20日目: 正規表現が ReDoS 脆弱になる 3 つの経験則
はじめに 皆さんこんにちは．3回生のらん（@hoshina350）です． 文字列マッチングに便利な正規表現ですが，テキトーに書くと脆弱になり得るという情報を耳にしてから色々と原因や対策を調べていました． しかし，多くの記事で紹介されていた対策方法は，「独自の正規表現を使用しないー」とか「 * や + などの繰り返し表現はなるべく使わないー」とかいう なんともふわっとしたものでした．これでは「いやぁ確かにそうなんかもしれんけど…そうゆう訳にはいかんやんか…」と納得できません． つまり，「本質的に何が問題」で，「具体的にどんな特徴のある正規表現が脆弱になり得るのか」を知りたい訳です． そこで，様々な文献を調査してみました．本記事では調査して溜まった知見を紹介していきます． 本記事は， Purdue大学のJames Davis教授による “The Regular Expression Denia
Oracle Security Alert Advisory - CVE-2021-44228
Description This Security Alert addresses CVE-2021-44228, a remote code execution vulnerability in Apache Log4j. It is remotely exploitable without authentication, i.e., may be exploited over a network without the need for a username and password. It also addresses CVE-2021-45046, which arose as an incomplete fix by Apache to CVE-2021-44228. Due to the severity of this vulnerability and the public
Log4jの脆弱性対策としてAWS WAFのマネージドルールに「Log4JRCE」が追加されました | DevelopersIO
AWSチームのすずきです。 2021年12月11日、 AWS の Managed Ruleとして提供されている AWSManagedRulesKnownBadInputsRuleSetに新しい保護ルール「Log4JRCE」が追加されました。 Apache Log4j2 Issue (CVE-2021-44228) Log4j の脆弱性(CVE-2021-44228)対策として、AWS WAFの有効性を確かめる機会がありましたので、紹介させていただきます。 AWS Managed Rule Known bad inputs 新しいルール 「Log4JRCE」 が追加されました。 試してみた WAF(ACLs)設定 AWSManagedRulesKnownBadInputsRuleSet のみ設定した WebACLを用意しました。 BadInputsRuleSetのバージョンはデフォルト、検証
Log4Shell: RCE 0-day exploit found in log4j, a popular Java logging package | LunaTrace
Originally Posted @ December 9th & Last Updated @ August 1st, 3:30pm PDT Fixing Log4Shell? Claim a free vulnerability scan on our dedicated security platform and generate a detailed report in minutes. What is it?On Thursday, December 9th a 0-day exploit in the popular Java logging library log4j (version 2), called Log4Shell, was discovered that results in Remote Code Execution (RCE) simply by log
"JWT=ステートレス"から一歩踏み出すための考え方
おはようございます、ritouです。 この話に乗っかっていきます。 3行で ログアウト時にJWTを無効化できない実装は今後脆弱性診断で「OWASP Top 10 2021違反」と指摘されるようになりそう(今も個別にされてるかもしれないけど) JWTは単純なフォーマットなので、ステートレスなセッション管理においてログアウトしたときに文字列自体を無効化できない件は独自エンコード方式(一般的にフレームワークのCookieストアと呼ばれているもの)でも起こり得る 「セッションID vs JWTで内包」 以外にも 「セッションIDをJWTに内包」もあり得る。既存の機能を残しつつ「JWTで武装」する選択肢も考えてみてはどうか。 ステートレスなセッション管理でログアウトの際に文字列自体を無効化できない問題 これは前から言われていますし、駆け出し何とか勢のQiita記事に書かれるぐらいには一般的です。 2
Appleの製品セキュリティ解説が面白い
Appleは自社の製品セキュリティについて割と詳細に解説したホワイトペーパーを公開している。何故か日本語版もある。 (PDF版) https://manuals.info.apple.com/MANUALS/1000/MA1902/ja_JP/apple-platform-security-guide-j.pdf EDIT: 日本語版は無くなったようだ (PDF版) https://help.apple.com/pdf/security/ja_JP/apple-platform-security-guide-j.pdf EDIT: 新しいURLで公開された (PDF版) https://help.apple.com/pdf/security/en_US/apple-platform-security-guide.pdf このドキュメントは言わば ユーザのプライバシで商売をすることの決意表明
ユーザー アカウント、認証、パスワード管理に関する 13 のベスト プラクティス2021 年版 | Google Cloud 公式ブログ
※この投稿は米国時間 2021 年 5 月 7 日に、Google Cloud blog に投稿されたものの抄訳です。 2021 年用に更新: この投稿には、Google のホワイトペーパー「パスワード管理のベスト プラクティス」のユーザー向けとシステム設計者向けの両方の最新情報を含む、更新されたベスト プラクティスが含まれています。 アカウント管理、認証、パスワード管理には十分な注意を払う必要があります。多くの場合、アカウント管理は開発者や製品マネージャーにとって最優先事項ではなく、盲点になりがちです。そのため、ユーザーが期待するデータ セキュリティやユーザー エクスペリエンスを提供できていないケースがよくあります。 幸い、Google Cloud には、ユーザー アカウント（ここでは、システムに対して認証を受けるすべてのユーザー、つまりお客様または内部ユーザー）の作成、安全な取り扱い、
iPhone修理業者が預かったスマホ内のヌード写真を勝手にFacebookに投稿
iPhoneの修理を請け負っていた下請業者のスタッフが、AppleのiPhoneサービスセンターに持ち込まれた女子大学生のiPhoneからヌード写真を抜き出し、本人になりすましてFacebookにアップロードしていたことが分かりました。Appleはこの件で、女性に対し数億円の賠償金を支払ったと報じられています。 Case 4:19-cv-02033-YGR Document 141-2 (PDFファイル)https://storage.courtlistener.com/recap/gov.uscourts.cand.340837/gov.uscourts.cand.340837.141.2.pdf Apple pays millions to woman after explicit photos posted online https://www.telegraph.co.uk/bus
Let's Encryptのルート証明書切替周り(完結編) | おそらくはそれさえも平凡な日々
tl;dr 驚くべきハックにより旧Androidも引き続き証明書エラーなくサイトを閲覧できそうです いよいよ5/4に標準の証明書チェーンが切り替わります 前回までのおさらい Android7.1以前でLet's Encrypt証明書のサイトが見られなくなる Let's Encryptの証明書切替周りその後 Let's Encryptはルート証明書を自身(ISRG)の認証局のルート証明書(ISRG Root X1)に切り替えようとしています。現在は、IdenTrustのルート証明書(DST Root CA X3)が使われています。 正確に言うと、ISRGは新しい認証局なのでそのルート証明書の普及率も当然低く、中間証明書はIdenTrustのルート証明書でクロスサインされており、それが標準で使われています。標準がDSTになっているだけで、ISRGのルート証明書のチェーンの証明書も指定すれば今で
ミネソタ大からLinuxに送られた脆弱性を含む貢献の件
Greg K-H @gregkh Linux kernel developers do not like being experimented on, we have enough real work to do: lore.kernel.org/linux-nfs/YH%2… Yoshimasa Niwa @niw ミネソタ大学がLinuxから追放された模様... “I will now have to ban all future contributions from your University and rip out your previous contributions” lore.kernel.org/linux-nfs/YH%2…
noteとインシデントハンドリングと広報の仕事
note_vuln.md noteとインシデントハンドリングと広報の仕事 前提 この文章はmalaが書いています。個人の見解であり所属している企業とは関係ありません。 noteには知り合いが何人かいるし、中の人と直接コンタクトも取っているし相談もされているが、(10月2日時点で)正規の仕事としては請け負っていない。 10月2日追記 正規の仕事として請け負う可能性もありますが、自身の主張や脆弱性情報の公開に制限が掛かるのであれば引き受けないつもりです。 脆弱性の指摘や修正方法以外にも意見を伝えることがありますが、公表されている文章については、あくまでnote社内で検討されて発信されているものであり、必ずしも自分の意見が反映されたものではありません。(事前に確認などはしてません) 重要 この記事には、9月30日付けと、10月1日付けでnoteに報告した脆弱性についての解説を後ほど追記します。誠
Hiromitsu Takagi on Twitter: "この指摘が的を射ていると思った。そもそも口座振替って誰にでも振替先となる（自動引き落しさせる）のを認めるものじゃないのでは？公共料金だったりクレジットカードだったり、学会の年会費にも使えたりするが、それなりの組織を介した口座振替依… https://t.co/U2z1Q6da8v"
この指摘が的を射ていると思った。そもそも口座振替って誰にでも振替先となる（自動引き落しさせる）のを認めるものじゃないのでは？公共料金だったりクレジットカードだったり、学会の年会費にも使えたりするが、それなりの組織を介した口座振替依… https://t.co/U2z1Q6da8v
Windows7サポート終了でどうなるのウソ、継続利用、使い続ける | GWT Center
2019年6月12日2020年2月2日 2020/1にWindows7サポート終了ということは事実なのだが、「サポート終了するから危険になる」だから「パソコンを変えてOSを新しくせよ」というのは全くのウソなので注意されたい。 2019/09/22、コメント欄は閉じました どこかでおせっかいな方が紹介されたようで、主体性の無い方が大挙して押しかけるようになりました。以下が本日のアナリティクスです。 ふだんのアクセスは以下のようなものです。大してアクセスありません。「アクセス稼ぎ」などと言われる方もいらっしゃるようですが、もともとこれでは儲からないんですねぇ。。。その上さらに誹謗中傷まで来たのではたまりません。 対応するのが面倒なので、コメント欄は閉じさせていただきました。あしからずご了承ください。 もともと本サイトは技術サイトであり、発見・研究したことを皆さんに利用していただくべく公開してい
ReactやVueを使わなくても近年のWebブラウザにはDBの機能がある ということは、..
ReactやVueを使わなくても近年のWebブラウザにはDBの機能がある ということは、3層モデルはブラウザの中で完結できる これが最近のSPAだのアプリ化の流れと言ってもいいと思っている これで何が嬉しいかというと、例えばメモとかTODOのアプリを考えるとして、ネットに常時接続している必要がなくなる そして、接続時に同期すればいい 常時ネットに接続していなくていい、というのはかなり気楽だ 金銭的にも気楽だ Webブラウザ側とネットの向こう側のDB双方を同期させる機能は既に実装されてるのもあるし、同期に特化した配慮したNoSQLのDBも存在する で、Web側で3層が完結する、ということは、フロントエンドだけでXSSが起こせるということでもある 知恵袋で過去に起こったXSSはフロントエンド、つまりWebブラウザ側のJavaScriptだけで引き起こされている 自分が危惧するのは、繰り返しにな
セブンペイ、9月末で終了へ ｜ 共同通信
セブン＆アイ・ホールディングスがスマートフォン決済「7pay（セブンペイ）」のサービスを9月末で終了する方針を固めたことが1日、分かった。
46MBが4.5PBに膨れ上がる危険なZIP爆弾に注意
Fossbytesは7月13日(米国時間)、「This Dangerous 'Zip Bomb' Can Explode 46MB File Into 4.5 Petabytes」が、「Zip Bomb (ZIP爆弾)」と呼ばれる高圧縮ファイル爆弾に新たな方法が発見されたと伝えた。この方法を使うと、46MBのZIPファイルを展開することで4.5PBのサイズに膨張させることが可能とされており、注意が必要。 記事はDavid Fifield氏が公開した次のドキュメントがベースになっている。 A better zip bomb A better zip bomb 説明によれば、ZIPコンテナ内部でファイルを重ね合わせることで高い圧縮率を実現したという。従来は再帰的な方法を使うことで高圧縮を実現していたが、今回発見された方法は再帰的な方法は使っておらず、1回の解凍で完全に展開されると説明がある。こ
7iDのパスワード再発行がセキュリティ的に最悪な件：パスワード変更しても無意味な状況（会見後追記）
本サイトはアフィリエイト広告を利用しています。なお本記載は景品表示法改正に伴うASPからの要請に基づく表記であり、依頼された記事などは別途記載を実施しています。 追記：酷い記者会見と無意味な対策 今日の14時に記者会見が行われましたが、もう開いた口が塞がらないどころかため息が出るレベルの酷い記者会見でした。 二段階認証をまともに理解していない？チャージと登録を停止するが、決済は停止しない補償はするとは言ったが、方法などはまだ未確定 もうさっさとサービス終了したほうが今後のためじゃないですかね。 パスワード再発行の件は対策した（風にみせかけ） 何人か指摘している人も居ますけども、あまり詳しく言うのは問題になりかねないので言いませんが、下記に記載のあるパスワード再発行の件は内部の処理は結局対策されてません。それだけは言っておきましょう。 なので、下記の会員IDの変更などは早急に行ってください。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
cve-details
GitHub - tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce: Apache Log4j 远程代码执行
2020年末に期限切れになるルート証明書。「削除しないで」とMicrosoft
