アンリ・シャルパンティエのゼリーセット

甘味

テリーヌ・ドゥ・フリュイというなのフルーツゼリーを頂きました。濃厚なお菓子も好きですが、盛夏にはさっぱりしたゼリーがとても合いますね。

BlackHat、DEFCON、セキュリティキャンプと連続出張が終わったので、ようやく腰を落ち着けて日本で甘味が食べられそうです。

Beans Nuts の豆詰め合わせ

甘味

久々の日本橋三越。夏はケーキよりも、和菓子とかつまみとかに惹かれます。試食して美味しかったので購入。日本橋三越では、今ならオリジナル風呂敷に包んでくれるというキャンペーンもやってます。お持たせにいいね。

ボルチーニとかわさびがおすすめ。わさびは結構なわさび辛さです。

BlackHat・DEFCONでラスベガス行ったり、何だかんだで甘味の更新をサボり気味でした。ちゃんとしっかり食べてますよ！

JavaScriptによるIntel Core2Duo脆弱性を利用したリモートExploit

security

Intel Core2DuoのCPUキャッシュコントローラーの脆弱性を利用したリモートコード実行のPoCが公開されています。Core2Duo以外にもAtomでも動くそうです。

JavaScriptで動作するので、ブラウザで観ただけで死ねます。NoScriptなどによる防御が必須ですね。

※fakeかも。HITB2008って書いてるし。

中国は世界中の通信の80%にアクセス可能なバックドアを持っている

security

元ペンタゴンのアナリストによると、中国政府または人民解放軍が世界の通信の約80％にアクセスできるバックドアを持っていると伝えています。
中国企業のHuawei社とZTE社製品のネットワーク機器にバックドアがあるので、それらを使っているネットワークにはアクセスが可能だとか。世界145カ国トップ50のテレコムセンターのうち45にアクセスできるそうです。

どこまで本当かわかりませんが、ありそうな話ですね。

マルチプラットフォーム対応のバックドア

security

F-Secureの研究者がコロンビア交通のWebサイトで、Windows、MacOS、Linuxなどマルチプラットフォームで動作するバックドアを発見しました。
バックドアは署名されたJavaのJARファイルを使って、ユーザーの端末がどのOSかを判定して、プラットフォームに適した追加ファイルをダウンロードしてくるとのことです。
http://www.f-secure.com/weblog/archives/ff_sig2.PNG
なお、すでにF-SecureではC&Cサーバーなどについては当局に届出済みだそうです。
当局ってどこだろう？

プロトコル内での"X-"接頭辞の廃止 - RFC6648

security

RFC6648として、アプリケーションプロトコル内での"X-"接頭辞と同様の構造の廃止というのが上がっていました。
HTTPなど多くのプロトコルでは、非標準パラメーターに”X-”接頭辞を付けることで、標準パラメーターと区別していましたが、メリットがないというより問題が多いので、既存のはさておき新たなプロトコルを作るときには、それは止めましょうとのこと。

PayPal がバグ報奨金プログラムを開始

security

PayPal もバグ報奨金プログラムを開始しました。GoogleやFirefoxなどがやっているあれです。
対象となる脆弱性は、XSS、CSRF、SQLインジェクション、認証のバイパスとのこと。報告したらいくらぐらいもらえるんでしょうね？