脆弱性対応（Heartbleed）の責任の所在　東京地判令元.12.20（平29ワ6203） - IT・システム判例メモ

2021/03/02 22 users 第三者 運用保守業務 本件サイト 事例 運用業務

クレジットカード情報漏えい事故に関し，その原因の一つと考えられる脆弱性対応が運用保守業務に含まれていたか否かが争われた事例。 事案の概要 Xは，Xの運営する通販サイト（本件サイト）を第三者に開発委託し，運用していたが，その後，2013年1月ころまでに，Yに対し，本件サイトの運用業務を月額20万円で委託した（... 続きを読む

【セキュリティ ニュース】旧通販サイトでクレカ情報流出、原因は「Heartbleed」 - スイーツ通販サイト（1ページ目 / 全3ページ）：Security NEXT

2019/06/28 11 users 和菓子 洋菓子 閉鎖済み 顧客 不正アクセス

洋菓子や和菓子の通信販売サイト「見波亭」の旧サイトが不正アクセスを受け、顧客のクレジットカード情報が流出した可能性があることがわかった。 同サイトを運営する富洋観光開発によれば、不正アクセスを受けたのは、すでに閉鎖済みの「見波亭」の旧通販サイト。2015年2月5日から同サイトを閉鎖した2016年10月31日まで... 続きを読む

OpenSSLにオランダ政府が6400万円を寄付、「バックドア反対」を公式表明 - GIGAZINE

2016/01/06 53 users OpenSSL GIGAZINE Twitter 人員 寄付

By Christiaan Colen AmazonからTwitterに至るまでインターネット上の約66％が使用するオープンソースの暗号化通信ソフトウェアである OpenSSL は、「Heartbleed」と呼ばれる脆弱性の発見により、 わずか4人のプログラマーによって維持されていた ことがわかっています。「インターネットセキュリティ開発の資金や人員などのリソース不足」という問題が存在している中、... 続きを読む

SSL/TLS 20年の歩みと動向～ - JPNIC

2015/11/04 113 users POODLE JPNIC TLS プロトコル 動向

昨年2014年は、SSL（Secure Sockets Layer）とTLS（Transport Layer Security）というプロトコルがリリースされてから20年が経過し、HeartBleedやPOODLEなどの脆弱性でも話題となった年でもありました。今回の10分講座では、SSL/TLS暗号通信プロトコルの動向を紹介します。 SSL/TLSとは SSL/TLSは最も普及している暗号通信プロ... 続きを読む

Linuxに存在する脆弱性「GHOST」、システム管理者は落ち着いて対処を | トレンドマイクロ セキュリティブログ

2015/01/28 262 users Ghost トレンドマイクロ Linux Qualys 脆弱性

Linux GNU Cライブラリ（glibc）に存在する脆弱性がセキュリティ企業「Qualys」によって確認されました。この脆弱性「CVE-2015-0235」が利用されると、Linuxのオペレーティングシステム（OS）を搭載する PC上で任意のコードを実行することが可能になり、結果的にサーバーの乗っ取りや不正プログラムを感染させることができます。「Heartbleed」や「Shellshock」... 続きを読む

OSSEC ではじめるセキュリティログ監視 - クックパッド開発者ブログ

2014/12/31 228 users ShellShock POODLE kani_b 脆弱性 各地

2014-12-31 OSSEC ではじめるセキュリティログ監視 インフラストラクチャー部の星 (@kani_b) です。 Heartbleed, ShellShock, XSA-108 (a.k.a. EC2 インスタンス再起動祭), POODLE など、今年は話題となるような脆弱性が各地を襲う一年でした。 脆弱性への対応に加え、いわゆるセキュリティ対策に日頃頭を悩ませている方も多いのではないか... 続きを読む

その知識、ホントに正しい？ Windowsにまつわる都市伝説（21）：プードル（POODLE）にかみつかれないためのIE対策 - ＠IT

2014/12/12 29 users POODLE OpenSSL ShellShock プードル

その知識、ホントに正しい？ Windowsにまつわる都市伝説（21）：プードル（POODLE）にかみつかれないためのIE対策 2014年は「Heartbleed」（OpenSSL）、「ShellShock」（GNU bash）、「POODLE」（SSL 3.0）と、Web関連の脆弱性が立て続けに見つかりました。今回は、個人や企業が「Internet Explorer」に対してできるPOODLE対策... 続きを読む

脆弱性のブランド化と名付け親の真意--Heartbleed、Shellshockが招いたもう1つの物議 - ZDNet Japan

2014/12/05 49 users ShellShock 名付け親 悪事 物議 真意

度を超した危険な脆弱性には名前が付けられる。ある脆弱性に「Heartbleed」という名前が付けられ、ブランド化された結果、セキュリティについて語る方法に変革がもたらされた。しかしロゴまで用意するというのは不謹慎なのではないだろうか？それともこれは情報セキュリティの進化なのだろうか？ 連続銀行強盗など、あまりにも多くの悪事を重ねた犯罪者には別途名前が付けられる場合がしばしばある。歴史をひも解いてみ... 続きを読む

Google、TLS/SSLトラフィックのセキュリティテストツールを公開 - ITmedia エンタープライズ

2014/11/05 69 users TLS オープンソー POODLE 既知 発覚

オープンソースで公開された「nogotofail」ではTLS/SSL実装に関する既知の脆弱性や設定ミスをチェックできる。 「Heartbleed」や「POODLE」といったTLS/SSL絡みの深刻な脆弱性の発覚が相次ぐ中、米Googleは11月4日、TLS/SSL実装に関する既知の脆弱性や設定ミスをチェックできるネットワークトラフィックセキュリティテストツール「nogotofail」をオープンソー... 続きを読む

bashシェルの修正パッチは不完全、脆弱性突く攻撃の報告も - ITmedia エンタープライズ

2014/09/25 52 users bashシェル OpenSSL bash 修正パッチ 脆弱性

9月24日に公開されたbashのパッチは不完全だったことが分かった。既に脆弱性を突く攻撃が出回っているとの報告もある。 LinuxやMac OS XなどのUNIX系OSで標準的なシェルとして使われている「bash」に重大な脆弱性が見つかった問題で、9月24日に公開されたパッチは不完全だったことが分かった。攻撃の発生も確認され、影響の大きさは4月に発覚したOpenSSLの脆弱性（Heartbleed... 続きを読む

患者450万人の個人情報流出、発端はOpenSSLの脆弱性だった - ITmedia エンタープライズ

2014/08/20 67 users OpenSSL 発端 ITmedia エンタープライズ 攻撃

米病院チェーンから患者450万人の個人情報が流出した事件は、4月に発覚したOpenSSLの重大な脆弱性を突く攻撃でネットワークに侵入されていたことが分かった。 米病院チェーンのCommunity Health Systems（CHS）社から患者約450万人の個人情報が流出した問題で、米セキュリティ企業TrustedSecは8月19日、4月に発覚した「Heartbleed」と呼ばれるOpenSSLの... 続きを読む

バグは公表されない方がいい？　「Heartbleed」過熱報道の教訓 － TechTargetジャパン セキュリティ

2014/08/05 15 users OpenSSL TechTargetジャパン 教訓 過熱報道

関連キーワード 脆弱性 | セキュリティ | セキュリティ対策 「Heartbleed」は、オープンソースの暗号化ライブラリ「OpenSSL」に存在していた脆弱性だ。2014年4月に世界中の組織が慌ててパッチを適用する事態を招いた。この欠陥が原因で、企業が所持する機密性の非常に高いデータが漏えいする恐れがあると、セキュリティ専門家は警告している。このようなデータには、公開鍵証明書の標準規格であるX... 続きを読む

「Google Chrome」が「OpenSSL」の使用を中止--「BoringSSL」に切り替え - CNET Japan

2014/07/25 105 users OpenSSL BoringSSL セキュリティプロトコル

「Google Chrome」の（開発者向け）最新バージョンで、セキュリティプロトコルを実装するソフトウェア「OpenSSL」の使用が中止され、OpenSSLからフォークした独自の「BoringSSL」へと切り替えられた。切り替えに関する詳細な情報は、Chromium Code Reviewsで確認できる。 OpenSSLについては、いわゆる「Heartbleed」脆弱性が4月に発覚し、大きな話題... 続きを読む

「Google Chrome」が「OpenSSL」の使用を中止--「BoringSSL」に切り替え - ZDNet Japan

2014/07/25 66 users OpenSSL BoringSSL セキュリティプロトコル

「Google Chrome」の（開発者向け）最新バージョンで、セキュリティプロトコルを実装するソフトウェア「OpenSSL」の使用が中止され、OpenSSLからフォークした独自の「BoringSSL」へと切り替えられた。切り替えに関する詳細な情報は、Chromium Code Reviewsで確認できる。 OpenSSLについては、いわゆる「Heartbleed」脆弱性が4月に発覚し、大きな話題... 続きを読む

西本逸郎のIT社会サバイバル術 - いまだ攻撃は継続中、脆弱性といかに付き合うべきか（下）：ITpro

2014/06/11 13 users 西本逸郎 ITpro Struts システ 脆弱性

前回に引き続き、2014年4月以降、重要性の高い脆弱性が相次ぎ見つかった問題について述べる。今回は、システム管理者や開発者が意識すべき脆弱性との付き合い方に関して考えよう。 脆弱性問題はすべて解決していない 4月に発生した「HeartBleed」と「Struts」に関わる脆弱性について、多くの組織で対応に苦慮したものと推測している。一般にWebサイトでは、ゴールデンウィーク連休休みを利用してシステ... 続きを読む

OpenSSLの脆弱性（CVE-2014-0224）への対応方法（AWSサービス/OSごと） ※随時更新中 « サーバーワークス エンジニアブログ

2014/06/06 32 users OpenSSL CCS Injection AWSサービス

大阪オフィスの桶谷です。こんにちは。 今週から大阪オフィスにも1人メンバーが増えました。祝ぼっち脱出。 さて、先日のHeartbleedに続いて、またしてもOpenSSLの脆弱性が発見されました。今回はCCS Injectionです。 ということで対応方法をまとめてみました。 ※随時更新中。最終更新 2014/06/6 12:00 CCS Injection脆弱性(CVE-2014-0224)の概... 続きを読む

OpenSSL、新たなパッチが公開--重大な脆弱性がまたも発見される - CNET Japan

2014/06/06 16 users MITM OpenSSL OpenSSLプロジェクト バッチ

OpenSSLプロジェクトは、少なくとも1つの重大な脆弱性を含む、複数の脆弱性に対応するパッチのリリースを発表した。 最も重大な脆弱性は「SSL/TLS MITM」（SSL/TLS中間者（MitM）攻撃：CVE-2014-0224）だ。この脆弱性は、数年前に作り込まれたHeartbleedとは異なり、Heartbleedに対処したバージョンも含む、すべてのOpenSSLバージョンに含まれている。 ... 続きを読む

リバースHeartbleed(Reverse Heartbleed)を検証してみた。 - 生存報告

2014/05/26 62 users OpenSSL CVE-2014-0160 生存報告 サーバ

2014-04-27 リバースHeartbleed(Reverse Heartbleed)を検証してみた。 セキュリティ セキュリティ界隈でOpenSSLのHeartbleed(CVE-2014-0160)が話題になっている。 サーバからの情報漏洩がクローズアップされており、対策が進んでいるようだけど、一方でクライアントを攻撃できる「リバースHeartbleed」脆弱性がある。 Android 4... 続きを読む

ＯｐｅｎＳＳＬ:事前調整間に合わず　欠陥公表の舞台裏 - 毎日新聞

2014/05/13 32 users OpenSSL 標的 毎日新聞 欠陥 推移

警察庁が確認したOpenSSLの欠陥を標的とするアクセスの推移。最大時では１秒間に２回程度のアクセスが行われている（警察庁提供） 暗号化ソフト「ＯｐｅｎＳＳＬ」で見付かった深刻な欠陥「Ｈｅａｒｔｂｌｅｅｄ（心臓内出血）」。開発者が欠陥を公表する前の４月６日夜、日本の情報セキュリティー組織に海外から“第一報”が入り、攻撃者に知られる前に修正対応を行う「事前調整」に向けた準備が秘密裏に進められていたこ... 続きを読む

ＯｐｅｎＳＳＬ:事前修正間に合わず　欠陥公表の舞台裏 - 毎日新聞

2014/05/12 47 users OpenSSL ハートブリード フィンランド 毎日新聞 ゴム

OpenSSLの脆弱性を発見したフィンランドのセキュリティー企業「コードノミコン」が開設したサイト「ハートブリード・コム」 暗号化ソフト「ＯｐｅｎＳＳＬ」で見付かった深刻な欠陥「Ｈｅａｒｔｂｌｅｅｄ（心臓内出血）」。開発者が欠陥を公表する前の４月６日夜、日本の情報セキュリティー組織に海外から“第一報”が入り、攻撃者に知られる前に修正対応を行う「事前調整」に向けた準備が秘密裏に進められていたことがわ... 続きを読む

オオカミが来た：人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった？！ーCNETがダメダメな件 | .Nat Zone - Identity, Privacy and Music

2014/05/08 17 users OpenSSL identity Facebook 出所 人気

「OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。」（出所：OAuthとOpenIDに深刻... 続きを読む

[特別寄稿] OpenSSLの脆弱性「HeartBleed」振り返りのススメ | ScanNetSecurity (特集、特集のニュース)

2014/05/07 10 users piyolog ポインター OpenSSL インシデント 生業

＃ 編集長の一言 「セキュリティを生業とする人が絶対見るべきWebサイトは？」と聞かれたら、私は間違いなく piyokango氏の『piyolog』を上げます。 世の中に影響の大きいインシデントや脆弱性が出てくると、氏のサイトにまとめが登場するのを多くの人が待ち望んでいます（編集長の半径5m以内調べ）。セキュリティ業界にとどまらず、いろんな人や企業が資料のポインターとして指しまくっているのを見ると... 続きを読む

OAuthとOpenIDに深刻な脆弱性か--Facebookなど大手サイトに影響も - CNET Japan

2014/05/07 397 users Facebook OpenID OAuth OpenSSL

OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。 シンガポールにあるNanyang Tec... 続きを読む

【LinuxTutorial】Debian が SPARC サポートを取りやめ、Ubuntu が Linux 3.13 カーネルサポートを公約、第2の Heartbleed を防ぐ「Core Infrastructure Initiative」 - インターネットコム

2014/05/01 9 users SPARC インターネットコム Ubuntu Debi 公約

1. Debian 8.0「Jessie」が SPARC サポートを取りやめ Linux の主なターゲットは x86 アーキテクチャ。だが、Linux はその他のプラットフォームも サポートしている。その1つには、Sun/Oracle による「SPARC」も含まれている。 Debian は1999年3月から、SPARC をサポートし続けてきた。だが、2014年中にリリースが予定されている Debi... 続きを読む

Heartbleedの再来を防ぐための共同事業をFacebook,Google,Intel,Microsoft,NetApp,Qualcomm,VMware,The Linux Foundationらが開始 | TechCrunch Japan

2014/04/25 37 users NetApp 再来 Qualcomm OpenSSL 人びと

OpenSSLのHeartbleedバグという大事件は、Webが依存しているオープンソースのプロジェクトの多くが資金的にもスタッフ的にも潤沢でない、という事実に多くの人びとの目を否応なく開かせた。次のHeartbleedを防ぐために、FacebookとGoogle、Intel、Microsoft、NetApp、Qualcomm、VMware、そしてThe Linux Foundationの各社が今... 続きを読む