GitHub、脆弱性のあるコードを実際にデバッグして学べる「Secure Code Game」シーズン2がスタート
GitHub、脆弱性のあるコードを実際にデバッグして学べる「Secure Code Game」シーズン2がスタート 「Secure Code Game」は、ゲームと名付けられていますが、実際のコードを月間60時間無料で提供されるGitHub Codespacesの機能を駆使して修正し、ユニットテストを通して完成させる手順となっており、実践に近い内容となっています。 昨年（2023年）3月に開始されたシーズン1は、PythonとC言語でのセキュアなコーディングを学べる内容でした。今回のシーズン2ではこれらに加えてJavaScript、Go、そしてGitHub ActionsのYamlファイルなどが含まれており、これらのコードのバグを修正することになります。 Secure Code Gameの始め方 「Secure Code Game」の始め方は次の通りです。 まず「Secure Code G
メタップスペイメント不正アクセス事件の第三者報告書から攻撃の模様を読み解く
株式会社メタップスペイメントの運営する決済代行システムから約288万件のクレジットカード情報が漏洩した不正アクセス事件について、第三者委員会の報告書および経済産業省の行政処分（改善命令）があいついで公開されました。 第三者委員会調査報告書（公表版） クレジットカード番号等取扱業者に対する行政処分を行いました （METI/経済産業省） 本稿では、主に第三者委員会の調査報告書（以下「報告書」と表記）をベースとして、この事件の攻撃の様子を説明します。 システムの概要報告書にはシステム構成図やネットワーク構成図は記載されていないため、報告書の内容から推測によりシステムの構成を以下のように仮定しました。 図中のサーバー名は報告書の記載に従っています。以下、概要を説明します。 サーバ名概要 A社アプリ一般社団法人A 会員向け申込みフォーム 経産省改善命令では、「同社とコンビニ決済に係る契約を締結してい
Firebase Authentication 7つの落とし穴 - 脆弱性を生むIDaaSの不適切な利用 - Flatt Security Blog
はじめに こんにちは、株式会社 Flatt Security セキュリティエンジニアのぴざきゃっと (@pizzacat83) です。 認証機構を自作せずに導入できる Firebase Authentication は様々なアプリケーションにて利用されていますが、その特性を十分に理解せずに導入すると、実は不具合や脆弱性が生じることがあります。そこで本稿では Firebase Authentication を利用するうえで、注意しなければ不具合や脆弱性に繋がりうる 7 個の「落とし穴」について解説します。 はじめに IDaaS の利点と欠点 落とし穴 1. 自己サインアップ リスク 対策 不十分な対策 落とし穴 2. ユーザーが自身を削除できる 対策 落とし穴 3. 他人のメールアドレスを用いたユーザー登録 リスク リスク 3-1. メールアドレス誤入力によるユーザー乗っ取り リスク 3-2
GitHub、コードの脆弱性などを発見してくれる「GitHub Code Scanning」正式版が提供開始。パブリックリポジトリには無料
GitHub、コードの脆弱性などを発見してくれる「GitHub Code Scanning」正式版が提供開始。パブリックリポジトリには無料 GitHubは、リポジトリに保存されているソースコードをスキャンすることで脆弱性やエラーなどを発見してくれる新機能「GitHub Code Scanning」が正式版として提供開始されたことを明らかにしました。 Code scanning is here! Prevent issues in code by automating security as a part of your workflow. Free for public repositories Developer-first, GitHub native Enabled for GitHub Enterprise Cloud Learn more! https://t.co/2SSCjb
フィッシング詐欺、脆弱性にどう立ち向かうのか ～サイバーセキュリティ最前線イベントレポ～
こんにちは、大阪でYahoo!スコアを担当している黒澤です。 大阪で10月17日に行われたMix Leap Studyのセキュリティイベント「サイバーセキュリティ最前線」のイベントを紹介します。 今回のテーマは「サイバーセキュリティ」。 ヤフーのセキュリティに対する取り組みや、CTF（情報セキュリティー分野で技術を競う手法の一つ）のウェブ分野の強化法についての話がありました。 ヤフーからは中村と大角が登壇し、ゲストスピーカーとしてパナソニック株式会社より前田 朋久さんに登壇いただきました。 「脆弱性対応を特別なモノにしない為に」 中村 暢宏（ヤフー株式会社） 一人目はヤフーのインシデント対応チーム（YJ-CSIRT）に所属している中村が登壇しました。 CI/CDパイプラインでの脆弱性検査の組み込みや脆弱性スキャナーの運用などヤフーで取り組んでいる脆弱性対応を中心にお話ししました。 脆弱性対
クレジットカードの偽決済画面が稼働していたサーバーについて調べてみた - piyolog
2019年6月8日夜、クレジットカードの情報窃取を目的としたページが稼働していたと情報をいただきました。偽ページが稼働していたドメインやIPアドレスを調べたところ、いくつか興味深い情報が確認できたため、調べた内容をここではまとめます。 偽決済画面だらけのサーバー 情報提供頂いたURLではクレジットカード情報を窃取することを目的とした偽決済画面が稼働していた。 サブドメインには決済代行サービスのペイジェントに似せた文字列が用いられていた。 偽決済画面はワイン販売を行っている会社名がフォーム上部（モザイク部）に掲載。 この会社は2019年2月にWebサイトの改修を目的として一時閉鎖すると案内。 6月に新ドメインでECサイト再開。新ドメインへ移行した理由は「諸事情により」とのみ説明。 問題のドメインsearch-hot.comを調べる 問題のページが稼働していたドメインsearch-hot.co
脆弱性の警告を受けたnpmパッケージの依存関係を力技で直す - Qiita
概要 2018年4月にnpm v6.0.0がリリースされ、セキュリティチェックができるコマンドnpm auditが追加されました。 さらに2018年5月にはnpm6.1.0がリリースされ、セキュリティチェックに追加して脆弱性のある箇所を自動修正してくれるサブコマンドnpm audit fixが追加されました。 この機能は非常に便利で、node_modulesに存在する大抵の脆弱性を自動修正してくれます。しかし、パッケージの依存関係によって自動で直しきれない脆弱性が残ってしまうことがあり、現時点ではこれを手動で解消しなくてはいけません。その方法を共有します。 実践 まずは$npm audit まずは任意のプロジェクトでnpm auditをポチッと実行します。 $ npm audit //中略。ここに脆弱性のあるパッケージ一覧が表示されます found 25 vulnerabilities (
OWASP TOPのリスクを 体感してみよう/OWASP_Kansai_20180427HandsOn
「ハンズオンーOWASP TOP 10のリスクを体感してみよう」にてチャプターリーダー はせがわようすけさんより発表頂いたプレゼンテーションです
主要Linuxディストリビューションに深刻な脆弱性--Enterキーを押し続けるだけで悪用可能
主要なLinuxディストリビューションの「Linux Unified Key Setup-on-disk-format」（LUKS）に、セキュリティホールが存在することが明らかになった。LUKSはLinuxで使われているハードディスク暗号化のための標準的な仕組みだ。LUKSは多くの場合、「cryptsetup」というユーティリティを使用してセットアップされている。この脆弱性はcryptsetupに存在するもので、かなり深刻度が高く、影響を受けるLinuxディストリビューションには、「Debian」、「Ubuntu」、「Fedora」、「Red Hat Enterpise Linux」（RHEL）、「SUSE Linux Enterprise Server」（SLES）が含まれる。 セキュリティレポートCVE-2016-4484には、このセキュリティホールを利用すると、攻撃者は「対象システム
SSLの深刻な脆弱性「FREAK」が明らかに--ウェブサイトの3分の1に影響か
Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 編集部 2015-03-04 16:45 ミシガン大学の研究者チームによって行われたテストによると、「暗号化された」ウェブサイトの3分の1以上が、「FREAK」攻撃に対して無防備だという。特にOpenSSLと、ウェブブラウザ「Safari」のようなAppleのTLS/SSLクライアントは、FREAK攻撃を受けやすい。こうしたプログラムを使っている場合、「セキュアな」接続を、「強い」RSAから解読されやすい「輸出グレード」のRSAへとダウングレードすることが、比較的簡単にできてしまう。 こういったことが起きているのは、ジョンズ・ホプキンス大学の暗号開発者で研究教授のMatthew Green氏が簡潔に言っているように、NSAが、初期の「SSLプロトコル自体を、解読しやすいように意図的
脆弱性関連情報の届出受付 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
脆弱性関連情報の届出受付 脆弱性関連情報の届出受付とは 脆弱性関連情報の適切な流通および対策の促進を図り、インターネット利用者に対する被害を予防することを目的として、2004 年7月8日から経済産業省の告示に基づき策定された情報セキュリティ早期警戒パートナーシップガイドライン(PDF:1.0MB)に則り運用しています。 経済産業省の告示にて、下記の通り指定されています。 脆弱性関連情報の届出の受付機関 独立行政法人情報処理推進機構（IPA） 脆弱性関連情報に関して製品開発者への連絡および公表に係る調整機関 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC） 留意事項 脆弱性関連情報取扱いの仕組みは、関係者の協力のもとで成り立つものであり、IPAでは以下のことは実施しておりません。そのため、必ずしも期待する対応が取られることは保証できないことを、ご了承ください。 発見者
SSL 3.0に深刻な脆弱性「POODLE」見つかる Googleが対策を説明 （ITmedia ニュース） - Yahoo!ニュース
米Googleのセキュリティチームは10月14日（現地時間）、SSL 3.0の深刻な脆弱性「POODLE」（Padding Oracle On Downgraded Legacy Encryptionの略でプードルと読む）の発見とその対策について発表した。 同社はPOODLEのセキュリティアドバイザリーもPDFで公開した。 SSL 3.0は15年前の古いバージョンではあるが、いまだにこのバージョンを使っているWebサイトが多数あるという。また、Webブラウザのほとんどは、HTTPSサーバのバグによりページに接続できない場合、SSL 3.0を含む旧版のプロトコルでリトライするという形でSSL 3.0もサポートしている。 この脆弱性を悪用すると、パスワードやクッキーにアクセスでき、Webサイト上のユーザーの個人情報を盗めるようになってしまうという。 Googleはシステム管理者はWeb
パスワードもオリジナルでPINコードも設定してるのにLINEが乗っ取られた
手っ取り早く書きますと、昨日の夕方５時。仕事仲間のLINEアカウントが乗っ取られました。 いままでもLINEの友達アカウントが乗っ取られたことはあったのですが、今回はいつもと全く様子が違っていました。 そのLINEアカウントの主は、２週間ほど前にMNPでデバイスを変更し、同時にLINEアカウントをオリジナルにし、スマホのPINコードも設定してあったのです(PCログイン用とは違うスマホのアプリロックのやつ)。これはデバイスを購入するときに相談されて画面まで確認した私が言うんだから間違いない。当然PC用のPINも設定してありました。 今回ちょっと違う点 １ 日本語が自然になった このへんは勉強したのかもね。または日本人が加わったか。 ２ 挑発に乗らない 自分は「你也偷金以及钓鱼岛」(魚釣島と同じく金も盗むのか)と即レス。共通の友人も同様に書いたそうだが、既読になるものの全く無視。ところが引っか
PHPにおけるオブジェクトインジェクション脆弱性について — A Day in Serenity (Reloaded) — PHP, CodeIgniter, FuelPHP, Linux or something
SQLインジェクションはかなり有名になりましたが、オブジェクトインジェクションはまだあまり聞かないので、まとめておきます。 Dependency Injection（DI）とは関係ありません。 オブジェクトインジェクション脆弱性とは？ SQLインジェクションが外部からSQL文を注入する攻撃であるのと同じように、オブジェクトインジェクションとは外部からオブジェクトを注入する攻撃です。 外部からオブジェクトを注入できれば、そのオブジェクトの機能によりさまざまな攻撃ができる可能性があります。最悪の場合、任意のコードを実行できる脆弱性になります。 PHPの場合、この攻撃が可能なのは、unserialize()関数を悪用できる場合です。 攻撃の方法 unserialize()関数に外部から任意のデータを渡すコードがあった場合、攻撃者は自由にシリアライズされたデータを送信することで、生成されるオブジェ
OpenSSLの脆弱性で想定されるリスク - めもおきば
JVNやJPCERT/CCの記事があまりにもさらっと書かれていて、具体的なリスクが想像しづらいと思うので説明します。 今北産業 (今ニュース見て来たから三行で教えて欲しいという人向けのまとめ) インターネット上の「暗号化」に使われているOpenSSLというソフトウェアが2年間壊れていました。 このソフトウェアは便利なので、FacebookだとかYouTubeだとか、あちこちのウェブサイトで使っていました。 他の人の入力したIDとかパスワードとかクレカ番号とかを、悪い人が見ることができてしまいます。(実際に漏れてる例) 他にも色々漏れてますが、とりあえずエンジニア以外の人が覚えておくべきはここまででOKです。もう少し分かりやすい情報が以下にあります。 OpenSSL の脆弱性に対する、ウェブサイト利用者（一般ユーザ）の対応について まだ直っていないウェブサイトもあれば、元々壊れていないウェブ
ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策
既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
JVN#63650108: Smarty におけるクロスサイトスクリプティングの脆弱性
Smarty は、PHP 用のテンプレートエンジンです。Smarty には、エラーメッセージを出力する際の処理に起因する、クロスサイトスクリプティングの脆弱性が存在します。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
指定されたページが見つかりません。｜Infoseekニュース
OSS or Freeのセキュリティ診断ツール - Qiita
安全なPHPアプリケーションの作り方2014
