昨日の Twitter の XSS 騒ぎは、まだ皆さんの記憶に新しいことと思います。いい機会なので、ツイートのような構造化テキストのエスケープ手法について触れておきたいと思います。 Twitter のメッセージは、単なる平文（プレインテキスト）ではなく、「@英数字」のような他のユーザーへの言及と「http://〜」のような URL を自動的にハイパーリンク化する構造化テキストです。 このような複数のルールをもつ構造化テキストを HTML 化する際には、どのようなコードを書けばいいのでしょう？ まず「@〜」をリンク化してから、URL をリンク化すればいいのでしょうか？ それだと、@〜 のをリンク化した A HREF タグの中の URL がさらにリンク化されていまいますね。 では、URL をリンク化してから @〜 をリンク化すればいいのでしょうか？ それだと、@ を含む URL があった場合に
Subversion is an open source version control system. Google、Matt Lewis氏がSubversionにヒープオーバーフローの脆弱性があることを報告している。脆弱性の詳細はSecurityFocusにおいてSubversion Binary Delta Processing Multiple Integer Overflow VulnerabilitiesやSubversion heap overflow Aug 07 2009 02:47PMとしてまとめられている。 これは処理の一部で正しく入力値のチェックをしていないために発生する脆弱性。攻撃者にこの脆弱性をつかれると、Subversionサーバに影響がでるほか、場合によってはクライアントにも影響が及ぶ可能性がある。攻撃に失敗した場合でもDoS攻撃につながると説明がある。 1
2009/08/02 Appleキーボードにキーロガーを仕込む なんと、Appleキーボードには脆弱性があり、ファームウェアにキーロガーを仕込む事ができるという発表がBlack Hatで行われた (論文とプレゼン)。この脆弱性を発見した K.チェン氏によると、Appleキーボードにはファームウェアを内蔵する8KBのフラッシュメモリと256BのRAMを内蔵しているが、Appleが提供している HIDFirmwareUpdaterTool を悪用することで、改変ファームウェアに更新してキーロガーを埋め込むことに成功している。チェン氏が直前5文字を再生するキーロガー (PoC) のデモをで行った。フラッシュメモリには1KBの空き容量があるそうで、かなりのキーログを記録できると思われる。SemiAccurateによるとツールを走らせ、ブレークポイントを設定することで、このコードを簡単に入れ替えるこ
日本時間の昨日、セキュリティー専門家によってデモが行われたSMSの脆弱性に対するパッチが、早くも土曜日(米国時間)にリリースされる予定と伝えられています。[source: MacRumors ] 問題となっているSMSのセキュリティーホールは、ラスベガスで開催されたBlack Hat cybersecurity conferenceでデモが行われ、ターゲットになるiPhoneの遠隔操作を可能にする、重度の脆弱性とみられています。 悪意のある人が特定のテキストを含んだSMSメッセージを送信するだけで、それを受信したiPhoneが脅威にさらされるため、アップルに対して1ヶ月以上前に情報を提供したとされていますが、未だパッチはリリースされていません。 これに対して、イギリスでのiPhoneのキャリアであるO2の広報が、「パッチはiTunes経由で土曜日に配布される」とコメントしたようです。 いま
Posted by Shugo Maeda on 23 Aug 2008 Rubyの標準ライブラリに含まれているREXMLに、DoS脆弱性が発見されました。 XML entity explosion attackと呼ばれる攻撃手法により、ユーザから与えられ たXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすること ができます。 Railsはデフォルトの状態でユーザから与えられたXMLを解析するため、大部分の Railsアプリケーションはこの攻撃に対して脆弱です。 影響 攻撃者は、以下のように再帰的にネストした実体参照を含むXML文書をREXMLに 解析させることにより、サービス不能(DoS)状態を引き起こすことができます。 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE member [ <!ENTITY a "&b;
Posted by Shugo Maeda on 11 Aug 2008 Ruby 1.8.7-p72 / 1.8.6-p287がリリースされました。 前回のリリースの修正は不完全で、新しいリリースは以前にアナウンスされたdlの脆弱性の修正を含んでいます。 リリースされたソースアーカイブは以下から入手できます。 <URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz> <URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.bz2> <URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.zip> <URL:https://cache.ruby-lang.org/pu
Posted by Shugo Maeda on 8 Aug 2008 Rubyに複数の脆弱性が発見されました。最新バージョンへのアップグレードを推奨します。 詳細 以下のような脆弱性が発見されました。 セーフレベルの脆弱性 セーフレベルにいくつかの脆弱性が発見されました。 untrace_varがセーフレベル4で実行可能です。 trace_var(:$VAR) {|val| puts "$VAR = #{val}" } Thread.new do $SAFE = 4 eval %q{ proc = untrace_var :$VAR proc.first.call("aaa") } end.join
Posted by Shugo Maeda on 20 Jun 2008 信頼できない入力がRubyプログラムの入力として与えられた場合に、DoS攻撃を受け たり、任意のコードが実行される脆弱性が発見されました。 影響 攻撃者に以下の脆弱性を利用されることにより、DoS攻撃を受けたり、任意のコード が実行される危険性があります。 CVE-2008-2662 CVE-2008-2663 CVE-2008-2725 CVE-2008-2726 CVE-2008-2664 脆弱性の存在するバージョン 1.8系 1.8.4以前の全てのバージョン 1.8.5-p230以前の全てのバージョン 1.8.6-p229以前の全てのバージョン 1.8.7-p21以前の全てのバージョン 1.9系 1.9.0-1以前の全てのバージョン 各バージョンでの対応方法 各バージョンでの対応方法を以下に記載します。 1.8
誠に申し訳ございませんが、お探しのページは削除されたか、URLが変更になった可能性があります。 お手数ですが、以下のナビゲーションからページをお探しください。
■ はじめに 「△△製のソフトウェア××に脆弱性が発見された」というニュースが連日のようにネットの上を行き交っています。 このブログの読者にはプログラム開発者の方も多いと思いますが、 自分の携わるソフトウェアの脆弱性を第三者から指摘された経験のある方はどのくらいおられるでしょう？ 先日、筆者は「HttpLogger」というフリーソフトウェアのセキュリティホールを修正しました。 そのきっかけとなったのはJPCERT/CC（有限責任中間法人 JPCERT コーディネーションセンター）様から届いた 一通のメールでした。 それから私は同センターと連携し、10日余りの準備期間を経て修正ずみのモジュールの公開と 旧バージョンにおける脆弱性情報の開示を行いました。 この「脆弱性情報ハンドリング」と呼ばれるプロセスに関わったことは、一般的な知名度とは裏腹に 普段あまり身近な存在ではない「JPCERT/CC
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く