2014年9月27日のブックマーク (6件)

  • 閲覧でウイルス感染も「bash」に重大欠陥 NHKニュース

    インターネットのホームページを表示するサーバーで広く利用されているプログラムに重大な欠陥が見つかり、放置しておくと、個人情報の流出などを招くおそれがあるとして、セキュリティー機関などが早急な対策を呼びかけています。 欠陥が見つかったのは、Linuxという基ソフト上で動く「bash」と呼ばれるプログラムで、インターネットのホームページを表示するサーバーで広く利用されています。 このプログラムについて25日、外部からコンピューターを勝手に操作されかねない重大な欠陥があることが明らかになりました。 この欠陥を悪用されると、サーバーに保管されている個人情報が流出したり、ホームページを閲覧した人のパソコンが、ウイルスに感染するよう仕組まれる危険性があるということです。 このため、セキュリティー機関のJPCERTなどは、このプログラムを利用しているサイトに欠陥が修正された最新のプログラムを早急に導入

    shioki
    shioki 2014/09/27
    悪用されるのサーバだけではない“この欠陥を悪用されると、サーバーに保管されている個人情報が流出したり、ホームページを閲覧した人のパソコンが、ウイルスに感染するよう仕組まれる危険性があるということです”
  • 組織における内部不正防止ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

    組織内部者の不正による顧客情報や製品情報などの漏えいは事業の根幹を揺るがすインシデントであり、内部不正が発生するリスクの把握や効果的な対策の検討は、組織にとって喫緊の課題です。IPAでは、このような背景から、企業やその他の組織において必要な内部不正対策を効果的に実施可能とすることを目的として2013年に「組織における内部不正防止ガイドライン」を作成し、2022年4月に改訂版第5版を公開しました。 ガイドラインは、内部不正防止の重要性や対策の体制、関連する法律などの概要を平易な文体で説明しており、「基方針」「資産管理」「技術的管理」「職場環境」「事後対策」等の10の観点のもと、合計33項目からなる具体的な対策を示しています。 各対策項目では、「対策の指針」を冒頭に記し、対策しない場合のリスクと、具体的な対策のポイントを整理する構成としています。さらに、内部不正の事例のほか、自組織の内部不

    組織における内部不正防止ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
    shioki
    shioki 2014/09/27
    “2014年9月26日 日本語版ガイドライン、内部不正チェックシートをVer.2.0に更新”
  • 更新:bash の脆弱性対策について(CVE-2014-6271 等):IPA 独立行政法人 情報処理推進機構

    GNU Project が提供する bash は、Linux など UNIX 系の OS に含まれるコマンドを実行するためのシェル(OS の一部としてプログラムの起動や制御などを行うプログラム)です。 bash に任意の OS コマンドを実行される脆弱性 (CVE-2014-6271) が発見され、2014 年 9 月 24 日に修正パッチが公開されました。 ただし、CVE-2014-6271への修正が不十分であるという情報があります。その修正が不十分であることによる脆弱性 (CVE-2014-7169) に対応したアップデートまたはパッチも各ベンダから順次公開されています。 bash を使用して OS コマンドを実行するアプリケーションを介して、遠隔から任意の OS コマンドを実行される可能性があります。 図:脆弱性を悪用した攻撃のイメージ 警察庁によると脆弱性を標的としたアクセスが観

    shioki
    shioki 2014/09/27
  • 離職率の低いスターバックスが従業員に徹底している5つのポイント - リクナビNEXTジャーナル

    時給1000円や1500円を出してもアルバイトがなかなか集まらないと言われている外産業において、とりわけ離職率の低さで知られているスターバックス。『就職四季報』(東洋経済新報社)によると、最近のデータは4.8%とかなり低い数字です。 スターバックスコーヒージャパンに12年間勤め、店舗ヒューマンリソース部長、人事サービス部部長に着任した目黒勝道氏の近著『感動経験でお客様の心をギュッとつかむ!スターバックスの教え』(朝日新聞出版)によると、同社では、社の正社員も店舗のアルバイトも、さらにはストアマネージャーも社長も「パートナー」と呼び合うことで、すべての人が対等な立場であり、垣根がないと示しているといいます。 父親が、低賃金の仕事に就き、不当な扱いを受けていたことに起因し、同社創業者のハワード・シュルツ氏は「社員を歯車のように扱いたくない」「社員には誇りを持って働いてもらいたい」という願い

    離職率の低いスターバックスが従業員に徹底している5つのポイント - リクナビNEXTジャーナル
    shioki
    shioki 2014/09/27
    「従業員全員にストックオプション」がない
  • ウェブアプリにおけるBash脆弱性の即死条件 #ShellShock - めもおきば

    条件1. /bin/shの実体がbashのディストリビューション RHEL CentOS Scientific Linux Fedora Amazon Linux openSUSE Arch Linux (自ら設定した場合: Debian, Ubuntu) 条件2. 動作環境 CGI (レンタルサーバでありがちなCGIモードのPHP等も含む) Passenger(Ruby) 条件3. プログラム内容 Passengerは全死亡 *1 systemや `command`、 '| /usr/lib/sendmail' などで外部コマンド実行 *2 PHPのmailやmb_send_mail、その他フレームワーク等を介したメール送信 *3 以下は条件1が不要 明示的にbashを呼ぶ 先頭で #!/bin/bash や #!/usr/bin/env bash しているプログラムを実行 (rbenv

    ウェブアプリにおけるBash脆弱性の即死条件 #ShellShock - めもおきば
    shioki
    shioki 2014/09/27
    Rails+Passengerとか大丈夫か?“Passengerは、デフォルトでRAILS_ROOT/config/environment.rbのファイル所有者の権限で実行されるため、一般的なインストール状況であればpublic以下にファイルを置いたり等なんでもできます”
  • クロネコメンバーズWebサービスへの不正ログインに関するお知らせ | ヤマトホールディングス

    このたび、ヤマトホールディングス傘下のヤマト運輸株式会社(社:東京都中央区・代表取締役社長 山内 雅喜)が提供するクロネコメンバーズ(主に個人の方を対象とした会員制サービス)のWebサービスにおきまして、外部から不正ログインがあり、一部のお客様の個人情報が閲覧された可能性があることが判明しました。クロネコメンバーズのお客様をはじめとする皆様にはご迷惑とご心配をお掛けいたしましたことを心よりお詫び申し上げます。 平成26年9月25日(木)、特定のIPアドレスからの不正なログインを確認し、緊急の措置として、該当のIPアドレスからのログインを遮断するなどの対策を講じました。調査の結果、不正なログインに使用されたID・パスワードは弊社で使用されていないものが多数含まれており、他社サービスのID・パスワードを使用した「パスワードリスト攻撃※」による不正ログインと判明しました。

    shioki
    shioki 2014/09/27
    “閲覧された可能性のある項目:クロネコID、メールアドレス、利用の端末種別(パソコンまたは携帯・スマートフォン)、氏名、氏名ふりがな、電話番号、性別、郵便番号、住所”