イントロダクション
iOS版のniconicoアプリに、中間者攻撃(man-in-the-middle attack)」を受けうる脆弱性があったようです。
iOS版「niconico」アプリにおける脆弱性と、セキュリティ強化について‐ニコニコインフォ
http://blog.nicovideo.jp/niconews/ni055746.html
http://blog.nicovideo.jp/niconews/ni055746.html
現在、脆弱性を修正したアプリが公開されています。
2015年9月29日火曜日
2015年3月26日木曜日
情報セキュリティ10大脅威 2015 解説資料公開 - セキュリティの最新動向を抑えよう！
イントロダクション
IPA（独立行政法人情報処理推進機構)が、2015年2月6日に公開した「情報セキュリティ10大脅威 2015」の解説資料が、2015年3月25日に公開されました。下記ページより、ダウンロードすることができます。
情報セキュリティ10大脅威 2015：IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/vuln/10threats2015.html
https://www.ipa.go.jp/security/vuln/10threats2015.html
2015年3月13日金曜日
2015年2月27日金曜日
JavaScript:element.setAttributeしたときの、HTMLはどうなっているか？
ラベル:
DOM Based XSS,
HTML,
JavaScript,
XSS,
セキュリティ,
脆弱性
本投稿の要約
setAttribute を使用することで、HTML 構造の破壊を防ぐことはできますが、危険な値そのものが入り込むことは防ぐことはできません。
別途、危険な値が入り込まないような仕組み(そもそも設定しない、値のエスケープ処理等)を実装する必要があります。
イントロダクション
JavaScript にて、「DOM Based XSS」の脆弱性を埋め込むのを防ぐためには、document.write や element.innerHTML などを使うのではなく、以下のように DOM 操作用メソッドを使用すると良いとされています。
入力されたテキストをブラウザに表示されているドキュメントの要素の属性に設定：
element.setAttribute(attribute, input_text);
attribute : 設定する属性の名前
input_text : 入力されたテキスト
element : 属性を設定する要素(element オブジェクト)
このとき、入力されたテキストを属性値として設定した要素の HTML が、入力されたテキストによってどうなるのか気になりませんか？
そこで、実際に JavaScript でコードを作成して試してみました。
JavaScript:document.createTextNodeをappendChildしたときの、HTMLはどうなっているか？
ラベル:
DOM Based XSS,
HTML,
JavaScript,
XSS,
セキュリティ,
脆弱性
イントロダクション
JavaScript にて、「DOM Based XSS」の脆弱性を埋め込むのを防ぐためには、document.write や element.innerHTML などを使うのではなく、以下のように DOM 操作用メソッドを使用すると良いとされています。入力されたテキストをブラウザのドキュメントに表示：
element.appendChild(document.createTextNode(input_text));
input_text : 入力されたテキスト
element : テキストを追加する親要素(element オブジェクト)
このとき、テキストを追加した親要素の HTML が、入力されたテキストによってどうなるのか気になりませんか？
そこで、実際に JavaScript でコードを作成して試してみました。
セキュリティ対策：JavaScriptでHTML操作をする人は必読！IPAテクニカルウォッチ 『DOM Based XSS』に関するレポート
ラベル:
DOM Based XSS,
HTML,
JavaScript,
Mutation-based XSS,
XSS,
セキュリティ,
脆弱性
イントロダクション
誰でも手軽に使えて便利な JavaScript ですが、書き方を間違えると重大なセキュリティ上の問題（脆弱性）を引き起こしてしまいます。そんな JavaScript を使ったプログラムの脆弱性の中でも、うっかり作りこんでしまいがちなのが、「DOM Based XSS」ではないでしょうか？
2015年2月13日金曜日
JavaScript:location.hrefの注意点 - URLのドメイン前にベーシック認証が埋め込める、そして脆弱性
イントロダクション
avaScript を使用して、ブラウザで現在表示しているページの URL を取得する場合には、location オブジェクトから取得するのが一般的です。しかし、この location オブジェクトは注意して使わないと、意図しない情報を取得してしまったり、Webページにアクセスするための十分なURLを組み立てられなかったり、最悪脆弱性を作りこんでしまう恐れがあります。
その一つに、URLのドメインの前にベーシック認証の情報を埋め込めてしまうという点が挙げられます。
そして、これは最悪脆弱性につながる問題です。
（※ 脆弱性につながる問題は、2011年12月～2012年8月頃に一部のブラウザにて発覚した問題であり、アップデートの提供されている最新の現在主流のバージョンのブラウザでは修正されています。）
以下で、詳しく見ていきます。
2014年5月2日金曜日
IE脆弱性修正プログラム配布スタート-XPにも対応するMSの神対応(2)
記事「IE脆弱性修正プログラム配布スタート-XPにも対応するMSの神対応」で紹介した Internet Explorer の脆弱性修正プログラムですが、私の Windows Vista にも来ていました!!
2014年4月30日水曜日
IE脆弱性問題を通して複数のブラウザを使用することのメリットを考える
Internet Explorer(IE) で見つかった脆弱性により、米国土安全保障省コンピューター緊急対応チームは脆弱性が修正されるまで IE を使わないように警告しているようです。