Ghostscript脆弱性とImageMagick/GraphicsMagick、そしてGoogle Project Zero - ろば電子が詰まっている

2018/08/26 73 users GraphicsMagick lists ろば電子 クロス

Ghostscriptの脆弱性が、Google Project ZeroのTavis Ormandy氏により公開されました(CVE番号はまだ無し)。openwallのoss-securityメーリングリストにもクロスポストされたので、こちらを見た方も多いでしょう。 https://bugs.chromium.org/p/project-zero/issues/detail?id=1640 http://openwall.com/lists/oss-securit... 続きを読む

第29回　2016年12月～CVE番号が1年で9999以上払い出される＆年末年始の注意：インフラセキュリティの処方箋｜gihyo.jp … 技術評論社

2016/12/26 12 users おわり 処方箋 インフラセキュリティ gihyo.jp 形式

2016年ももうおわり， セキュリティを軸にこの1年を振り返ると， いろんなことがありました。 今年のCVE番号払い出しは9999を超えた～たとえばCVE-2016-1000031 昨年までは， 年間9999以下で終わっていたCVE番号の払い出しですが， とうとう今年は9999を超えました。CVE番号の形式が変わる旨アナウンスされたのは， 2014年のことですが， 2016年末に， CVE番号の形... 続きを読む

脆弱性を識別するCVE番号の新体系による採番のお知らせ

2014/09/24 33 users 採番 脆弱性 CVE 体系 前提

脆弱性を識別するCVE番号の新体系による採番のお知らせ 米国MITRE社*1が管理運営する脆弱性の識別子CVE (Common Vulnerabilities and Exposures)*2番号の体系が、2014年から年間1万件を超える脆弱性にも対応できるよう拡張されました。 CVEを参照している組織等においても、固定長のCVE番号を前提とした機械処理をしている場合には、誤動作する可能性があるた... 続きを読む

won't fix: オープンソースな製品でどうセキュリティバグをハンドルするか？

2013/12/18 59 users セキュリティバグ fix won't クラッシュ ラベル

2013-12-18 オープンソースな製品でどうセキュリティバグをハンドルするか？ ラベル: Mozilla 自分がFirefox 26で直した話でSecurity Bugとしてマークされているのがあったんだけど、それの話。バグ自体は、CVE番号は振られているけどただのクラッシュなのでSecurity Advisoriesには載ってないものね。 今までもたまにSecurity bug自体は直してた... 続きを読む