性（「XSS脆弱性」）とは
Cisco WebEx ブラウザ拡張機能リモート コード実行の脆弱性
... http://www.cisco.com/en/US/docs/general/warranty/English/EU1KEN_.html また、お客様がソフトウェアをダウンロードできるのは、ソフトウェアの有効なライセンスをシ スコから直接、あるいはシスコ認定リセラーやパートナーから取得している場合に限ります。 通 常、これは以前購入したソフトウェアのメンテナンス アップグレードです。 無償のセキュリティ ...
10
はじめに オープンソースのCMSであるDrupalに リモートより任意のコードを実行可能な脆弱性が報告されています 本脆弱性を悪用された場合には 遠隔の第三者によって Webサーバの動作権限にて任意のコードを実行されてしまう可能性があります なお 本脆弱性は Drupalgeddon と呼称されてい
... 今回の脆弱性は外部入力によって"Special Elements”の指定が可能になるパターンが存在 したことにより、関数実行が可能となる脆弱性でした。これはDrupal側が本来想定してい なかった動作と考えらえます。 ...
24
CWEを用いた脆弱性分類の検討
... 1. はじめに IPA（Information-technology Promotion Agency, Japan）では，平成 16 年に経済産業省が公示した 「ソフトウエア等脆弱性関連情報取扱基準」（平 成 16 年経済産業省告示第 235 号）に基づき，情報 セキュリティ早期警戒パートナーシップとして， 脆弱性関連情報の届出を受け付け分析している． ...
6
JBoss Application Server におけるディレクトリトラバーサルの脆弱性
... } } 引数folderを使用してFileオブジェクトを作成する。 baseはjmxコンソール上で設定されたコンテンツ保存 のディレクトリパスのFileオブジェクトであり、デ フォルトでは「./deploy/management」となる。 そのため、ここで作成されるFileオブジェクトのパス は「./deploy/management/testfolder」となる。 ...
45
H デスクトップ OS ベンダーレポート 脆弱性と DoR (Days of Risk) 本レポートでは 2008 年上半期に Apple Micr
... 別の興味深い数値は、公開されてから 1 日以内に修正されている問題の件数でした。Microsoft の問題の約 90% が 公開から 1 日以内で修正されていました。これは Microsoft のお客様にとって、比較的いいニュースです。この高 い数値はリサーチャーのコミュニテゖで責任ある公開を推進するにあたり、ある程度の成功をおさめていることを反 ...
33
ソフトウェア等の脆弱性関連情報に関する届出状況
... 2-1 はウェブサイトの脆弱性関連情報の届出について、処理状況の推移を示したものです。 ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 118 件（累計 5,020 件）で した。このうち、「修正完了」したものは 107 件（累計 3,449 件）、ウェブサイトが利用している ...
23
脆弱性診断士（プラットフォーム）スキルマップ＆シラバスについて
... 特定非営利活動法人 日本ネットワークセキュリティ協会（会長 田中英彦、以下 JNSA）の日本セキュ リティオペレーション事業者協議会（以下、ISOG-J）のセキュリティオペレーションガイドラインワ ーキンググループと、OWASP Japan （リーダー 岡田良太郎、上野宣）主催の共同ワーキンググルー プである 「脆弱性診断士（Web アプリケーション）スキルマッププロジェクト （代表 ...
6
[投影版]見つけられやすい脆弱性とウェブフレームワークに求められるセキュリティ対策_
... か判別できない。そのため、ランダムな値のトークンを hiddenパラメータで 送信させ、意図しないページからのリクエストでないか判別する 処理を実行する前のページで再度パスワードの入力を求め、実行ペ ージでは、再度入力されたパスワードが正しい場合のみ処理を実行 する ...
49
内容 ( 演習 1) 脆弱性の原理解説 基礎知識 脆弱性の発見方法 演習 1: 意図しない命令の実行 演習解説 2
... クロスサイト・リクエスト・フォージェリ(CSRF)とは？ CSRF(Cross Site Request Forgeries)= サイトを横断し てリクエストを偽造 セッションIDを悪用し、ウェブサイトにログインしている利 ...
33
脆弱性やセキュリティ設定をチェックする「OVAL」
... 特にOVALを作ってほしい人 • ソフトウェア製品開発者がOVAL定義データ – 多くの開発者の方々がOVAL定義データを作成することで ユーザはインストールしているソフトウェアの一括のバージ ョンチェックの一助に ...
28
「脆弱性対策の標準仕様SCAPの仕組み」
... MyJVNバージョンチェッカとは PCにインストールされているソフトウェア製品（Adobe Flash Player、Adobe Reader、JRE等）が最新かを簡単な操作で確認するツール サービス開始は2009年11月末。チェック対象アプリは随時追加中。 （2009/11時点のアプリ数は8 → 2011/8時点のアプリ数は17） ...
106
MySQL Connector/J における SQL インジェクションの脆弱性
... プリペアードステートメントとは: サンプルコード 1: Connection conn = DriverManager.getConnection( "jdbc:mysql://192.168.xxx.xxx/?characterEncoding=Windows-31J",“id", "password"); 2: String input = ...
36
Apache ActiveMQ における認証処理不備の脆弱性
... 「Javaアプリケーション脆弱性事例調査資料」について この資料は、Javaプログラマである皆様に、脆弱性を身 近な問題として感じてもらい、セキュアコーディングの 重要性を認識していただくことを目指して作成していま す。 ...
33
脆弱性対策データベースとその自動化基盤 ～JVN, JVN iPedia and MyJVN～
... JVN は、“Japan Vulnerability Notes” の略です。日本で使用されているソフ トウェアなどの脆弱性関連情報とその対策情報を提供し、情報セキュリティ対 策に資することを目的とする脆弱性対策情報サイトです。 ...
52
Oracle Java 標準ライブラリ AtomicReferenceArray クラスにおけるデシリアライズに関する脆弱性
... 「Javaアプリケーション脆弱性事例調査資料」について この資料は、Javaプログラマである皆様に、脆弱性を身 近な問題として感じてもらい、セキュアコーディングの 重要性を認識していただくことを目指して作成していま す。 ...
39
目次 1 はじめに AWS が提供するセキュリティモデル 責任共有モデルとセキュリティについて 検討すべきセキュリティ対策のポイント ミドルウェアの脆弱性と公開サーバに対する脅威 ミドルウェアで見つかる深刻な脆弱性..
... A W S 環 境 の 公 開 サー バ に 対 す るセ キュ リ テ ィ検 討 ガ イ ド ペ ー ジ 12 4.2 Trend Micro Deep Security 単体でのセキュリティ強化 AWS WAF を導入していないユーザまたは、構築環境上 AWS WAF が導入できないユーザは、「Web アプリケーション」のレイヤを含めた Deep Security ...
15
第5回_ネットワークの基本的な構成、ネットワークの脆弱性とリスク_pptx
... 1.ネットワークでのセキュリティ対策 ・ネットワークでの対策として、通信データの暗号化やアクセス制御などの対策をする場合もあることを説明します。 2.利用者マシンでのセキュリティ対策 ・利用者マシンでのセキュリティ対策（ウイルス対策やWebブラウザのセキュリティ設定）が必要な点を説明します。 ※詳細は本パッケージ対象外のため、意識づけが目的です ...
26
JPCERT/CC 脆弱性関連情報取扱いガイドライン ver6.0
... JPCERT/CC と製品開発者との間の連絡は、原則として製品脆弱性対策管理者を通して行い ます。製品脆弱性対策管理者には組織内の関係部署との調整をお願いします。 製品開発者に開示された脆弱性情報の発見者は、IPA および JPCERT/CC による一般公表ま ...
30
脆弱性の視点から見るアフリカ農民・農業考
... 保護 （Transformative Social Protection） アプローチ の必要性を提案しているのが Sabates-Wheeler and Devereux ［ 2007 ］ である。彼らは，脆弱性は 社会経済的文脈の中に埋め込まれた問題であり， 人々の脆弱性を和らげるためには，この社会経済 ...
5
シスコ脆弱性データベース（VDB）アップデート 307 のリリース ノート
... • リスク：アプリケーションが組織のセキュリティ ポリシーに違反しうる目的で使用される 可能性。リスクのレベルは次のとおりです。「非常に高い」、「高」、「中」、「低」、 および「非常に低い」。 • ビジネスとの関連性：アプリケーションが、娯楽目的ではなく組織の事業運営の範囲で使 ...
12