1月3日付けでAdobe Readerの脆弱性が報告されています（CVE-2007-0044、CVE-2007-0045、CVE-2007-0046、CVE-2007-0047） Name: Adobe Reader Open Parameters XSS Date first reported: 1/3/07 Vulnerable software: Ad…

GmailでJavaScriptのソースとしてコンタクトリストデータを埋め込んでいたため、第三者がコンタクトリストを盗めてしまう、という問題が話題になっています。 まだ詳しく調べていませんがsrc属性に指定されたソースは誰でも（どのサイトからでも）取得できるブラウザの仕様を利用したものだと思います。 比較的早くからsrc属性で他のサイトのJavaScritp…

　経済産業省は、同省が管轄する経済産業分野の個人情報ガイドラインについて見直しを実施し、現在パブリックコメントを実施中だ。 　SecurityNEXTでも報じているが、注目される点としては、事故発生時の事業者対応について負担軽減を盛り込まれたことが挙げられる。 　たとえば、高度な暗号化などが行われている場合や、速やかに紛失した個人情報が回収された場合など、二…

SkypeにWormが発生しているらしい。ただし、脆弱性を利用した攻撃ではなく、大規模な感染も発生していないようです。チャットで問題のある「バイナリ(sp.exe等）をダウンロードして」とメッセージが送られ、ダウンロード&実行すると感染するそうです。（亜種あり） Skypeに脆弱性か!と思いましたが脆弱性を使った攻撃ではないようです。チャットメッセー…

QuickTimeを利用してXSSを行えることはMySpaceのWorm http://www.f-secure.com/v-descs/js_quickspace_a.shtml で有名になりました。 http://www.gnucitizen.org/blog/backdooring-quicktime-movies/ はQuickTimeを利用したXS…

TTLが短いとDNSキャッシュサーバがドメイン権限を持ったDNSサーバにクエリに行く機会が増える（当たり前ですがDNSキャッシュサーバはTTLで指定された時間だけレコード情報をキャッシュしてドメイン権限を持つDNSサーバにクエリしない）ので危険と言う話。1秒に一回キャッシュを更新するほうが1時間に一回キャッシュを更新するよりDNSキャッシュ汚染が行いやすくな…

クロスサイトスクリプティングに利用可能なテキストハックが簡潔にまとめられている。 目新しかったのはUnicodeのBidi機能（テキストの記載方向が異なる言語、たしかアラビア、イスラエルなどの言語）を使ってWindowsの拡張子をごまかせる事です。 # 他のOSでも問題になるかも。もし同じ問題があったとしても、UNIX系 # OSの場合は実行ビットが有効でな…

備考：名無しさんの指摘でタイトルを変更、一部本文を修正しました。（IEとFFの立場を入れ替えました） 少なくとも2006年1月ころのMozilla系ブラウザには簡単に設定できるべきでないクッキーが設定できてしまう問題がありました。最悪なのはco.jp等、ccTLDの属性ドメインに対してクッキーが設定できてしまう動作ですが、手元のFirefox 2.0で試した…

PHP 5.2.0がリリースされていますが少なくとも2つ重要なセキュリティフィックスがあります。5.1/4.4ユーザが5.2.0にアップグレードするには時間が必要と思うのでWikiどのパッチが必要か書いておきました。PHP4はこちらです。 PHP4.4にはありませんがPHP5.1にはecalloc（メモリ確保関数）に整数オーバーフロー脆弱性があります。この脆…

Google Source Codeで自動的にバグ（らしきもの）を見つけるページ http://www.cipher.org.uk/projects/bugle/BugleAutomated.php 古いコードも一緒に検索されたりしますが「Package Name」オープンソースのプロジェクト名（ソースのtar玉のパッケージ名の部分など）を入力すると自動で怪…