S3経由でXSS!?不可思議なContent-Typeの値を利用する攻撃手法の新観点 - Flatt Security Blog
はじめに セキュリティエンジニアの齋藤ことazaraです。今回は、不可思議なContent-Typeの値と、クラウド時代でのセキュリティリスクについてお話しします。 本ブログは、2024 年 3 月 30 日に開催された BSides Tokyo で登壇した際の発表について、まとめたものです。 また、ブログ資料化にあたり、Content-Type の動作や仕様にフォーカスした形で再編を行い、登壇時に口頭で補足した内容の追記、必要に応じた補足を行なっています。 また、本ブログで解説をする BSides Tokyoでの発表のもう一つの題である、オブジェクトストレージについては、以下のブログから確認をすることが可能ですので、ご覧ください。 blog.flatt.tech なぜ今、この問題を取り上げるのか？ 従来のファイルアップロードにおいて、Content-Type の値を任意の値に設定すること
私がどのようにしてキーロガーをクラックし、最終的に第三者の受信トレイに行きついたか | POSTD
(訳注：2016/9/28、頂きましたフィードバックを元に記事を修正いたしました。) ことの始まりは、あるスパムキャンペーンでした。画像1は、スパム向けに仕掛けた罠に最近引っかかった、疑わしいドキュメントファイルが添付されたメールです。文面の英語がとても稚拙なことに気付くかと思いますが、この稚拙さがメール受信者への警告サインとなります。 画像1：スパムサンプル 添付のファイルは、”.doc”のファイル拡張子を使っていますが、実際はRTF（リッチテキストファイル）ファイル形式で、特別に細工されたRTFファイルによるスタックオーバーフローの脆弱性が含まれています。この脆弱性は、CVE-2010-3333で文書化されており、”pFragments”の形をしたプロパティを扱う際にMicrosoft Word RFTパーサを攻撃するものです。これに対する修正モジュールは5年以上前にパッチされています
Dropboxで約694万件のログイン情報が流出、悪用される恐れがあるのでパスワードの変更を
(01/09) Apple初のMRヘッドセットVision Proが2月2日に米国で発売、価格は約50万円！ (01/06) 洗濯物に茶色の物体Xが付着したら、洗濯機の糸くずフィルターを交換しよう (01/04) キッズが使い込んだFireタブレット、カバーをめくったら中がヤバイ事になっていた (01/04) Amazon初売り、Fireタブレット各種とEcho Budsがお買い得に（1/7まで） (01/01) 地震など災害発生時の確認はNHKやTVerのライブ配信をチェックしよう (01/01) Meta Quest 2が7,700円値下げ、ホリデーセールの価格を今後も維持する形に (12/31) Apple初売りでお得に買い物を、楽天ポイント3%+1%還元（1月2日〜5日まで） (12/27) Prime VIdeo 1月の配信作品「エイリアン：コヴェナント」や「アンブレイカブル」な
RHEL5/CentOS5でGlobalSignのルート証明書が有効期限切れで大騒ぎ
こんにちは。CTOの馬場です。 昨晩1/28 21:00JSTにRHEL5/CentOS5にインストールされているルート証明書のうち、GlobalSignの有効期限が切れました。 伴ってREHL5/CentOS5からのHTTPS(SSL)接続にてGlobalSignの証明書を使っているサイトへの接続がエラーになるようになりました。 私の確認している範囲では、 curlコマンドやPHPのcurlライブラリなどでの接続時に接続エラーとなることに起因して以下のような影響が出ています。 ※接続される側ではなくて、接続する側での問題です※ oauthなどの外部認証が不可 決済などの外部連携が不可 対策 RHEL5の場合、errataが公開されているのでupdateしましょう。 Red Hat Customer Portal https://rhn.redhat.com/errata/RHEA-201
ウイルス対策アプリの検出力・使いやすさによる性能比較ランキング――AV-TEST調査 #Android
ドイツのセキュリティソフト第三者評価機関のAV-TESTが、Android向けウイルス対策アプリについてマルウェア検出力とユーザビリティ（バッテリー消費、通信量、動作等）の側面から、その性能をスコア評価した調査結果を発表している。同調査の概要と、対象となったアプリをスコアに基づきランキング化して紹介する。 マルウェア検出力・ユーザビリティのテスト概要 今回の調査で対象となった製品は計22本。Kaspersky、Symantec（ノートン）、Trend Micro、Dr.Web、Lookout、F-Secureなどのメジャーどころから、あまり知られていないベンダーのものまで幅広く比較されている。調査は2013年1月に行われた。 マルウェア検出率については、4週間以内に出現した最新の約850-1000個に及ぶマルウェアサンプルを用いて行った。SDカード上にコピーされたサンプルをフルスキャンでど
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティ＆プログラミングキャンプのCTFで出題したXSS問題 - 葉っぱ日記