OWASP Top 10 API Security Risks – 2023 - OWASP API Security Top 10
APIs tend to expose endpoints that handle object identifiers, creating a wide attack surface of Object Level Access Control issues. Object level authorization checks should be considered in every function that accesses a data source using an ID from the user. Authentication mechanisms are often implemented incorrectly, allowing attackers to compromise authentication tokens or to exploit implementa
コンテンツ管理「PowerCMS」で機能の一部をサポート終了、続く脆弱性がきっかけに
著名なセキュリティーリサーチャーのpiyokango氏が注目のシステムトラブルをピックアップ。今週の注目ネタは……。 今回は3件のシステムトラブルを取り上げる。ブログツール「Movable Type」に見つかった脆弱性と、千葉県のWebサイト障害、プレイドの個人情報流出である。 「Movable Type」にコマンドインジェクションの脆弱性 シックス・アパートは2022年8月24日、同社が開発するブログツール「Movable Type」の脆弱性情報を公開し、脆弱性を修正するアップデートの提供を開始した。 公開された脆弱性は、Movable TypeのXMLRPC API機能を経由した、組み込みコマンドやシェルコマンドの「コマンドインジェクションの脆弱性」（CVE-2022-38078）。シックス・アパートの発表と同日、JPCERTコーディネーションセンターと情報処理推進機構（IPA）はそれ
MyJVN API
MyJVN API とは MyJVN API は、JVN iPedia の情報を、Web を通じて利用するためのソフトウェアインタフェースです。誰でも、MyJVN が提供する API を利用して様々な脆弱性対策情報を取得し、脆弱性対策情報を利用したサイトやアプリケーションを開発することが可能となります。 現在、MyJVNで提供中のAPIは次のとおりです。詳細については各ページを参照のうえ、利用上の規約を踏まえてご利用ください。 また、本サービスを利用して開発したアプリケーションによって表示される情報には、MyJVN API により提供されたものである旨を表示していただくご協力をお願い致します。 ■MyJVN API に関するお問い合わせ 宛先: (問合せ様式) MyJVN API (HND/ITM) バージョン
Windows 互換機能パックを使用してコードを移植する - .NET Core
.NET Framework から .NET に既存のコードを移植するときに見られる最も一般的な問題の一部は、.NET Framework でのみ見られる API とテクノロジへの依存関係です。 Windows 互換機能パックには、これらのテクノロジの多くが用意されているため、.NET アプリケーションと .NET Standard ライブラリを構築する方がはるかに簡単です。 互換性パックは、API セットを大幅に増加させる .NET Standard 2.0 の論理拡張機能です。 既存のコードは、ほとんど変更なしでコンパイルされます。 "すべての .NET 実装で提供される API のセット" という約束を守るために、.NET Standard には、レジストリ、Windows Management Instrumentation (WMI)、リフレクション出力 API など、すべてのプ
The complete GraphQL Security Guide: Fixing the 13 most common GraphQL Vulnerabilities to make your API production ready
Editor's Note: While this post provides great insights into securing GraphQL APIs and addressing vulnerabilities, we'd like to introduce you to WunderGraph Cosmo, our complete solution for GraphQL Federation and API management. Cosmo goes beyond securing individual endpoints; it offers a comprehensive platform for managing and federating APIs with built-in security features, performance optimizati
OSV - Open Source Vulnerabilities
AlmaLinux 4300 View AlmaLinux vulnerabilities Alpaquita 8039 View Alpaquita vulnerabilities Alpine 3939 View Alpine vulnerabilities Android 3139 View Android vulnerabilities BellSoft Hardened Containers 304 View BellSoft Hardened Containers vulnerabilities Bitnami 6336 View Bitnami vulnerabilities Chainguard 33596 View Chainguard vulnerabilities crates.io 1932 View crates.io vulnerabilities Debian
Web Authentication: An API for accessing Public Key Credentials - Level 2
This version: https://www.w3.org/TR/2021/REC-webauthn-2-20210408/ Latest published version: https://www.w3.org/TR/webauthn-2/ Editor's Draft: https://w3c.github.io/webauthn/ Previous Versions: https://www.w3.org/TR/2021/PR-webauthn-2-20210225/ https://www.w3.org/TR/2020/CR-webauthn-2-20201222/ https://www.w3.org/TR/2020/WD-webauthn-2-20201216/ https://www.w3.org/TR/2020/WD-webauthn-2-20201116/ htt
アプリで「ログインしっぱなし」はどのように実現されているか？ - Qiita
このツイートを見て、「アプリで再ログインを頻繁要求されるってユーザビリティ良くないな。」と思ったのですが、普段裏側の仕組みは意識していなかったりテックリードの方に任せきりだったりしていたので、これを機に調べてみました。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) 2019年7月8日 この記事は「アプリでログインしっぱなしは、どのように実現されるの？」という疑問と調べた結果を共有するために書いていきます。 間違いや「もっとこんな仕組みが使われてるよ！」等のツッコミがあれば、どしどし貰えると助かります！ 疑問1. アクセストークンという仕組みとは？ 「なぜアクセストークンという概念が必要なのか？」 モバイルアプリでユーザー認証をし
新たなブラウザ攻撃手法が見つかる--ユーザーがウェブページを離れた後も有効
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます ユーザーが感染したウェブページを閉じたり、そこから離れたりした後でも、ユーザーのブラウザ内で悪意あるコードを実行できる新しいブラウザベースの攻撃がギリシャの学者らによって考え出された。 「MarioNet」と呼ばれるこの新しい攻撃は、ユーザーのブラウザから巨大なボットネットを構築するための扉を開く。研究者によると、これらのボットネットは、ブラウザ内での不正な仮想通貨マイニング（クリプトジャッキング）、DDoS攻撃、悪意あるファイルのホスティング／共有、分散型のパスワードクラッキング、プロキシネットワークでの不正リレー、クリック詐欺の宣伝、トラフィック統計のかさ増しに使用できる。 両者の違いは、ユーザーがブラウザのタブを閉じたり、悪意ある
トークンを利用した認証・認可 API を実装するとき Authorization: Bearer ヘッダを使っていいのか調べた - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? TL;DR HTTP でトークンを利用した認証・認可をする手法として RFC 6750 がある OAuth に限らず、トークンを利用して認証・認可する機構の一部として Authorization: Bearer ヘッダを使うことができる 使い方について詳しくはこの記事の下のほうに書いた 要求 トークンを利用した認証・認可機構を持つ API を作りたい クライアントがトークンを HTTP リクエストに含めて送信し、サーバはトークンを検証してリソースへのアクセスを許可したい Authorization: Bearer トークン ヘッダでトー
［速報］GitHub、見られてはいけないコード中のアクセストークンを発見し通知してくれる「Token Scanning」発表。GitHub Universe 2018 － Publickey
［速報］GitHub、見られてはいけないコード中のアクセストークンを発見し通知してくれる「Token Scanning」発表。GitHub Universe 2018 クラウドサービスが充実してきたことで、コードからクラウドAPIを呼び出して利用することが一般的になってきました。クラウドAPIを呼び出す際には、適正な呼び出し権限を持つことを示すため、あるいは呼び出す側を特定して課金するなどの目的でアクセストークンを用いることがあります。 アクセストークンは第三者に知られないように安全に管理し利用する必要がありますが、何らかの原因でアクセストークンがコード内にそのまま記述されてそのコードがGitHubなどで公開された結果、悪意のある第三者に使われ、アクセストークン本来の持ち主に膨大な利用料金が請求される、といった事故がしばしば起きています。 GitHubはこうした事故を防ぐため、コード内に記
システムに不可欠なセキュリティ対策、漏れを食い止める設計書3点セット
「セキュリティ対策はシステム開発で不可欠だが、設計書でうまく表現できている開発現場はまだ少ない」――。 ラックの永井英徳氏（エンタープライズ・セキュリティサービス事業部セキュリティディレクションサービス部長 兼 第一グループ部長）はこう指摘する。よく見られるのが、「クロスサイトスクリプティングの脅威には、Aフレームワークを利用することで対処する」などと、個別の脅威ごとに対策を記述するケースという。しかしこれでは、「システム全体として必要なセキュリティ対策を網羅できているのか判断しにくい」（永井氏）。 とはいえ、機能に関する設計書に、想定しうるあらゆる脅威の内容と対策を書き込むのも問題だ。記述が膨大になり、読みにくい設計書になってしまう。後工程の開発メンバーの作業ミスを招く恐れがある。セキュリティ要件が変わったときの修正作業の負荷も大きい。 このような問題意識のもと、ラックの永井氏は、セキュ
WordPress 4.7.1 の権限昇格脆弱性について検証した
エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正 安全確保のため情報公開を先送り Make WordPress Core Conten
readdir_r は使ってはいけないという話 : 革命の日々 その２
Unixの世界には readdir_r()というAPIがある。readdir()のthread safe バージョンとしばしば紹介されている。 それぞれの関数宣言は以下 http://man7.org/linux/man-pages/man3/readdir_r.3.html struct dirent *readdir(DIR *dirp); int readdir_r(DIR *dirp, struct dirent *entry, struct dirent **result); struct dirent { ino_t d_ino; /* inode number */ off_t d_off; /* not an offset; see NOTES */ unsigned short d_reclen; /* length of this record */ unsigned
PCを安全に使用するためのセキュリティソフトが重大な脆弱性を抱えていたことをGoogleが発見
インターネットを安全に使用するために、多くの人たちがセキュリティツールを使用しています。そんなセキュリティツールのひとつが、重大な脆弱性を抱えていることをGoogleの研究者が発見しました。 Google finds AVG Chrome extension to bypass malware checks, possibly exposing browsing data http://www.neowin.net/news/google-finds-avg-chrome-extension-to-bypass-malware-checks-possibly-exposing-browsing-data 1991年にオランダで設立されたセキュリティソフトメーカー「AVG」が提供している無料で使えるブラウザ向けのセキュリティツールが「AVG Web TuneUp」です。これはWindows
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://www.googleapis.com/oauth2/v3/certs
mkpasswdコマンドを使ってshadowパスワードを生成する。 — mkouhei's blog
Windows セキュリティ アプリの機能 - Win32 apps
How to Create an Executable JAR with Maven | Baeldung
Google Maps API無償版のポリシー変更、猶予期間が10月12日で終了、地図が突然表示されなくなる可能性も 
