脆弱性を作らないために
セキュリティ担当者のための脆弱性対応ガイド 第3版第2刷
... 応急措置的な対策としては、WAF（ウェブ・アプリケーション・ファイアウ ォール）を用いて攻撃を凌ぐことも可能です。より恒久的な対策としては、ウ イルス等の駆除や監視強化等の処置だけでなく、ウェブサイトの脆弱性が原因 で侵害された可能性を考慮し、丁寧な調査を行って「入口にされた穴を見つけ ...
24
はじめに オープンソースのCMSであるDrupalにて 危険度の高い脆弱性 (CVE ) が公開されました 本脆弱性は 2018 年 3 月 28 日に脆弱性が公開されたCVE ( ) に関連するものであり リモートより任意のコードを実行可能な危険度の高い脆弱性と
... はじめに オープンソースのCMSであるDrupalにて、危険度の高い脆弱性（CVE-2018-7602)が公開 されました。 本脆弱性は、2018年3月28日に脆弱性が公開されたCVE-2018-7600(※)に関連するもの ...
34
はじめに オープンソースのCMSであるDrupalに リモートより任意のコードを実行可能な脆弱性が報告されています 本脆弱性を悪用された場合には 遠隔の第三者によって Webサーバの動作権限にて任意のコードを実行されてしまう可能性があります なお 本脆弱性は Drupalgeddon と呼称されてい
... 今回の脆弱性は外部入力によって"Special Elements”の指定が可能になるパターンが存在 したことにより、関数実行が可能となる脆弱性でした。これはDrupal側が本来想定してい なかった動作と考えらえます。 なお、Drupal8.5.0では、core/lib/Drupal/Core/Render/Renderer.phpにて”Special Ele ...
24
はじめに 脆弱性診断 管理サービスをすぐにご利用いただけるように QualysGuard にログインして脆弱性スキャンを実行する方法をご説明します 基本的なステップは以下の 2 段階の手順に分けられます 手順 1 スキャンの準備をする 1.1 QualysGuard へのログイン 1.2 IP アド
... 用意されているオプションプロファイルを編集する場合は、オプションプロファイル行を選択し、 Quick Actionsメニューで「Edit」を選択し設定内容を編集します。 オプションプロファイルを新規作成する場合は、「New」-「Option Profiles」を選択します。 ①メニューバーから「Scans」を選択 ...
41
脆弱性の種類を分類するための「CWE」
... ベース 特定の環境や技術に依存しない脆弱性。 CWE-79：XSS CWE-89：SQLインジェクション バリアント 特定の環境や技術に依存する脆弱性。 CWE-85：Doubled Character XSS Manipulations 複合要因 複数の要因が複合した脆弱性。次の二つの属性がある。 - ...
25
(1) 鍵の更改 に追従するために 1 のソフトウェア ( 一般に BIND 又は Windows Server を利用 ) を最新版に更新する ( 今回の対策だけでなく 脆弱性への対応のためにも 最新版への更新は必須 ) 2 において DNSSEC のトラストアンカーの自動更新 の設定を行う 3
... ○ 各階層の管理者は、あらかじめ⾃らのKSK公開鍵を上位の階層の管理者に預ける。 ○ 各階層の管理者は、キャッシュDNSサーバーからの問合せに対し、⾃らのZSK秘密鍵による署名及び下位階 層の管理者のIPアドレス及び当該下位階層の管理者のKSK公開鍵の情報を応答する。 ○ 加えて、各階層の管理者は、⾃らのKSK秘密鍵による署名及びZSK公開鍵及びKSK公開鍵を送付する。 ○ ...
7
[投影版]見つけられやすい脆弱性とウェブフレームワークに求められるセキュリティ対策_
... 6. クロスサイト・リクエスト・フォージェリ 対策 l 根本的解決 アクセス制御機能による防御措置が必要とされるウェブサイトには、 パスワード等の秘密情報の入力を必要とする認証機能を設ける →パスワードの入力を受け付ける際は、不必要にログ等に記録されない ...
49
講義内容 AppGoat の説明 起動手順 学習の進め方 利用シーン紹介 脆弱性学習 ( 演習あり ) SQLインジェクションの脆弱性 クロスサイト スクリプティングの脆弱性 アンケート記入 2
... SELECT * FROM user WHERE id= ' john' OR 'A'='A ' ; ※SQL文中の「'john'」のような定数をリテラルと呼び、文字列としてのリテラル を文字列リテラルと呼ぶ。数値は数値リテラルと呼ぶ。 文字列リテラルは「'」で括り、数値リテラルは「'」で括らない。 ...
59
脆弱性診断士（プラットフォーム）スキルマップ＆シラバスについて
... 脆弱性診断士（プラットフォーム） スキルマップ＆シラバスについて はじめに 近年、IT システムのさらなる普及に伴い、様々なシステムに対する攻撃に起因する情報漏えいや経済 的損失などの被害が発生していることを受け、システムのリリース前に脆弱性の有無を調査する脆弱 ...
6
ソフトウェア等の脆弱性関連情報に関する届出状況
... 2. ウェブサイトの脆弱性の処理状況の詳細 2.1 ウェブサイトの脆弱性の処理状況 図 2-1 はウェブサイトの脆弱性関連情報の届出について、処理状況の推移を示したものです。 ウェブサイトの脆弱性について、今四半期中に処理を終了したものは 118 件（累計 5,020 件）で ...
23
ジェンダー平等と包摂に関するグローバル・ポリシー～性別や属性による差別のない社会を実現するために～
... 通する戦略的な利益を実現する可能性があります。女の子は女の子としての権利保持者であり、「女 性」や「子ども」の一部ではありません。女の子の権利は「子どもの権利条約（CRC）」や「女性差 別撤廃条約（CEDAW）の双方に規定されています。女の子が権利実現しようとすると、女の子ならで ...
7
けがをしない身体をつくるために
... 端末を開発中である。これは、運動時にリアルタイムで自分自身の動作解析 を行えるデバイスとなり、フォームの確認にとどまらず、スポーツ傷害を起 こしやすい動作を抑制し、正しい動作に矯正していくことができる。そのこ とによりトップアスリートの運動パフォーマンス向上に役立つと考えている。 ...
9
ソフトウエアの脆弱性データベースとSAMAC辞書
... 情報システムを構成するハードウェア、ソフトウエアの名称を、プロ グラムで(機械)処理しやすい形式で記述するための仕様 MyJVN APIでは、CPE v2.2をサポート cpe:/a:ipa:myjvn cpe:/{種別}:{ベンダ}:{製品}:{バージョン} ...
44
シスコ脆弱性データベース（VDB）アップデート 307 のリリース ノート
... Talos について Talos Security Intelligence and Research Group（Talos）は、洗練されたシステムによってサポー トされる優れた脅威研究者によって構成され、既知の脅威と新たな脅威の両方を検出および分 析し、その脅威から保護するためのシスコ製品の脅威インテリジェンスを作成しています。 Talos は、Snort.org 、 ClamAV 、 ...
12
Spacewalkにおけるクロスサイトフォージェリ(CSRF)の脆弱性
... 「Javaセキュアコーディングスタンダード CERT/Oracle版」と合わせて、セキュアコーディングに 関する理解を深めるためにご利用ください。 JPCERTコーディネーションセンター セキュアコーディングプロジェクト [email protected] ...
34
脆弱性対策情報データベースJVN iPediaの登録状況
... (1) 「古い」脆弱性の対策情報へのアクセスが顕著 JVN iPedia の脆弱性対策情報の中で 2009 年度にアクセスの多かった上位 20 件を発表しました （詳 細は別紙 1 参照）。これによると、2009 年に公開された情報だけでなく、2008 年以前に公開された ...
10
脆弱性の視点から見るアフリカ農民・農業考
... 弱性増大に原因があるとした。そして，農業生産 を取り巻くリスクの大きさと，それに対処する能 力の欠如は，自然条件も関係しているが政治経済 の変動とも密接な関係があると考えた。したがっ て彼らは，政治と農業生産さらには環境との関連 性を追究する必要性を説いたのである。このよう ...
5
最新 Web 脆弱性トレンドレポート (06.0) ~ Exploit-DB( より公開されている内容に基づいた脆弱性トレンド情報です サマリー ペンタセキュリティシステムズ株式会社 R&D センターデータセキュリティチーム 06
... 2016.01.01~2016.01.31 Exploit-DB(http://exploit-db.com)より公開されている内容に基づいた脆弱性トレンド情報です。 中 ：情報漏洩 するため、高度な攻撃コードを採用したパターン、知らされていない攻撃 コードを採用したパターンのいずれかに該当する ...
6
Blojsom におけるクロスサイトスクリプティングの脆弱性
... https://www.jpcert.or.jp/securecoding/2012/No.03_Blojsom.pdf 本資料を引用・転載・再配布をする際は、 引用先文書、時期、内容等の情報を、J PCERT コーディ ネーションセンター広報( [email protected] )までメールにてお知らせください。なお、この連絡に ...
28
Apache ActiveMQ における認証処理不備の脆弱性
... https://www.jpcert.or.jp/securecoding/2012/No.06_Apache_ActiveMQ.pdf 本資料を引用・転載・再配布をする際は、 引用先文書、時期、内容等の情報を、J PCERT コーディ ネーションセンター広報( [email protected] )までメールにてお知らせください。なお、この連絡 ...
33