ロシアのウクライナ侵攻後にAmazonがロシア企業に顔認識技術を提供し制裁に違反したとAWSの元従業員が告発
2022年にロシアがウクライナ侵攻を始めて以降、ロシアは世界中の各国から制裁を受けています。世界的なテクノロジー企業であるAmazonが、ロシアに制裁が課されたあとに同国に顔認証技術を販売したと、Amazon Web Services(AWS)の元従業員がリークしました。 Amazon breached UK’s Russia sanctions, claims ex-employee at tribunal https://www.ft.com/content/f28377a1-432b-4f29-8544-e5ec7ac1cab9 Whistleblower claims Amazon violated UK sanctions by selling facial recognition tech to Russia https://www.engadget.com/whistlebl
プライベートも含めあらゆるS3バケットのAWSアカウントIDを突き止める方法が開発される
パブリック・プライベートを問わず、AWSのストレージサービスであるS3のバケット名からアカウントIDを突き止める方法をセキュリティ企業「Tracebit」のCTOであるサム・コックス氏が公開しました。 How to find the AWS Account ID of any S3 Bucket https://tracebit.com/blog/2024/02/finding-aws-account-id-of-any-s3-bucket/ コックス氏の方法はS3のVPCエンドポイントを使用することでVPCエンドポイントポリシーを適用するのがポイントとのこと。ポリシーで「アカウントIDが1で始める場合のみ許可」などアカウントIDに基づいて許可を行う事で、ポリシーレベルでの拒否が発生するかどうかをチェックします。 具体的な方法は下記の通り。 まず最初にターゲットとなるバケットのリージョンを
AWS WAF について最初から知りたかったこと8選 - 電通総研 テックブログ
こんにちは。X（クロス）イノベーション本部 ソフトウェアデザインセンター セキュリティグループの耿です。 AWS WAF は簡単に Web アプリに WAF を追加でき、かつ値段も他の WAF 製品より安いため、好きな AWS サービスの一つです。そんな AWS WAF ですがしばらく構築・運用し、これを最初から知っておけば・・・と思ったことがあるので 8つご紹介します。 AWS WAF の基本については分かっている前提で、特に説明はいたしません。また2023年10月現在の最新バージョンである、いわゆる「AWS WAF v2」を対象としています。 その1: AWS マネージドルールのボディサイズ制限が厳しい その2: ファイルアップロードが AWS マネージドルールの XSS に引っかかることがある その3: マネージドルールにはバージョンがある その4: CloudWatch Logs
Amazonがプライム・ビデオの視聴習慣情報が詰まった内部サーバーを間違って公開してしまう
テクノロジー関連のスタートアップがセキュリティ不備が原因でインターネット上に存在する大量のデータを流出させてしまうというケースがままありますが、データの流出に陥るのはスタートアップだけでなく、Amazonのような大企業でさえ間違いを犯すことがあります。セキュリティ研究者のAnurag Sen氏が、インターネット上でアクセス可能なAmazonの内部サーバーに保存されているプライム・ビデオの視聴習慣情報が詰まったデータベースを発見したと報告しました。 Amazon accidentally exposed an internal server packed with Prime Video viewing habits | TechCrunch https://techcrunch.com/2022/10/27/amazon-prime-video-server-exposed/ Sen氏が発
クラウドアカウント間におけるデータ転送の悪用 | 技術者ブログ | 三井物産セキュアディレクション株式会社
本記事については先日開催されたMBSD勉強会にて発表した「Abuse of Data Transfer between Cloud Accounts」の内容に関する記事です。 勉強会登壇時のスライド 概要 クラウドプラットフォームでは提供しているサービスごとに異なるアカウント間にてデータの共有や転送を行う機能が存在します。今回の記事ではそれらの機能を悪用して攻撃を行う手法について、検証や考察の結果をまとめています。記事中でもいくつか紹介していますが、このような攻撃手法を題材としたブログやツールなどが公開されており、今回はそれらの内容を参考にしつつ、自分で手を動かしてみた結果を記載しています。また、いくつかの手法については筆者が携わるペネトレーションテスにおける評価でも利用できるものであると考えています。 なお、本記事にて考察している攻撃手法については、クラウド環境下でのいわゆるPost-E
AWS認証情報が盗まれる2つのライブラリ改ざんについてまとめてみた - piyolog
2022年5月24日（米国時間）、SANS ISCのフォーラムでPython向けライブラリの1つ（その後PHP向けライブラリでも判明）が第三者により不正なコードを含むアップデートが行われていたとして注意を呼び掛ける投稿が行われました。その後この行為に関わっていたとして実行者とみられる人物が顛末を公開しました。ここでは関連する情報をまとめます。 改ざんされた2つのライブラリ 今回影響が確認されたのPython Package Index（Pypi.org）で公開されている「ctx」、Packagist（Packagist.org）で公開されている「PHPass」の2つ。 影響を受けたライブラリ インストール実績 改ざんされたとみられる期間 概要 ctx 約75万回 2022年5月14日～5月24日頃 辞書(dict型オブジェクト)を操作するユーティリティを提供するPython向けのパッケージ
AWSアカウントを「Log4Shell」で乗っ取る方法が報告される
JavaのLog4jライブラリに存在していたリモートコード実行を可能にする脆弱性「CVE-2021-44228(Log4Shell)」を突いてAWSアカウントを乗っ取る方法をセキュリティ企業のGigasheetが公開しました。 AWS Account Takeover via Log4Shell https://www.gigasheet.co/post/aws-account-takeover-via-log4shell Log4Shellは2021年12月にJavaのログ出力ライブラリ「Apache Log4j」に発見されたゼロデイ脆弱性です。Apache Log4jが広く利用されているだけでなく、Log4Shellを突く攻撃も難度が高くないことから、過去に類を見ないほどのレベルで各方面に深刻な影響を与えるとされており、セキュリティ関連組織や報道機関が2021年12月10日に公開された
AmazonやPayPalの「2段階認証」を突破するための音声ボットがハッカーに販売されている
多くのネットサービスでは、アカウントに新たなデバイスからログインがあったり通常とは違う操作が行われたりした際に安全にアカウントを保つためのセキュリティ機能として、ワンタイムパスワードをスマートフォンなどに送信して本人確認する2段階認証が実装されています。「2段階認証を設定してあるから自分のアカウントは安全だ」と思っている人も多いかもしれませんが、オンラインの地下マーケットでは「2段階認証を突破するためのボット」が拡大していると海外メディアのMotherboardが報じています。 The Booming Underground Market for Bots That Steal Your 2FA Codes https://www.vice.com/en/article/y3vz5k/booming-underground-market-bots-2fa-otp-paypal-amazon
Amazon releases free cybersecurity awareness training
Amazon CEO Andy Jassy attended the White House’s Cyber Summit with President Joe Biden and other tech leaders in August to discuss how the private and public sectors could work together to improve cybersecurity. During the meeting, Jassy announced that Amazon would make available the cybersecurity awareness training the company uses with its employees to businesses and individuals around the world
Amazon.com、同社内で使われていた従業員向けのセキュリティオンライントレーニングを無償で一般公開、日本語版も提供
Amazon.com、同社内で使われていた従業員向けのセキュリティオンライントレーニングを無償で一般公開、日本語版も提供 Amazon.comは、これまで同社内で従業員向けに提供してきたセキュリティのオンライントレーニングコースを無償で一般公開しました。 Starting today, we're making the same cybersecurity training used by Amazon employees available to businesses and individuals around the world at no cost. #CybersecurityAwarenessMonth https://t.co/h1EXJf6lrn — Amazon News (@amazonnews) October 26, 2021 セキュリティトレーニングは「Cyber
Twitchがハッキングを受けソースコード・支払い情報・個人情報など大量のデータを漏えいしたことを認める
Amazonの保有するライブストリーミング配信プラットフォームであるTwitchがハッキングされ、120GB超のソースコードやユーザーに支払われた金額、ユーザーの個人情報といった情報が漏えいしたことが明らかになっています。 The entirety of Twitch has reportedly been leaked | VGC https://www.videogameschronicle.com/news/the-entirety-of-twitch-has-reportedly-been-leaked/ Twitch Confirms Source Code, Payment Numbers, User Information, And More Has Leaked - Game Informer https://www.gameinformer.com/2021/10/06/
AmazonやGoogleのDNSサービスに存在する欠陥を研究者が発見、企業の重要な情報が筒抜けに
Domain Name System(DNS)は、人間にとってわかりやすい「gigazine.net」といったドメイン名をコンピューターが処理できる「192.168.0.1」などのIPアドレスに対応づけるシステムであり、DNSサーバーが入力されたドメイン名に対応するIPアドレスを返します。クラウドセキュリティ企業・Wizの研究者らが、DNSサーバーをホスティングするGoogleやAmazonなどのDNSサービスに欠陥があることを発見したと、2021年8月4日にセキュリティカンファレンスの「Black Hat USA 2021」で発表しました。この欠陥により、多くの企業や政府機関に関する重要な情報が筒抜けになっていたとのことです。 Black Hat 2021: DNS loophole makes nation-state level spying as easy as registeri
情報漏えいを引き起こす可能性がある AWS リソースベースのポリシー API を確認
By Jay Chen November 17, 2020 at 3:00 AM Category: Cloud, Unit 42 Tags: AWS, IAM, public cloud This post is also available in: English (英語) 概要 パロアルトネットワークスの脅威インテリジェンスチームUnit 42 のリサーチャーは、任意のアカウントで AWS Identity and Access Management (IAM) ユーザーとロールを漏えいする目的で悪用されうるアマゾン ウェブ サービス (AWS) のAPIクラスを発見しました。リサーチャーは、16の異なるAWSサービスにまたがる22のAPIが同様に悪用されうること、エクスプロイトが3つのAWSパーティション (aws、aws-us-gov、aws-cn) すべてで機能することを確認し
Keeping the gate locked on your IoT devices: Vulnerabilities found on Amazon's Alexa - Check Point Research
Keeping the gate locked on your IoT devices: Vulnerabilities found on Amazon’s Alexa Research By: Dikla Barda, Roman Zaikin , Yaara Shriki Introduction & Motivation “Please lower the temperature of the AC, it’s getting humid in here,” said Eric to Alexa, who turned the AC to a cooler temperature in the living room. No, Alexa is not Eric’s partner, wife or friend. Alexa is his virtual assistant and
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
AWS Account Takeover via Log4Shell
Hacking a Kindle - Check Point Research
電子書籍を開くだけでKindleが乗っ取られる脆弱性が発覚、利用者はアップデートの確認を【やじうまWatch】
https://www.ndss-symposium.org/wp-content/uploads/ndss2021_5A-1_23111_paper.pdf
High-Volume Amazon Japan Credential Phishing Campaigns | Proofpoint US
Enumerate AWS API Permissions Without Logging to CloudTrail