GitHub、コードの脆弱性を自動的に見つけてCopilotが修正案まで示す「Copilot Autofix」正式サービスに
GitHubは、コードをスキャンして脆弱性を自動的検出し、コードの修正案を示してくれる「Copilot Autofix」機能を正式サービスとして提供開始すると発表しました。 コード分析エンジン「CodeQL」でコードスキャン Copilot Autofixは、GitHubが開発したコード分析エンジンである「CodeQL」を用いてコードをスキャンし、クロスサイトスクリプティングやSQLインジェクションなどを含むさまざまな脆弱性を検出します。 検出された脆弱性に対しては、Copilotがその説明と修正コードの提案を行い、開発者に提示します。 開発者は提示された内容を確認した上で「Create PR with fix」ボタンを押すと、提示されたコードの変更を含むプルリクエストが作成されます。プルリクエストがマージされれば修正完了です。 Copilot Autofixは過去のコードに対しても適用で
7月4日までにWindowsを更新せよ ー ランサムウェア集団「Black Basta」の脅威がすぐそこに
米国時間7月4日までに全てのWindowsシステムを更新することが必須とされている。この更新義務はアメリカの政府機関にのみ適用されるが、CISAはサイバー攻撃の被害を減らすために、全ての組織に対して適時の修正を優先するよう強く促している。 これに強く関連する話題として、アメリカ政府が5月に「Black Basta」というランサムウェア集団の活動について警告を発している。この集団は、医療や公衆衛生セクターを含む16の重要インフラセクターのうち12を標的にしており、その活動は公共部門を超えて広範囲に及んでいる。 Black Basta は、2022 年初頭に出現したロシア関連のランサムウェアである。世界中で 329 以上の組織を攻撃するために使用されており、2022 年から 2023 年にかけて、被害者数で 4 番目に活発なランサムウェアに成長した。このグループは、まず暗号化の解除と引き換えに
大人気のOSS「node-ip」が誤った脆弱性ランク付けにより一旦アーカイブ化 ー CVEの功罪とは
7月1日、BleepingComputerが「[開発者が CVE の重大度を拒否し、GitHub リポジトリを読み取り専用にする(Dev rejects CVE severity, makes his GitHub repo read-only)](https://www.bleepingcomputer.com/news/security/dev-rejects-cve-severity-makes-his-github-repo-read-only/)」と題した記事を公開した。この記事では、CVEシステムの功罪について詳しく述べている。 'node-ip' GitHubリポジトリのアーカイブ化 人気のあるオープンソースプロジェクト「node-ip」が、開発者自身の手によってGitHubリポジトリがアーカイブされ、読み取り専用になった。この措置は、CVE報告（CVE-2023-42282
C／C++の脆弱性をLLMで検出 Googleが新研究開発プロジェクト「Naptime」を発表
Googleは2024年6月20日（現地時間）、脆弱（ぜいじゃく）性の検出に大規模言語モデル（LLM）を活用する新しい研究開発プロジェクト「Naptime（お昼寝タイム）」を発表した。 C／C++の脆弱性検出はLLMに任せて“お昼寝しよう” NaptimeはAIエージェントとターゲットコードベース間のインタラクションを中心に構築されたアーキテクチャだ。特にC／C++の高度なメモリ破壊およびバッファーオーバーフローの脆弱性を発見することに焦点を当てている。この2つの対象は従来の方法論では発見することが難しく、GoogleはLLMを利用することで検出効率を最大20倍まで改善できると説明している。 なお、プロジェクト名の由来は開発した成果物がセキュリティ担当者やIT担当者を支援し、定期的に昼寝ができるくらいにはなりたいという願掛けになっているという。 Naptimeのアーキテクチャはセキュリティ
Node.jsが7月2日にセキュリティアップデートをリリース ー 高深刻度の問題が含まれる
6月26日、Node.jsプロジェクトは2024年7月2日（火）に新しいバージョンをリリースすることを発表した。今回のアップデートは、以下のバージョンラインにおけるセキュリティ問題に対処するためのものである。 アップデート概要 Node.jsプロジェクトは、以下のセキュリティ問題に対処するために、22.x、20.x、18.xリリースラインの新しいバージョンをリリースする予定だ。 高深刻度の問題：1件 中深刻度の問題：2件 低深刻度の問題：3件 Node.js 18.xおよび20.xでは、node-fetchがundici v6.19.2にアップグレードされる。なお、Node.js 22.xはすでにundici v6.19.2を含んでいる。 影響 各リリースラインの脆弱性については以下の通りだ。 22.xリリースライン：高深刻度の問題1件、中深刻度の問題2件、低深刻度の問題3件 20.xリリ
Firefox、Qwantとのパートナーシップを発表 ー 詳細は不明
4月5日、Firefoxはプライバシー重視の検索エンジンQwantとのパートナーシップを発表した。 この動きは、利用者が自分の価値観に沿った意識的な選択を行えるようにし、より良いウェブ体験を実現するためのものだとしている。 4月5日、Firefoxはプライバシー重視の検索エンジンQwantとのパートナーシップを発表した。 この動きは、利用者が自分の価値観に沿った意識的な選択を行えるようにし、より良いウェブ体験を実現するためのものだとしている。 Qwantはフランス発の検索エンジンで、個人情報の収集やユーザー行動の追跡を行わないプライバシーを最優先に設計されている。ユーザーの検索履歴や行動データを一切保存せず、個人のプライバシーを保護し、広告のターゲティングに利用されることなく、公平かつ包括的な検索結果を提供し、インターネットの分散化された性質を保持することに力を入れているという。 元記事で
「仕事を早く終わらせたいだけ」がセキュリティの脅威に ー AI時代の生産性とセキュリティの間の緊張関係
4月4日、1Passwordは「AI時代のセキュリティと生産性（Security and productivity in the age of AI）」という年次セキュリティレポートを公開した。このレポートは、ビジネスの進歩がセキュリティにとってしばしば逆効果になる可能性があるという、避けられない結論に達している。 4月4日、1Passwordは「AI時代のセキュリティと生産性（Security and productivity in the age of AI）」という年次セキュリティレポートを公開した。このレポートは、ビジネスの進歩がセキュリティにとってしばしば逆効果になる可能性があるという、避けられない結論に達している。 北米のホワイトカラー従業員1,500人、うちセキュリティ専門家500人を対象に実施した調査により、生産性とセキュリティの間に新たな緊急性を帯びた緊張関係が浮かび上が
OpenSSL 3.3ベータ版がリリース ー QUICのサポートが強化された注目のアップデートに
4月3日、OpenSSLはOpenSSL 3.3のベータ版を公開した。このリリースは、半年ごとのリリーススケジュールに従って行われた。OpenSSL 3.3のコードは現在機能的には完全に揃った状態であり、最終リリースも予定通りに行われることが期待されている。 4月3日、OpenSSLはOpenSSL 3.3のベータ版を公開した。このリリースは、半年ごとのリリーススケジュールに従って行われた。OpenSSL 3.3のコードは現在機能的には完全に揃った状態であり、最終リリースも予定通りに行われることが期待されている。 特にQUICプロトコルのサポート強化は、リアルタイム通信の需要が高まる中での重要な進歩と言える。QUICは、高速で信頼性の高い接続を提供することを目的としたプロトコルで、今回のアップデートにはQUIC qlog診断ロギングサポート、複数のQUIC接続やストリームオブジェクトの非ブ
ログ管理・分析プラットフォームのGraylog、開発者向けに無料のAPIセキュリティツール提供
2月5日、オープンソースのログ管理・分析プラットフォームを展開するGraylogが、APIのセキュリティを強化するための無料ツールを開発者に提供することを発表した。 Graylog API Securityの無料版は、有料版と同様の機能を提供しているが、ストレージ容量が制限されていること、1年ごとにライセンス更新が必要となる。 このツールは、API開発者とサイバーセキュリティチームとの連携を促進することを目的としており、以下のような機能を提供している。 APIの分類 リスクスコアリング リアルタイムでのAPI監視 … 急増するAPIへの攻撃、サービス運営者は早急な対策を Graylogは、（以前買収した）Resurface.ioによって開発されたAPIセキュリティプラットフォームの技術を活かしてこの無料版を提供している。APIのリクエストとレスポンスの詳細をキャプチャし、悪意のあるアクティ
セキュリティエンジニアを3年続けて分かったおすすめ勉強法
セキュリティエンジニアとして就職してからそろそろ3年経ちます。独断と偏見に基づき、IT初心者・セキュリティ初心者・セキュリティエンジニアの3つの時期に分け、費用対効果の良い勉強法を紹介していきたいと思います。 セキュリティエンジニアとは 「セキュリティエンジニア」という言葉は範囲が広いですが、私が今回記載する内容は脆弱性診断やペネトレーションテストに寄った内容となっています。インシデント対応やアナリスト業務などは専門ではないので、あくまで診断系の人が書いているということをご認識おきください。 そもそもセキュリティエンジニアにどのような職種が含まれるかはラックさんが分かりやすい資料を出しているのでそちらをご覧ください(サイバーセキュリティ仕事ファイル 1、サイバーセキュリティ仕事ファイル 2)。 IT初心者時代 セキュリティを学ぶ以前に基礎となるITを学ぶ時代を考えます。 学校教育 学生の場
攻撃者の“裏事情”から考える いま注目のランサムウェアグループとその特徴
セキュリティベンダーのウィズセキュアは2023年11月10日、「最新サイバー脅威解説セッション」を開催した。 同年11月1日に日本法人のカントリーマネジャーに就任した藤岡 健氏、そしてイベント「CODE BLUE 2023」講演のために来日していたWithSecureの研究所主席研究員（CRO）であるミッコ・ヒッポネン氏も登場し、リサーチ結果とともに、同社の推進する「グッドパートナーシップ」にも言及するセッションを実施した。 ランサムウェアは“リサイクル”されている？ 攻撃者の裏事情とは ウィズセキュアがリサーチした結果をまとめたセッション「2023年の新型ランサムウェアについて」では、ウィズセキュアの島田秋雄氏（サイバーセキュリティ技術本部長）、そして自称“サイバーセキュリティサラリーマン”のミッコ・ヒッポネン氏が互いに質問し合う形式で進められた。 ヒッポネン氏ははじめに、自身の近著であ
Linuxカーネルに重大な脆弱性 | スラド Linux
The Hacker Newsは6日、Linuxカーネルに「StackRot」と呼ばれる重大な脆弱性が発見されたと報じた。この脆弱性はLinuxのバージョン6.1から6.4に影響を与える可能性があり、深刻度は重要（High）と評価されている。ただし、現時点ではこの脆弱性が悪用された形跡はないとのこと（The Hacker News、TECH+）。 このStackRotは「CVE-2023-3269」として追跡されているLinuxカーネルの脆弱性。セキュリティ研究者のRuihan Li氏によって発見されたこの脆弱性は特権昇格を可能にし、ほとんどのLinuxカーネル構成に影響を与える可能性がある。この脆弱性の影響を受けるLinuxカーネルに対しては7月1日からパッチが提供されている。
セキュリティヘッダ警察です！既に包囲されている！観念してヘッダを挿入しなさい！ - エムスリーテックブログ
【セキュリティチームブログリレー2回目】 こんにちは。エンジニアリンググループの山本です。 セキュリティチームは、エンジニアリンググループ全体のセキュリティを向上させるためのバーチャルチームなのですが、各プロダクト開発チームのサービスをチェックして、協力しながら全体のセキュリティを向上させていくのがミッションです。 そのお仕事の一環として「この部分、セキュリティヘッダが足りないから入れてください！」というやりとりを日常的に行なっています。 今日はこの「セキュリティヘッダ」というものが一体何なのか、今さら人に聞けないアレコレを取りまとめてみたいと思います。 セキュリティヘッダ警察の日常の図(もちろん冗談です) セキュリティヘッダ そもそもセキュリティヘッダとは？ 比較的安全なセキュリティヘッダ X-Content-Type-Options X-XSS-Protection Strict-Tr
Pythonの15年間見過ごされてきた脆弱性が30万件以上のオープンソースリポジトリに影響を与える可能性
プログラミング言語のPythonで、2007年に存在が公開されたものの修正されなかったバグが再発見されました。任意コード実行可能な脆弱性にもつながるこのバグの影響は、コーディング自動化ツールを介してさまざまなプロジェクトに広まっており、修正するべきオープンソースリポジトリが35万件以上にも及ぶと指摘されています。 Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trell
新たな形態のLinuxマルウェアが見つかる--検出は「ほぼ不可能」
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 検出が「ほぼ不可能」という新たな形態のLinuxマルウェア「Symbiote」が、BlackBerryのResearch and Intelligence Teamの研究者らと、Intezerのセキュリティ研究者であるJoakim Kennedy氏によって発見されたという。カナダのBlackBerryが現地時間6月9日に発表した。 それによると、このマルウェアは「寄生性」を有しているためSymbiote（共生者）と名付けられたという。 これらの研究者らがSymbioteを発見したのは数カ月前のことだ。Symbioteは、実行中のプロセスに対して侵害を試みるという、Linuxで今日一般的に見られる通常のマルウェアとは異なり、LD_PREL
Okta、ハッカー集団「Lapsus$」によるセキュリティ侵害の最終調査結果を公表
Oktaの最高セキュリティ責任者(Chief Security Officer)を務めるデビッド・ブラッドベリー(David Brabury)氏は4月19日、2021年1月に発生したセキュリティインシデントに関する調査を終了したことを同社のブログで明らかにしました。 (原文)Okta Concludes its Investigation Into the January 2022 Compromise https://www.okta.com/blog/2022/04/okta-concludes-its-investigation-into-the-january-2022-compromise/ (日本語訳)Okta、2022年1月の侵害に関する調査を終了 https://www.okta.com/jp/blog/2022/04/okta-concludes-its-investig
OpenSSLに無限ループの脆弱性、アップデートを
OpenSSLプロジェクトチームは3月15日、「OpenSSL Security Advisory [15 March 2022] - Infinite loop in BN_mod_sqrt() reachable when parsing certificates (CVE-2022-0778)」において、OpenSSLに処理が無限ループに陥る脆弱性が存在すると伝えた。深刻度は重要（High）と評価されており注意が必要。すでに問題に対処したバージョンが公開されていることから、該当するバージョンを使用している場合はアップデートを適用することが望まれる。 OpenSSL Security Advisory [15 March 2022] - Infinite loop in BN_mod_sqrt() reachable when parsing certificates (CVE-202
イラストで正しく理解するTLS 1.3の暗号技術
イラストで正しく理解するTLS 1.3の暗号技術 初めに ここではTLS 1.3（以下TLSと略記）で使われている暗号技術を解説します。 主眼はTLSのプロトコルではなく、「暗号技術」の用語の挙動（何を入力して何を出力するのか）と目的の理解です。 実際にどのような方式なのかといった、より詳しい説明は拙著『図解即戦力 暗号と認証のしくみと理論がこれ1冊でしっかりわかる教科書』（暗認本）や『暗認本』の内容を紹介したスライドや動画などの資料集をごらんください。 なお表題の「イラストで」は数式を使わないという程度の意味です。 TLSで守りたいもの TLSはコンピュータ同士が安全に通信するための規格です。 主に人がブラウザを介して「https://」で始まるWebサイトにアクセスするときに利用されます。 安全に通信するためには、通信内容が盗聴されても情報が漏れない機密性が必要です。 それから通信が改
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【海外で話題】完全オープンソースのセキュリティオートメーションプラットフォーム「Shuffle Automation」がリリース
Deno 1.36がリリース ー Node.jsとの互換性向上、テストとベンチマークのAPI改善、`--deny-*`フラグによるセキュリティオプションが追加
