エンジニアなら脆弱性情報を読めるようになろう | Tech Blog
こんにちは、アドテクスタジオでセキュリティエンジニアをしている岡崎です。 皆様、年末年始はゆっくりできましたでしょうか。私は年始に公開された「Meltdown and Spectre」のお陰で年始早々、情報整理に追われてました。 今回は、先日「Meltdown and Spectre」の脆弱性のこともあり、脆弱性情報の見方と脆弱性情報API活用について、書かせていただきます。 １，脆弱性情報の見方 エンジニアの方であれば、脆弱性情報を確認する中でCVEやCVSSなどを目にすることが多いと思います。それぞれどのような意味を持ち、どのように見るのかを知っておきましょう。 先日あった「Meltdown and Spectre」を例に見ていきましょう。 https://meltdownattack.com/ https://spectreattack.com/ まず、このような脆弱性情報が公開され
OWASP ZAP – 簡単にWeb脆弱性診断ができる診断ツール | そるでぶろぐ
こんにちは。ソリューション開発部の羽澤です。 現在、インターネット上に公開されるWebアプリケーションの開発をさせて頂いております。インターネット公開と言えばやはりセキュリティ対策が必須となります。 今回のプロジェクトでは、我々アプリケーション開発チームとは別に、セキュリティテストを行うチームが組まれることとなりました。ですので、セキュリティテストの計画立案～テスト実施まで、そのチームがおこないます。ここで問題が発見された場合、我々アプリケーション開発チームが対応するという体制です。 我々アプリケーション開発チームは、セキュリティテストチームからの挙がる指摘を極力少なくしなければなりません。これを出来る限り少ない工数で行うのが、今回の目的となります。 対応すべきWebサイトのセキュリティ脆弱性とは今更ではありますが、代表的な脆弱性を明確にしておきます。情報処理推進機構から、代表的なWebサ
OWASP ZAP を使った脆弱性診断
本日のブログは岩石が担当です。秋も深まり各地で秋祭りが催される時期になりました。 来週には旧暦で神無月に入りますが、弊社のある島根県出雲地方では神有月（かみありつき）となります。 今年も多くの神様方がいらっしゃることでしょう。 今回のブログは私のことでは無く、社内での社員の活動について書きます。 先ごろから、契約管理などに使用する事務システムの開発を社内で行っています。これまで事務管理は表計算ソフトで行っていましたが、社員の増加や役割の分割、また顧客数の増加などにより表計算ソフトでの対応では効率が悪いケースが発生しているため、以前よりシステムのWeb化を目論んでおりました。 今年度開発業務担当の新卒社員を迎え入れたことから、OJTの対象として取り組んでいます。スクラム手法で開発に取り組んでいますが、先日最初のリリースを行いました。 社内の規程で、業務に使用するアプリケーションをリリースする
vuls/README.ja.md at master · future-architect/vuls · GitHub
Vuls: VULnerability Scanner Vulnerability scanner for Linux, agentless, written in golang. README in English Slackチームは こちらから 参加できます。(日本語でオッケーです) Abstract 毎日のように発見される脆弱性の調査やソフトウェアアップデート作業は、システム管理者にとって負荷の高いタスクである。 プロダクション環境ではサービス停止リスクを避けるために、パッケージマネージャの自動更新機能を使わずに手動更新で運用するケースも多い。 だが、手動更新での運用には以下の問題がある。 システム管理者がNVDなどで新着の脆弱性をウォッチし続けなければならない サーバにインストールされているソフトウェアは膨大であり、システム管理者が全てを把握するのは困難 新着の脆弱性がどのサーバ
あなたのサーバは本当に安全ですか？今もっともイケてる脆弱性検知ツールVulsを使ってみた - Qiita
はじめに サーバ管理をしている身としては、 セキュリティ は常に付きまとう悪魔みたいなもので、このセキュリティに関しては何をどこまで頑張ればいいのか不透明な部分が多い。 脆弱性に関しては、CVEなど、毎日情報は入ってくるが、それがどのサーバの何に関連したものなのかなんていちいち調べてられないし、どの脆弱性がすぐに対応しなければいけないもので、どの脆弱性があとあと対応すればいいものなのかなんてわからない。 実際のところ、大きな話題になった脆弱性くらいしか緊急で対応してないという人は多いのではないかと思う。 そんな中、満を持して登場したのが vuls !! 各サーバの脆弱性情報を取得して、個々のサーバそれぞれでどんな脆弱性があり、どのくらいやばい脆弱性なのかを検知できるようになった！ 今回はこのvulsを紹介します。 Vulsとは 公式でロゴが発表されたので、差し替えました 公式ドキュメント:
簡単なコマンドでXPパソコンの脆弱性を攻撃し，すぐ乗っ取りに成功する動画 （Metasploitフレームワークを使ってWindowsを不正に遠隔操作） - 主に言語とシステム開発に関して
いくつかコマンドを入力するだけで，かんたんにWindows XPを乗っ取っている，という動画。 ハッキング専用の「Metasploit」というツールを使用。 この動画をぜひ，期限切れのXPを使い続けている人に見せてあげよう。 Metasploit : Basic Exploitation And Attacking Windows Xp With Netapi Vulnerability 動画の最後から１０秒あたりで，攻撃対象のWindows PCの「コマンドプロンプト」が表示されている。 つまり，相手のPCに侵入して，自由にコマンドラインを操作することに成功している。 ここで使用されている「Metasploit」は，セキュリティ業界では有名なツール。 Windows, Mac, Linuxなどの様々なOSに侵入する機能が付いている。 動画中では，まず相手のIPアドレスを指定し，次に利用し
Japan Vulnerability Notes
JVNVU#93546510: ＫＤＤＩ製ホームゲートウェイHGW BL1500HMにおける複数の脆弱性 [2024/03/22 13:00] JVNVU#98188101: Advantech製WebAccess/SCADAにおけるSQLインジェクションの脆弱性 [2024/03/22 13:00] JVNVU#90953541: バッファロー製LinkStation 200シリーズにおける任意コード実行の脆弱性 [2024/03/22 11:00] JVNVU#93188600: UDPベースのアプリケーション層プロトコル実装におけるサービス運用妨害 (DoS) の脆弱性 [2024/03/21 16:00] JVNVU#93571422: Franklin Electric製EVO 550および5000における'/../filedir'に関するパストラバーサルの脆弱性 [2024/0
Linuxに深刻なセキュリティホール「GHOST」、今すぐパッチが必要
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2015-01-28 10:04 クラウドセキュリティ企業Qualysの研究者が、Linux GNU Cライブラリ（glibc）に深刻なセキュリティホールである「GHOST」（CVE-2015-0235）を発見した。この脆弱性を利用すると、ハッカーはIDやパスワードを知らなくてもシステムをリモートから乗っ取ることができる。 Qualysはただちにこのセキュリティホールについて主なLinuxの配布元に警告を送り、多くの配布元がすでにパッチを公開している。 このセキュリティホールは、glibc-2.2（2000年11月10日にリリース）を使用してビルドされたすべてのLinuxシステムに存在する。Qualysによれば、このバグは実際には、2013年5月21日にリリースされた、gl
時刻同期サービス「ntpd」に重大脆弱性、細工パケット一撃でサーバー乗っ取りも
情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）が共同で運営する脆弱性関連情報ポータルサイト「JVN（Japan Valnerability Notes）」は2014年12月22日、IT機器の時刻合わせに広く使われているサーバーソフト（デーモン）の「Network Time Protocol daemon（ntpd）」に複数の脆弱性が見つかったことを伝えた。発見された脆弱性の中には、不正に細工されたNTPパケットを一つ受け取るだけで、サーバーがいきなり乗っ取られる危険性があるものも含まれている。 見つかった脆弱性は四つ。（1）設定ファイルntp.conf中でauth keyを設定していない場合に、暗号強度が低いデフォルト鍵が生成される問題、（2）古いバージョンのntp-keygenが、弱いシード値を使って乱数を発生し、これを基に暗号強度の低い対称鍵を
学校では教えてくれない、脆弱性発見時の対応のこと
生業として脆弱性検査をやっていない限り、Web サイトの脆弱性にぶち当たったりすることは、稀なことだとは思うんですよね。 自分も、ずいぶんと長いことコンピュータの仕事に関わってきましたけど、一ユーザとして脆弱性を見つけてしまったことは、後にも先にも以前書いた図書館システムの件だけだったりしますが…。 自分は、富士通のシステムが使われていた頃から、Web での図書の貸出予約が出来るように利用者登録をしていたので、新システム切り替わりと同時にパスワードを変更して使っていたわけですが、新システムに切り替わって 1 ヶ月になろうかという頃、利用者メニューにログインしているときに、ふといや～な予感が…。 [From セッション管理がダメダメな図書館システムを 3 年も前に見つけてしまった顛末 - Soukaku's HENA-CHOKO Blog] でもって、数日前に見かけた見かけた、こんな話。 学
vpsおよびクラウドシステムに於けるsshの安全性(仕様に於ける脆弱性)について
■ 問題の原点 まず、世に存在するvpsやクラウドシステムには、基本的には2種類の構成が存在している。このうちコンテナ型と呼ばれる構成では、予め必要とされてるsshやメールなどの基本的な内容が初期段階より構成されており、コンテナを選択するだけですぐにシステムの構築が出来る、手軽さが売りになっている。このコンテナには、予めsshが組み込まれていることが多く、そのため管理者のpasswordがデフォルトで決めうちになっている場合も多い。管理者のpasswordをデフォルトで放置していた場合、外部からの攻撃によって、あっさりと侵入を許してしまうことがある。 本題は、ここからだ。このsshが最初からインストールされている＝ホストキーが最初から入っている＝同じコンテナを使う限りホストキーは変わらない。ということになる。 また、vpsやクラウドシステムが大規模になればなるほど、この傾向は強まり、/16
Linuxに権限昇格の脆弱性、エクスプロイトも出回る
悪用された場合、ローカルユーザーが細工を施したシステムコールを使って権限を取得できてしまう恐れがある。 Linuxに権限昇格の脆弱性が見つかったとして、米国立標準技術研究所（NIST）が脆弱性情報を公開した。米セキュリティ機関のSANS Internet Storm Centerによれば、既にこの脆弱性を突くエクスプロイトコードも出回っているという。 NISTが5月14日に公開したセキュリティ情報によると、脆弱性はLinuxカーネルの「kernel/events/core.c」における「perf_swevent_init」機能に不適切な整数値が使われていることに起因する。影響を受けるのは3.8.9までのLinuxカーネル。この問題を利用すると、ローカルユーザーが細工を施したperf_event_openシステムコールを使って権限を取得できてしまう恐れがあるという。 危険度は共通指標のCVS
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
What is Vuls · Vuls Ja%25E3%2581%25AE%25E6%2597%25A5%25E6%259C%25AC%25E8%25AA%259E%25E5%2588%25A9%25E7%2594%25A8%25E3%2581%25AB%25E3%2581%25A4%25E3%2581%2584%25E3%2581%25A6)
doruby.jp
doruby.jp
https://github.com/ueno1000/secreq/blob/master/OWASPWebApplicationSecurityRequirements2.0.pdf