Disclosure of three 0-day iOS vulnerabilities and critique of Apple Security Bounty program
Disclosure of three 0-day iOS vulnerabilities and critique of Apple Security Bounty program I want to share my frustrating experience participating in Apple Security Bounty program. I've reported four 0-day vulnerabilities this year between March 10 and May 4, as of now three of them are still present in the latest iOS version (15.0) and one was fixed in 14.7, but Apple decided to cover it up and
プレス発表　安全ãªã‚¦ã‚§ãƒ–サイト構築ã®ãŸã‚ã®è„†å¼±æ€§ä½“験å¦ç¿’ツール“AppGoatâ€ï¼ˆã‚¢ãƒƒãƒ—ゴート）最新版公開：IPA 独立行政法人 æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹
IPAï¼ˆç‹¬ç«‹è¡Œæ”¿æ³•äººæƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹ã€ç†äº‹é•·ï¼šå¯Œç”° é”夫）セã‚ュリティセンターã¯ã€2011å¹´1月ã‹ã‚‰å…¬é–‹ã—ã¦ã„る脆弱性体験å¦ç¿’ツール“AppGoatâ€ï¼ˆã‚¢ãƒƒãƒ—ゴート）をV2.0ã‹ã‚‰V3.0ã«ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ã—ã€æœ€æ–°ç‰ˆã¨ã—ã¦æœ¬æ—¥å…¬é–‹ã—ã¾ã™ã€‚ 最新版ã§ã¯ã€çµ„ç¹”ã§ã®é›†åˆå¦ç¿’を想定ã—ãŸç®¡ç†è€…（教育担当者）å‘ã‘機能ãªã©ã‚’æ–°ãŸã«è¿½åŠ ã—ã¦ã„ã¾ã™ã€‚ URL：https://www.ipa.go.jp/security/vuln/appgoat/ IPAã§ã¯ã‹ãã¦ã‚ˆã‚Šã€ã‚¦ã‚§ãƒ–サイトã«ä½œã‚Šã“ã¾ã‚Œã¦ã—ã¾ã†è„†å¼±æ€§ã®å¤šãã¯ã€é–‹ç™ºè€…ã®è„†å¼±æ€§ã¸ã®çŸ¥è˜ã®ä¸å分ã•ãŒåŽŸå› ã§ã‚ã‚‹ã¨è€ƒãˆã¦ã„ã¾ã™ã€‚ウェブサイトã¯ä»Šã‚„事æ¥é‚è¡Œã«ãŠã‘ã‚‹ä¸å¯æ¬ ãªå˜åœ¨ã§ã€è„†å¼±æ€§ã‚’ç‹™ã£ãŸæ”»æ’ƒã«ã‚ˆã‚‹å½±éŸ¿ã¯ã€çµ„ç¹”ã¸ã®å£²ä¸Šè²¢çŒ®ã‚„コスト削減ã¨ã„ã£ãŸå½¹å‰²ã‚’æãªã„ã‹ãã¾ã›ã‚“。ã¾ãŸã€è„†å¼±æ€§ã‚’悪用ã•ã‚ŒãŸçµæžœã€å€‹äººæƒ…å ±ã®æ¼ãˆã„や閲覧者ã¸ã®ã‚¦ã‚¤ãƒ«ã‚¹æ„ŸæŸ“ãªã©äºŒæ¬¡è¢«å®³ã«ã¤ãªãŒã‚‹å¯
日産「リーフã€ã®ã‚¢ãƒ—リã«è„†å¼±æ€§ã€ä»–人ã®è»Šã‚’é éš”æ“作å¯èƒ½ã« （ITmedia エンタープライズ） - Yahoo!ニュース
日産自動車ã®é›»æ°—自動車「リーフã€ã®å°‚用アプリã«ã€ä»–人ã®ãƒªãƒ¼ãƒ•ã®ã‚¨ã‚¢ã‚³ãƒ³ãªã©ã‚’é éš”æ“作ã§ãã¦ã—ã¾ã†è„†å¼±æ€§ãŒã‚ã‚‹ã“ã¨ãŒåˆ†ã‹ã‚Šã€ã‚»ã‚ãƒ¥ãƒªãƒ†ã‚£ç ”ç©¶è€…ãŒ2月24æ—¥ã€ãƒ–ãƒã‚°ã§è©³ç´°ã‚’公表ã—ãŸã€‚地çƒã®è£å´ã‹ã‚‰ä»–人ã®è»Šã‚’æ“作ã™ã‚‹å®Ÿè¨¼ãƒ“デオも公開ã—ã¦ã„る。 ã€ç”»åƒï¼šãƒªãƒ¼ãƒ•ã®ã‚¢ãƒ—リ「NissanConnect EVã€ã€‚エアコンã®è¨å®šã‚„充電状æ³ã€é‹è»¢å±¥æ´ãªã©ã‚’見るã“ã¨ãŒã§ãる】 　セã‚ãƒ¥ãƒªãƒ†ã‚£ç ”ç©¶è€…ãƒˆãƒã‚¤ãƒ»ãƒãƒ³ãƒˆæ°ã®ãƒ–ãƒã‚°ã«ã‚ˆã‚‹ã¨ã€å•é¡ŒãŒç™ºè¦šã—ãŸãã£ã‹ã‘ã¯ã€åŒæ°ãŒãƒŽãƒ«ã‚¦ã‚§ãƒ¼ã§è¡Œã£ãŸãƒ¯ãƒ¼ã‚¯ã‚·ãƒ§ãƒƒãƒ—ã§ã€ãŸã¾ãŸã¾ãƒªãƒ¼ãƒ•ã‚’ä¿æœ‰ã—ã¦ã„ã‚‹å‚åŠ è€…ãŒã€iPhoneアプリã®ãƒªã‚¹ã‚¯ã‚’指摘ã—ãŸã“ã¨ã ã£ãŸã€‚ 詳ã—ã調ã¹ãŸã¨ã“ã‚ã€ãƒªãƒ¼ãƒ•ã®ã‚¢ãƒ—リã®APIã«ã¯èªè¨¼ã®ä»•çµ„ã¿ãŒå®Ÿè£…ã•ã‚Œã¦ãŠã‚‰ãšã€å€‹ã€…ã®è»Šã«å‰²ã‚Šå½“ã¦ã‚‰ã‚Œã¦ã„る車両è˜åˆ¥ç•ªå·ï¼ˆVIN）ã®ä¸‹5ケタã•ãˆåˆ†ã‹ã‚Œã°ã€ä»–人ã®ãƒªãƒ¼ãƒ•ã‚’制御ã§ãã¦ã—ã¾ã†ã“ã¨ãŒåˆ¤æ˜Žã€‚VINを列挙ã™ã‚‹æ–¹æ³•ã§ã€åå¿œãŒã‚ã£ãŸ
commons-collectionsã®InvokerTransformer脆弱性ã«ã¤ã„㦠- R42日記
2015-11-12 追記ã‚り。「Springã¨Groovyã«ã‚‚直列化オブジェクト脆弱性ã€ã‚‚å‚ç…§ã—ã¦ãã ã•ã„。 昨日ã‹ã‚‰Java界隈ã§è©±é¡Œã«ãªã£ã¦ã„ã‚‹commons-collectionsã®è„†å¼±æ€§ã«ã¤ã„ã¦ã€‚ å…ƒãƒã‚¿ã¯ã“ã¡ã‚‰ã€‚ 対応ã™ã‚‹ãƒã‚±ãƒƒãƒˆã¯ã“ã¡ã‚‰ã€‚ InvokerTransformerãªã‚“ã¦ã‚¯ãƒ©ã‚¹ã¯åˆã‚ã¦çŸ¥ã‚Šã¾ã—ãŸãŒã€ãりゃã“ã†ã„ã†ã“ã¨ã«ãªã‚Šã¾ã™ã‚ˆãã‡â€¦ã¨ã„ã†ã®ãŒæ„Ÿæƒ³ã§ã™ã€‚ 影響をå—ã‘るシステムInvokerTransformerã¯commons-collectionsã¨commons-collections4ã®ä¸¡æ–¹ã«å˜åœ¨ã—ã¦ã„ã¾ã™ã€‚ ã„ãšã‚Œã‹ã®ãƒ©ã‚¤ãƒ–ラリ(commons-collections.jarã¾ãŸã¯commons-collections4.jar)ãŒã‚¯ãƒ©ã‚¹ãƒ‘スã«å˜åœ¨ã—ã¦ã„ã‚‹ã¨ã〠以下ã®ã„ãšã‚Œã‹ã®æ¡ä»¶ã‚’満ãŸã—ã¦ã„ã‚‹ã¨æ”»æ’ƒãŒæˆç«‹ã™ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ 直列化ã—ãŸã‚ªãƒ–ジェクトを
è¯éº—ãªã‚‹å› 数分解:FREAK攻撃ã®ä»•çµ„ã¿ - ã¼ã¡ã¼ã¡æ—¥è¨˜
1. ã¯ã˜ã‚ã« ã¡ã‚‡ã†ã©ä»Šæœ OpenSSLã‚’ã¯ã˜ã‚ã¨ã—ãŸæ§˜ã€…ãªTLS実装ã®è„†å¼±æ€§ã®è©³ç´°ãŒå…¬è¡¨ã•ã‚Œã¾ã—ãŸã€‚ ã“ã® Inriaã¨MSRã®ã‚°ãƒ«ãƒ¼ãƒ—ã¯ä»¥å‰ã‹ã‚‰TLSã®ã‚»ã‚ュリティã«é–¢ã—ã¦éžå¸¸ã«ã‚¢ã‚¯ãƒ†ã‚£ãƒ–ã«èª¿æŸ»ãƒ»æ¤œè¨¼ã‚’ã—ã¦ã„るグループã§ã€ä»Šå›žã‚‚é©šãã®å†…容ã§ã—ãŸã€‚ ã“ã®ã‚°ãƒ«ãƒ¼ãƒ—ã¯ã€TLSã®ãƒãƒ³ãƒ‰ã‚·ã‚§ã‚¤ã‚¯æ™‚ã®çŠ¶æ…‹é·ç§»ã‚’厳密ã«ãƒã‚§ãƒƒã‚¯ã™ã‚‹ãƒ„ールを開発ã—ã€æ§˜ã€…ãªTLS実装ã®è„†å¼±æ€§ã‚’ç™ºè¦‹ãƒ»å ±å‘Šã‚’è¡Œã£ã¦ã„ãŸã‚ˆã†ã§ã™ã€‚ 特ã«FREAKã¨å‘¼ã°ã‚Œã‚‹OpenSSLã®è„†å¼±æ€§(CVE-2015-0204)ã«é–¢ã—ã¦ã¯ã€ã¡ã‚‡ã†ã©ä¿®æ£ç›´å¾Œã®1月åˆã‚ã« Only allow ephemeral RSA keys in export ciphersuites ã§è¦‹ã¦ã„ã¾ã—ãŸãŒã€å…·ä½“çš„ã«ã©ã®ã‚ˆã†ã«æ”»æ’ƒã™ã‚‹ã®ã‹ã•ã£ã±ã‚Šã‚¤ãƒ¡ãƒ¼ã‚¸ã§ããšã€ã‚ã®ã‚°ãƒ«ãƒ¼ãƒ—ã ã‹ã‚‰ã¾ãŸè¶…絶変態ãªæ‰‹æ³•ã ã‚ã†ãŒã€ã¾ããã‚Œã»ã©æ·±åˆ»ã˜ã‚ƒãªã„ã ã‚ã†ã¨è¦‹è¾¼ã‚“ã§ã„ã¾ã—ãŸã€‚ 今回
GHOST 脆弱性ã¯å¦‚何様ã«ä½¿ã†ã®ã‹ | Webシステム開発ï¼æ•™è‚²ã‚½ãƒªãƒ¥ãƒ¼ã‚·ãƒ§ãƒ³ã®ã‚¿ã‚¤ãƒ インターメディア
先日 GHOST ã¨å‘¼ã°ã‚Œã‚‹ glibc ã®è„†å¼±æ€§ãŒç™ºè¡¨ã•ã‚ŒãŸã€‚ãªã‚“ã§ã‚‚ã€ã€Œãƒªãƒ¢ãƒ¼ãƒˆã‹ã‚‰ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ã‚’実行ã§ãã‚‹å¯èƒ½æ€§ãŒã‚ã‚‹ã€ã‚‰ã—ã„ã§ã¯ãªã„ã‹ã€‚ã—ã‹ã‚‚様々ãªãƒ—ãƒã‚°ãƒ©ãƒ ã§åˆ©ç”¨ã•ã‚Œã¦ã„るライブラリ部分ã®å•é¡Œã¨ã‚ã£ã¦ã€å½±éŸ¿ç¯„囲ãŒã¨ã¦ã‚‚広ã„。ãªã‹ãªã‹åŽ„介ãªã“ã¨ã§ã‚る。 ã¯ã¦ã€ã—ã‹ã—一体全体ã©ã†ã‚„ã£ã¦ãƒªãƒ¢ãƒ¼ãƒˆã‹ã‚‰ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ã‚’実行ã—よã†ã¨ã„ã†ã®ã ã‚ã†ï¼Ÿ 話をèžãã«ã€ãŸã‹ãŒæ•°ãƒã‚¤ãƒˆã®æƒ…å ±ã‚’ç¯„å›²å¤–ã®ãƒ¡ãƒ¢ãƒªã«æ›¸ãè¾¼ã‚ã‚‹å¯èƒ½æ€§ãŒã‚ã‚‹ã ã‘ã ã¨ã„ã†ã€‚実際ãã‚Œã ã‘ã®ã“ã¨ã§ã‚µãƒ¼ãƒãƒ¼ã®ä¹—ã£å–ã‚Šãªã©ã§ãã‚‹ã‚‚ã®ãªã®ã ã‚ã†ã‹ã€‚ãã‚“ãªã‚ã‘ã§ã€ãã®ç–‘å•ã«ç”ãˆã‚‹ã¹ãã€æœ¬è¨˜äº‹ã§ã¯ä»¥ä¸‹ã® URL ã§è§£èª¬ã•ã‚Œã¦ã„る実際ã®æ”»æ’ƒæ–¹æ³•ã‚’若干端折ã£ã¦ç´¹ä»‹ã—ã¦ã¿ã‚ˆã†ã¨æ€ã†ã€‚ http://www.openwall.com/lists/oss-security/2015/01/27/9 ãªãŠã€æœ¬è¨˜äº‹ã¯ã“ã®è„†å¼±æ€§ãã®ã‚‚ã®ã«å¯¾ã™ã‚‹ç·Šæ€¥åº¦ãªã©ã«ã¤ã„ã¦è¨€
（緊急）複数ã®DNSソフトウェアã«ãŠã‘る脆弱性（システム資æºã®éŽåº¦ãªæ¶ˆè²»ï¼‰ã«ã¤ã„ã¦ï¼ˆ2014å¹´12月25日更新）
--------------------------------------------------------------------- ■（緊急）複数ã®DNSソフトウェアã«ãŠã‘る脆弱性（システム資æºã®éŽåº¦ãªæ¶ˆè²»ï¼‰ ã«ã¤ã„ã¦ï¼ˆ2014å¹´12月9日公開） - BIND 9ã§ã¯æ¨©å¨DNSサーãƒãƒ¼ã«ã‚‚é™å®šçš„ã«å½±éŸ¿ã€ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ã‚’å¼·ã推奨 - æ ªå¼ä¼šç¤¾æ—¥æœ¬ãƒ¬ã‚¸ã‚¹ãƒˆãƒªã‚µãƒ¼ãƒ“ス（JPRS） åˆç‰ˆä½œæˆ 2014/12/09（Tue） 最終更新 2014/12/25（Thu） （米国The CERT Divisionã®æ³¨æ„喚起・Vendor Informationã¸ã®ãƒªãƒ³ã‚¯ã‚’è¿½åŠ ï¼‰ --------------------------------------------------------------------- â–¼æ¦‚è¦ BIND 9・Unbound・PowerDNS Recursorã‚’å«ã‚€è¤‡
ファイアウォール内ã®ã‚µãƒ¼ãƒã«å¯¾ã™ã‚‹Shellshockを利用ã—ãŸæ”»æ’ƒ - 葉ã£ã±æ—¥è¨˜
2014-09-27: 該当サイト上ã«XSSãŒãªãã¦ã‚‚攻撃å¯èƒ½ã§ã‚ã‚‹ã“ã¨ãŒ id:mayuki ã•ã‚“ã®ã‚³ãƒ¡ãƒ³ãƒˆã§åˆ¤æ˜Žã—ã¾ã—ãŸã®ã§å…¨é¢çš„ã«æ›¸ãç›´ã—ã¾ã—ãŸã€‚ファイアウォール内ã§ã‚ã£ã¦ã‚‚攻撃者ã¯ãƒ•ã‚¡ã‚¤ã‚¢ã‚¦ã‚©ãƒ¼ãƒ«å†…ã®Shellshock攻撃ãŒé€šç”¨ã™ã‚‹CGIã®URLãŒã‚ã‹ã£ã¦ã„ã‚‹ã ã‘ã§æ”»æ’ƒå¯èƒ½ã§ã™ã®ã§æ—©æ€¥ã«å¯¾å¿œãŒå¿…è¦ã§ã™ï¼ä¼šç¤¾ã®ãƒ–ãƒã‚°ã«ã‚‚書ã„ã¦ã¾ã™ãŒã€ãƒ•ã‚¡ã‚¤ã‚¢ã‚¦ã‚©ãƒ¼ãƒ«å†…ã«ç½®ã„ã¦ã‚るサーãƒã§æ”»æ’ƒè€…ãŒç›´æŽ¥ã‚¢ã‚¯ã‚»ã‚¹ã§ããªã„ã‹ã‚‰ã¨ã„ã£ã¦bashã®æ›´æ–°ã‚’æ€ ã£ã¦ã„ã‚‹ã¨ã€æ¡ä»¶ã«ã‚ˆã£ã¦ã¯æ”»æ’ƒãŒå¯èƒ½ã¨ãªã‚Šã¾ã™ã€‚ æ¡ä»¶ã¨ã—ã¦ã¯ã€ ãã®ã‚µãƒ¼ãƒã«ã¯ã‚·ã‚§ãƒ«ã‚’経由ã—ã¦å¤–部コマンドを起動ã™ã‚‹CGIç‰ãŒå‹•ã„ã¦ã„ã‚‹(通常ã®Shellshockã®æ”»æ’ƒã¨åŒæ¡ä»¶) 攻撃者ãŒãã®URLを事å‰ã«çŸ¥ã£ã¦ã„ã‚‹(ã‚ã‚‹ã„ã¯æŽ¨æ¸¬å¯èƒ½) ã¨ãªã‚Šã¾ã™ã€‚ 攻撃者ã¯ã€ãƒ¦ãƒ¼ã‚¶ãƒ¼ã‚’ç½ URLã¸èª˜å°Žã—ã€ä»¥ä¸‹ã®ã‚ˆã†ãªJavaScriptã‚’ç½ ãƒšãƒ¼ã‚¸ä¸Šã§å‹•ã‹ã—ã€æ”»æ’ƒå¯¾è±¡ã®W
TCP/IPã«ä¿‚る既知ã®è„†å¼±æ€§ã«é–¢ã™ã‚‹èª¿æŸ»å ±å‘Šæ›¸ï¼šIPA 独立行政法人 æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹
コンピュータをã¯ã˜ã‚ã¨ã—ãŸã‚¤ãƒ³ã‚¿ãƒ¼ãƒãƒƒãƒˆã«æŽ¥ç¶šã™ã‚‹é›»å機器ã«ã¯ã€TCP/IPソフトウェアãŒçµ„ã¿è¾¼ã¾ã‚Œã¦ã„ã¾ã™ã€‚ è¿‘å¹´ã§ã¯ã€æƒ…å ±å®¶é›»ã‚„æºå¸¯ç«¯æœ«ãªã©ã®é›»å機器ã«ã‚‚使ã‚れるよã†ã«ãªã‚Šã€TCP/IPソフトウェアã¯åºƒã利用ã•ã‚Œã¦ã„ã¾ã™ã€‚ TCP/IPを実装ã—ãŸã‚½ãƒ•ãƒˆã‚¦ã‚§ã‚¢ã¯ã€ã“ã‚Œã¾ã§å¤šãã®è„†å¼±æ€§ãŒç™ºè¦‹ã€å…¬è¡¨ã•ã‚Œã€æ©Ÿå™¨ã”ã¨ã«å¯¾ç–ãŒå®Ÿè£…ã•ã‚Œã¦ãã¾ã—ãŸã€‚ã—ã‹ã—ã€ã“ã†ã—ãŸè„†å¼±æ€§ã®è©³ç´°ãªæƒ…å ±ã‚’ã¨ã‚Šã¾ã¨ã‚ãŸè³‡æ–™ãŒãªã‹ã£ãŸã“ã¨ã‹ã‚‰ã€æ–°ãŸã«é–‹ç™ºã•ã‚Œã‚‹ã‚½ãƒ•ãƒˆã‚¦ã‚§ã‚¢ã§æ—¢ã«å…¬è¡¨ã•ã‚Œã¦ã„る脆弱性ã®å¯¾ç–ãŒå®Ÿè£…ã•ã‚Œã¦ãŠã‚‰ãšã€è„†å¼±æ€§ãŒã€Œå†ç™ºã€ã™ã‚‹ã‚±ãƒ¼ã‚¹ãŒè¦‹å—ã‘られã¾ã™ã€‚ ã“ã®ã‚ˆã†ãªèª²é¡Œã«å¯¾å¿œã™ã‚‹ãŸã‚ã€IPAã§ã¯ã€TCP/IPã«é–¢ã™ã‚‹æ—¢çŸ¥ã®è„†å¼±æ€§ã‚’å–り上ã’ã€TCP/IP実装時ã®æƒ…å ±ã‚»ã‚ュリティ対ç–ã®å‘上を目指ã—ã¦èª¿æŸ»ã‚’実施ã—ã¾ã—ãŸã€‚ æœ¬å ±å‘Šæ›¸ã¯ã€ä¸€èˆ¬ã«å…¬è¡¨ã•ã‚Œã¦ã„ã‚‹TCP/IPã«é–¢ã™ã‚‹æ—¢çŸ¥ã®è„†å¼±æ€§æƒ…å ±ã‚’åŽé›†åˆ†æžã—ã€è©³ç´°ãªè§£èª¬æ›¸ã¨ã—
例ãˆã°ã€Strutsã‚’é¿ã‘ã‚‹
ã¯ã˜ã‚ã« ç†è€…ã¯10年以上ウェブアプリケーション開発を主ãªæ¥å‹™ã¨ã™ã‚‹Javaプãƒã‚°ãƒ©ãƒžã§ã‚ã£ãŸã«ã‚‚é–¢ã‚らãšã€Strutsã«ã¤ã„ã¦ã¯ã“ã‚Œã¾ã§ãšã£ã¨é£Ÿã‚ãšå«Œã„ã§ã—ãŸã€‚åˆæœŸã®Strutsã¯ã€ŒXMLã らã‘ã§åŠ¹çŽ‡ãŒæ‚ªãã†ã€ã¨ã„ã†ã‚¤ãƒ¡ãƒ¼ã‚¸ãŒå¼·ã‹ã£ãŸãŸã‚ã§ã™ã€‚最近ã¯Ruby on Railsç‰ã®å½±éŸ¿ã‚’å—ã‘CoC(convention over configuration)を採り入れã€XML地ç„ã‚‚ã ã„ã¶è§£æ¶ˆã—ãŸã‚ˆã†ã§ã™ã€‚ Strutsã¯Javaアプリケーションらã—ããªã„種類（任æ„ã®ã‚³ãƒ¼ãƒ‰å®Ÿè¡Œç‰ï¼‰ã®è„†å¼±æ€§ã‚’連発ã™ã‚‹ã“ã¨ã§ã‚‚知られã¦ãŠã‚Šã€æœ€è¿‘ã¯æˆ‘々ã®æä¾›ã™ã‚‹SaaSåž‹WAFサービスã€Scutum(スã‚ュータム)ã®ãŠå®¢æ§˜ã‹ã‚‰ã‚‚é »ç¹ã«Strutsã«ã¤ã„ã¦ã®å•ã„åˆã‚ã›ã‚’å—ã‘るよã†ã«ãªã‚Šã¾ã—ãŸã€‚ã¾ãŸã€åŽ»å¹´è¦‹ã¤ã‹ã£ãŸä»»æ„ã®ã‚³ãƒ¼ãƒ‰å®Ÿè¡Œã®è„†å¼±æ€§ã§ã¯ã€è„†å¼±æ€§ã®å…¬è¡¨å¾Œã™ãã«PoCãŒå‡ºå›žã‚Šå®Ÿéš›ã«æ”»æ’ƒãŒç™ºç”Ÿã™ã‚‹ãªã©ã€æ‚ªã„æ„味ã§æ³¨ç›®
Heartbleed bug ã«ã‚ˆã‚‹ã‚µãƒ¼ãƒè¨å®šã®çŠ¶æ³å¤‰åŒ– – IIJ Security Diary
本稿ã§ã¯æ—¥æœ¬æ™‚é–“2014å¹´4月8日未明ã«å…¬é–‹ã•ã‚ŒãŸ HeartBleed bug ã«ã¤ã„ã¦å–り上ã’ã¾ã™ã€‚ 本脆弱性㯠OpenSSL 1.0.1 ã‹ã‚‰ 1.0.1f ãŠã‚ˆã³ 1.0.2beta1 ã«ãŠã„㦠Heartbeat メッセージã®å‡¦ç†ã«ãŠã„ã¦å¢ƒç•Œãƒã‚§ãƒƒã‚¯ã®å•é¡ŒãŒã‚ã‚Šã€OpenSSL ãŒå‹•ä½œã—ã¦ã„るマシンã®ãƒ¡ãƒ¢ãƒªæƒ…å ±ã‚’å–å¾—å¯èƒ½ãªçŠ¶æ…‹ã«ã‚ã£ãŸã“ã¨ãŒå…¬è¡¨ã•ã‚Œã¾ã—ãŸ[1]OpenSSL Security Advisory [07 Apr 2014] TLS heartbeat read overrun (CVE-2014-0160) https://www.openssl.org/news/secadv_20140407.txt。 RFC6520 ã§ç–定ã•ã‚Œã¦ã„ã‚‹ Heartbeat プãƒãƒˆã‚³ãƒ«ã¯ã€ãƒªã‚¯ã‚¨ã‚¹ãƒˆ-レスãƒãƒ³ã‚¹åž‹ã® 2-way ã§å®Œçµã™ã‚‹ç°¡æ˜“ãªãƒ—ãƒãƒˆã‚³ãƒ«ã§ã€SSL/TLS ã® R
OpenSSL ã®è„†å¼±æ€§ã«å¯¾ã™ã‚‹ã€ã‚¦ã‚§ãƒ–サイト利用者（一般ユーザ）ã®å¯¾å¿œã«ã¤ã„ã¦ï¼šIPA 独立行政法人 æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹
ウェブサイト上ã§ã®ã‚·ãƒ§ãƒƒãƒ”ングや金èžå–引ã«ãŠã‘る通信ã¯ä¸€èˆ¬ã«ã€SSL ã¨å‘¼ã°ã‚Œã‚‹æ–¹å¼ã§æš—å·åŒ–ã•ã‚Œã¦ã„ã¾ã™ã€‚ã“ã® SSL を実ç¾ã™ã‚‹ã‚½ãƒ•ãƒˆã‚¦ã‚§ã‚¢ã®ä¸€ã¤ã§ã‚ã‚‹ OpenSSL ã«ã€æƒ…å ±æ¼ãˆã„ã®è„†å¼±æ€§ãŒç™ºè¦‹ã•ã‚Œã¾ã—ãŸã€‚https ã§ã‚¢ã‚¯ã‚»ã‚¹ã§ãるウェブサイトã¯ã€ã“ã®è„†å¼±æ€§ã®å½±éŸ¿ã‚’å—ã‘ã€ã‚¦ã‚§ãƒ–サイトã‹ã‚‰æƒ…å ±ãŒæ¼ãˆã„ã™ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ 図：脆弱性ãŠã‚ˆã³ã€è„†å¼±æ€§ã‹ã‚‰æƒ³å®šå¯èƒ½ãªå½±éŸ¿ã®ã‚¤ãƒ¡ãƒ¼ã‚¸ æ¼ãˆã„ã—ãŸæƒ…å ±ãŒæ‚ªç”¨ã•ã‚ŒãŸçµæžœã€ä¸Šå›³ã®ã‚ˆã†ãªå½±éŸ¿ãŒç”Ÿã˜ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚連鎖被害を防ããŸã‚ã«ã€ä¸‹è¡¨ã®ã‚ˆã†ãªå¯¾ç–ã‚’ã¨ã‚‹ã“ã¨ãŒæŽ¨å¥¨ã•ã‚Œã¾ã™ã€‚ 直接被害 派生（連鎖）被害 å¯¾ç– ã‚¦ã‚§ãƒ–ã‚µã‚¤ãƒˆé‹å–¶è€… ウェブサイト利用者（一般ユーザ） 詳細ã¯æ¬¡ç¯€ï¼»ã‚¦ã‚§ãƒ–サイト利用者（一般ユーザ）ã¨ã—ã¦ã®å¯¾å¿œï¼½å‚ç…§ サイト秘密éµã®æ¼ãˆã„
2014å¹´4月 Oracle Java SE ã®ã‚¯ãƒªãƒ†ã‚£ã‚«ãƒ«ãƒ‘ッãƒã‚¢ãƒƒãƒ—デートã«é–¢ã™ã‚‹æ³¨æ„å–šèµ·
å„ä½ JPCERT-AT-2014-0017 JPCERT/CC 2014-04-16 <<< JPCERT/CC Alert 2014-04-16 >>> 2014å¹´4月 Oracle Java SE ã®ã‚¯ãƒªãƒ†ã‚£ã‚«ãƒ«ãƒ‘ッãƒã‚¢ãƒƒãƒ—デートã«é–¢ã™ã‚‹æ³¨æ„å–šèµ· https://www.jpcert.or.jp/at/2014/at140017.html I. æ¦‚è¦ Oracle 社㮠Java SE JDK ãŠã‚ˆã³ JRE ã«ã¯ã€è¤‡æ•°ã®è„†å¼±æ€§ãŒã‚ã‚Šã¾ã™ã€‚é éš”ã®ç¬¬ä¸‰è€…ã¯ã€ã“れらã®è„†å¼±æ€§ã‚’使用ã™ã‚‹ã“ã¨ã§ã€Java ã‚’ä¸æ£çµ‚了ã•ã›ãŸã‚Šã€ ä»»æ„ã®ã‚³ãƒ¼ãƒ‰ã‚’実行ã•ã›ãŸã‚Šã™ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚脆弱性ã®è©³ç´°ã«ã¤ã„ã¦ã¯ã€ Oracle 社ã®æƒ…å ±ã‚’ç¢ºèªã—ã¦ãã ã•ã„。 Oracle 社ãŒæä¾›ã™ã‚‹ä¿®æ£æ¸ˆã¿ã‚½ãƒ•ãƒˆã‚¦ã‚¨ã‚¢ã¸ã‚¢ãƒƒãƒ—デートã™ã‚‹ã“ã¨ã‚’ãŠå‹§ ã‚ã—ã¾ã™ã€‚ Oracle Critical Patch Update Ad
æ±äº¬æ–°èž:英 æƒ…å ±æ©Ÿé–¢ã€€ä¸å›½ãƒ¬ãƒŽãƒœç¤¾è£½PCã« ãƒãƒƒã‚ング用工作　発見　「使ã†ãªã€ã€€:国際(TOKYO Web)
ã€ãƒãƒ³ãƒ‰ãƒ³ï¼çŸ³å·ä¿å…¸ã€‘è‹±æƒ…å ±æ©Ÿé–¢ãŒã€ä¸–界最大ã®ãƒ‘ソコンä¼æ¥ã§ã‚ã‚‹ä¸å›½ãƒ¬ãƒŽãƒœç¤¾è£½å“ã®ä½¿ç”¨ã‚’ç¦æ¢ã—ã¦ã„ãŸã“ã¨ãŒåˆ†ã‹ã£ãŸã€‚三å日付ã®è‹±ç´™ã‚¤ãƒ³ãƒ‡ã‚£ãƒšãƒ³ãƒ‡ãƒ³ãƒˆãŒä¼ãˆãŸã€‚ æƒ…å ±å±€ä¿å®‰éƒ¨ï¼ˆï¼ï¼©ï¼•ï¼‰ã‚„政府通信本部（ＧＣＨＱ）ãŒè£½å“を調ã¹ãŸã¨ã“ã‚ã€å¤–部ã‹ã‚‰ã®æ“作ã§ãƒ‘ソコン内ã®ãƒ‡ãƒ¼ã‚¿ã«ã‚¢ã‚¯ã‚»ã‚¹ã§ãる工作ãŒæ–½ã•ã‚Œã¦ã„ã‚‹ã®ã‚’発見ã—ãŸã€‚科å¦è€…ã¯é€šå¸¸ã®ã‚»ã‚ュリティーä¿è·ã‚’ãƒã‚¤ãƒ‘スã™ã‚‹ç§˜å¯†ã®è£å£ãŒãƒãƒƒãƒ—ã«æœ€åˆã‹ã‚‰ä»•è¾¼ã¾ã‚Œã¦ã„ã‚‹ã¨ã®è¦‹è§£ã‚’示ã—ãŸã¨ã„ã†ã€‚
ウェブサイトã®æ”»æ’ƒå…†å€™æ¤œå‡ºãƒ„ール iLogScanner | æƒ…å ±ã‚»ã‚ュリティ | IPA 独立行政法人 æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹
ウェブサイトã®æ”»æ’ƒå…†å€™æ¤œå‡ºãƒ„ール iLogScanner æ¦‚è¦ iLogScannerã¯ã€ã‚¦ã‚§ãƒ–サーãƒã®ã‚¢ã‚¯ã‚»ã‚¹ãƒã‚°ã‹ã‚‰æ”»æ’ƒã¨æ€ã‚れる痕跡を検出ã™ã‚‹ãŸã‚ã®ãƒ„ールã§ã™ã€‚ ウェブサイトã®ãƒã‚°ã‚’解æžã™ã‚‹ã“ã¨ã§æ”»æ’ƒã®ç—•è·¡ã‚’確èªã§ãã€ä¸€éƒ¨ã®ç—•è·¡ã«ã¤ã„ã¦ã¯æ”»æ’ƒãŒæˆåŠŸã—ãŸå¯èƒ½æ€§ã‚’確èªã§ãã¾ã™ã€‚ã¾ãŸã€SSHã‚„FTPサーãƒã®ãƒã‚°ã«å¯¾ã—ã¦ã‚‚ã€æ”»æ’ƒã¨æ€ã‚れる痕跡を検出ã™ã‚‹ã“ã¨ãŒã§ãã¾ã™ã€‚
メンテナンス
ランã‚ング
ãŠçŸ¥ã‚‰ã›
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
IPAテクニカルウォッãƒã€€ã‚¦ã‚§ãƒ–サイトã«ãŠã‘る脆弱性検査手法ã®ç´¹ä»‹(ウェブアプリケーション検査編)
https://dev.classmethod.jp/articles/cve-2014-3566-poodle-issue/
http://tetraph.com/covert_redirect/oauth2_openid_covert_redirect.html
2014å¹´4月ã«å…¬é–‹ã•ã‚ŒãŸOpenSSLã®è„†å¼±æ€§(CVE-2014-0160)ã«å¯¾ã™ã‚‹æ”»æ’ƒã‚’ç¢ºèª | Tokyo SOC Report
Download Tenable Nessus
{{#tags}}- {{label}}
{{/tags}}