スポンサーサイト

上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。

7月8日のtwitterセキュリティクラスタ

昨日は専門家でもないのに脆弱性の報告と対応に追われてしまった1日でした。報告ごとにIPAが★でもくれたらいいのにな。


またまたまたIEのXSSです。こういうことをよく試して見つけますよね。
okomeki: UTF-7的なXSS脆弱性がieのiso-2022-jpで簡単に作れてみた

hasegawayosuke: 推測するに、エスケープシーケンス注入でISO-2022-JPと誤認させたうえで、「」として働く他の文字がある、ということかな。http://twitter.com/okomeki/status/15843402934

okomeki: @hoshikuzu @hasegawayosuke 特定文字がcp5022xで意図しないコードに化ける的なものです。バグになるのか仕様になるのか…

hoshikuzu: @hasegawayosuke いや、それは前に確認したけどなかった気がする。自信なし。というより、@okome さんがつぶやいたのでは、エライ簡単だということなので。(http://bit.ly/bs5rLI )「<」「>」として働く他の文字があるとは。

hasegawayosuke: 把握。

hoshikuzu: あー。なるほど。了解です。 RT @okomeki: @hoshikuzu @hasegawayosuke 特定文字がcp5022xで意図しないコードに化ける的なものです。バグになるのか仕様になるのか…

okomeki: .@hoshikuzu @hasegawayosuke Outlook Express の手元のでも同じ状態再現。Firefox/Opera等では化けずにcp5022x的にデコードされるので差異ができる。

hoshikuzu: IEのバージョン希望です。 RT @okomeki: Outlook Express の手元のでも同じ状態再現。Firefox/Opera等では化けずにcp5022x的にデコードされるので差異ができる。

okomeki: 6,7,8ですね RT @hoshikuzu: IEのバージョン希望です。 RT @okomeki: Outlook Express の手元のでも同じ状態再現。Firefox/Opera等では化けずにcp5022x的にデコードされるので差異ができる。



昨日アップデートがあったはずのツール蟹換に早くも不具合が。それにしても、楽しそうに開発されているので、まだまだよくなっていくのでしょうね。
port139: バイト列の途中に NULL とかのパターンがあると、その後ろにある日本語文字列が抜けちゃうのかぁ>かにかん 1.2.1。 MFT レコードとか貼り付けた時にちょっとアレだなぁ。

port139: 朝から蟹換の仕様について盛り上がっている二人(w

port139: ハングルも表示できるんだから、いっそフォントの選択もできた方がいいんぢゃね?とか、マルチライン対応とか、国際化とか、なぜそこまでという噂もある(w

port139: 蟹は生もの・・・ QT @fighting_pg 愉快な無茶振りを楽しみつつ、v1.2.1が数時間の寿命に終わりそうなことを少し残念に思う。



普通新版というのは旧版に問題があるから出るものですね。
connect24h: 初心者Webアプリケーション開発者がチェックすべき情報源を集めてみた。他に追加した方が良い情報源があった場合はご指摘いただけると助かります。http://ow.ly/28rrF

ockeghem: .@connect24h うわ、セキュアプログラミング講座の新版はだめと明記されている…って、ぼくも前にブログに書いたのだけど…旧版は旧版で問題ありますけどねぇ

tomoki0sanaki: @ockeghem 旧版もダメですか...orz (from 執筆陣の一人より) 2002年レベルではガンバったんですけど・・・



ACCSって常勤理事がこの人だけなんですね。
QualityCorp: 【JCSSA ソフトの不正利用を題材にセミナー ACCSの久保田裕氏が講演】 http://bit.ly/c2kw7p 久保田さんはウチのイベントにもよくお越しくださってまキュ!世界最高額の違法コピーが日本で発生した今日この頃、この手のイベントは熱くなりそうでキュね。



僕が大学生の頃に買ったときはソフト5本込みで3000円でした。あれは下界と遮断されるので、時間間隔がおかしくなります。注意しましょう。
eagle0wl: バーチャルボーイが欲しいのだが、3DS発表から地味に市場価格が上がってるような気がしないでもない。



もし買ったならお金払っちゃう気持ちはわかります。まず買うなと。
bakera: [メモ] こんな手口があるのですか……「児童ポルノ販売業者が摘発されまして、顧客名簿にあなたの名前が登録されておりました」。 http://www.yomiuri.co.jp/net/security/goshinjyutsu/20100205-OYT8T00885.htm



OAuthで株式取引ですか。楽なような怖いような。
gohsuket: おぉ! RT @sen_u: 証券会社で対応したとこがあるのか @kthrtty 海の向こうの証券会社(E*TRADE)がOAuthのSPに。アツい!証券会社が認証、市況、取引、通知APIを公開 http://bit.ly/9DJKTV http://bit.ly/9jDOkE




泣ける。今週ぼくが指摘したところは一瞬で直してきたのでびっくりしました。
mincemaker: IPA経由で報告した脆弱性がガン無視で泣ける。


一瞬で直してきたところはここ。Mac向けのサービスってリクープするのでしょうか。
risa_ozaki: BIGLOBE、Mac利用者向けのセキュリティサービスキャンペーンを開始: http://www.rbbtoday.com/article/2010/07/07/68967.html



岡崎市立中央図書館の話は、当事者を置いてきぼりにしてまだまだ盛り上がってる感じですが、一応脆弱性は修正されたらしいです。
bakera: 「愛知県 岡崎市立中央図書館の件につきまして、ウェブサイト運営者より、届出いただきました脆弱性に対する修正が完了したとの報告がありましたのでご連絡いたします」というメールが来ました。

bakera: 記号のみサニタイズする方法でXSSが修正されているようですね。SQLインジェクションの方は、TosCodeから数値以外の文字列をサニタイズしている模様。発想が完全にサニタイズ脳ですが……まあ、ともあれ私が報告した範囲については脆弱性はなくなっているように思います。

bakera: あ、良く見たら前の画面に戻るリンク自体が削除されているのですね。そういう直し方ですか……。いやまあ、確かに脆弱性はなくなりましたけれど、これでいいのかな。



そして、#librahackで暴れているあの人関連。直接バグを仕込んだわけじゃないらしいので、対応されてる方に悪いなあとか。

スポンサーサイト

テーマ : セキュリティ
ジャンル : コンピュータ

コメントの投稿

非公開コメント

プロフィール

bogus

Author:bogus
FC2ブログへようこそ!

最新記事
最新コメント
最新トラックバック
月別アーカイブ
カテゴリ
検索フォーム
RSSリンクの表示
リンク
ブロとも申請フォーム

この人とブロともになる

QRコード
QR
カレンダー
08-2017
SUN MON TUE WED THU FRI SAT
- - 1 2 3 4 5
6 7 8 9 10 11 12
13 14 15 16 17 18 19
20 21 22 23 24 25 26
27 28 29 30 31 - -

07   09

上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。