Webサービス公開前のチェックリスト
個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお
Composer 2.7.7 & Security Audit by Cure53 funded by Alpha-Omega
Today we’re releasing Composer 2.7.7 (PHP 7.2+) and 2.2.24 (LTS for use on PHP 5.3 to 7.1) to address two security vulnerabilities as well as a number of smaller security hardening measures, please update to the new versions immediately (e.g. with composer self-update ). The problems detailed in this post were identified by security firm Cure53 as part of an audit performed over the last weeks on
No Way, PHP Strikes Again! (CVE-2024-4577)
Orange Tsai tweeted a few hours ago about “One of [his] PHP vulnerabilities, which affects XAMPP by default”, and we were curious to say the least. XAMPP is a very popular way for administrators and developers to rapidly deploy Apache, PHP, and a bunch of other tools, and any bug that could give us RCE in its default installation sounds pretty tantalizing. Fortunately, for defenders, the bug has o
第798回 Ubuntuのセキュリティを支えるAppArmor入門 | gihyo.jp
Ubuntuではセキュリティ対策の一環としてAppArmorを採用しています。AppArmorを使えば、任意のプログラムに対して、意図しないファイルやデバイスのアクセスを阻害したり、サブプロセスに対するセキュリティ制約をかけたりできます。今回はあまり意識することのないものの、知っておくといつか役に立つかもしれない、実際に役に立つ時はあまり来てほしくないAppArmorについて紹介しましょう。 AppArmorとMACとLSMと 「AppArmor」は「名前ベースの強制アクセス制御で、LSMを用いて実装されている仕組み」と紹介されることがあります。これはどういう意味でしょうか。 まずはAppArmorの特徴となる「名前ベース（もしくはパス名ベース）」についてですが、これは「セキュリティ設定を対象となるファイルパスを元に設定する」ことを意味します。つまりファイルパスごとに、何を許可し何を許可し
2021-12-12 GitHub Actions の pull_request_target について
2021-12-12 GitHub Actions の pull_request_target について 12 December 2021 GitHub Actions の pull_request と pull_request_target イベントの存在についてわかりにくいのでメモ。 GitHub の詳しい解説は下記。 Keeping your GitHub Actions and workflows secure Part 1: Preventing pwn requests | GitHub Security Lab pull_request_target の間違った使用は危険だよ、と警鐘を鳴らす。 pull_request_targetは fork repoにも書き込み権限・Secretsを渡す pull_request は fork repo に書き込み権限・Secretsは渡
XZ Utils backdoor
This page will get updated as I learn more about the incident. CVE-2024-3094 XZ Utils 5.6.0 and 5.6.1 release tarballs contain a backdoor. These tarballs were created and signed by Jia Tan. Tarballs created by Jia Tan were signed by him. Any tarballs signed by me were created by me. GitHub accounts of both me (Larhzu) and Jia Tan were suspended. Mine was reinstated on 2024-04-02. Only I have had a
Unicodeで絶対知っておくべき5つの注意（翻訳）
概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: Five things everyone should know about Unicode 原文公開日: 2017/11/07 著者: Gojko Adzic -- 多くの書籍を出版しています。 著書: https://gojko.net/books/ Human vs Computer Fifty Quick Ideas To Improve Your Tests Fifty Quick Ideas To Improve Your User Stories Impact Mapping Specification by Example Bridging the Communication Gap Test Driven .NET Development With FitNesse 画像はすべて元記事からの引用です。 2017/
PHPでバイナリセーフではない関数をまとめた。 - Security Record
バイナリセーフではない関数とは何か PHPでバイナリセーフではない関数の例 strpos関数 不適切な使用例 substr関数 不適切な使用例 strlen関数 不適切な使用例 file_get_contents関数 不適切な使用例 不適切に使用した場合のセキュリティリスクの例 バッファオーバーフローのリスク セキュリティ無効化のリスク DoS攻撃のリスク まとめ 参考 バイナリセーフではない関数とは何か 「バイナリセーフではない」とは、特定の関数がバイナリデータを適切に処理できない事を意味します。 バイナリデータはテキストデータと異なり、nullバイト ('\0') などの特殊なバイトが含まれることがあります。PHPはC言語で作られており、C言語においてnullバイト ('\0')は終端を意味します。 つまりPHPでバイナリセーフではない関数を不適切に使用して、処理するデータにnullバ
Critical vulnerabilities in JSON Web Token libraries
TL;DR: If you are using node-jsonwebtoken, pyjwt, namshi/jose, php-jwt or jsjwt with asymmetric keys (RS256, RS384, RS512, ES256, ES384, ES512) please update to the latest version. See jwt.io for more information on the vulnerable libraries. (Updated 2015-04-20) This is a guest post from Tim McLean, who is a member of the Auth0 Security Researcher Hall of Fame. Tim normally blogs at www.timmclean.
共通脆弱性評価システムCVSS v3概説 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
CVSS(Common Vulnerability Scoring System) ～脆弱性の深刻度を評価するための指標～ 共通脆弱性評価システムCVSS(Common Vulnerability Scoring System)は、情報システムの脆弱性に対するオープンで包括的、汎用的な評価手法の確立と普及を目指し、米国家インフラストラクチャ諮問委員会(NIAC: National Infrastructure Advisory Council)のプロジェクトで2004年10月に原案が作成されました。 その後、CVSSの管理母体としてFIRST(Forum of Incident Response and Security Teams)が選ばれ、FIRSTのCVSS-SIG(Special Interest Group)(*1)で適用推進や仕様改善が行われており、2005年6月にCVSS v
関係法令Q＆Aハンドブック - NISC
内閣官房内閣サイバーセキュリティセンター（NISC）は、サイバーセキュリティ対策において参照すべき関係法令をQ&A形式で解説する「サイバーセキュリティ関係法令Q&Aハンドブック」（以下「本ハンドブック」といいます。）を作成しています。 企業における平時のサイバーセキュリティ対策及びインシデント発生時の対応に関する法令上の事項に加え、情報の取扱いに関する法令や情勢の変化等に伴い生じる法的課題等を可能な限り平易な表記で記述しています。 企業実務の参考として、効率的・効果的なサイバーセキュリティ対策・法令遵守の促進への一助となれば幸いです。 ※Ver2.0は、令和5年9月に、サイバーセキュリティを取り巻く環境変化、関係法令・ガイドライン等の成立・改正を踏まえ、項目立て・内容の充実、更新を行い改訂されたものです。 Q＆Aで取り上げている主なトピックスについて サイバーセキュリティ基本法関連 会社法
pull_request_target トリガーを使って fork されたリポジトリからの pull request で発火した GitHub Actions で fork 元の secrets を参照する - make clean; make
タイトルが長い。 fork されたリポジトリからの pull request を受け取ったとき、GitHub Actions が fork 元のリポジトリの secrets にアクセスするためには例えば pull_request_target という trigger を使うやり方がある。pull_request_target という trigger は便利なんだけど、これを無配慮に使うとセキュリティ的に危ういということが GitHub のドキュメントにはつらつら書かれており、まあつまりどういうことなんや、どう使えばええということなんや、ということで色々調べたのでメモしておく。 まず先に pull_request という triggergithub actions の trigger にはいろいろなものを設定できるが、基本的には pull_request という trigger を使えば p
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
CIS Apache HTTP Server 2.4 L1 v2.1.0
GitHub - yohgaki/ssblocker: SSBlocker is attacker IP blocker like sshguard, fail2ban, denyhost, etc
SUMMARY | owasp-api-security-ja
Composer 2.7 and CVE-2024-24821: Code execution and possible privilege escalation
GitHub - owasp-dep-scan/dep-scan: OWASP dep-scan is a next-generation security and risk audit tool based on known vulnerabilities, advisories, and license limitations for project dependencies. Both local repositories and container images are supported as
GitHub - semgrep/semgrep: Lightweight static analysis for many languages. Find bug variants with patterns that look like source code.
Top 10 Laravel Audit Security Issues - Laravel News
Promiscuous Cookies and Their Impending Death via the SameSite Policy