Safari インジェクションの脆弱性

セキュリティインシデント

Safari におけるスクリプトインジェクションの脆弱性が発生とのこと。 Safariは身近だから。 Safari version 11.0.2 およびそれ以前が対象。 https://jvn.jp/jp/JVN01161596/index.html

2018-03-29

仮想通貨取引所・金融庁が警告

セキュリティ情報

セキュリティインシデントや情報漏えいではないが気になる記事があった。仮想通貨に関係するマルウェアも多いし、取引所も仮想通貨そのものの種類も多いので違法なサイトには気を付けないといけない。 coinchoice.net

2018-03-27

経済産業省、配布した資料で個人情報が漏えい

セキュリティ事故

以下、サイトからの転載。配布資料の黒塗りが不十分で個人情報が漏えい(経済産業省) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト] 総合資源エネルギー調査会基本政策分科会の資料(「意見箱」として国民の意見をとりまとめたも…

2018-03-22

TLS 実装における対策が不十分

セキュリティ情報 JVN

複数の TLS 実装において Bleichenbacher 攻撃対策が不十分である問題。そんな情報がでていた。 JVNVU#92438713: 複数の TLS 実装において Bleichenbacher 攻撃対策が不十分である問題 Bleichenbacher 攻撃がなにか簡単にまとめると、 TLSは暗号化するのに…

2018-03-20

FireEye Dead Drop Resolver - マルウェアの踏み台に

セキュリティ情報

ファイア・アイとマイクロソフト、TechNetを悪用した中国のサイバー脅威グループ「APT17」の新たな手口を浮き彫りに | FireEye だいぶ古い記事だが、気になったので見てみた。マルウェアに感染した端末がC2サーバを正規のサービス（TechNet)を踏み台にしてI…

2018-03-14

インテリジェンス・マルウェアなどの傾向

セキュリティ情報

シマンテックが2月のインテリジェンスとして情報を公開している。マルウェア攻撃グループ「Chafer」が、中東の組織を狙ってさらに活発な活動を展開、電気通信業界と輸送業界の標的に。感染経路がExcelとある。（マクロなのだろうか。）スパムメールの傾…

2018-03-14

ITパスポート試験(IPA)のシステムで不具合

セキュリティインシデント情報漏えい

影響範囲は団体申込者が利用するシステム。 2つの団体申込者が、Webサイトから申込情報をCSVファイルでダウンロードできる機能を同時に利用したところ、双方の申込情報が合わさって記載されたCSVファイルが双方でダウンロードされた・・とんでもない問題だ…

2018-03-12

3/12 update

セキュリティインシデント JVN

WordPress 用 Codestyling Localization プラグインにおけるクロスサイトリクエストフォージェリの脆弱性。情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) ⇒WordPressのプラグインの脆弱性は多いと思う。 Kaspersky Secure Mail Gate…

2018-03-10

シンクホール・DNSプロトコルのマルウェア

セキュリティ資格

シンクホールというキーワードを調べてみた。あるサイトの転載。「マルウェアによるコントロールサーバへのDNSリクエストを偽造アドレスによって防ぐセキュリティ対策のこと。」 ↑のもうちょっと簡単に説明してもらいたい。。単純に不正なホストの名前解…

2018-03-09

バンキングマルウェア・対策

セキュリティインシデント

マカフィーのサイトを見ていたら、掲題の内容がのっていた。今はどんな手口なのだろうか。主にメールやWebアクセスにより感染。ホームページ上に表示される広告に悪意のあるコンテンツを埋め込む手法、「マルバタイジング」が流行？ ※マルウェアの拡散な…

2018-03-06

MYNET 不正アクセスの被害に

個人情報の流出はないそう。不正アクセスはどんな攻撃だったのだろうか。（公式ページには悪意ある攻撃（不正アクセス）が断続的に検知） DDOS攻撃とかの手口をちょっと調べてみたい。以下のリンクをみると、アカマイの公表ではDDoS攻撃全体の79％がゲー…

2018-03-04

投機的実行に関する脆弱性「Meltdown」と「Spectre」について

「投機的実行」「アウト・オブ・オーダー実行」あまり聞きなれないキーワードだったが調べてみた。投機的実行は処理高速化のため、判断処理が判断する前にある程度先に処理を進めておく方式のようだ。（つまり賭けで先行処理するもの）アウト・オブ・オ…

2018-03-04

CySA+ トレーニングと実践演習

キーワードとしてはレッドチーム・ブルーチーム。あとホワイトチーム。ホワイトチームは攻撃側と防御側の能力を見極めて、コントロールする係のことのようだ。 wirelesswire.jp こんな記事があったが、実際にコンサルしてくれる会社も海外だがあるようだ。

2018-03-03

フィッシング詐欺のパターン

マカフィーのブログでフィッシング詐欺について乗っていたので見てみた。一番、やりそうだな、と思ったのが「キャンセルはこちら」を押させるというもの。変なメールが来て違う人あてかもしれないからとか思って押してしまうようなケースがあればそれも危…

2018-03-03

JVN Update 3/2

Iolo System Shield AntiVirus AntiSpyware には、バッファエラーの脆弱性が存在。 iolo technologies, LLC. System Shield 5.0.0.136 情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。 JVN 緊急のピッ…