Twitterカードが貼られたツイートはすべて詐欺です、という時代 - Qiita
最近見つけた現象で既に論じられているかと思ったがちょっと解説が見つからなかったのでまとめておく。 手短に X(旧Twitter)クライアントで表示されるTwitterカードについてカードに表示されるドメインとは違うページにリンクさせる手法が存在する この手法は第三者のTwitterカードを利用することができる つまり悪用者は第三者のTwitterカードを表示させながら自身の意図するページに閲覧者を誘導することができる これはフィッシングの手法になりうる 見つけたツイート 以下のツイートはGoogle、Bloomberg、日経ビジネスのTwitterカードが添付されているがクリックするとそれらとは異なる情報商材サイトにジャンプする。リンク先に危険な仕組みはないと思われるがクリックは自己責任で。念を入れたい人は curl -L で。 PCブラウザでカーソルを合わせてもXの短縮URLサービスであ
[2023-01-31 12:00 JST 更新] JWTのシークレットポイズニングに関する問題
By Artur Oleyarsh January 10, 2023 at 12:33 AM Category: Cloud, Vulnerability Tags: CVE-2022-23529, exploit, open source, Prisma Cloud, remote code execution, Vulnerability Exploitation 2019年1月30日 PST 本脆弱性の悪用シナリオの前提条件に関するコミュニティからのフィードバックを受け、私たちはAuth0と協力してCVE-2022-23529を撤回することを決定しました。 本稿で解説したセキュリティの問題はJsonWebTokenライブラリが安全でない方法で使用された場合には依然として懸念されるものです。そのシナリオでは、すべての前提条件を満たせばこの問題を悪用できる可能性があります。私たちは、その
![[2023-01-31 12:00 JST 更新] JWTのシークレットポイズニングに関する問題](https://cdn-ak-scissors.b.st-hatena.com/image/square/d5fd8fbb78690994f0d69b816752b350c4fdb30b/height=288;version=1;width=512/https%3A%2F%2Funit42.paloaltonetworks.jp%2Fwp-content%2Fuploads%2F2023%2F01%2FCloud-providers.png)
SSVCを参考にした脆弱性管理について本気出して考えてみている（進行中） - ペネトレーションしのべくん
はじめに ここ最近脆弱性管理についてずっと考えていたのですが、SSVCを知ってからというもの、かなりシンプルに考えられるようになりました。試み自体はまだ途上なのですが、以下のようなことを目的として、SSVCの概要や、現時点での経過や私の考えを文字に起こしてみます。 アイデアを整理したい 脆弱性管理・運用に悩んでいる人と傷を舐め合いたい あわよくば有識者の目に止まってご意見を賜りたい（辛辣なのはイヤ） SSVCとは？ Stakeholder-Specific Vulnerability Categolizationの略。CERT/CCが考案した脆弱性管理手法です。CVSSが「脆弱性の評価手法」であることに対して、SSVCは「脆弱性対応方針の判断手法」であると言えます。 たぶん今一番分かりやすい解説ページ。PWCだいしゅき！ www.pwc.com 実際の資料は、CERT/CCのGitHubリ
Node.jsのMySQLパッケージにおけるエスケープ処理だけでは防げない「隠れた」SQLインジェクション - Flatt Security Blog
※本記事は筆者styprが英語で執筆した記事を株式会社Flatt Security社内で日本語に翻訳したものになります。 TL;DR Node.jsのエコシステムで最も人気のあるMySQLパッケージの一つである mysqljs/mysql (https://github.com/mysqljs/mysql)において、クエリのエスケープ関数の予期せぬ動作がSQLインジェクションを引き起こす可能性があることが判明しました。 通常、クエリのエスケープ関数やプレースホルダはSQLインジェクションを防ぐことが知られています。しかし、mysqljs/mysql は、値の種類によってエスケープ方法が異なることが知られており、攻撃者が異なる値の種類でパラメータを渡すと、最終的に予期せぬ動作を引き起こす可能性があります。予期せぬ動作とは、バグのような動作やSQLインジェクションなどです。 ほぼすべてのオンラ
Ｓｋｙ脆弱性報奨金制度｜セキュリティ・脆弱性について｜Ｓｋｙ株式会社
Ｓｋｙ株式会社（以下、Ｓｋｙまたは弊社）では、弊社が提供する対象製品・サービスの脆弱性を発見しご報告いただいた方への謝礼として、報奨金をお支払いする「Ｓｋｙ脆弱性報奨金制度（以下、本制度）」を実施しています。 目的 本制度は、弊社が提供する製品・サービスに存在するゼロデイ脆弱性の早期発見と改修を目的とした制度です。 参加条件 以下の条件を満たした方にご参加いただけます。 報告時点でＳｋｙまたはＳｋｙのグループ会社の従業員ではないこと 報告時点で業務委託契約、出向契約、派遣契約等の契約形態により、ＳｋｙまたはＳｋｙのグループ会社の業務に従事していないこと 過去にＳｋｙまたはＳｋｙグループ会社の正社員として雇用されていないこと 過去にＳｋｙまたはＳｋｙグループ会社で、製品開発およびクラウドサービス運用関連の業務に従事していないこと 日本語または英語で、Sky-SIRTとコミュニケーションができ
「Ｓｋｙ脆弱性報奨金制度（Sky Bug Bounty Program）」を開始します｜Ｓｋｙ株式会社
背景 脆弱性報奨金制度は、セキュリティを強化する目的ですでに海外の大手IT企業が取り入れ、国内のIT企業でもより安全な製品やサービスの提供に必要な取り組みの一つとして考えられるようになってきています。そこで、Ｓｋｙ株式会社においても、お客様により安全で安心な製品・サービスをご提供するため「Ｓｋｙ脆弱性報奨金制度」を構築。製品・サービスの脆弱性やセキュリティ上の課題に関する情報を広くご提供する取り組みとして実施することになりました。これまでも自社製品・サービスなどに対して第三者による脆弱性診断を定期的に行うなど、セキュリティ・脆弱性への各種取り組みを継続してきましたが、本制度の運用により検知難易度の高い潜在的なセキュリティリスクをいち早く発見できると考えています。Ｓｋｙ株式会社は、これまで以上に速やかな対策とお客様への情報提供を行って、製品やサービスを利用されるお客様の情報セキュリティ対策の
Twitter Mentions More Effective Than CVSS at Reducing Exploitability
Twitter Mentions More Effective Than CVSS at Reducing Exploitability Monitoring Twitter mentions of vulnerabilities may be twice as effective as CVSS scores at helping organizations prioritize which bugs to patch first, according to new research. Kenna Security’s latest report, Prioritization to Prediction, Volume 8: Measuring and Minimizing Exploitability, was compiled with help from the Cyentia
Log4jで話題になったWAFの回避/難読化とは何か
はじめに 2021年12月に発見されたLog4jのCVE-2021-44228は、稀に見るレベル、まさに超弩級の脆弱性となっています。今回、私はTwitterを主な足がかりとして情報収集を行いましたが、(英語・日本語どちらにおいても)かなりWAFそのものが話題になっていることに驚きました。ある人は「WAFが早速対応してくれたから安心だ！」と叫び、別の人は「WAFを回避できる難読化の方法が見つかった。WAFは役に立たない！」と主張する。さらにはGitHubに「WAFを回避できるペイロード(攻撃文字列)一覧」がアップロードされ、それについて「Scutumではこのパターンも止まりますか？」と問い合わせが来るなど、かなりWAFでの防御とその回避方法について注目が集まりました。 実はWAFにおいては、「回避(EvasionあるいはBypass)」との戦いは永遠のテーマです。これは今回Log4jの件で
NPM fixes private package names leak, serious authorization bug
HomeNewsSecurityNPM fixes private package names leak, serious authorization bug The largest software registry of Node.js packages, npm, has disclosed multiple security flaws that were identified and remedied recently. The first flaw concerns leak of names of private npm packages on the npmjs.com's 'replica' server—feeds from which are consumed by third-party services. Whereas, the second flaw allo
OWASP Top-10 2021, statistically calculated proposal.
Categories overlaps in OWASP Top-10 Methodology Proposal 1. Add SSRF as a new category. Proposal 2. Merge XXE and Insecure Deserialization Proposal 3. Introduce Overall Risk Score Calculating the OWASP Top 10 2021 rating Results and OWASP Top Ten 2017 comparison Everybody knows the OWASP Top-10 as well as the fact that it gets updated only every other 3-4 years. With the last update published in 2
CVE-2018-17082に学ぶHTTP Request Smuggling(HRS)入門
PHPの脆弱性CVE-2018-17082は「XSS」として報告されていますが、実際にはHTTP Request Smuggling(HRS)として解釈するべきです。脆弱性の原因はContent-LengthとTransfer-Encodingの両方を含む場合、RFCの定義ではContent-Lengthを無視すべきところ、PHP側がRFC通りの実装になっていなかったことにあります。この動画では、Chunked EncodingとHRSの基礎的な説明を行います。 ------------ ■EG セキュアソリューションズ株式会社 https://www.eg-secure.co.jp/ ■お仕事の依頼はこちらから https://www.eg-secure.co.jp/contact/ ------------
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CVE-2023-45857 (CWE-359) XSRF-TOKEN value is disclosed to an unauthorised actor · Issue #6006 · axios/axios
Ｓｋｙ脆弱性報奨金制度ルールブック
Updating follow-redirects to version 1.14.7 by guscsales · Pull Request #4379 · axios/axios
huntr - The world’s first bug bounty platform for AI/ML
Help And Training Community
Log4j hole revives chatter on Big Biz funding open source
Log4j Known Packages
An Exploration & Remediation of JSON Interoperability Vulnerabilities
CVE-2020-28168 - GitHub Advisory Database