ITmedia総合  >  キーワード一覧  >  X

「XSS」関連の最新 ニュース・レビュー・解説 記事 まとめ

Webサイトの入力欄にスクリプトを含んだタグを打ち込むと、そのサーバの脆弱性の度合いによって、cookieを吐き出したり、読み出されたcookieデータが第三者のサーバに転送されるなどの可能性があることをクロスサイトスクリプティングと呼ぶ。
クロスサイトスクリプティング − @ITセキュリティ用語事典

-こちらもご覧ください-
Webアプリにおける11の脆弱性の常識と対策 - @IT
世間の認識と脅威レベルのギャップ――XSSは本当に危ないか? − @IT
クロスサイトスクリプティング対策の基本 連載インデックス - @IT
Insider's Computer Dictionary [クロスサイト・スクリプティング] − @IT

親子の会話から学ぶクラウドセキュリティ(2):
1人では大変だなあ――クラウド上で安全なネットワークを構築・管理するために必要な基礎知識
親子の会話で出てくるような素朴な疑問点から、クラウド環境における情報セキュリティの技術を学習する連載。今回は、クラウド上で安全なネットワークを構築・管理するために必要な基礎知識について。(2020/8/4)

Citrix製品の脆弱性、パッチ公開後に悪用探る動きを検出
Citrixが2020年7月7日に修正パッチを公開したばかりの脆弱性について、悪用を試みる動きが検出された。(2020/7/10)

Node、PostgreSQL、MySQL、nginxなど公式コンテナイメージは安全ではない:
Dev、Sec、Opsでの責任共有の推進は47%が未実施も前進――企業のOSSセキュリティに関するSnykレポート
セキュリティ企業のSnykは、オープンソースソフトウェアのセキュリティ状況に関する年次レポートの最新版「State of Open Source Security Report 2020」を公開した。(2020/7/6)

Webアプリケーションを脅かす5つの脆弱性【後編】
バッファオーバーフロー、CSRF、アクセス権限の不備とは? 危険なWeb脆弱性
主なWebアプリケーションの脆弱性を理解することは、セキュリティ対策に役立つ。「バッファオーバーフロー」「CSRF」「アクセス制御の不備」の3つの脆弱性を紹介する。(2020/5/1)

Webアプリケーションを脅かす5つの脆弱性【前編】
SQLインジェクション、クロスサイトスクリプティングとは? Webの主な脆弱性
攻撃によく利用される手法を理解することは、適切なセキュリティ対策を講じるための第一歩だ。Webアプリケーションの主な脆弱性「SQLインジェクション」「クロスサイトスクリプティング」を紹介する。(2020/4/16)

コード実行の脆弱性が多い:
ソフトウェア脆弱性は2019年にどう変わったのか? TheBestVPN.comが報告
TheBestVPN.comは主要なOSやWebブラウザなどで2019年に見つかった脆弱性を調査した結果を発表した。NIST(米国国立標準技術研究所)の「National Vulnerability Database」を基に分析した。OSでは「Android」、アプリケーションソフトウェアでは「Adobe Flash Player」の脆弱性が最も多かった。(2020/3/11)

HTTP Desync攻撃が際立つ:
新たなWebハッキング技術、2019年に登場したトップ10をPortSwiggerが発表
サイバーセキュリティツールベンダーのPortSwiggerは、2019年の新しいWebハッキング技術についてトップ10を発表した。Googleの検索ボックスだけを使うといった全く新しい攻撃手法はもちろん、既存の複数の手法を組み合わせて新たな攻撃を作り上げたものなど、「価値ある」攻撃手法を取り上げた。(2020/2/21)

徳丸浩氏が8つの試練を基に解説:
架空企業「オニギリペイ」に学ぶ、セキュリティインシデント対策
ECサイトやWebサービスでセキュリティインシデントを起こさないためには何をすればいいのか。2019年12月に開かれた「PHP Conference Japan 2019」で徳丸浩氏が、架空企業で起きたセキュリティインシデントを例に、その対策方法を紹介した。(2020/1/28)

AppleのサードパーティーCookie制限機能「ITP」の複数の欠陥をGoogleが指摘
AppleがSafariに搭載するクロスサイトトラッキング制限機能「ITP」に個人情報漏えいにつながる欠陥があったと、Googleが論文で指摘した。(2020/1/23)

Android向けOutlookに脆弱性、Microsoftが更新版で対処
認証された攻撃者が細工を施した電子メールを送り付けることによって、この脆弱性を悪用できてしまう恐れがある。(2019/11/22)

Googleが修正したGmailの脆弱性、「DOM Clobbering」の問題を悪用
発見者は「有名なDOM Clobberingの問題を現実世界で悪用する実例」と位置付けている。(2019/11/19)

守りが薄いWebアプリケーション(2):
常に偵察にさらされるWebアプリケーション、脆弱性が見つかるまで
当連載ではWebアプリケーションのセキュリティが置かれている状況と、サイバー攻撃について具体的なデータを示し、防御策を紹介している。前回はインターネットにはクリーンではないトラフィックが常にまん延していることを実証し、攻撃対象となる領域と、領域ごとの被害例について簡単に整理した。今回は、攻撃者の目線を交えて、Webアプリケーションが攻撃を受けるまでにたどるプロセスに沿って、順に解説していく。(2019/10/10)

なぜ、セキュリティを意識したサイトでも「認証に不安が残る」のか
セキュアスカイ・テクノロジーが、Webサービスの認証を取り巻く「攻撃」と、それに付け入れられる隙となる「脆弱性」の実態を紹介するセミナーを開催。積極的に脆弱性診断を受けるほどセキュリティに気を配っているサイトでも、不備が多々見つかったという。(2019/9/27)

18カ月で35億回の攻撃:
金融サービスが不正ログインの主な標的に Akamaiがセキュリティレポートを発表
Akamaiが発表したレポートによると、フィッシングサイトの被害を受けた組織の50%が金融サービス部門だった。不正ログイン攻撃も18カ月で35億回確認された。金融サービスを利用する顧客の個人データや銀行口座情報がリスクにさらされている。(2019/8/19)

18カ月で35億回も 金融サービスの顧客を狙うサイバー攻撃の傾向が判明
Akamaiが発表したレポートによると、金融サービスを利用する顧客の個人データや銀行口座情報がリスクにさらされているという。フィッシングサイトの被害を受けた組織の50%が金融サービス部門だった。不正ログイン攻撃も18カ月で35億回確認された。(2019/8/16)

British Airwaysで何が起こっていたのか
大手航空会社が「GDPR」違反で約240億円の罰金 制裁は正当か
British Airwaysは、大規模な顧客情報流出に対してGDPRの制裁を受け、1億8339万ポンドの罰金が科せられる可能性がある。攻撃の詳細は明らかになっておらず、制裁の正当性について専門家は疑問を呈する。(2019/8/7)

Apple、Windows版iCloudとiTunesの脆弱性を修正
Windows向けのiCloudおよびiTunesのセキュリティアップデートが公開され、多数の脆弱性が修正された。(2019/7/24)

「Outlook for Android」に脆弱性、Microsoftが更新版リリース
攻撃者が細工を施した電子メールを送り付けることによって、脆弱性を悪用される恐れがある。(2019/6/25)

守りが薄いWebアプリケーション(1):
狙われるWebアプリケーション、何が起こるのか
当連載ではWebアプリケーションのセキュリティがどのような状況にあり、どのような攻撃や防御策があるのかを紹介していく。第1回はWebアプリケーションがどのように狙われているのか、概要を紹介する。Webアプリケーションに向けた攻撃は数多く、規模も大きい。主に4つの部分が攻撃にさらされており、被害の内容は異なる。(2019/6/25)

セキュリティ・アディッショナルタイム(32):
深夜のXSS講座も? サイボウズのバグハンター合宿がやたら楽しそうな件
ソフトウェアに含まれるバグや脆弱性を見つける者たちが1カ所に集まり、集中的に脆弱性を見つけ出す「バグハンター合宿」をサイボウズが開催した。なぜ、わざわざ脆弱性報奨金制度を展開し、合宿まで実施するのだろうか。(2019/6/6)

セキュリティが目指す高度な自動化の方向が見えた
今回は、2019年5月8〜10日に開催された「第16回情報セキュリティExpo」の展示会場から、サイバーセキュリティの新しいトレンドを見据えた製品を幾つかピックアップした。APIのセキュリティを支援する製品や、人手が足りない現場を助ける高度な自動化ツール、DNSにアクセスした段階で脅威を取り除くソリューションなどが目立った。(2019/5/29)

【特集】Transborder 〜デジタル変革の旗手たち〜:
「エンジニア経験ゼロ」から「サイバーセキュリティのプロ」へ ある女子が果たした転身のきっかけ
リクルートグループのセキュリティ専門集団「Recruit-CSIRT」で専門チームを率いる安東美穂さん。日夜進化するサイバー攻撃との戦いの最前線に、数年前、未経験のエンジニアとして飛び込んだ。そのきっかけは何だったのか。(2019/4/19)

これからは継続的な脆弱性チェックが必須に:
PR:日常化するWebサイトの脆弱性を突く攻撃――“すぐそこにある脅威”に企業がとる最善の方法とは?
FinTechやIoTなど、デジタル変革の取り組みが進む中、Webサイトの更新サイクルはますます速まっている。同時に、攻撃者が新しいサービスに潜む脆弱性を見つけ出し、それを悪用する動きも加速している。これまでの手動の脆弱性検査では追随できなくなっているのが現状だ。そうしたWebサイトの現状にいま、求められるセキュリティサービスとはどのようなものなのか。(2019/3/27)

ThreatXが考える新しい世代のクラウド型WAF:
CI/CDパイプラインを妨げない形でセキュリティを実現すれば、「開発者や運用担当者に嫌われないWAF」は可能か
米国のセキュリティ企業ThreatXでは、シグネチャではなく、サイバーキルチェーンに沿ったプロファイリングとアプリケーションそのものの挙動を学習することによって脅威を検知するWAF製品を提供し、アプリケーション開発者や運用者にも好かれるWAFを目指す。(2019/3/15)

OSS脆弱性ウォッチ(11):
2019年も脆弱性の全公開情報を調べるには2〜3人月かかる――CVE/CWE視点で見る2018年の脆弱性のトレンド
連載「OSS脆弱性ウォッチ」では、さまざまなオープンソースソフトウェアの脆弱性に関する情報を取り上げ、解説する。今回は、2018年の脆弱性のトレンドを、CVE、CWEなどの視点から見てみます。(2019/1/17)

IoTセキュリティの現実的な仕組みと課題(3):
想像してみよう、もしもIIoTの世界でセキュリティ対策をしなかったら?
工場や重要インフラで利用されつつある「インダストリアルIoT(IIoT)」の世界に着目し、IoTセキュリティの現実的な仕組みと課題について解説する本連載。第3回では、IIoTの世界で適切なサイバーセキュリティ対策を施さなかったらどうなるのかを想像することで、セキュリティ対策(投資)の必要性に対する理解を深めたい。(2018/10/25)

セキュリティ・アディッショナルタイム(24):
目先の脆弱性(バグ)の修正に追われるのはもう十分? Black Hatで見た根本的な問題解決のアプローチ
2018年8月にセキュリティカンファレンス「Black Hat USA 2018」が開催された。Googleによる基調講演や、「モグラたたきを終わらせ、根本的な原因を解決する」ための取り組みを実践した企業による講演の模様をお届けする。(2018/9/7)

OpenSCAPで脆弱性対策はどう変わる?(2):
SCAPの構成要素、CWE(共通脆弱性タイプ)、CCE(共通セキュリティ設定一覧)とは
本連載では、グローバルスタンダードになっている「SCAP」(セキュリティ設定共通化手順)、およびそれを基にシステム構成や脆弱性の検査を行うためのOSSツール「OpenSCAP」や、その周辺の技術、用語などを紹介する。今回は、CWE(共通脆弱性タイプ)、CCE(共通セキュリティ設定一覧)について。(2018/9/5)

役立つツールも紹介
クラウドアプリの性能とセキュリティを確保するための5つのテストと主要製品
高いパフォーマンスが発揮されていることを確認し、クラウドアプリのセキュリティを確保する上で重要な5種類のテストの概要を説明する。(2018/8/24)

Google Cloud Next ‘18発表まとめ(2):
BeyondCorpなど、Google Cloudのセキュリティにおける進化
Googleのクラウド事業部門Google Cloudが、2018年7月にサンフランシスコで年次カンファレンス「Google Cloud Next ‘18」を開催した。本連載では、同イベントにおける数々の発表を、クラウドエースおよび吉積情報のエンジニアが解説する。第2回は、セキュリティ関連の発表をまとめる。(2018/8/17)

セキュリティクラスタ まとめのまとめ 2018年7月版:
災害時のフリーWi-Fi、何が危ない?
7月のセキュリティクラスタは「豪雨災害とフリーWi-Fiスポットのセキュリティ」「不正アクセスで逮捕された若者がホワイトハッカーとして復活」「Chromeと非SSLサイトの警告表示」に注目が集まりました。(2018/8/10)

鈴木淳也の「Windowsフロントライン」:
Windows 10次期大型アップデート「RS5」はどうなる? 開発中盤のまとめ
2018年秋に一般公開される予定のWindows 10次期大型アップデート。開発コード名で「Redstone 5(RS5)」と呼ばれるこのアップデートでは何が変わるのだろうか。プレビュー版における開発中盤までの更新状況をまとめる。(2018/7/28)

アルティメットサイバーセキュリティクイズ2018:
あなたは解けるか? 関西発、セキュリティクイズ大会に登場した“あんなこんな問題”
エンジニアに限らず、セキュリティに関心を持つ人々が気軽に参加できる、楽しいイベントができないか――。そんな思いを形にした「アルティメットサイバーセキュリティクイズ2018」が、2018年7月14日に大阪で開催された。(2018/7/27)

Microsoft、IDサービスや「OpenID」規格の脆弱性情報募る 最高賞金1100万円
多要素認証バイパスの脆弱性や、標準設計の脆弱性については、最高で10万ドルの賞金を支払う。(2018/7/19)

Chrome拡張「5000兆円コンバーター」にXSS脆弱性 最新版にアップデートを
「5000兆円欲しい!」と書かれたテキストを、太字の画像に変換するChrome拡張「5000兆円コンバーター」にXSS脆弱性が見つかったとJVNが注意喚起している。(2018/6/15)

CMSのセキュリティは脆弱性対策とログイン保護で:
PR:誰もが安心して利用できるレンタルサーバーを目指して 〜国内最大級のレンタルサーバーへの攻撃調査から見えてきた対策とは
レンタルサーバーを利用する誰もが必ずしも高いサイバーセキュリティ知識をもっているわけではない。セキュリティを意識せずに誰もが安心して利用できるレンタルサーバーは理想論なのだろうか? 理想的なセキュリティ対策に挑戦し続けるGMOペパボの担当者2人とジェイピー・セキュア担当者の鼎談(ていだん)から、Webセキュリティ対策のヒントを探る。(2018/6/13)

中小企業こそセキュリティをアウトソースすべき? 任せるときに知っておきたいこと
サイバー攻撃が巧妙になる一方で、セキュリティ分野の人材不足が深刻化する――。そんな中、企業が注目しているのがセキュリティのアウトソースだ。効果的なセキュリティ対策を講じるためには、どんな手順でどのように準備を進めればいいのか。(2018/5/1)

IoTの真価を発揮するために:
IoTにおける“精度”の重要性
IoT(モノのインターネット)では、高精度にデータを計測、センシングする必要があります。高い精度での計測、センシングは、IoTにさまざまな利点をもたらすためです。ここでは、いかにIoTにおいて、計測/センシングの精度が重要であるかを事例を挙げつつ、考察していきます。(2018/2/21)

セキュリティ・アディッショナルタイム(21):
10分で脆弱性が見つかった、バグハンターと開発者が共同合宿で得たこと
缶詰め状態で集中して脆弱(ぜいじゃく)性を見つけてもらう「バグハンター合宿」を、サイボウズが2017年11月3〜4日に実施。予想以上に多くの報告を受理しただけでなく、サービス開発者とバグハンターの双方に気付きが生まれた。(2018/2/14)

夢物語で終わらせない「DevOps」(6):
2018年のトレンドは、DevOpsにセキュリティを融合した「DevSecOps」
迅速なサービス展開を維持しつつ、セキュリティをどう担保すればいいのか。DevOpsにおけるこの課題への答えは、DevOpsの新たなトレンド「DevSecOps」にその答えがあるのです。(2018/2/14)

特集:セキュリティリポート裏話(8):
「OWASP Top 10」をはじめ、業界標準ガイドラインの改訂相次ぐ
セキュリティ対策をまとめ、強化する際に役立つ資料がある。政府やコミュニティーがまとめた公開ドキュメントだ。経済産業省の「サイバーセキュリティ経営ガイドライン Ver 2.0」とOWASPの「OWASP Top 10 - 2017(日本語版)」を中心に内容を紹介する。(2018/1/17)

外注したシステムの脆弱性は誰のせい? 連日の「深刻な脆弱性」にどう向き合い、どう対応するか?
連日のように公開される脆弱性情報の中から自分たちに関係するものを見つけ、適切な優先順位で対応するのは容易ではない。この状況に、企業はどう向き合えばよいのだろうか? @ITは、2017年8月30日にセミナー『連日の「深刻な脆弱性」どう向き合い、どう対応するか』を東京で開催した。多数の専門家やセキュリティベンダーが登壇した同セミナーの模様をお届けしよう。(2017/10/3)

Apple、「High Sierra」や「iOS 11.0.1」のセキュリティ情報公開
「High Sierra 10.13」では、OS X Lion 10.8以降のバージョンに存在していた多数の脆弱性に対処した。「iOS 11.0.1」「iCloud for Windows 7.0」も公開された。(2017/9/27)

WordPressの更新版公開、直ちに適用を
最新版となる「WordPress 4.8.2」では、SQLインジェクションの脆弱性や、複数のクロスサイトスクリプティング(XSS)の脆弱性などが修正された。(2017/9/21)

Apple、「iOS 11」や「Safari 11」のセキュリティ情報を公開
iPhone 5や第4世代のiPod、OS X Yosemite(10.10.5)などはアップデートの対象から外された。(2017/9/20)

脆弱性にまみれた世界で戦う人たち――バグハンター、CSIRT、レッドチーム
ランサムウェア「WannaCry」のインパクトが記憶に新しい中、ウクライナやロシアを中心に感染を広げた「NotPetya」が登場した直後の開催となった、2017年6月の@ITセキュリティセミナー。レポートシリーズ第2回は、脆弱(ぜいじゃく)性に関する講演を中心に紹介する。(2017/8/23)

SCSKとベリサーブが提供する、ソースコード診断サービスの狙い:
PR:「ものづくり」においてもソフトウェアが重要な今、ソースコードに「品質」プラス「セキュリティ」で企業の価値向上に
10年以上にわたって脆弱性診断サービスを提供してきたSCSKと、そのグループ会社で、製造業を中心にソースコードの品質検査サービスを実施してきたベリサーブ。両社はFortify SCAといった診断ツールを活用してソースコードの脆弱性検査サービスを提供し、ソフトウェアがもたらす価値をさらに高めようとしている。(2017/8/17)

Adobe、Flash PlayerとAdobe Connectの脆弱性を修正
Flash Playerの脆弱(ぜいじゃく)性では、リモートの攻撃者にコードを実行される恐れがあり、できるだけ早く最新版に更新する必要がある。(2017/7/12)

WordPress用プラグインにXSS脆弱性 最新版へアップデートを
脆弱性は最新版で修正されている。(2017/7/4)

「Adobe Acrobat」の「Chrome」用拡張機能の教訓から
Chromeで発生した「Adobe Acrobat」自動インストール問題の真相
2017年1月の「Adobe Acrobat Reader DC」アップデート時に、「Google Chrome」に新しい拡張機能が自動的に追加され、しかもこの拡張機能に脆弱(ぜいじゃく)性が見つかった。この問題の教訓を考える。(2017/6/15)



にわかに地球規模のトピックとなった新型コロナウイルス。健康被害も心配だが、全国規模での臨時休校、マスクやトイレットペーパーの品薄など市民の日常生活への影響も大きくなっている。これに対し企業からの支援策の発表も相次いでいるが、特に今回は子供向けのコンテンツの無料提供の動きが顕著なようだ。一方産業面では、観光や小売、飲食業等が特に大きな影響を受けている。通常の企業運営においても面会や通勤の場がリスク視され、サーモグラフィやWeb会議ツールの活用、テレワークの実現などテクノロジーによるリスク回避策への注目が高まっている。