OSS脆弱性ブログ - SIOS SECURITY BLOG
Apache HTTP Serverの脆弱性(Important: CVE-2024-27316, Moderate: CVE-2023-38709, low: CVE-2024-24795)と2.4.59リリース 04/05/2024にApache HTTP Serverの脆弱性情報(Important: CVE-2024-27316, Moderate: CVE-2023-38709, low: CVE-2024-24795)が公開され、修正版のApache HTTP Server 2.4.59がリリースされました。今回はこちらの脆弱性の概要と、各ディストリビューションの情報を纏めています。
2017年3月に発生したApache Struts 2で稼働していたとみられるWebサイトへの不正アクセスについてまとめてみた - piyolog
2017年3月に複数のWebサイトが外部からの不正アクセスを受けたことを発表しています。また一部では不正アクセスが成功し、情報が盗まれたり、データが削除されるといった被害が発生しています。 攻撃を受けたWebサイトはApache Struts 2で稼働していたとみられ、またGMOペイメントゲートウェイはApache Struts2の脆弱性を悪用した不正アクセスであったことを明らかにしています。ここでは3月に発表されたApache Struts 2で稼働するWebサイトへの不正アクセスについてまとめます。 被害状況の概要 攻撃を受けたサイトやその被害概要をまとめると次の通り。 運営元 攻撃を受けたサイト 被害状況 トヨタファイナンス GMOペイメントゲートウェイ 都税クレジットカードお支払いサイト(旧) ⇒新しいドメインへ移転 機構団体信用生命保険特約料クレジットカード支払いサイト サイトに
OpenSCAP（脆弱性スキャン）のインストールと使い方メモ
参考資料： 第6章 コンプライアンスおよび OpenSCAP を使った脆弱性のスキャン：Red Hat Customer Portal セキュリティ設定共通化手順SCAP概説：IPA OpenSCAP のインストールRPM パッケージが用意されていますので yum からインストールできます。 インストールされた oscap コマンドに -V オプションを付けて実行すると、サポートされているバージョンなどを確認することができます。 oscap -V ==== Supported specifications ==== XCCDF Version: 1.2 OVAL Version: 5.11.1 CPE Version: 2.3 CVSS Version: 2.0 CVE Version: 2.0 Asset Identification Version: 1.1 Asset Reporti
OpenSCAPを使用してみる | 猫とセキュリティ
現在CIS Controls 7.1の調査を行っていますが、そこのControl 3に「継続的な脆弱性管理」というものがあります。 それを調べていた際に「OpenSCAP」という面白そうなツールを見つけたのでそれについて記事にしていきます。 なお、あくまで個人的な範囲で使用しただけであり、組織に使用してみようとする場合はちゃんと自組織でまずは検証を行うことを推奨します。 また、記載内容に異なる点がございましたら、お手数ですがお問い合わせいただければ幸いです。 OpenSCAPの「SCAP」について まずは「SCAP」という言葉を聞いたことが無い人も多いかと思いますので、こちらから解説します。（実際に勉強会で発表した際に聞いても知っている人はあまりいなかった・・・） 「Security Content Automation Protocol：セキュリティ設定共通化手順」の頭文字をとってSCA
OpenSCAPとは | OSSのデージーネット
OpenSCAPとは、SCAPの規格に従ってシステムのセキュリティポリシーをチェックすることができるオープンソースソフトウェアです。 SCAP(Security Content Automation Protocol)は、アメリカ国立標準技術研究所(NIST)が進めている情報セキュリティ対策の自動化と標準化を行なうための規格です。アメリカのNVD(National Vulnerability Datase)や日本のJVN(Japan Vulnerability Notes)等、各種脆弱性情報データベースで利用されています。 OpenSCAPは、SCAPを実施するためのオープンソースソフトウェアです。 OpenSCAPを利用することで、SCAPの規格に従ってシステムのセキュリティポリシーをチェックすることができます。OpenSCAPでは、一般的に利用できる標準的なセキュリティポリシーセットも
Home | OpenSCAP portal
Scan your system Install SCAP Workbench or OpenSCAP Base Choose a policy Adjust your settings Evaluate the system Tools The OpenSCAP ecosystem provides multiple tools to assist administrators and auditors with assessment, measurement, and enforcement of security baselines. We maintain great flexibility and interoperability, reducing the costs of performing security audits. View more Security Polic
脆弱性検査を行うOSSツール「OpenSCAP」で何が分かるのか
脆弱性検査を行うOSSツール「OpenSCAP」で何が分かるのか：OpenSCAPで脆弱性対策はどう変わる？（4） 本連載では、グローバルスタンダードになっている「SCAP」（セキュリティ設定共通化手順）、およびそれを基にシステム構成や脆弱性の検査を行うためのOSSツール「OpenSCAP」や、その周辺の技術、用語などを紹介する。今回は、OpenSCAPの環境を構築し、実際に試してみた。 まずはOpenSCAPを試してみよう OSSセキュリティ技術の会の面和毅です。本連載「OpenSCAPで脆弱性対策はどう変わる？」では、実質的にグローバルスタンダードの「SCAP（Security Content Automation Protocol：セキュリティ設定共通化手順）」、およびそれを基にシステム構成や脆弱（ぜいじゃく）性検査を行うためのOSS（オープンソースソフトウェア）ツール「OpenSC
Apache Struts2のprefixパラメータ処理の不備により任意のJavaコードが実行される脆弱性（CVE-2013-2251）に関する検証レポート
Apache Struts2のprefixパラメータ処理の不備により任意のJavaコードが実行される脆弱性（CVE-2013-2251）に関する検証レポート Tweet 2013/07/23 NTTデータ先端技術株式会社 辻 伸弘 小松 徹也 【概要】 Apache Struts 2に、任意のJavaコードが実行される脆弱性が存在します。 この脆弱性は、DefaultActionMapper におけるprefixパラメータ処理時において、値をOGNL式（※）として評価するため、任意のJavaコードを実行可能です。 この脆弱性を悪用して、攻撃者はターゲットホスト上にて、APサーバの動作権限で任意のJavaコードの実行が可能です。 今回、このApache Struts 2のprefixパラメータ処理の不備により任意のJavaコードが実行される脆弱性（CVE-2013-2251）の再現性について
通信を保護する「SSL／TLS」の脆弱性を突いたhttps攻撃、研究者が発表へ
アルゼンチンでのセキュリティ会議で「SSL／TLSに対する選択平文攻撃」についてのプレゼンテーションが予定されている。 アルゼンチンのブエノスアイレスで開かれているセキュリティカンファレンス「ekoparty」で、研究者がhttpsに対する暗号攻撃について発表を予定している。 このカンファレンスは9月21日から23日までの日程でブエノスアイレスで開かれるもの。カンファレンスのWebサイトに掲載された日程表によると、この中で23日に、「SSL／TLSに対する選択平文攻撃」について2人の研究者がプレゼンテーションを行う。 SSL／TLSはWebトラフィックの通信暗号化に用いられるプロトコル。「https」のURLが付いたWebサイトに利用され、ユーザーとWebサイトとの間でやり取りされるデータの盗聴や改ざんを防いでいる。23日の発表では、このSSL/TLSの脆弱性を突き、HTTPSリクエストの
BEAST(Browser Exploit Against SSL/TLS)とは何か
はじめに CBCモードへの選択平文攻撃を扱った前回のエントリに引き続き、BEASTについて見ていきます。今回は、BEASTの全体像について解説します。なお、BEASTの実際の攻撃コードはパブリックにされていないため、この記事の内容はあくまでも推測に基づくものとなっていることをご了承ください。 BEAST以前の情報 BEASTはSSLに対する「100%新しい画期的な攻撃方法」ではありません。過去に発見されていたいくつかのテクニックを適切に組み合わせ、さらに最後のひとさじを加えることで華麗にまとめあげたものとなっています。 BEASTの基となっている技術は、ほぼ次の2つの論文にまとまっていると考えられます。 The Vulnerability of SSL to Chosen-Plaintext Attack A Challenging but Feasible Blockwise-Adapt
セコムWebセキュリティチェックサービス【セコム】
セコムWebセキュリティチェックサービスは、「Webアプリケーション診断」＋「ネットワーク診断」＋「SSLサーバ証明書」を年間サービスでご提供。 「Webアプリケーション診断」の診断項目はこちらをご覧下さい。サービスの詳細につきましては、是非お問い合わせ下さい。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPAやJPCERT/CCより先に連絡を ～ Microsoft がバウンティハンターへ呼びかけ | ScanNetSecurity
yamory | 脆弱性管理クラウド
https://www.ceps.eu/wp-content/uploads/2018/06/CEPS%20TFRonSVD%20with%20cover_0.pdf
セキュリティ管理者の方へ | 主な機能 | yamory - 脆弱性管理クラウド
脆弱性協調開示プログラム発表、IoT含む情報連携の枠組を定義（PTCジャパン） | ScanNetSecurity
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/pdf/002_05_00.pdf
https://www.ipa.go.jp/files/000037395.pdf
「情報システム等の脆弱性情報の取扱いに関する研究会」2014年度報告書
ComputerworldとCIO Magazineは閉鎖しました
