脆弱性関連情報の届出｜IPA 情報処理推進機構
主に日本国内からのアクセスが想定されるウェブサイトで稼動するウェブアプリケーションが該当します。例えば、主に日本語で記述されたウェブサイトや、URL のホスト名の最上位ドメインが「jp」ドメインのウェブサイト等を指します。 ※ ソフトウェアとウェブアプリケーションの分類が難しい場合 修正作業が事業者側のみで済む場合をウェブアプリケーション、製品利用者側の対応が必要な場合をソフトウェア製品として判断してください。 ※インターネット上で公開されている、脆弱性を発見・検証するツールなどは、その動作をよく把握せずに使用すると、サーバに負荷や障害を発生させる可能性があるため、実行しないでください。 ※ 脆弱性関連情報取扱いの仕組みは、関係者の善意により成り立つものであり、IPA では以下のことは実施できません。そのため、必ずしも期待する対応がとられるとは限らないことを、ご了承ください。 届出者に対す
今後の高校教育の在り方に関するヒアリング（第1回）齋藤ウィリアム浩幸氏（株式会社インテカー代表取締役社長）意見発表：文部科学省
現在位置 トップ > 教育 > 小学校、中学校、高等学校 > 高等学校教育 > 今後の高校教育の在り方に関するヒアリング > 今後の高校教育の在り方に関するヒアリング（第1回）配布資料・議事録 > 今後の高校教育の在り方に関するヒアリング（第1回）齋藤ウィリアム浩幸氏（株式会社インテカー代表取締役社長）意見発表 【齋藤氏】 初めまして、齋藤と申します。すみません、さきほどドバイから帰ってきまして、このプレゼン資料を日本語にする時間もなく、また直前の配付になってしまいすみませんでした。ただ、プレゼンは英語で書かれていますが、日本語でなるべく補完して説明をしていきたいと思います。本日は自己紹介を交えながら、また自分のこれまでの日本とアメリカの経験を皆さんとシェアしながら、話したいと思います。 最初から英語のスライドで失礼しますが、このとおり、私はアメリカのカリフォルニア州で生まれ育ちました。親
ウェブ届出フォーム Advent Calendar 2017 - Adventar
ウェブ届出フォームが再公開される様子をレポートします （現在、アドベントカレンダーは停止しております。再公開は2017年12月頃を予定しています。）
標的型攻撃を自社で発見できるケースは全体の1割強 - SecureWorks
SecureWorks Japanは1月25日、最近の標的型攻撃の動向を説明する記者説明会を開催。この中で、同社 セキュリティ＆リスクコンサルティング マネージャ 三科涼氏は、標的型攻撃を受けている企業のうち、自社で発見できたケースは12%程度だと説明し、巧妙化する標的型攻撃の防御の難しさを強調した。 同氏は巧妙化する驚異について、「10年ほど前まではサイバー攻撃は愉快犯やウイ ルスが中心だったが、最近の標的型攻撃は、金銭目的や思想に基づいた攻撃が増え、より組織的になっている」と指摘した。 同社が昨年対応したセキュリティインシデントは720件あったが、このうち、自社で攻撃を発見したのは1割強に過ぎないという。ほとんとは、JPCERT/CCや警察など、外部からの通報だという。 発見されにくい要因としては、予め利用されているセキュリティ対策ソフトを調査し、それに発見されないような手口を利用する
Welcome to zei.tokyo.jp
ようこそzei.tokyo.jpへ このページは東京都税のホームページではありません。 そもそもは東京都とは関係ありません。 都税クレジットカード支払いサイトとしてhttps://zei.tokyoというのがあります。 公式サイトではあるのですがURLから簡単に判断できないうえ、都道府県型jpの名前空間が解放されてしまった影響でzei.tokyo.jpが誰でもたった年3000円足らずで購入できる状態になっており、フィッシングサイトなどを作られかねない状況だったので私的に確保したサイトです。 東京都はそもそも、https://zei.tokyo/ などという簡単に公式かどうか判断できないURLを使うのはやめるべきです。とはいえ使ってしまった以上、https://zei.tokyo/ から公式サイトhttp://www.metro.tokyo.jp/ 内のいずれかのページかhttps://ze
【プレスリリース】SIEMの評価導入、ログ分析を短期間で実現する スポットログ評価サービス「LogDiver」提供開始 | NTTデータ先端技術株式会社
【プレスリリース】SIEMの評価導入、ログ分析を短期間で実現する スポットログ評価サービス「LogDiver」提供開始 ～インテルセキュリティのSIEMを活用したお客さま環境の現状分析を支援～ Tweet ニュースリリース - 2016.08.30 ＮＴＴデータ先端技術株式会社（本社：東京都中央区、代表取締役社長：三宅 功、以下、ＮＴＴデータ先端技術）は、お客さま環境へのSIEM＊1の導入効果の評価およびセキュリティ対策の現状分析を支援する『スポットログ評価サービス「LogDiver」』を2016年9月1日より提供開始いたします。 本サービスは、インテルセキュリティ（日本での事業会社：マカフィー株式会社）の統合セキュリティログ分析ソリューション「McAfee® SIEM（Security Information and Event Management）」を試行導入し、お客さま環境のログを
EC-CUBE脆弱性 公開中止関連反響まとめ
後からこの件について知りたくなった方のために反響・関連発言をまとめました。 （発言をまとめただけで特に結論的なものはありません。）
EC-CUBE脆弱性情報の公開の是非 | サンクユーWEB制作ブログ
脆弱性てなんて読むの？ 脆弱性とは「ぜいじゃくせい」と読みます。 たまに、お客様と会話していると「きじゃくせい」と言われる方がおられ、さりげなく「そのぜいじゃくせいですが・・・」と正しい読み方を教えてあげるくらいは優しい私です。 ごく稀に、制作会社の方でも「きじゃくせい」と言われる方がおられるのにはビックリ仰天です。 それだけWEB制作業界も敷居が低くなったんだなぁ。。。と感慨深くなります。 脆弱性て何？ すみません。 冒頭から脱線しました。 脆弱性とは、システムの不具合（プログラムの不具合、仕様の不具合）によるセキュリティの欠陥のことを言います。 悪意のある人がその脆弱性を利用して、システムの内部に入り込んだり、情報を盗んだりすることができます。 ですので、システム（サイト）に脆弱性が発見された際には、速やかに対応する必要があります。 脆弱性はあってはならないものですが、ほとんどのシステ
［伊藤忠商事］外部から即戦力を引っ張り、全員をセキュリティのエキスパートに
伊藤忠商事は、CSIRT（セキュリティ・インシデント・レスポンス・チーム）の「ITCCERT」全体で「誰がどこからなぜどうやって攻撃してくるのか」というセキュリティ企業が提供する有償情報である「サイバー・スレット・インテリジェンス（CTI）」の活用に取り組んでいる。 リードするのは外部登用したエース級のセキュリティ技術者だ。CSIRTリーダー自らがインテリジェンスの豊富さを見込んでスカウトした。 グループ100社のセキュリティをメルマガで底上げ ITCCERTが発足したのは2012年。2011年9月に三菱重工業への標的型攻撃が判明したことを受けて、CIO（最高情報責任者）の検討を経て設置された。伊藤忠商事の各カンパニーを横断する全社インフラの情報化を担当するIT企画部が、JPCERTコーディネーションセンターが公開する「組織内CSIRT」の構築支援資料である「CSIRTマテリアル」を参考に
EC-CUBEで発見した脆弱性の詳細 前編
本件はEC-CUBEに関しての一番最初の届出だったのですが、再現方法が複雑で、自分の説明がうまくなかったのもあって、IPAの方と話がうまくかみ合わず苦労した覚えがあります。 これはPostgresを利用しているEC-CUBEの上記バージョンにおいて、不正なUTF-8文字コードをリクエストに含めるとエラーが発生し、エラーメッセージとして、PHPSESSIDに紐づいているPHPセッションオブジェクトに入っている情報の先頭680バイト部分（長さは環境による）が、ユーザーのブラウザ上で暴露されてしまう、という脆弱性と、そのエラーメッセージのダンプにタグを含ませることができ、XSSが可能、という脆弱性です。 再現に使ったPostgreSQLのバージョンは9.2.3で、MySQL利用のEC-CUBEだと再現せず、またEC-CUBE2.12.3では同様の攻撃を行っても情報は出力されませんでした。 当時使
総務省｜非常勤職員採用情報 情報流通行政局（情報流通振興課情報セキュリティ対策室）
以下に掲げる事項について高い専門性や十分な知見を有している者 情報通信ネットワークの構築・運用に関する専門的知識、実務経験を有すること。 情報通信技術の動向に関する情報収集・分析に必要な知識、経験を有すること。 情報セキュリティに関する情報収集・分析に必要な知識、経験を有すること。 パソコン操作（EXCEL、WORD等による資料作成）ができること。 なお、以下に該当する方は、応募できませんので御了承ください。 日本国籍を有しない者 国家公務員法第38条の規定により国家公務員になることができない者 成年被後見人、被保佐人 禁錮以上の刑に処せられ、その執行を終わるまで又は執行を受けることがなくなるまでの者 一般職の国家公務員として懲戒免職の処分を受け、当該処分の日から2年を経過しない者 日本国憲法又はその下に成立した政府を暴力で破壊することを主張する政党その他の団体を結成し、又はこれに加入した
[PR] 「Simeji」は本当にアブないアプリなのか？ ホワイトハッカーが厳しくチェックした結果…… - ITmedia Mobile
―― 今回のプログラムでは、「スマホの乗っ取りが可能かどうか」「パーミッション（許可）を取得しているもの以外の情報取得が可能か」「『Moplus SDK』が使用されているか」という3つの項目をチェックしています。これがSimejiに対して持たれている懸念なのでしょうか。 高橋氏 SNSなどに投稿されている代表的な懸念や不安に向き合いたいと思いました。「乗っ取られる」という表現は技術的な概念として正確性を欠いていますが、ユーザーの漠然とした不安を解消できなければ意味がありませんので、あえてそのままの日常的な言葉で依頼をしました。 小西氏 「Simejiが悪さをするのではないか？」という懸念をなくしたい、という思いが強く出ていると感じました。そういえば先日もネット上で話題になっていましたが……。 ―― Baidu IMEとSimejiに関する「はてな」のブログ記事を削除するよう申立てた件ですね
![[PR] 「Simeji」は本当にアブないアプリなのか？ ホワイトハッカーが厳しくチェックした結果…… - ITmedia Mobile](https://cdn-ak-scissors.b.st-hatena.com/image/square/a8a642d5bc1b4900b1d36862f30c80bc1ba1d7d3/height=288;version=1;width=512/https%3A%2F%2Fimage.itmedia.co.jp%2Fmobile%2Farticles%2F1606%2F30%2Fl_sm_01.jpg)
残念だが当然の結果
お久しぶりです。 僕です。 久しく特段何も無かったのですが、今回とうとう僕が想定していたセキュリティ上の問題が起こりました。 教育システム管理用ＩＤ、生徒が見られる場所に - 日本経済新聞 > 佐賀県の教育情報システムから大量の個人情報が盗まれた不正アクセス事件で、県内の複数の高校が、システム管理者の情報を生徒も閲覧できる状態にしていたことが27日、警視庁への取材で分かった。 > 警視庁サイバー犯罪対策課によると、県立高校などの校内ネットワークシステムは、教員と生徒それぞれにＩＤとパスワードが割り当てられているが、生徒が閲覧できる範囲は限られている。全生徒の個人情報を閲覧するには管理者用のＩＤなどが必要になる。 > しかし、複数の高校は管理者用ＩＤなどを含むファイルを、システム上の生徒が閲覧できる場所に保管していた。 まぁ僕の想定の範囲内です。 なぜなら 2014年4月16日の時点で生徒用
piyokango on Twitter: "先ほどはてなより連絡があり、バイドゥ株式会社が削除申立を取り下げするとのことです。記事内容を再度検討し、権利侵害とは言い難いと判断されたそうです。 この取り下げに基づき予定していた記事の削除を取りやめます。 関係者の皆様、ご心配くださった皆様、大変ありがとうございました。"
先ほどはてなより連絡があり、バイドゥ株式会社が削除申立を取り下げするとのことです。記事内容を再度検討し、権利侵害とは言い難いと判断されたそうです。 この取り下げに基づき予定していた記事の削除を取りやめます。 関係者の皆様、ご心配くださった皆様、大変ありがとうございました。
谷脇康彦 on Twitter: "ブログ「たにわき日記３」更新しました。http://t.co/aHyXHM0i3T"
ブログ「たにわき日記３」更新しました。http://t.co/aHyXHM0i3T
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
エラー
伊藤 彰嗣 / ITO Akitsugu on Twitter: "脆弱性のコード上の修正方法が公開されているOSSでも、CVSSでいう「攻撃される可能性(E) 」が上がる脆弱性の PoC 公開されることは許容できないという事例として参考になります。ベンダーが事前に脆弱性の発見者にどの情報までは公開してよいかを明確にするのが望ましいのでしょうね。"
Naomi Suzuki on Twitter: "KDDIさん自前の短縮URLが危険なリンクにしか見えない件。HTTPSじゃないし、トップページは「403 Forbidden」で正体不明。1年前からやってるようだけど、ドメインの期限切れ間近（2016/06/30）。 https://t.co/s875tTiOzd"
個人情報流出の可能性があるお客様へのご連絡について - 株式会社ジェイティービー (2016年6月16日)
piyokango on Twitter: "また、詳細理由や具体的な個所がどこかを確認することは考えておらず、先のTweetの通り週末に削除する予定です。"