【注意】通信事業者から届くSMSに悪意あるメッセージを挿入するスミッシング詐欺
通信事業者からのショートメッセージ（SMS）に、詐欺目的のメッセージを紛れ込ませてURLをクリックさせるスミッシング詐欺が確認されました。ご注意ください。 通信事業者のメッセージに第三者がメッセージを挿入する手口 一般財団法人日本サイバー犯罪対策センター（JC3）と内閣サイバーセキュリティセンター（NISC）は、通信事業者から届くSMSと同じスレッドに、他の者がメッセージを挿入できる手法を用いたスミッシング詐欺が確認された、として注意を呼びかけています。 「スミッシング（Smishing）」は、SMSを悪用したフィッシング詐欺を指す言葉で、スマートフォンの普及とともに増加傾向にあります。 通信事業者からのお知らせと識別困難 これまでは、通信事業者を装ったメッセージが届いても、メッセージが他のスレッドに表示されていれば、受信者が怪しいと気付いて被害を防ぐことができました。 しかし、正規の通信
コンテナはなぜ安全（または安全でない）なのか - sometimes I laugh
CVE-2019-5736を覚えていますか？今年の2月に見つかったrunc（Dockerがデフォルトで利用しているコンテナのランタイム）の脆弱性で、ホストのruncバイナリを好き勝手にコンテナ内部から書き換えることができるというものです。 脆弱性の仕組みに興味があったので調べたところ、コンテナを攻撃する方法というのは他にもいろいろあって、runcは頑張ってそれを塞いでいるようです。これまとめると面白いかも、と思ったので以下のようなおもちゃを作りました。 Drofuneは簡単なコンテナランタイムです。drofune runとかdrofune execなどでコンテナを起動したり、入ったりすることができます、といえば想像がつくでしょうか。 これだけでは何も面白くないので、Drofuneはわざと安全でない実装になっています。なので、今回発見されたCVE-2019-5736を利用した攻撃も成立します
「パスワードの定期的変更は、古びた時代遅れの極めて価値の低い対策」、Microsoftが次期大型アップデートでポリシー変更
「パスワードの定期的変更は、古びた時代遅れの極めて価値の低い対策」、Microsoftが次期大型アップデートでポリシー変更 Microsoftは、Windows 10の次期大型アップデート「Windows 10バージョン1903」と「Windows Serverバージョン1903」のセキュリティベースライン設定のドラフト版を公開した。そこで「パスワードの定期的な変更を促していたポリシー」の廃止が盛り込まれた。 Microsoftは4月24日（現地時間）、間もなくリリースされるWindows 10の次期大型アップデート「Windows 10バージョン1903」（19H1）と「Windows Serverバージョン1903」について、セキュリティベースライン設定のドラフト版を公開した。 今回のドラフトでは、「パスワードの定期的な変更を促していたポリシー」の廃止が盛り込まれたことが注目されている
安全なWebサイトのつくりかた ざっくりまとめpart1 - Qiita
情報推進機構「安全なWebサイトのつくりかた」を読んだけど 情報量が多すぎて頭がフリーズしたので、現時点で最低限理解できる内容までを記録しておきます。 誰にでもわかるというより、僕にでもわかる文章で書いていますのでご了承ください。 Webアプリケーションのセキュリティ実装 例として、１１種類のセキュリティ脆弱性が挙げられています。 「何がまずいのか？」「どんなアプリで注意が必要なのか？」を 噛み砕いてからまとめていきます。 SQLインジェクション Part1（本記事） https://qiita.com/E-46/items/93199f38bdacd6b6076a OS コマンド・インジェクション Part2 https://qiita.com/E-46/items/aa43b6a01de8ab205591 1. SQLインジェクション どんな脆弱性なのか インジェクションとは「注入、投
.appという画期的でセキュアなgTLDについて - Lento con forza
.appというgTLDをご存知でしょうか。gTLDはgeneric top-level domainの略後で、ICANNが管理しているトップレベルドメインのことです。 有名どころでは.comや.net等があります。このブログのURLは https://kouki.hatenadiary.com ですが、この.comの部分がトップレベルドメインです。*1 このトップレベルドメインはICANNという組織が管理しています。2012年までは限られたトップレベルドメインしか存在しませんでしたが、2012年の公募では基準を定め、その基準を満たした団体は自由にgTLDを作ることができるようになりました。これ以降大量のトップレベルドメインが登録され、今では様々なドメインを利用することができます。 その中の一つ、appドメインが去年話題を呼びました。 appドメインはセキュアなドメイン そんなappドメイン
脆弱性テストツールの最新版「Metasploit Framework 5.0」が公開
Rapid7が中心となって開発しているオープンソースの脆弱（ぜいじゃく）性テスト（ペネトレーションテスト）フレームワークの最新版「Metasploit Framework 5.0（Metasploit 5.0）」が、2019年1月10日（米国時間）に公開された。2011年の4.0公開以来のメジャーアップデートとなる。 Metasploit 5.0には、新しいデータベースと自動化API、evasion（回避）モジュールとライブラリなど、多くの新機能が追加されており、言語サポートやパフォーマンス、使いやすさも向上している。主な特徴は次の通り。 Metasploitユーザーは「PostgreSQL」データベース自体をRESTfulサービスとして実行できるようになった。これにより、複数のMetasploitコンソールと外部ツールが同一のデータベースとやりとりできる データベースと通常のmsfcon
「世のエンジニア卒倒レベル」宅ふぁいる便が480万件の情報漏洩、暗号化もされてませんでした→ユーザー宛のメールも無茶苦茶
宅ふぁいる便 @takufailebin ファイル転送サービス「宅ふぁいる便」におきまして、一部サーバーに対する不正アクセスにより、お客さま情報のデータが外部に漏洩したことを確認いたしました。詳しくはこちらをご参照ください。 filesend.to 2019-01-26 03:08:26
TechCrunch
X, formerly known as Twitter, is introducing two new tiers for its subscription offering in order to bring in additional revenue. The social media giant is adding a new Premium+ tier that costs $16 pe Welcome to Startups Weekly. Sign up here to get it in your inbox every Friday. For my column this week, I told the story of how an ex-colleague was impersonated by an AI-powered spambot and almost tr
「Kubernetes」に深刻な脆弱性
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2018-12-04 10:36 「Kubernetes」に初めて深刻な脆弱性が発見された。Kubernetesは最も人気のあるクラウドコンテナオーケストレーションシステムであるがゆえに、この日がくるのは時間の問題だったと言える。「CVE-2018-1002105」という脆弱性識別番号を割り当てられ、Kubernetesの権限昇格に関する脆弱性とも称されているこの脆弱性は深刻なものであり、共通脆弱性評価システム（CVSS）による深刻度は9.8（最大値は10.0）となっている。 特殊な細工が施されたネットワークリクエストを用いれば、誰でもKubernetes APIサーバ経由でバックエンドサーバとのコネクションを確立できる。そして、いったんコネクションを確立すれば、攻撃者はそ
システムログ書式の構造に着目した システム異常検出手法の検討 /css2018-mizutani - Speaker Deck
[Sun Sep 09 06:41:35.275151 2018] [:error] [pid 1517] [client 10.2.3.4:30626] script '/var/www/html/help.php' not found or unable to stat [Sun Sep 09 06:41:35.489685 2018] [:error] [pid 1517] [client 10.2.3.4:30626] script '/var/www/html/java.php' not found or unable to stat [Sun Sep 09 06:41:35.699245 2018] [:error] [pid 1517] [client 10.2.3.4:30626] script '/var/www/html/_query.php' not found or
Node.jsにおけるプロトタイプ汚染攻撃とは何か - ぼちぼち日記
1. はじめに 最近わけあってNodeのセキュリティ調査をしているのですが、今年の5月に開催された North Sec 2018 でセキュリティ研究者の Olivier Arteau 氏による 「Prototype pollution attacks in NodeJS applications」という面白い発表を見つけました。 この発表の論文や発表資料、デモ動画などもgithubで公開されていますし、ちょうどタイミングよくセッション動画も最近公開されました。 github.com Olivier Arteau -- Prototype pollution attacks in NodeJS applications この発表で解説されているのは、悪意のある攻撃者が、JavaScript言語固有のプロトタイプチェーンの挙動を利用して、Webサーバを攻撃する方法です。 発表者は、npmからダ
どうして JWT をセッションに使っちゃうわけ？ - co3k.org
備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ？」というタイトルが不適切だとご指摘をいただいています。 その意見はもっともだと思いますので、現在、適切となるようにタイトルを調整しています。 ご迷惑およびお騒がせをして大変申し訳ございません。 本文の表現についても改善の余地は大いにありそうですが、こちらは (すでにご意見を頂戴している関係で、) 主張が変わってしまわないように配慮しつつ慎重に調整させていただくかもしれません。 はあああ〜〜〜〜頼むからこちらも忙しいのでこんなエントリを書かせないでほしい (挨拶)。もしくは僕を暇にしてこういうエントリを書かせるためのプログラマーを募集しています (挨拶)。 JWT (JSON Web Token; RFC 7519) を充分なリスクの見積もりをせずセッシ
コードを静的解析して脆弱性を検出する「SCALe」、米CERTがオープンソースで公開
米Software Engineering Institute（SEI）のCERT部門は、静的解析によってコードの脆弱性を検出するアプリケーション「SCALe」（Source Code Analysis Laborator）をオープンソースで公開しました。 SCALeは、複数の静的解析ツールをまとめて実行するためのフレームワークでできており、今回公開されたアプリケーションにはセキュリティに関するコーディング規約「SEI CERT Coding Standards」およびSQLインジェクション、クロスサイトスクリプティング、バッファオーバーフローなど多くのソフトウェアの脆弱性を体系的に一覧化した「CWE（Common Weakness Enumeration）」（共通脆弱性タイプ一覧）の2つをベースにしたツールが含まれています。 SEI CERT Coding Standardsは現在、C/
トレンドマイクロのパスワード管理ツールにパスワードを盗まれ遠隔操作される脆弱性
セキュリティ対策ソフトのトレンドマイクロの製品に含まれるパスワード管理ソフト「Password Manager」について、2016年1月11日に緊急パッチが配布されて強制アップデートが行われました。このアップデートは、Password Managerの持つ脆弱性について、Googleのセキュリティチーム「Project Zero」がブログで「前代未聞の愚かなもの」と酷評したことが端緒となって実行されたようです。 Issue 693 - google-security-research - TrendMicro node.js HTTP server listening on localhost can execute commands - Google Security Research - Google Project Hosting https://code.google.com/p/
グーグルのProject Zero、トレンドマイクロのパスワード管理ツールの脆弱性を報告
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Trend Microのパスワード管理ツール「Password Manager」に、遠隔地からのコード実行を許す脆弱性が存在していたことをGoogleのセキュリティチーム「Project Zero」が明らかにした。このツールは、同社のウイルス対策ソフトウェアをインストールした際に、デフォルトでインストールされるようにもなっている。 この脆弱性を発見したのは、Project ZeroのTavis Ormandy氏だ。Password ManagerはJavaScriptとNode.jsを用いて構築されており、ローカル環境上でウェブサーバを起動し、APIコマンドを受け付けるようになっているものの、その際にはホワイトリストや、同一オリジンポリ
2018/07/12 に発生したセキュリティ インシデント (eslint-scope@3.7.2) について - Qiita
2018 年 7 月 12 日に、ESLint 開発チームが管理する npm パッケージに悪意あるコードが挿入されるセキュリティ インシデントがありました。 ESLint からのアナウンス: https://eslint.org/blog/2018/07/postmortem-for-malicious-package-publishes npm からのアナウンス: https://status.npmjs.org/incidents/dn7c1fgrr7ng 以下の場合に npm install を実行したユーザーの npm アカウントへのログイン情報 (アクセストークン) が盗まれた恐れがあります (盗まれたアクセストークンはすでに無効化されています)。 日本時間の 18:49 から 19:25 の約 1 時間のあいだに npm install を実行し、eslint-config-e
合計1億件以上の個人情報がFirebaseの脆弱性によって公開状態に
by Alex Iby Googleが提供しているモバイルプラットフォーム「Firebase」に格納されたデータを適切に保護できないという脆弱性があり、利用している企業の62％でデータベースに格納されているモバイルアプリの関連データが公開状態になっていることが明らかになりました。 62% of Enterprises Exposed to Sensitive Data Loss via Firebase Vulnerability - Appthority https://www.appthority.com/company/press/press-releases/62-of-enterprises-exposed-to-sensitive-data-loss-via-firebase-vulnerability/ Q2 2018 Mobile Threat Report Downloa
無料で脆弱性検査！Dockerfileに4行追加で導入できるmicroscannerを試してみた
microscannerは、CVEベースでDockerイメージの脆弱性検査をするツールです。簡単に導入できかつ有用なので、導入方法と利用上の注意事項などをまとめました。 先日レポートした「Docker漬けの一日を共に〜Docker Meetup Tokyo #23」は、情報量がてんこ盛りで、学び多くて楽しくてワッセロイだったんですが、その中で、とく(@CS_Toku)さんがLT発表されていた「KubeCon報告とmicroscanner試してみた」のmicroscannerが、面白そうだったので早速触ってみました。 Dockerfileに4行追加するだけで、CVEベースの脆弱性検査が無料で利用でき、既存のイメージビルドに組むこむのもお手軽そうなので、これからコンテナ導入しようと思っている人も、既に本番でガンガンコンテナ使っている人も、一度導入を検討してみてはいかがでしょうか。 __ （祭）
多くのメールソフトに受信トレイの内容がすべて読み取られる深刻な脆弱性が発覚、PGPとS/MIMEに関連
電子メールのセキュリティを高めるための暗号化プロトコルとして、PGP、S/MIMEが知られています。ミュンスター専門大学でコンピューターセキュリティの教授を務めるセバスチャン・シンゼル氏らの研究チームは、暗号化プロトコルのPGPとS/MIMEに深刻な脆弱性があることを指摘しました。この脆弱性はPGP、S/MIMEのプロトコル自体の問題ではなく、この機能を実装したソフトウェアにあるとのことです。 Attention PGP Users: New Vulnerabilities Require You To Take Action Now | Electronic Frontier Foundation https://www.eff.org/deeplinks/2018/05/attention-pgp-users-new-vulnerabilities-require-you-take-a
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
パスワードが脆弱になる理由と、強いパスワードを作る方法 | ライフハッカー［日本版］
