない。 （一見すると戻ったように見えるけれど、そのサイトが用意したニセEzweb検索結果ページ） という手法を取っているKDDI公式サイトがありました。 （2社5サイト以上、最低限3か月前からは確認をしております） ソフトキーとクリアキーをジャックしているのですが、 具体的には下記のように記述されていました。 <wml:do type=”SOFT1″ label=”＊＊＊＊”> <go href=”http://hogehog
EZWebのIPアドレス帯域変更 - Kimura.Memo
2009-03-10 EZwebのIPアドレス帯域から以下のIPアドレスが削除された。 61.117.0.128/25 61.117.1.128/25 218.222.1.0/25 218.222.1.128/28 218.222.1.144/28 218.222.1.160/28 61.202.3.64/28 219.125.148.160/27 219.125.148.192/27 222.7.56.0/27 222.7.56.32/27 222.7.56.96/27 222.7.56.128/27 222.7.56.192/27 222.7.56.224/27 222.7.57.64/27 222.7.57.96/27 222.7.57.128/27 222.7.57.160/27 222.7.57.192/27 222.7.57.224/27 219.125.151.128/27
「iPhone (TM) 3G」専用のメールサービス「Eメール (i)」のメールフィルター対応および文字コード「UTF-8」対応について | 2008年 | KDDI株式会社
「iPhone™ 3G」専用のメールサービス「Eメール (i)」のメールフィルター対応および文字コード「UTF-8」対応について KDDI、沖縄セルラーは、迷惑メール防止機能として提供している、特定の携帯電話・PHSからのメールを一括で受信/拒否することが可能なメールフィルター「一括指定受信」のソフトバンクモバイル対象ドメインに、「XXX@i.softbank.jp」(「iPhone™ 3G」専用のメールサービス「Eメール (i)」のドメイン) を、本年11月14日 (金) より追加します。 これまで「XXX@i.softbank.jp」からのメールはインターネットメールとして受信していましたが、今回の対応により、ソフトバンクモバイルからのメールとして受信できるようになります。 また、文字コード「UTF-8」が使われたメールをau携帯電話で受信した場合、文字化けせずに正常に閲覧できるようシ
高木浩光＠自宅の日記 - EZwebブラウザの「お気に入り登録」は偽サイトを見分ける手段にならない
■ EZwebブラウザの「お気に入り登録」は偽サイトを見分ける手段にならない 6月6日の日記「Upcoming Advisories」で書いていた、脆弱性届出「IPA#45031375」*1*2の件について、製品開発者がFAQとして事実を公開し、IPA#45031375 は11月26日に取り扱い終了となった。 EZwebで表示中のページのURLを確認する方法はありますか？, KDDI, よくあるご質問/お問い合わせ, 公表日不明*3 質問： EZwebで表示中のページのURLを確認する方法はありますか？ 回答： 確認方法はございません。 なお、お気に入り登録時にURLが表示されますが、そのURLはサイト提供者が任意に指定することができるため、必ずしも閲覧中のサイトと一致しない場合があります。 PCサイトビューアーの場合、「メニュー」から「ページ情報」で確認が可能です。 FAQには掲載された
KDDI 会社情報: ニュースリリース > au携帯電話におけるオンライン書籍販売サイト「au Books」におけるお客様情報の誤表示について
KDDI、沖縄セルラー電話は、au携帯電話におけるオンライン書籍販売サイト「au Books」において、特定のリンク元サイトからアクセスしたお客様に対し、他のお客様の登録情報が誤って表示されてしまう事象を確認しましたので、お知らせします。 お客様に多大なご迷惑、ご心配をおかけしますことを、深くお詫び申し上げます。 本年6月22日20時37分から23日18時45分までの間、特定のリンク元サイトから「au Books」にアクセスしたお客様に対し、同じ時間帯にアクセスした他のお客様の登録情報 (氏名、住所、電話番号、生年月日、会員パスワード) が表示され、場合によっては、自分の情報が他のお客様の情報に書き換わってしまう事象が発生しました。 なお、誤って表示された可能性のあるお客様情報は最大436件、また書き換えられた可能性のあるお客様情報は最大124件です。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://japan.internet.com/allnet/20090527/9.html
KDDIがインターネットサービスを「au one」ブランドに統合