産総研 > RCIS > 研究テーマ > ソフトウェア脆弱性に関する実践的調査研究

ソフトウェア脆弱性に関する実践的調査研究

概要

インターネットなどで用いられるソフトウェアの脆弱性は、近年大きな問題になっています。 RCIS では、日々起こる現実のセキュリティ問題に対し、その根本的な原因を豊富な知見に基づく研究者の視点から追求・整理し、 その問題を防ぐための措置や注意点、また実際に問題を解決するためのソフトウェアの修正法や検証手段について研究しています。

また、その検証の過程で発見した具体的な脆弱性については、IPA, JPCERT/CC, CERT/CC 等の関連機関などを通じて 制作者に連絡し、その脆弱性の修正に協力しています。

主な担当研究者

• 高木 浩光
• 大岩 寛
• 古原 和邦
• 渡辺 創

主な発表

1. Y. Oiwa, K. Kobara and H. Watanabe, ``A New Variant for an Attack Against RSA Signature Verification Using Parameter Field,'' Proceedings of EuroPKI 2007 (4th European PKI Workshop: Theory and Practice), LNCS 4582, pp.143--153, Palma de Mallorca, Spain, June 2007.

これまでに報告した主な脆弱性

• tDiary のセッション・ライディングによる任意コード実行脆弱性
  • JVN#60776919, CVE-2005-2411, DSA-808
• Hiki のクロスサイト・スクリプティング 脆弱性
  • JVN#38138980, CVE-2005-2803
• FreeStyleWiki の外部コマンド実行脆弱性
  • JVN#42435855
• Ruby のセキュリティ機構回避の脆弱性
  • JVN#62914675, CERT VU#160012, CIAC:Q-016, CVE-2005-2337
  • DSA-860, DSA-862, RHSA-2005:799, GLSA-200510-05
• Mozilla, Opera の XMLHTTP 実装のリクエスト分割脆弱性
  • JVN#31226748, MFSA2005-58, CVE-2005-2703
  • CIAC:P-310/311, FRSIRT:2005-1824
  • MDKSA-2005:169/170, RHSA-2005:785/789
• OpenSSL のバージョン・ロールバック攻撃
  • JVN#23632449, CVE-2005-2969, CIAC:Q-007
  • FreeBSD-SA-05:21, GLSA 200510-11, USN204-1
  • MDKSA-2005:179, Sun #101974
• GNUTLS, Mozilla の証明書検証の脆弱性 (不正な Parameter フィールドの埋め込みに基づくもの)
  • GNUTLS-SA-2006-4
• tDiary の任意コード実行脆弱性 (2006-12-10)