Bluetooth の実装における複数の脆弱性について：IPA 独立行政法人 情報処理推進機構

2017/09/14 36 users IPA Bluetooth 実装 脆弱性 独立行政法人

9月12日（米国時間）に、「BlueBorne」と呼ばれる Bluetooth の実装における複数の脆弱性情報が公開されました。 これらの脆弱性を悪用された場合、攻撃者により Bluetooth の有効範囲内から任意のコードが実行され、デバイスが操作されたり、情報を窃取される等の可能性があります。 これらの脆弱性は、Android、iOS、Windows、Linux などの主要なオペレーティングシ... 続きを読む

Gitの脆弱性 ( CVE-2017-1000117 ) — | サイオスOSS | サイオステクノロジー

2017/08/13 299 users Git SIOS OSSエバンジェリスト サイオスOSS

8/11に、Gitに関しての脆弱性 ( CVE-2017-1000117 )が出ています。今回は、これらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。 こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。 8/11に、Gitに関しての脆弱性情報 ( CVE-2017-1000117 )が出ています。今回は、これらの脆弱性の概要と、各ディストリビュ... 続きを読む

sudoに完全な特権昇格の脆弱性( CVE-2017-1000367 ) — | サイオスOSS | サイオステクノロジー

2017/05/30 368 users sudo SELinux 特権昇格 サイオスOSS 脆弱性

05/30/2017にsudoの脆弱性情報(CVE-2017-1000367)が公開されました。Priorityも高いので、今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。 SELinuxの動作も悪用しているので、SELinuxがシステムで有効になっていると発生します。 こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。 05/30... 続きを読む

linux kernelの脆弱性( CVE-2016-10229 ) — | サイオスOSS | サイオステクノロジー

2017/04/05 29 users Linux kernel サイオスOSS 脆弱性 CVE 和毅

04/04/2017に、4.5以前のkernelが対象となる、kernelの脆弱性情報(CVE-2016-10229)が公開されました。今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。 こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。 04/04/2017に、4.5以前のkernelが対象となる、kernelの脆弱性情報(CVE-... 続きを読む

WordPressの脆弱性突く攻撃が激増、6万以上のWebサイトで改ざん被害 - ITmedia エンタープライズ

2017/02/09 40 users バッチ 改ざん 激増 悪用コード 被害

脆弱性情報が公開されてから48時間足らずの間に悪用コードが投稿され、脆弱性のあるサイトを探して攻撃を試す動きはインターネット全体に広がった。ハッキングされたWebサイトの数は6万6000以上にのぼり、現在も増え続けている。 1月下旬のパッチで修正された、WordPressの深刻な脆弱性 を突く攻撃が、わずか2週間足らずの間に激増し、多数のWebサイトが改ざんなどの被害に遭っていることが分かった。こ... 続きを読む

SQLインジェクションの脆弱性がある日本のサイト400件の情報が中国サイトに投稿されていたことが判明、IPAが注意喚起 -INTERNET Watch

2017/01/25 53 users IPA SQLインジェクション ウェブサイ 判明 注意喚起

SQLインジェクションの脆弱性がある日本のサイト400件の情報が中国サイトに投稿されていたことが判明、IPAが注意喚起 中国の脆弱性情報のポータルサイト「WooYun」に2016年2月以降、SQLインジェクションの脆弱性が存在する日本国内のウェブサイト約400件の情報が登録されていたことが判明。独立行政法人情報処理推進機構（IPA）セキュリティセンターでは25日、脆弱性が存在し続けているウェブサイ... 続きを読む

ImageMagickの脆弱性(CVE-2016-3714他)についてまとめてみた - piyolog

2016/05/04 380 users 複数 脆弱性情報 ImageMagick piyolog

画像処理ソフトImageMagickに複数の脆弱性が存在するとして2016年5月3日頃、CVE-2016-3714他の脆弱性情報が公開されました。ここでは関連情報をまとめます。 脆弱性概要 対象 ImageMagick CVE CVE-2016-3714 CVE-2016-3715 CVE-2016-3716 CVE-2016-3717 CVE-2016-3718 影響 RCE 重要度 N/A P... 続きを読む

OpenSSLの脆弱性CVE-2016-800(DROWN)やCVE-2016-0702(CacheBleed)についてまとめてみた - piyolog

2016/03/01 328 users OpenSSL piyolog 愛称 脆弱性 プロジェクト

2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。 脆弱性情報概要 OpenSSL Projectの公開情報 Forthcoming OpenSSL releases OpenSSL Security Advis... 続きを読む

Lenovoのファイル共有アプリに脆弱性、「12345678」のパスワードをハードコード - ITmedia ニュース

2016/01/26 36 users Lenovo SHA Wi-Fiホットスポット ハード 脆弱性

Windows版のSHAREitでは、Wi-Fiホットスポットに「12345678」という安易なパスワードがハードコードされていた。 Lenovoのファイル共有アプリ「SHAREit」に安易なパスワードがハードコードされている脆弱性が発見され、WindowsとAndroid向けの更新版で修正された。セキュリティ企業のCore Securityが1月25日に脆弱性情報を公開して明らかにした。 SHA... 続きを読む

Dell、ルート証明書の脆弱性で対応表明　別の問題発覚 - ITmedia エンタープライズ

2015/11/25 26 users Dell eDellRoot 米CERT 表明 米Dell

Dellはシステムから「eDellRoot」を恒久的に削除する方法について説明。一方、米CERT/CCは、Dellの別のルート証明書「DSDTestProvider」に関する脆弱性情報も公開した。 米DellのPCにルート証明書と秘密鍵が搭載されているのが見つかり、攻撃に悪用されかねないと指摘された 問題 で、Dellは11月23日、この証明書が脆弱性を生じさせていることを認めて対応を表明した。一... 続きを読む

SAP HANAに脆弱性情報、世界中の企業に影響か - ITmedia エンタープライズ

2015/11/09 15 users SAP HANA ITmedia エンタープライズ 影響

悪用された場合、システムを攻撃者に制御され、企業情報の盗難、ビジネスプロセスの障害などの被害が発生する恐れがある。 米セキュリティ企業のOnapsisは9月11日、SAP HANAベースの全アプリケーションに影響する脆弱性21件についてのセキュリティ情報を公開した。 Onapsisの発表によると、脆弱性は21件中の8件が「critical」に分類され、うち6件はHANAの設計に起因することから、回... 続きを読む

Javaライブラリに脆弱性、主要ミドルウェア全てに影響 - ITmedia エンタープライズ

2015/11/09 133 users Javaライブラリ ITmedia エンタープライズ 影響

WebLogic、WebSphere、JBoss、Jenkins、OpenNMSのそれぞれについて、いずれも最新版でこの脆弱性を突いてリモートでコードを実行できるコンセプト実証コードも公開された。 WebLogicやWebSphereなどの主要ミドルウェア全てに影響を及ぼすというJavaライブラリの脆弱性情報とコンセプト実証コードが公開された。いずれの製品についても、まだパッチは公開されていないと... 続きを読む

CSIRTメモ - チェックしておきたい脆弱性情報＜2015.10.13＞：ITpro

2015/10/12 12 users ITpro ベンダー CSIRTメモ 脆弱性 うち

9月27日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。 Struts 2.3.24.1リリース（2015/09/24） WebアプリケーションフレームワークStrutsのバージョン2.3.24.1がリリースされました。バージョン2.3.24.1では、内部オブジェクトを不正に操作される脆弱性（CVE-2015-5209... 続きを読む

Mozilla、Bugzillaが不正アクセスを受けて未公開の脆弱性情報が流出していたことを公表 | スラド IT

2015/09/06 26 users Bugzilla スラド VentureBeat 公表 脆弱性

Mozillaは4日、バグトラッカーのBugzillaが不正アクセスを受け、未公開の脆弱性など一般公開されていなかったバグ情報が流出していたことを公表した(Mozilla Security Blogの記事、 VentureBeatの記事、 Ars Technicaの記事)。 一般公開されないバグ情報にアクセスできるのはBugzillaの特権ユーザーのみだが、パスワードが流出した他のWebサイトと同... 続きを読む

JPCERT/CC、連絡のとれない開発者の製品に関する脆弱性情報の公表を開始 - 窓の杜

2015/09/03 32 users JPCERT 公表 脆弱性情報 製品 一般社団法人ＪＰＣＥＲＴ

ニュース JPCERT/CC、連絡のとれない開発者の製品に関する脆弱性情報の公表を開始 従来の原則では公開できなかった脆弱性も公表の対象に （2015/9/3 17:44） JPCERT/CCのリリース情報 一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3日、開発者に連絡がとれない製品に関する脆弱性情報の公表を開始した。これらの脆弱性情報は、JPCERT/CCおよび独... 続きを読む

OS Xの未解決の脆弱性、新手のインストーラで悪用 - ITmedia エンタープライズ

2015/08/04 14 users インストーラ 新手 アドウェア Yosemite 悪用

新たに見つかったアドウェアインストーラは、OS X 10.10に存在する特権昇格の脆弱性を突いてパスワードを入力しなくてもroot権限を取得し、マルウェアやアドウェアを呼び込むことが可能だという。 米AppleのOS X 10.10（Yosemite）現行版に存在する未解決の脆弱性情報が公開され、この脆弱性を突く攻撃が出回っているのが見つかった。マルウェア対策製品を手掛けるMalwarebytes... 続きを読む

Node.jsに脆弱性、アップデートで対応 - ITmedia エンタープライズ

2015/07/07 18 users node.js ITmedia エンタープライズ 脆弱性

詳細な脆弱性情報が公開フォーラムに掲載されていたことが分かり、米独立記念日の祝日に当たる7月4日の週末に急遽対応することになったという。 オープンソースのJavaScript環境「Node.js」に脆弱性が発見され、修正のためのアップデートが7月4日付で公開された。 Node.jsのブログやリリースノートによると、脆弱性はV8でUTFストリングをでコードする方法に存在する。悪用された場合、細工を施... 続きを読む

【重要】VENOM（KVMの脆弱性）に関する対策について | さくらインターネット

2015/05/14 144 users VENOM kvm 平素 CVE-2015-3456 脆弱性

2015年5月14日 お客様各位 さくらインターネット株式会社 平素よりさくらインターネットに格別のご愛顧を賜り、誠にありがとうございます。 2015年5月13日、CVE-2015-3456（VENOM）という脆弱性情報が発表されました。 ▼Common Vulnerabilities and Exposures「CVE-2015-3456」 http://cve.mitre.org/cgi-bi... 続きを読む

「Windows 8.1」の脆弱性を修正前に公表、グーグルに批判の声 - ZDNet Japan

2015/01/15 29 users グーグル 批判 公表 脆弱性 ZDNet Japan

Googleのゼロディ攻撃専門のセキュリティチームGoogle Zero Projectが2014年12月から翌1月にかけて、自分たちが発見した「Windows 8.1」の脆弱性情報をパッチ発行前に公開した。この脆弱性はMicrosoftが先に公開した月例パッチリリースで修正されたが、セキュリティ専門家のGraham Cluley氏はGoogleの一連の行為に疑問を投げかけている。 Googleは... 続きを読む

MSがGoogle非難、Windowsの脆弱性情報公開を巡り - ITmedia エンタープライズ

2015/01/12 33 users ITmedia エンタープライズ Windows 顧客 被害

GoogleがWindowsの未解決の脆弱性情報を公開したことに対し、Microsoftは「結果として被害を被るのは顧客だ。Googleにとって正しいことが顧客にとって常に正しいとは限らない」と強調した。 米Microsoftが米国時間の1月13日に予定している月例セキュリティ情報の公開直前になって、米GoogleがWindowsの未解決の脆弱性に関する情報を公開した。これに対してMicrosof... 続きを読む

カートリッジ式コーヒーメーカー「Keurig 2.0」に脆弱性、正規カートリッジへの成り済ましが可能 | スラッシュドット・ジャパン idle

2014/12/13 15 users Hackaday idle 本家 スラッシュドット・ジャパン

Keurigのカートリッジ式コーヒーメーカー「Keurig 2.0」には互換カートリッジの使用をブロックする機能が搭載されているが、この機能を迂回して正規カートリッジ(K-Cups)に成り済ますことが可能な脆弱性が発見され、脆弱性情報が公開された(Caffeine Securityの脆弱性情報、 Hackadayの記事、 本家/.)。 Keurig 2.0に互換カートリッジをセットするとエラーメッ... 続きを読む

Android向け「JR東日本アプリ」に脆弱性、最新版にアップデートを -INTERNET Watch

2014/06/18 18 users INTERNET Watch 脆弱性 Android向け

ニュース Android向け「JR東日本アプリ」に脆弱性、最新版にアップデートを （2014/6/18 18:27） 脆弱性情報サイト「JVN」は18日、Android向けアプリ「JR東日本アプリ」にSSLサーバー証明書の検証不備の脆弱性が存在するとして、脆弱性情報を公開した。既に、脆弱性を修正したバージョン1.2.0が公開されており、JVNでは最新版へのアップデートを呼び掛けている。 「JR東日... 続きを読む

Adobe ShockwaveにバンドルのFlash、多数の脆弱性が放置状態に - ITmedia エンタープライズ

2014/05/25 19 users Flash Adobe Shockwave ハンドル 脆弱性

現行バージョンのShockwaveに組み込まれているのは、2013年1月にリリースされた古いバージョンのFlash 11.5.502.146だった。 米Adobe SystemsのShockwave Playerに組み込まれているFlashが古いバージョンのまま更新されず、多数の脆弱性が放置された状態になっていることが分かった。米カーネギーメロン大学のCERTが脆弱性情報を更新して注意を呼び掛けて... 続きを読む

McAfee、ライセンス契約を結ばずにオープンソースの脆弱性データベースから大量の脆弱性情報を取得する | スラッシュドット・ジャパン セキュリティ

2014/05/10 31 users McAfee 無償 スラッシュドット・ジャパン セキュリティ

Open Source Vulnerability Database(OSVDB)では、ボランティアモデルによる運営が十分に機能していないため、非商用の個人に限ってデータを無償で提供しており、それ以外はライセンス契約が必要となっている。しかし、ライセンス契約を結んでいない組織によるデータの取得が増加しており、先日はMcAfeeによる2,000件以上の無断データ取得も確認されたそうだ(OSVDBのブ... 続きを読む

セキュリティ企業がStrutsの未修正の脆弱性情報とそのパッチを公開、議論になる | スラッシュドット・ジャパン セキュリティ

2014/04/24 23 users Struts バッチ スラッシュドット・ジャパン 議論 未修正

あるAnonymous Coward 曰く、 2014年3月に対策が行われたApache Strutsの脆弱性CVE-2014-0094について、この対策が不十分であり、脆弱性がまだ存在していることをセキュリティ診断などを行う三井物産セキュアディレクションが発表した。同時に、暫定対応を行うコードも公開されている。 しかし、まだ修正されていない脆弱性の存在を発表したことに対し批判する声も出ている。ま... 続きを読む