Russ Cox, for the Go team 10 November 2021 Today we celebrate the twelfth birthday of the Go open source release. We have had an eventful year and have a lot to look forward to next year. The most visible change here on the blog is our new home on go.dev, part of consolidating all our Go web sites into a single, coherent site. Another part of that consolidation was replacing godoc.org with pkg.go.
情報セキュリティの欠陥となる脆弱(ぜいじゃく)性が発見されると、CVE(Common Vulnerabilities and Exposures：共通脆弱性識別子)という識別IDが与えられ、重大度が評価された上でリスト化されます。このCVEのシステムに大きな問題があると、転送ライブラリであるcURLのメンテナーであるダニエル・ステンバーグ氏が自身のブログで疑問を提起しています。 CVE-2020-19909 is everything that is wrong with CVEs | daniel.haxx.se https://daniel.haxx.se/blog/2023/08/26/cve-2020-19909-is-everything-that-is-wrong-with-cves/ 2023年8月25日、ステンバーグ氏はcURLのメーリングリストで、「最近cURL関連の脆弱
Linux Hardening Guide | Madaidan's Insecurities
Last edited: March 19th, 2022 Linux is not a secure operating system. However, there are steps you can take to improve it. This guide aims to explain how to harden Linux as much as possible for security and privacy. This guide attempts to be distribution-agnostic and is not tied to any specific one. DISCLAIMER: Do not attempt to apply anything in this article if you do not know exactly what you ar
リトアニアのセキュリティ企業であるNord Securityは11月15日（日本時間）、2022年に最も使われたパスワードのランキングを発表した。米国やオーストラリアなど世界30カ国の1位は「password」（使用回数約500万回）。日本の1位は「123456」（同1210回）だった。 日本のランキングは2位が「password」（926回）、3位が「1234」（921回）、4位が「12345678」（562回）、5位が「akubisa2020」（438回）、6位が「xxxxxx」（406回）、7位が「sakura」（355回）、8位が「303030」（295回）、9位が「12345」（270回）、10位が「123456789」（247回）だった。 上位には「Garba3060」（14位、193回）、「ilove12345@」（19位、143回）、「diskunion」（20位、140回
恐ろしく長い上に割と複雑なので最後まで読む人はほとんどいないと思うのですが、将来確実に忘れてしまう自分のために書いたので別に悲しくありません。 まえがき 背景 sigstoreの概要 sigstoreを構成するツール群 Cosign Rekor Fulcio 署名方法 コンテナイメージ 鍵ペアの生成 署名 検証 Blobs 鍵ペアの生成 署名 検証 署名の仕組み コンテナイメージ OCI Registryについて 署名の保存先 署名フォーマット 署名検証 検証が不十分な例 Blobs 参考 まとめ まえがき 鍵の管理不要でソフトウェア署名を可能にするKeyless Signingについて解説を書こうと思い、まず前提知識を書いていたら信じられないぐらい長くなったので前提知識だけで1つの記事になりました。 後述するsigstoreは急速に開発が進んでいるプロジェクトであり、ここで書いている記述
サイバーセキュリティツール「Burp Suite」を手掛けるPortSwiggerは2020年2月17日（現地時間）、2019年の新しいWebハッキング技術のトップ10を発表した。 同社は、2006年からほぼ毎年、トップ10を発表している。今回はまず、Redditコミュニティー「Web Security Research」のメンバーが51件の候補を推薦し、メンバーの投票で最終選考対象を15件に絞り込んだ。最後にPortSwiggerのリサーチディレクターを務めるジェームズ・ケトル氏を含む4人の専門家パネルが協議、投票を行ってトップ10を選出した。 なぜトップ10を発表するのだろうか。「重要な」攻撃とそうでないものの見分けが付かなくなっているからだ。 毎年、研究者やベテランのペネトレーションテスター（ペンテスター）、賞金獲得を目指してチャレンジする技術者、学者が、サイバー攻撃手法についてBl
GitHub Universe 2022における新発表のすべて
開発者と企業がイノベーションを容易に推進することができる、最も統合された開発者向けプラットフォームを強化するために、私たちがどのような取組みをしているのかご覧ください。 15年前、GitHubを構築するために最初のコード行がコミットされました。それ以来、私たちの目的は、開発者がベストを尽くすために必要なすべてのものをプラットフォームに装備することです。このミッションは、GitHubプラットフォームのすべてのイテレーションを通じて変わっておりません。しかし、私たちの仕事や生活のあらゆる場面でソフトウェアが進歩を続ける中、世界中の人々のためにソフトウェアを実行、維持、構築することは、開発者にとって計り知れない複雑さを生み出します。 私たちは今、転換期を迎えています。新たな開発者体験を提供する時が来ています。 GitHubは、開発者が創造性を発揮し、より幸せになるとともに、人生で最高の仕事をする
GitHubの内部ネットワークにアクセス可能な脆弱性(SSRF)を報告した話 - Flatt Security Blog
はじめに こんにちは、株式会社Flatt SecurityでセキュリティエンジニアをやっているRyotaK (@ryotkak) です。 HackerOneのイベント (H1-512) に参加するためにテキサスに行った話で紹介したイベントにおいて報告したSSRF(サーバーサイドリクエストフォージェリ)に関して、脆弱性情報を公開する許可が得られたため、今回の記事ではその脆弱性に関して解説を行います。 なお、本記事で解説している脆弱性はGitHub Bug Bountyプログラムのセーフハーバーに則り行われた脆弱性調査の結果発見され、公開を行う許可を得たものであり、無許可の脆弱性診断行為を推奨することを意図したものではありません。 GitHubが開発するプロダクトやサービスに脆弱性を発見した場合は、GitHub Bug Bountyへ報告してください。 GitHub Enterprise Im
オープンソースのnpmパッケージ「node-ipc」にロシア在住の開発者を標的にした悪意のあるコードがメンテナーによって追加される
オープンソースで開発される、ウェブアプリのUI構築用JavaScriptフレームワーク「Vue.js」のコードに、ロシアとベラルーシに在住する開発者を標的とした悪意のあるコードが追加されたと、開発者向けセキュリティプラットフォームのSnykが発表しました。メンテナーの1人がロシアのウクライナ侵攻に対する抗議行為として、問題のコードを追加したことがわかっています。 Alert: peacenotwar module sabotages npm developers in the node-ipc package to protest the invasion of Ukraine | Snyk https://snyk.io/blog/peacenotwar-malicious-npm-node-ipc-package-vulnerability/ Sabotage: Code added
Node.jsでプロトタイプ汚染後に任意コード実行まで繋げた事例 - knqyf263's blog
概要 前回Node.jsのプロトタイプ汚染を起こすためのバイパス方法について記事にしました。 knqyf263.hatenablog.com プロトタイプ汚染後に何が出来るのか、ということについては基本的にアプリケーション依存なのであまり話題になることは少ないです。 自分の知る限り一番多いのは if(user.isAdmin) { // do something } といったような重要なプロパティを書き換えることで権限昇格する例です。ただし、自分の理解では isAdmin が初期化されていないことが前提条件として必要です。 const obj1 = {}; const obj2 = JSON.parse('{"__proto__":{"isAdmin":true}}'); merge(obj1, obj2) var a = {} a.isAdmin // true var b = {isA
Intel製CPUに情報漏えいの恐れがある脆弱性「Downfall」が発見される、データやパスワードなどの機密情報が抜き取られる危険性
Intelは2023年8月8日に、同社が2015年から2020年に販売したCPUに新たな脆弱(ぜいじゃく)性が見つかったことを報告しました。「Downfall」と呼ばれるこの脆弱性は、攻撃者に悪用されるとデータや機密情報が抜き取られる恐れがあるとされています。 INTEL-SA-00828 https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html Downfall https://downfall.page/ ‘Downfall’ vulnerability leaves billions of Intel CPUs at risk | CyberScoop https://cyberscoop.com/downfall-intel-cpu-vulnerability/ Int
本記事は2022年11月4日（米国時間）に公開した弊社の英語ブログBreaking down the ‘critical’ OpenSSL vulnerabilityを日本語化した内容です。 なお、この脆弱性に関しては下記のブログもご参照ください。 2022年11月1日、OpenSSLチームは、深刻度 (Severity) が「高 (High)」の脆弱性2つ（CVE-2022-3602とCVE-2022-3786）の詳細を示すアドバイザリを公表しました。これは深刻度「クリティカル (Critical)」の脆弱性として予告されていましたが、実際のアドバイザリでは「高 (High)」に格下げされました。しかしながら、OpenSSLは主要な暗号化ライブラリの1つであり、インターネットのTLS暗号化通信の大部分を支えているため、これはまだ問題といえそうです。 この記事では、これら2つの脆弱性を特に
By koldunov Cascade Lakeを含む、Intelが2019年までに発売したCPUに影響を及ぼす脆弱性「ZombieLoad v2」が発見されたと、グラーツ工科大学の研究員であるマイケル・シュワルツ氏らにより報告されています。 New ZombieLoad v2 Attack Affects Intel's Latest Cascade Lake CPUs https://thehackernews.com/2019/11/zombieload-cpu-vulnerability.html 新たに発見された「ZombieLoad v2」と称される脆弱性は、Cascade Lakeを含む2019年までに登場したIntel CPUに影響を及ぼすとされています。ZombieLoad v2は、2019年5月に発見された「ZombieLoad」の変種だとのこと。ZombieLoadは
You can read about these vulnerabilities in English at https://ec0.io/post/hacking-cloudflare-pages-part-2/ 免責事項Cloudflareは、HackerOne上で脆弱性報奨金制度(Bug Bounty)を実施しており、脆弱性の診断行為を許可しています。 本記事は、当該制度を通して報告された脆弱性をCloudflareセキュリティチームの許可を得た上で公開しているものであり、無許可の脆弱性診断行為を推奨することを意図したものではありません。 また、Cloudflareは脆弱性調査において他の研究者との協力を許可しており、脆弱性調査を目的とした他の研究者との脆弱性情報の共有が許可されています。 Cloudflareが提供する製品に脆弱性を発見した場合は、Cloudflareの脆弱性報奨金
脆弱性の開示の枠組を深く勉強したい人に-ワクチンの予約システムの報道に関して - IT Research Art
脆弱性の開示の枠組を深く勉強したい人に-ワクチンの予約システムの報道に関して 2021.5.19 情報セキュリティ, 脆弱性対応 投稿者: Ikuo 世間では、ワクチンの予約システムについて新聞社が、実際の接種券にはない架空の数字を入力しても予約可能だと報じたことに関して、脆弱性の開示の枠組を遵守すべきではないか、といういい方をする人もでており「脆弱性の開示の枠組」に興味が増しているように思います。そこで、この「脆弱性の開示の枠組」を正確に理解してもらうために基礎的なお話をまとめます。 ソフトウエアの脆弱性を不特定多数に開示する前に、そのソフトウエアの開発者に連絡することが求められていますという考え方は、いわゆる「協調的な脆弱性の開示(CERTのガイドを紹介しておきます-https://resources.sei.cmu.edu/asset_files/SpecialReport/2017
はじめに こむろです。 Spring4Shell についてです。どうせお前ら調査してたんだろ？と思ったあなた、大正解です。 結論 非常に広範な影響がありましたが、現時点で、Spring Framework 本体への修正パッチがすでに適用されています。そのためこれに準じたアップデートを実施することで脆弱性を回避できます。 spring-boot-2-6-6 spring-boot-2-5-12 spring-framework-5.3.18 Tomcat 9.0.62 またこれらのアップデートができない場合、以下の対応を取ることもできます。 不要なパラメータのマッピングを行わないようにコードを追加する （Binding のブラックリストへ class.* 系を追加） Java8 へ一旦ダウングレードする Tomcat 9.0.62 へ Update することで設定値自体の書き換えをできないよ
ドイツにあるルール大学ボーフム校とヴェストファーレン・ヴィルヘルム大学のセキュリティ研究者らが「暗号化されたPDFの内容を、パスワードなしで盗み出すことができる攻撃手法を発見した」と発表しました。「PDFex」と名付けられたこの攻撃手法はPDFの仕組みそのものを悪用しているため、Adobe Acrobat Reader DCやPDF-XChange Viewerといった特定のPDFビューワーソフトだけでなく、ChromeやFirefoxなどのブラウザで閲覧した場合でもPDFの暗号化を突破されてしまうとのことです。 PDF Insecurity Website https://pdf-insecurity.org/encryption/encryption.html Researchers Find New Hack to Read Content Of Password Protected
X (旧Twitter)のURLカードに致命的な脆弱性。うかつに開かないで | ニッチなPCゲーマーの環境構築Z
X (旧Twitter)のURLカードに致命的な脆弱性が見つかりました。海外メディアのBleeping Computerが報じました。 XのURLカード(Webサイトカード、Twitterカードなどとも呼ばれる)を開いた際、カードの左下に表示されているURLとはまったく違うサイトが表示されたことはないだろうか。 例えば以下の例では、『forbes.com』がリンク先として表示されているが、実際にこのURLカードを開くと、仮想通貨詐欺のTelegramアカウントページが開く。 リンク先に『forbes.com』と書いているが 実際には詐欺のTelegramアカウントページが開く いったいなぜこのようなことが起こるのか、仕組みはこうだ。URLカードを開くと、まず、『joinchannelnow［.］net』というサイトにアクセスする。 まず『joinchannelnow［.］net』へとアクセ
Building secure web apps using Web Workers | Mercari Engineering
Security is paramount for our users, and we at mercari strive to provide a snappy and safe platform. We recently introduced an additional layer of defence by adding Web Workers to secure the access token. It now protects the users from various kinds of attacks, including token theft from Cross Site Scripting (XSS), Cross Site Request Forgery (CSRF), prototype pollution, zero-day npm package vulner
(書籍レビュー)大企業のWebサイトの脆弱性発見事例が学べる「リアルワールドバグハンティング」 - 虎の穴開発室ブログ
あけましておめでとうございます。CTOの野田です。 オライリー社の「リアルワールドバグハンティング」(https://www.oreilly.co.jp/books/9784873119212/)を読みましたのでその感想になります。 本を読んだきっかけ この本は発売されたのが2020年09月と発売してから暫く経っていますが、オライリー新刊のタイトルを必ずチェックしている私の視界には当時入ってきませんでした。 表紙がカマキリなこと、「リアルワールド」「ハンティング」というタイトルから本当にリアル世界で虫をとる本かと思って手にとっていませんでした（最近DIYや健康の本もオライリーは出しているのでありえない話ではないと当時思っていました） 最近セキュリティ系の本を探していたときに改めてアンテナにひっかかったので今回を機会に読み始めました。 全体的な本の概要 実際の企業で起きたバグの内容とその報奨
GitHub security update: A bug related to handling of authenticated sessions
CompanySecurityGitHub security update: A bug related to handling of authenticated sessionsWhy did I get logged out of GitHub.com? On the evening of March 8, we invalidated all authenticated sessions on GitHub.com created prior to 12:03 UTC on March 8 out… Why did I get logged out of GitHub.com? On the evening of March 8, we invalidated all authenticated sessions on GitHub.com created prior to 12:0
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
インテルCPUに新たな脆弱性「Downfall」 修正で「パフォーマンスに最大50％の影響」 対象は第6～11世代
米Intelは8月8日（現地時間）、同社製CPUに脆弱性（CVE-2022-40982）が見つかったと発表した。同社のメモリ最適化機能を悪用することで、CPU内部のレジスタファイルを意図せずソフトウェア側に提供できてしまうという。すでにIntelがアップデートを提供しているが、修正の適用により一部処理のパフォーマンス低下を招く可能性がある。 メモリ内に散在するデータへのアクセスを高速化する命令「Gather」が引き起こす問題という。この脆弱性により、信頼できないソフトウェアが、通常はアクセスできないはずのデータにアクセスする可能性がある。脆弱性の影響を受けるのは第6世代Skylakeから第11世代Tiger LakeまでのCPU。 脆弱性を発見した米Googleの研究者ダニエル・モギミ氏は、脆弱性を悪用することで、同じコンピュータを共有する他ユーザーのパスワード、電子メールのメッセージ、銀
Updates [04-13] "Data Binding Rules Vulnerability CVE-2022-22968" follow-up blog post published, related to the "disallowedFields" from the Suggested Workarounds [04-08] Snyk announces an additional attack vector for Glassfish and Payara. See also related Payara, upcoming release announcement [04-04] Updated Am I Impacted with improved description for deployment requirements [04-01] Updated Am I I
インターネットにおける通信の安全性はTLS（Transport Layer Security）に強く依存している。TLSはアプリケーション層に依存しないように設計された通信暗号化の標準規格だ。HTTPをはじめとするさまざまなプロトコルがTLSを使って通信を暗号化している。このTLSに「ALPACA Attack」（アルパカ攻撃）と呼ばれる新しい問題が報告された。 ALPACA Attackはドイツのルール大学ボーフム、ミュンスター応用科学大学、パーダーボルン大学の研究者らによって発見された。「ALPACA」はこの問題を発表した論文「Application Layer Protocol Confusion - Analyzing and mitigating Cracks in tls Authentication」のタイトルに由来する。
IoT Inspectorは8月16日(ドイツ時間)、「Advisory: Multiple Issues in Realtek SDK Affects Hundreds of Thousands of Devices Down the Supply Chain - IoT Inspector」において、Realtek Wi-Fi SDKに存在する脆弱性に関する情報を開示した。Realtekからは既にセキュリティアドバイザリが発行されており、90日間の開示期間が終了したことで詳細情報が公開された。 Advisory: Multiple Issues in Realtek SDK Affects Hundreds of Thousands of Devices Down the Supply Chain - IoT Inspector 脆弱性に関する情報は次のPDFにもまとまっている。 Vu
Windows版Steamのゼロデイ脆弱性をホワイトハッカーが誰でも閲覧できる形式で詳しく公開しています。このゼロデイ脆弱性に関して、発表に至るまでの経緯やValveの対応に注目が集まっています。 One more Steam Windows Client Local Privilege Escalation 0day https://amonitoring.ru/article/onemore_steam_eop_0day/ Researcher Discloses Second Steam Zero-Day After Valve Bug Bounty Ban | Threatpost https://threatpost.com/researcher-discloses-second-steam-zero-day-after-valve-bug-bounty-ban/147593/
ALPACA Attack
Paper Q&A How to ALPN/SNI Updates! News A big reevaluation of TLS libraries, TLS application servers, and a new internet scan by Jannik Hölling is now available in the Updates section! ALPACA will be presented at Black Hat USA 2021, USENIX Security Symposium 2021, and Real Word Crypto Symposium 2022! Recommended articles: Ars Technica (Dan Goodin), Golem (Hanno Böck; German) Introduction TLS is an
「脆弱（ぜいじゃく）性管理」は企業における喫緊の課題です。しかし漢字5文字のわりには考えなければならないことが多く、どう管理するか悩まれている方やどこから手を付けるべきか分からずひとまず見て見ぬ振りをせざるを得ない方もいると思います。 脆弱性管理においては「アップデートパッチが提供されたら速やかに適用する」のがいわゆる鉄則ですが、脆弱性は日々、数え切れないほど生まれます。そしてパッチを適用するには、一通りのテストを実施しなければなりません。「セキュリティ観点からパッチを当てる必要があるとは分かってはいるもののすぐには難しい……」というのが現状なのです。まずは自分たちの組織にとって、本当に緊急の対応が必要な脆弱性と、そうでない脆弱性を区別することから始めましょう。 と言いたいのはやまやまですが、それすら非常に難しいというのが実際に手を動かすと直面する課題でしょう。緊急の脆弱性かどうかを判断す
情報処理推進機構（IPA）は4月20日、プログラミング言語「Java」の基本的な実行環境「Java SE」に重大な脆弱（ぜいじゃく）性が見つかったとして注意を呼び掛けた。活用範囲が広く攻撃された場合の影響が大きいため、IPAはできるだけ早急に修正プログラムを適用するよう呼び掛けている。 CVE識別番号はCVE-2022-21449。影響度を示すCVSS v3のベーススコアは、「情報改ざんの可能性がある」として10点中の7.5。この脆弱性を悪用すると、ネットワークアクセスさえできれば認証せずとも、遠隔地からデータやプログラムの不正操作を行える恐れがあるという。 対象バージョンはOracle Java SE 18、Oracle Java SE 17.0.2、Oracle Java SE 11.0.14、Oracle Java SE 8 Update 321、Oracle Java SE 7 U
Security.Tokyo #3の発表資料です。 クライアントサイドのパストラバーサルと、postMessage経由の脆弱性を取り上げました。
近年流通しているCPUの多くはマイクロプログラム方式と呼ばれる実装方式を採用しており、セキュリティ上の欠陥が見つかった際などにマイクロコードを書き換えることでアップデートを適用できます。IntelやAMDなどのCPUメーカーは基本的にマイクロコードの内容を公開していないのですが、一部のIntel製CPUのマイクロコードを抽出可能なソフトウェアがハードウェア研究者によって公開されました。 chip-red-pill/MicrocodeDecryptor https://github.com/chip-red-pill/MicrocodeDecryptor Intel製CPUのマイクロコードを抽出するソフトウェアは、ハードウェア研究者のMaxim Goryachy氏、Mark Ermolov氏、Dmitry Sklyarov氏らによって開発されました。 Goryachy氏によると、開発したソフ
_-_2021%252F12%252F28)
忙しい人のためのサイバーインテリジェンス(旧 情報収集) - 2021/12/28 - Secure旅団 情報収集（公開用）
#2020125th #202028 #情報収集 今週のおすすめ/一言所管 デジタル庁の登場により、官主導のデジタル化は加速するだろう。また、行政改革担当大臣による官内のデジタル化は進む。ゼロトラストも取り入れられる #trust #governance 一方、ドメインハイジャックや法人間・グループ企業間をまたいだ脅威が多く見られた #governance #vulnerability #threat #gov 系としての全体サプライチェーン監理が重要になることを予想 同時に、依存サービスの設定不備が大インシデントにつながる事例も散見 #vulnerability #threat コンプライアンス・ガバナンス <-> 実装間の時間・距離を縮めることが鍵 各種EntityのDigital Identity周りのコア度が増していくと思われる #identity 人のDigital Identi
Go vulnerability database The Go vulnerability database (https://vuln.go.dev) is a comprehensive source of information about known vulnerabilities in importable packages in public Go modules. Vulnerability data comes from existing sources (such as CVEs and GHSAs) and direct reports from Go package maintainers. This information is then reviewed by the Go security team and added to the database. We
Official websites use .gov A .gov website belongs to an official government organization in the United States. Secure .gov websites use HTTPS A lock (A locked padlock) or https:// means you’ve safely connected to the .gov website. Share sensitive information only on official, secure websites.
Safari 15 IndexedDB Leaks
Information leaks resulting from an IndexedDB same-origin policy violation in WebKit (a browser engine primarily used in Safari, as well as all iOS and iPadOS web browsers).
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Twelve Years of Go - The Go Programming Language
脆弱性にIDを割り振って管理する「CVE」のシステムには欠陥があるという指摘
2022年、日本で最も使われたパスワード 2位は「password」、1位は？
パスワードを盗む拡張機能が「Google Chrome」のストアに？ セキュリティ研究者が警鐘／最新の「Manifest V3」拡張機能でパスワード詐取を実証、ストア審査も通過
sigstoreによるコンテナイメージやソフトウェアの署名 - knqyf263's blog
「過去最悪」の脆弱性に対処した「curl 8.4.0」が公開／「High」1件、「Low」1件
新たなWebハッキング技術、2019年に登場したトップ10をPortSwiggerが発表
OpenSSLの「重大な」脆弱性を徹底解説 - Qiita
「Apache HTTP Server」に2件の脆弱性 ～v2.4.52へのアップデートを／最大深刻度は「High」
Intel製CPUに新たな脆弱性「ZombieLoad v2」が発見される、Cascade Lakeにも影響あり
Cloudflare Pagesにおける権限昇格と任意ページの改竄
cve-2022-22965 Spring4Shell の影響調査 | DevelopersIO
PDFファイルを開くだけで暗号化された内容が流出する脆弱性「PDFex」が発見される
Intelのプロセッサ内蔵GPUに脆弱性、ドライバ/カーネル更新を推奨
log4shell/software at main · NCSC-NL/log4shell
Spring Framework RCE, Early Announcement
TLS通信を狙った「アルパカ攻撃」が発見される 脆弱（ぜいじゃく）なサイトの割合は？
100万台近いWi-Fiデバイスに脆弱性、該当製品の確認を
9600万人以上に影響を与えうるWindows版Steamのゼロデイ脆弱性をホワイトハッカーが一般公開した理由とは？
見るべきは「CVSSスコア」“だけ”でいいのか？ 脆弱性管理に役立つ指標をまとめてみた
Javaに認証なしで不正操作できる脆弱性 影響範囲広く「早急に修正プログラム適用を」
注目したいクライアントサイドの脆弱性2選/ Security.Tokyo #3
Intel製CPUのマイクロコードを抽出できるソフトウェアが公開される
Vulnerability Management for Go - The Go Programming Language
Free Cybersecurity Services & Tools | CISA