ITmedia総合  >  キーワード一覧  >  X

「XSS」最新記事一覧

Webサイトの入力欄にスクリプトを含んだタグを打ち込むと、そのサーバの脆弱性の度合いによって、cookieを吐き出したり、読み出されたcookieデータが第三者のサーバに転送されるなどの可能性があることをクロスサイトスクリプティングと呼ぶ。
クロスサイトスクリプティング − @ITセキュリティ用語事典

-こちらもご覧ください-
Webアプリにおける11の脆弱性の常識と対策 - @IT
世間の認識と脅威レベルのギャップ――XSSは本当に危ないか? − @IT
クロスサイトスクリプティング対策の基本 連載インデックス - @IT
Insider's Computer Dictionary [クロスサイト・スクリプティング] − @IT

脆弱性別ではCSRFとSQLインジェクション、言語ではPHPが多く狙われた:
CDNetworksが2016年第4四半期サイバー攻撃の分析レポートを公開
シーディーネットワークス・ジャパンは、「2016年第4四半期サイバー攻撃の分析レポート」を公開した。脆弱性タイプ別で最も多かったものは、クロスサイトリクエストフォージェリー。最も頻繁に狙われる言語はPHPだった。(2017/3/14)

WordPressのアップデート公開、直ちに更新を 脆弱性悪用でWebサイト制御の恐れも
最新バージョンのWordPress 4.7.3では6件の脆弱性が修正された。(2017/3/8)

「RSA Conference 2017」基調講演レポート
Dell創業者も賛同、今「協調型セキュリティ」が必要な理由
RSA Securityのズルフィカー・ラムザン最高技術責任者(CTO)は「RSA Conference 2017」の基調講演で、協調型セキュリティに関する判断が及ぼす影響について強調した。(2017/2/22)

次期アップデートでWeb攻撃対策を強化
「Microsoft Edge」が“究極の安全ブラウザ”に一歩近づくセキュリティ新機能とは?
Microsoftは「Microsoft Edge」の次期アップデートで、クロスサイトスクリプティングやコンテンツインジェクションといったWebベースの攻撃への対策を強化する。(2017/2/22)

RSA Conference 2017レポート:
ITがBT(Business Technology)となる時代に必須なのは「セキュリティ」
2017年2月14日から米国サンフランシスコで「RSA Conference 2017」が開催されている。基調講演は、サイバーセキュリティがテクノロジーだけでなく、ビジネスや政治にまで影響を及ぼしている事実を背景にした内容となった。(2017/2/16)

Adobe、Flash Playerなどの脆弱性に対処 直ちに更新を
特にWindowsやMac向けのFlash Playerでは、差し迫った悪用の恐れがあることから、更新を急ぐ必要がある。(2017/2/15)

エンジニアを愛し、エンジニアに愛されたイベント!:
空前絶後のAI、VR、IoT、そしてYouTube! 全ての技術を使ったマッシュアップの産みの親! 超絶怒涛のMA2016決勝戦!!
全国の「ネタ好き」エンジニアにとって、もはや1年を締めくくる恒例行事となった感がある「Mashup Awards」のファイナルステージ(決勝戦)が、2016年12月17日に東京・品川の寺田倉庫で開催された。本稿では、決勝戦でプレゼンが行われた全14作品の概要と審査結果をお伝えする。(2017/2/9)

「Chrome 56」の安定版リリース リロードが28%高速化、HTTPでの警告を追加
Googleがデスクトップ版Chromeをバージョン56にアップデートした。特にFacebookで時間のかかっていたページのリロードが28%高速化し、Firefox 51と同様のHTTPページでの警告が追加された。(2017/1/27)

セキュリティクラスタ まとめのまとめ 2016年11月版:
「LINE乗っ取り」に「Chrome拡張機能のマルウェア化」――11月のセキュリティ怖い話
2016年11月のセキュリティクラスタは、「Chrome拡張機能の突然のマルウェア化」や「LINEアカウントの乗っ取り」事件を受け震え上がる一方で、詳細が公開された「情報処理安全確保支援士」の制度内容にはやはり納得がいかないのでした。(2016/12/22)

事例で分かる、中堅・中小企業のセキュリティ対策【第6回】
被害者が加害者になるケースもあるWebサイト改ざん、有効な対策は?
広報や通販などへのWebサイト活用は一般的になったが、セキュリティ対策は万全だろうか。Webサイトの更新や管理に広く利用されるCMS(コンテンツマネジメントシステム)の意外な落とし穴と、お勧めの対策を解説する。(2016/12/26)

ITmedia エンタープライズ ソリューションセミナー レポート:
ビジネスを守るサイバーセキュリティに強い会社の作り方
企業・組織の事業継続にとってサイバーのリスクは大きな課題となっている。これからのセキュリティ対策はどうあるべきか――ITmedia エンタープライズ主催セミナーでは官民を挙げた新時代のセキュリティが提示された。(2016/12/19)

必要なのは、技術的な知見と「あれ、おかしいな」と気付く感性:
千葉大学、学生対象の「セキュリティバグ発見コンテスト」を開催 「きちんと伝える力」を備えたセキュリティ人材の育成に向け
千葉大学が、セキュリティ人材の育成を目的とした「セキュリティバグハンティングコンテスト」を実施する。技術と法律/倫理面で講習を受けた学生に「ライセンス」を与え、実際の大学システムに存在する脆弱性を発見してもらう。独自のルールや仕組みの下で行われる学生向けバグバウンティは国内の大学として初の試みという。(2016/12/16)

組み込み開発視点で見る「IoTの影」(3):
IoTは「IT」と「組み込み」だけではない
IoTはエンドデバイスとクラウドサービスの組み合わせで構成されているが、組み込み開発の焦点をデバイス側だけに当てていないだろうか。「IoT」として価値を提供する以上、より広い視野での開発が求められるのである。(2016/11/18)

Adobe、Flash Playerの更新版リリース 深刻な脆弱性を修正
Flash Playerの更新版では9件の脆弱性に対処した。悪用されれば攻撃者にコードを実行され、システムを制御される恐れがある。(2016/11/9)

セキュリティ・キャンプ九州 in 福岡 2016レポート(後編):
サイバーセキュリティのプロになるための3箇条とは――熱気あふれた「セキュリティ合宿」
2016年9月16日から19日にかけて開催された「セキュリティ・キャンプ九州 in 福岡2016」から、専門講座のレポートをお届けする。(2016/10/21)

Google、XSS攻撃対策に支援ツール公開
Content Security Policy(CSP)の潜在力をフル活用してもらう目的で、XSS対策支援ツール「CSP Evaluator」「CSP Mitigator」を公開した。(2016/9/28)

Adobe、「Experience Manager」の脆弱性を修正
入力値検証やバックアップなどの機能に4件の脆弱性があり、悪用されればクロスサイトスクリプティング(XSS)攻撃を仕掛けられたり情報が流出したりする恐れがある。(2016/8/10)

スマホ対応照明器具に脆弱性、XSS攻撃や情報流出の恐れ
スマートフォンのアプリで操作できるOsramの照明器具シリーズ「LIGHTIFY」に9件の脆弱性が見つかり、一部が修正された。(2016/7/27)

WordPressの「All in One SEO Pack」に深刻な脆弱性、更新版で対応
脆弱性を悪用されると、XSS攻撃を仕掛けられて管理者のセッショントークンを盗まれたり、攻撃者に任意の動作を実行されたりする恐れがあるという。(2016/7/12)

セキュリティ・アディッショナルタイム(9):
「Hardening 100 Value x Value」に見た、競技結果よりも大事なこと
「守る」技術を持ったエンジニアを発掘し、育てることを目的とした競技会「Hardening 100 Value x Value」は、回を重ねるごとに進化している。(2016/6/16)

「安全なオープンソース」を疑う
「オープンソース安全神話」信奉者が見なかったことにしたい“つらい現実”
オープンソースだから安全だと容易に判断してはならない。脅威が数多く見つかっている、オープンソースWebアプリケーションの注意点を説明しよう。(2016/6/13)

WordPressのプラグイン「Jetpack」に脆弱性、直ちに更新を
悪用されれば管理者アカウントが乗っ取られたり、訪問者が不正なWebサイトに誘導されたりする恐れがある。(2016/5/31)

いま求められるソフトウェア静的解析・動的解析 第1回:
組み込みソフトウェア開発者に贈る「静的解析・動的解析」の必要性
組み込みソフトウェア開発における「静的解析」「動的解析」を、“なんとなく”行っていないでしょうか。開発効率の向上や品質改善に欠かせないこれらを活用するため、まずはその必要性について解説します。(2016/5/20)

Electron 1.0でデスクトップアプリ開発超入門――動作の仕組み、基本的な使い方、セキュリティの懸念点
クロスプラットフォーム向けのデスクトップアプリを開発できるElectronについて、動作の仕組み、基本的な使い方、アプリの作り方、セキュリティの懸念点などを解説します。(2016/5/18)

セキュリティクラスタ まとめのまとめ 2016年4月版:
セキュリティエンジニアを目指す若者の4月
2016年4月は、「Apache Struts2」の脆弱性や「OSコマンドインジェクション」を使った攻撃が騒ぎを呼ぶ一方で、突如「Yahoo!知恵袋」に注目が集まったのでした。(2016/5/17)

特集:IoT時代のセキュリティログ活用(2):
「SIEM」はどうすれば使いこなせるのか?
「ログ活用」を軸にIoT時代のセキュリティを考える本特集。第2回となる今回は、“導入するだけでは意味がない”SIEMなどのログ管理製品を活用するためのポイントを解説する。(2016/5/19)

Adobe AcrobatとReader、ColdFusionに脆弱性、アップデートで修正
AcrobatとReaderのセキュリティアップデートでは、Windows版とMac版に存在する100件近い脆弱性が修正された。(2016/5/11)

WordPressの更新版リリース、深刻な脆弱性を修正
複数の深刻な脆弱性が修正されており、ユーザーに対して直ちにサイトを更新するよう強く促している。(2016/5/10)

Flash用のAdobe Analyticsツールに脆弱性、更新版で対処
「Adobe Analytics AppMeasurement for Flash Library」の脆弱性を修正するアップデートが公開された。(2016/4/22)

システムインテグレーションとセキュリティ(3):
「イントラWebアプリケーションのセキュリティ」、大丈夫ですか?
“SI視点”でセキュリティのポイントを解説する本連載。第3回は、「アプリケーション開発」の観点から、特に見逃されがちな「イントラ環境のWebアプリケーションのセキュリティ」について注意すべきポイントを紹介します。(2016/4/21)

「Google Chrome 50」の安定版がリリース Windows XPなど旧OSのサポート終了
Googleが、Webブラウザ「Chrome」のバージョン50をWindows、Mac、Linux向けに公開した。同バージョンからWindows XP/Vistaなどの旧OSはサポートされなくなる。セキュリティ問題は危険度「高」2件を含む20件が修正された。(2016/4/14)

Webサイトのセキュリティ診断サービス選びを再考する
“人も技術もないWebセキュリティ診断サービス”を容易に選んではいけない理由
Webサイトの脆弱性を突く不正アクセスを受け、情報流出を招く例は後を絶たない。既にWebセキュリティ対策の必要性が指摘され、診断ツールやサービスも普及しているにもかかわらずだ。問題はどこにあるのか。(2016/3/30)

セキュリティ・アディッショナルタイム(5):
DevOpsとSecは同じ夢を見るか?
米国で開催されたRSA Conference 2016では、開発・運用とセキュリティ担当者の距離を縮め、「セキュアでビジネスニーズに合ったサービスを素早く提供する」という共通の目的を達成するためのキーワード「DevSecOps」に関連するセッションが多数行われた。(2016/3/22)

「機械学習」「ビッグデータ」が変えるセキュリティ対策【第2回】
データ駆動型セキュリティの鍵、「SIEM」を見極める3つのポイント
対症療法的なセキュリティ対策が有効だといえた時代は終わった。根本的なセキュリティ対策には、社内外のデータの活用が重要だ。その現実的な手段である「SIEM」選定のポイントを示す。(2016/3/22)

見つけてくれてありがとう:
サイボウズ、バグハンターたちに向け「感謝祭」を開催
サイボウズは2016年1月28日、同社が実施した脆弱性報奨金制度で実績を持つ“バグハンター”たちに向けた「サイボウズ脆弱性報奨金制度2015報告会 バグハンター感謝祭」を実施した。(2016/1/28)

「Magento」に深刻な脆弱性、ECサイトが乗っ取られる恐れ
ECプラットフォーム「Magento」に見つかったXSSの脆弱性は、リモートから簡単に悪用でき、ECサイトを乗っ取られる恐れもある。(2016/1/26)

セキュリティクラスタ まとめのまとめ 2015年12月版:
「vvvウイルス」に「Joomla!」脆弱性、情報が飛び交った12月
あっという間に年も明け、2016年を迎えました。昨年末のセキュリティクラスタを振り返ってみると、「SECCON 2015」開催の一方で、vvvウイルスこと「TeslaCrypt」が話題になり、感染源や対策に関する情報が盛んにやりとりされました。また12月中旬にはオープンソースCMS「Joomla!」の深刻な脆弱性が公表され、その原因をめぐって議論が巻き起こりました。(2016/1/8)

インフラではなく「顧客のWebサービス」を守る:
PR:無料でWAFを提供――「さくらの専用サーバ」が導入したセキュリティ強化施策とは?
「クラウドの使い勝手」と「物理サーバーの性能」の両立をうたう「さくらの専用サーバ」がリニューアルされた。エンタープライズのニーズに応えるべく、専用サーバーサービスとしては珍しいSLAを導入した他、ジェイピー・セキュアのWebアプリケーションファイアウオールを追加コストなしで導入できるようにし、「性能」「安定性」「セキュリティ」「コストパフォーマンス」などを同時に満たすサービス提供を目指す。(2015/12/7)

ソフトウェア品質向上の“変”2015秋(前編):
JAXA、サイバーエージェントが考える「品質向上」と役立つツール
2015年10月に開催された@IT主催セミナーより、前編となる今回は、JAXA主任研究員の植田泰士氏やサイバーエージェントのチーフクリエイティブディレクターの佐藤洋介氏による品質向上への取り組みに関する講演、品質向上に役立つ考え方やツールを紹介した各講演をお伝えする。(2015/12/4)

セキュリティ業界、1440度(17):
著名バグハンターが明かした「脆弱性の見つけ方」――「CODE BLUE 2015」リポート
2015年10月28日から29日にかけて、西新宿で日本発の国際セキュリティカンファレンス「CODE BLUE 2015」が開催されました。IoT関連の衝撃的な攻撃デモや、著名バグハンターによる「脆弱性の効率的な発見方法」の解説など、多くの刺激的な発表が行われた本イベントから、特に興味深かった講演に関するリポートをお送りします。(2015/11/27)

Adobe、ColdFusionとLiveCycle DS、Premiere Clipの脆弱性を修正
ColdFusionの脆弱性を悪用された場合、反射型クロスサイトスクリプティング(reflected XSS)攻撃を仕掛けられる恐れがある。(2015/11/18)

セキュリティクラスター まとめのまとめ 2015年10月版:
「4万人のボランティアが守る東京オリンピック」?――セキュリティクラスターの反応は
2015年10月は特に大きなセキュリティインシデントは発生しませんでした。しかし「図書館」に「東京オリンピック4万人ボランティア発言」と話題は尽きることなく……(2015/11/12)

攻撃者は何でもできるようになる
多くのルーターに存在するバックドア、最悪の悪用シナリオとは
米政府機関やセキュリティ企業Rapid7は、多くのメーカーがルーターに認証情報をハードコードしており、攻撃者に悪用される可能性があると指摘した。このバックドアを悪用されると何が起きるのか?(2015/11/6)

アプリケーションレイヤーへの高度なサイバー攻撃を防御:
東京エレクトロン デバイスがWAFのマネージドサービスを発表
東京エレクトロン デバイスは、Webアプリケーションファイアウオールを利用したセキュリィサービスの提供を開始すると発表した。F5ネットワークスジャパンのBIG-IP ASMとNRIセキュアテクノロジーズの運用サービスを組み合わせて、アプリケーションへの攻撃を検知・防御する。(2015/10/22)

「Trident」に変わる新エンジン「EdgeHTML」の実力をチェック
Microsoft Edgeが“最強ブラウザ”になれない「ただ1つの欠点」
「Internet Explorer」をしのぐパフォーマンスやセキュリティ機能を実現する「Microsoft Edge」。ただし、ユーザーが待ち望む「あの機能」はまだ実装されていない。(2015/9/17)

WordPress 4.3.1公開、3件の脆弱性を修正
悪用された場合、SQL攻撃を仕掛けられたり、購読者の権限しか持たないユーザーに投稿の作成や編集ができてしまう恐れがある。(2015/9/16)

mixi Scrap Challengeリポート:
本番さながらの環境でXSSなどの脆弱性を探す、学生向けイベント
書籍などを通じて知識として知っているつもりの脆弱性。しかし、実際に手を動かしてその仕組みを体験するのは難しい。日本有数のSNS mixiや「モンスターストライク」などのサービスを展開しているミクシィが、同社本番環境のクローンに対する疑似攻撃を通じてWebサービスの脆弱性について学べる学生向けのイベントを開催した。(2015/9/14)

ビッグデータ利活用と問題解決のいま:
GEにみるIoTとビッグデータ連携でのOSS利用と国際協調
モノのインターネット(IoT)の普及拡大とともに、企業の産業システムがオープンソースソフトウェアとデータを連携する場面が増えてくる。ビッグデータ/IoT連携を推進するグローバル企業は、どのように対応しているのだろうか。(2015/9/9)

Apache Struts2にXSSの脆弱性、更新版が公開
脆弱性は2件あり、悪用された場合に任意のスクリプトを実行される恐れがある。(2015/9/4)

脆弱性が修正されないソフトは使用中止の検討を――IPAが新制度
ソフト開発者と1年以上連絡が取れないケースではユーザーの安全を考慮し、使用中止の判断ができるようにするという。(2015/9/3)



多くの予想を裏切り、第45代アメリカ合衆国大統領選挙に勝利。貿易に関しては明らかに保護主義的になり、海外人材の活用も難しくなる見込みであり、特にグローバル企業にとっては逆風となるかもしれない。

携帯機としても据え置き機としても使える、任天堂の最新ゲーム機。本体+ディスプレイ、分解可能なコントローラ、テレビに接続するためのドックといった構成で、特に携帯機としての複数人プレイの幅が広くなる印象だ。

アベノミクスの中でも大きなテーマとされている働き方改革と労働生産性の向上。その実現のためには人工知能等も含むITの活用も重要であり、IT業界では自ら率先して新たな取り組みを行う企業も増えてきている。