「Kubernetes」に深刻な脆弱性
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2018-12-04 10:36 「Kubernetes」に初めて深刻な脆弱性が発見された。Kubernetesは最も人気のあるクラウドコンテナオーケストレーションシステムであるがゆえに、この日がくるのは時間の問題だったと言える。「CVE-2018-1002105」という脆弱性識別番号を割り当てられ、Kubernetesの権限昇格に関する脆弱性とも称されているこの脆弱性は深刻なものであり、共通脆弱性評価システム（CVSS）による深刻度は9.8（最大値は10.0）となっている。 特殊な細工が施されたネットワークリクエストを用いれば、誰でもKubernetes APIサーバ経由でバックエンドサーバとのコネクションを確立できる。そして、いったんコネクションを確立すれば、攻撃者はそ
「中華ウェブカメラ」のセキュリティについて - 黒林檎のお部屋♬
黒林檎です。 今日は、IPカメラをハッキングしていこうと思います。 ◆最初に 巷で話題のIPカメラ『VSTARCAM Mini WIFI IP Camera 技術基準適合認定済み有線/無線LAN対応ネットワークカメラ C7823WIP』をハッキングして、どんなセキュリティリスクがあるか考えていきたいと思います。 hardshopper.hatenablog.com 最初に疑ったことはスピーカーの破損によるシステム音声のボヤきだったので、ウェブカメラで再生される音声データを抽出してみましたが、該当しそうな音声データはありませんでした。 中国カメラ音声 - Google ドライブ 金曜日にこんな面白い話が降ってきたので、速攻ポチって買いました。 同じシステムを使っているカメラを購入してハッキングしていたので、そこまで時間掛けずにハッキングできるだろうといったところでした。 (図)IPカメラ 私
「AppLocker」に脆弱性--「Windows」マシンのあらゆるアプリが実行可能になるおそれ
「Windows」コマンドラインユーティリティの「Regsvr32.exe」を悪用すると、Windowsでアプリの実行を制限する「AppLocker」機能を迂回して、リモートからコードを実行することが可能になるおそれがある。 この脆弱性を悪用すれば、「Windows 7」以降のWindowsの企業向けエディションに搭載されているAppLockerのアプリホワイトリストを迂回することができる。具体的には、Regsvr32.exeを使って、制御したいファイルやアドレスを指定する。 それにより、ファイルやスクリプトを使って、Windowsシステム上でアプリを実行することが可能になる。 セキュリティ研究者のCasey Smith氏（「subTee」としても知られる）によると、このセキュリティ脆弱性は管理者権限やアクセス特権がなくても悪用可能だという。 COM+スクリプト（PCの内部システムで使用す
oss-sec: server and client side remote code execution through a buffer overflow in all git versions before 2.7.1 (unpublished ᴄᴠᴇ-2016-2324 and ᴄᴠᴇ‑2016‑2315)
server and client side remote code execution through a buffer overflow in all git versions before 2.7.1 (unpublished ᴄᴠᴇ-2016-2324 and ᴄᴠᴇ‑2016‑2315) From: Laël Cellier <lael.cellier () laposte net> Date: Tue, 15 Mar 2016 15:55:37 +0100 Hello, original report describing the overflow is here http://pastebin.com/UX2P2jjg On 11/02/2016 16:50, Jeff King wrote this on the git security mailing list: On
脆弱性を抱えるソフトウェア開発キット「Moplus」、実はバックドア機能の実装が判明 | トレンドマイクロ セキュリティブログ
中国の検索エンジン「百度（Baidu）」のソフトウェア開発キット（Software Develoment Kit、SDK）「Moplus」に「Wormhole」と呼ばれる脆弱性が確認され、この脆弱性が利用された場合の影響の深刻さゆえに波紋を呼んでいます。この脆弱性は、中国の脆弱性報告プラットホーム「WooYun.og」により確認されました。 しかしながら、トレンドマイクロがこの脆弱性について調査を進めたところ、Moplus SDK 自体にバックドア機能が備わっており、必ずしもそれが脆弱性に由来または関連しているわけではないことが明らかになりました。現時点で、この問題は Moplus SDK のアクセス許可制御とアクセスの制限方法にあると見られています。そのため、脆弱性が関係していると考えられているのですが、実際には、この SDK のバックドア機能により、ユーザ権限なしに以下を実行する恐れが
（緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（2015年7月8日公開）
--------------------------------------------------------------------- ■（緊急）BIND 9.xの脆弱性（DNSサービスの停止）について（2015年7月8日公開） - DNSSEC検証が有効に設定されている場合のみ対象、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2015/07/08（Wed） --------------------------------------------------------------------- ▼概要 BIND 9.xにおける実装上の不具合により、namedに対する外部からのサービ ス不能（DoS）攻撃が可能となる脆弱性が、開発元のISCから発表されました。 本脆弱性により、提供者が意図しないサービスの停止が発生する可能性があ ります。 該当
中間者攻撃によりSNSアカウント情報などが窃取される可能性のあるAndroidアプリ | スラド セキュリティ
Android向けセキュリティーツールを提供するAppBugsによると、Androidアプリの中にはSSLの実装に問題があるものも多いという。メジャーなSNSやクラウドサービスのアカウント情報を使用する人気アプリでも、こういった問題を抱えるものが発見されているそうだ（AppBugs、Social Plugin Vulnerabilities、VentureBeat)。 AppBugsのブログ記事でリストアップされているアプリは14本だが、リストは随時更新されており、その後3本が追加されて計17本となっている。これらのアプリはいずれもサーバー証明書を正しく検証しないため、中間者攻撃が可能となる。リストアップされているのは大半が100万ダウンロード以上の人気アプリであり、1億4千万人以上が影響を受ける可能性があるという。 リストアップされているアプリは以下のとおり。なお、既に問題が修正済みのF
脆弱性もバグ、だからテストしよう！
Vulsで危険な脆弱性を最速検知！(The fastest detection of dangerous vulnerability by Vuls! )Takayuki Ushida
JVNVU#98282440: 「提督業も忙しい！」(KanColleViewer) がオープンプロキシとして動作する問題
JVNVU#98282440 「提督業も忙しい！」(KanColleViewer) がオープンプロキシとして動作する問題 オンラインゲーム用ユーティリティツール KanColleViewer は、Fiddler Core と呼ばれる HTTP プロキシライブラリを使い、クライアントとゲームサーバ間で行われる HTTPS 通信の内容をキャプチャしています。 Fiddler.FiddlerApplication.Startup() メソッドの呼出しにおいて、localhost 以外のホストからの接続を拒否するフラグの指定を明示的に行っていないため、当該製品が意図せずオープンプロキシとして動作する問題が存在します (CWE-441)。 なお、当該製品が使用する 37564/TCP に対するスキャン活動が観測されています。
WebサイトをOSごと強制終了させる攻撃コードを確認（MS15-034） | トレンドマイクロ セキュリティブログ
2015年4月15日に公開された Microsoft のセキュリティ更新プログラムリリース「2015年4月の Microsoft セキュリティ情報の概要」では、4件の脆弱性が深刻度「緊急」とされました。その「緊急」の 1つである「MS15-034「MS15-034 HTTP.sys の脆弱性により、リモートでコードが実行される (3042553)」の脆弱性（CVE-2015-1635）に対し、早くも Webサーバをオペレーティングシステム（OS）ごと強制終了させる攻撃が可能な実証コード（PoC : Proof of Concept）が公開されました。この実証コードは攻撃が非常に容易である危険性が高いものであるため、特に脆弱性に該当する Windows で Webサイトを運営、管理されている管理者の方は、速やかにアップデートを行うことを推奨します。 この MS15-034 の脆弱性は、Win
[openssl-announce] Forthcoming OpenSSL releases
Matt Caswell matt at openssl.org Mon Mar 16 19:05:31 UTC 2015 Next message: [openssl-announce] Forthcoming OpenSSL releases Messages sorted by: [ date ] [ thread ] [ subject ] [ author ] -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Forthcoming OpenSSL releases ============================ The OpenSSL project team would like to announce the forthcoming release of OpenSSL versions 1.0.2a, 1.0.1m, 1
「LINE」に深刻な脆弱性 外部から全トーク履歴を抜き出される危険性あり - THE ZERO/ONE
全世界で5億人以上が利用しているメッセージ・アプリ「LINE」に深刻なセキュリティ脆弱性が存在していたことが判った。この脆弱性を悪意ある攻撃者に突かれると、利用者のスマートフォンに保存されているLINE内のトーク履歴や写真、友達リストなどを外部から不正に抜き出されたり、改竄される恐れがある。LINEは3月4日に、この脆弱性を修正したバージョンを緊急リリースしている。利用者は自身のアプリが最新版にアップデートされているかどうかを至急確認したほうがいいだろう。 この脆弱性はサイバーセキュリティ・ラボのスプラウト（本記事掲載の『サイバーインシデント・レポート』発行元）が発見し、1月30日にソフトウェア等の脆弱性情報を取り扱うIPA（独立行政法人情報処理推進機構）に報告したものだ。IPAから2月2日に脆弱性の通知を受けたLINEは、2月12日に脆弱性の一部についてサーバー側で対策。3月4日のアップ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SIOS Tech. Lab - エンジニアのためになる技術トピックス
TLSに新たな脆弱性「Logjam」、多数のサーバーや主要ブラウザーに影響 
OpenSSLとBashの脆弱性、ビル管理システムなどの探索行為が増加（警察庁） | ScanNetSecurity
JVNDB-2015-001538 - JVN iPedia - 脆弱性対策情報データベース