Hiki - Hiki Advisory 2007-06-24

セキュリティ

（［Hiki］Hiki 0.8.7リリース / Hiki 0.8.7 libere. - ふぇみにん日記 (2007-06-25)経由）

Hikiに任意のファイルを削除できる脆弱性が存在するそうです。セッションIDのチェックが不十分だったそうです。

-        if /[0-9a-f]{16}/ =~ session_id
+        if /\A[0-9a-f]{16}\z/ =~ session_id

関連URL

第11回 まっちゃ１３９勉強会（管理者系）

まっちゃ１３９

あのネタがない！！！！ｗ

・勉強会には、猫さんが３匹出現しましたｗ
・階段では、転んでモノを落としたりしないように気をつけましょうｗ
・蒼さんの居所がナゾだｗ
・ずきんさんに、「ヤマガタさん、邪魔ー！」って言われた。(涙ｗ

うさぎ文学日記 - 画像にPHPコードを埋め込まれないための対策について

セキュリティ

確かに画像変換かけた際にValidになるので削除されちゃうんでしょうねぇ。

完全な対策はこれらのチェックをした後、画像ファイルを別型式に変換し、元の形式に戻す方法です。例えば、GIFファイルのアップロードならGIF->PNG->GIFと変換します。変換の過程で攻撃コードは削除されます。

もう一票。てか、デザインってどうよ。。。。＜Microsoft

IEの"仕様"を直して欲しいに一票。

第１１回まっちゃ１３９勉強会（小谷＠京都の日記(2007-06-23)）

まっちゃ１３９

中２の夏ですか・・・中２。

中２の夏にまっちゃ１３９の勉強会に来ているので、今回が２回目。もちろん、朝から参加です。

次回は無理なのかぁ。次次回以降よろしくです♪。京大また、やります（何

次回はとやまITサマーキャンプ期間中らしいので参加できないのですが、次々回にはまた参加させていただこうかなーと思ってます。そのうち、京大でもやってほしいな。講義室とかならお菓子もＯＫだと思うし。

リアル物理セキュリティネタｷﾀ━━━━(ﾟ∀ﾟ)━━━━ｯ!!

ダメですよ、会社のプリペイドカードも一緒の多いですけど、いれちゃだめです。（レジの人を混乱させちゃダメですよ！ｗ

レジのシステムは京大生協とかと一緒なんだけど、あれに京大生協のプリペイドカード入れたらどうなるんだろうというのが今のかすかな疑問です。

日々雑文

まっちゃ１３９

でかい企業も小さな企業も関係ないですよね。どこも同じですよねぇ。（ちょっと標準化が進んでるか、とかそんなもんじゃないですか）

まっちゃ139の目覚まし勉強会はパスして、昼からのセキュリティ勉強会に参加。
セキュリティOSに関する話と、それからいろんな某社の管理者の苦労をいろいろと聞く。 でかい企業も小さいところもIT部門の苦労ってのはやっぱ同じようなものになるんだなと実感した。

My life, for the Horde. - まっちゃ１３９懇親会で思ったこと

まっちゃ１３９

すごくないけど、あれの事かな？ｗ

育てて放流ｗ。放流中ですかねｗ
  • まっちゃだいふくさんは本当にすごい。
  • セキュリティ界隈の人はやっぱり「そういった(どういった?)サービス」にそもそも本能的に近づいてない（笑）
  • みんな釣りに余念がない。育てて放流するところからはじめる。
  • 方向音痴の人の周りには方向音痴の人が集まる。

My life, for the Horde. - 私がまっちゃ１３９に行く理由

まっちゃ１３９

勉強会内容はオープンじゃないですけどねｗ、お初の人は、気をつけているというか、話す機会をだそうと回りを回っています。（でも回りすぎて、殆ど詳しい話をしていないかなぁ・・・）

正す部分を指摘するとの部分は、本当にみんちさんに指摘されてからですよ！ありがとうございますm(_ _)m
  • オープン
  • 講師陣が熱い
  • 新規参加者にちゃんと配慮してくれる(コミュニケーションとか)
  • 変にクネクネしすぎていない
  • 未成年を未成年として扱っている
  • 正すべき部分を指摘すると次回からは可能な限り対応してくれる

ブログパーツ「ジョネレーター」の取説

雑記

みんちさんが、目覚ましに来られた最大の理由が、「ジョネレーター」を紹介に来たそうですｗ

Webカメラとかがあったら、その撮った映像がジョジョ風になります。すごい面白いですｗ

今週のオフ活動..orz - h-fujita の日記

まっちゃ１３９

開発の方面の人にとって、管理者の役割の悩みって意外と知らなかったりするんですかねぇ。

なんか、ネタが出来たら是非是非よろしくお願いいたしますm(_ _)m

そして土曜日(今日)は、まっちゃ139勉強会でした。久々の勉強会でしたが、自分が普段は見ることのできない世界(というか役割)の実情を知ることができた貴重な時間となりました。

SecuriTeam"! - Executing Arbitrary Script with mhtml: Protocol Handler (MS07-034)

セキュリティ

あれ、いつの間に公開されてたんだろ・・・・

Credit:
The information has been provided by HASEGAWA Yosuke.
The original article can be found at: http://openmya.hacker.jp/hasegawa/security/ms07-034.txt

見ただけで感染、IEの新しいぜい弱性を突くWebサイト現る：ITpro - にわか鯖管の苦悩日記　＿|￣|● (2007-06-22)

セキュリティ

へぇーーーIEの脆弱性をつくWebサイトですかぁ、確かにIEの脆弱性突くウイルス多くなってきていますね。そしてVeryLowになってるし。

ここ1,2年、私が調査したウイルス感染祭りでの感染経路は、ほぼIEの脆弱性を突くWebサイトですね。
もう少し前は、メールの添付ファイルを実行してしまったケースが結構多かったのですが。

そういえば、Trendmicroのウイルス評価が少し変わったようだ。

TREND

米国ですが、デフォルトがVeryLowからLowになっています。

やっぱり、TargettedAttackとかで、VeryLowの複合技×２×２×２・・・・で
Yelowにしちゃうことが出来なくなったから、評価を少し変えたんですかねぇ。

日記、してやったり！Sleep like a blog? - トレンドマイクロの

セキュリティ

TrendmicroのオンラインスキャンがFireFox対応したの？！？！

オンラインスキャンがFirefoxに対応したような感じだ。待望だったか。この会社、新しいもの作るたびにドメイン作ってるようだけど、その方針はどうも好きになれないなぁ。

ほんまや！！！

SELinux vs AppArmor(AA)の戦い （himainuの日記）

セキュリティ

ワラタｗ。先日の田口さんのプレゼンを聞く限り、そうみたいですねｗ

そう、SELinuxが使えないから、
私もSELinux Policy Editorなんてものを作っているのだよ！

使って貰えないと悲しいし、使いやすくないと使われない。

SELinux陣営についても、
「Make SELinux usable」と言っている(w
SELinuxが使えないからAAの出現を許すんだ！

まっちゃ１３９勉強会 （defiantの日記）

まっちゃ１３９

SecureOSの現状を知ることができて、とても良かったですよねぇ。あーゆー状況だったんだ。だからあーなんだ・・・みたいなｗ

セキュアOSの話，SELinux って，プロの目から見ても，ああいう位置付けなのね... ま，一つの意見なんでしょうけど．あと RedHat 以外で動かすのはおすすめではないというのもなるほど．

トレンドマイクロ、「Trend Micro OS Protection」ベータ版をリリース - ZDNet Japan

セキュリティ

Vista準拠で、Microsoftよりにしたソフトを出していくそうです。

Trend Microは、Symantecらが2006年秋にしたように、「Windows Vista」のカーネルに対する変更を非難するのではなく、Microsoftと協力する意向を明らかにしている。

FireWallBoosterがWindowsFireWallにTrendmicroのウイルスチェック・IPS機能を付けるような感じでしょうか。

Trend Micro Firewall Boosterの最大のメリットは、Windows Vistaユーザーが2つのファイアウォール技術を運用せずに済む点にある。Firewall Boosterは既存のWindows Vistaのファイアウォール機能を活用し、そこにTrend Microの保護機能を追加する。

rootkitチェック用に起動時に事前にチェックをさせるそうです。

Trend Micro Pre-Startup ScanはWindows Vistaが起動する前に実行され、潜んでいる「rootkit」などのマルウェアを、これらがOSに手を出す前に捜し出す。

ITmedia エンタープライズ：電子メール環境セキュリティの実態――シマンテックの2007年3月アンケート調査から

セキュリティ

アウトソースしたら、閾値（threshold）が増えてしまって、余計にスパムが増えたって事例もありますよねｗ

あまりに来すぎると、必要なメールまで削除しちゃうしこまりますよねぇ。

調査したところ、スパム受信件数はますます増加し、企業が受信する電子メールの約3割がスパムという現状が浮かび上がった。また、メールセキュリティやスパム対策の重要性は企業ユーザーに認識されているにもかかわらず、その対策は十分とはいえない企業も多数存在することが分かった（今後対策導入／強化の必要性を感じている潜在ユーザー層は47％）。そのほか、調査結果から読み取れるさまざまな問題をまとめている。

定まらない要件、ユーザーからのむちゃな要求 − ＠IT自分戦略研究所

セキュリティ

神の言葉ですｗ。そしてそれを実際にできる強い人になるべきです。

「要件定義は、客から拾い集めた要望を取りまとめる作業ではない。客から集めた情報を基に、システムのあるべき姿をSEが責任を持って考え出す作業だ」。要件定義においては業務の特性やIT的な制約から、システムの「あるべき姿」を描き出すべきであり、それができる立場にいるのはSEしかいない、という意味の言葉です。