colorsなどのnpmパッケージに悪意あるコードが含まれている問題について
追記: 2022年1月11日 2:29 JSTにDoS脆弱性としてセキュリティアドバイザーが出されて、悪意あるバージョン(1.4.1や1.4.2)はnpmからunpublishされ、npmの最新は安全なバージョンである1.4.0へと変更されました。 Infinite loop causing Denial of Service in colors · GHSA-5rqg-jm4f-cqx7 · GitHub Advisory Database 2022-01-08 に colors というnpmパッケージにDoS攻撃のコードが含まれたバージョンが1.4.44-liberty-2として公開されました。 GitHub: https://github.com/Marak/colors.js npm: https://www.npmjs.com/package/colors 問題についてのIssu
【マジで】サイバー演習シナリオの作り方【怖い】 - freee Developers Hub
「CEOに身代金を要求したい」 こんにちは、PSIRTマネージャのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2021 18日目です。 freeeにjoinしてから早くも14ヶ月がすぎました。freeeでは毎年10月に全社障害訓練をしていて、昨年は入社したてで右も左もわからないままAWS上の本番環境（のレプリカ）に侵入してDBをぶっ壊す役目をさせられたのも良い思い出です*1。 で、上の「CEOに身代金を要求したい」という物騒な相談は、今年の訓練計画の話です。話を持ち掛けてきたのはCIOの土佐。昨年は主要サービスが落ちて、開発チームが対応にあたる中、ビジネスサイドも顧客対応などで訓練参加しましたが、今年はさらに、経営サイドまで巻き込もうというゴール設定がされたわけですね。腕が鳴ります。 ゴールは「CEOに4BTCを要求する」 ゴー
Let's EncryptのDST Root X3ルート証明書の期限切れとOpenSSLの影響についていろいろ試してみた
Let's Encryptでこれまで長く使用されてきたIdentrust社発行のDST Root X3ルート証明書が、日本時間2021年9月30日23時1分15秒に期限切れになりました。十分時間を取って事前に移行計画や影響範囲、救える環境、救えない環境などアナウンスをしてきましたが、やはり、期限切れ以降、様々なサービスや製品で接続できないといった声が上がってきました。 特にOpenSSLに関しては、OpenSSL 1.0.2以前に影響があると9月13日に事前の注意喚起がOpenSSL公式ブログであったにもかかわらず、製品やサービスの奥底で使われていて気づかなかったのか、様々なOSや製品で古いものが組み込みで使われていたために影響が広かったように思います。 OpenSSLからの注意喚起の概要 2021年9月30日にLet's EncryptのDST Root X3ルート証明書の期限が切れるに
Hiromitsu Takagi on Twitter: "ナニコレ、違法だよ。どこにある？ https://t.co/QN2vYU8cNm"
ナニコレ、違法だよ。どこにある？ https://t.co/QN2vYU8cNm
警察庁の情報流出が新たに判明、富士通「ProjectWEB」不正アクセス問題
富士通が運営するプロジェクト情報共有ツール「ProjectWEB」が不正アクセスを受け顧客の情報が流出した問題で、警察庁のシステム情報も漏洩していたことが日経クロステックの取材で2021年9月6日までに分かった。 警察庁は日経クロステックの取材に対し、流出した情報は「過去に運用していたシステムの設計情報など」と書面で回答。「当該システム撤去後においても富士通が（データを）廃棄しておらず、同社に対する不正アクセスにより情報が流出したと、2021年5月末以降に報告を受けた」（警察庁）と説明した。富士通に対して被害の実態を調査するよう求めているという。 警察庁は「情報が流出したシステムは不正アクセスがあったとされる時点で既に運用を終了し撤去済みであり、特段の問題は生じていない」と説明。富士通に開発や設計、保守などを委託している現在運用中のシステムについては「追加の対策を講じるなどセキュリティーの
日本の製粉大手に「前例ない」大規模攻撃 大量データ暗号化 起動不能、バックアップもダメで「復旧困難」
「システムの起動そのものが不可能で、データ復旧の手段はない」――製粉大手のニップン（東証一部上場）は8月16日、7月7日に受けたサイバー攻撃の詳細と影響を明らかにした。 グループ会社を含むサーバの大半が同時攻撃を受け、バックアップを含む大量のデータが暗号化されて復旧不能に。外部専門家に「前例のない規模」と報告を受けたという。 財務システムも被害を受け、早期の復旧が困難なため、8月5日に発表予定だった2021年4～6月期の決算は、約3カ月延期。8月16日が提出期限だった四半期報告書の提出も、11月15日に延期する。 サイバー攻撃を受けたのは7月7日未明。グループの情報ネットワークのサーバや端末が同時多発的な攻撃を受け、大量のファイルが暗号化された。 ニップン単体の財務・販売管理データを保管しているファイルサーバに加え、グループ企業で同じ販売管理システムを使っていた11社と、同じ財務会計システ
ゼロトラストという戦術の使い方 | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 近年,新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により,社外から社内システムに接続する機会が増えてきています。 現状のセキュリティ対策は,境界型防御が主流であり,社内を「信用できる領域」,社外を「信用できない領域」として外部からの接続を遮断しています。しかし,昨今の社会変化により,社内のシステム環境へ社外から接続を行う機会が増えているため,境界型防御を元に検討されていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきています。 これらに対するセキュリティ対策として,「ゼロトラスト」という概念が提唱されています。これは,社内外すべてを「信用できない領域」として,全ての通信を検査し認証を行うという考え方です。 しかし,ゼロトラストを導入しようと調査を進めると,多種多様な用語の説明からはじまり,多数の文献,製
「このままだと攻撃者の思う壺」イオンカードで不正利用の注意喚起のはずが…大間違いだった
Osumi, Yusuke @ozuma5119 Threat Intelligence, Cyber Security Researcher, PenTester. CISSP,CISA https://t.co/8kTFSGuuoZ Osumi, Yusuke @ozuma5119 イオンカードさん、この注意喚起は大間違いです。 ドメインは「始まっている」ではなく「終わっている」部分を見ないと意味がありません。 https://aeon .co .jp .example. com/ のようなまぎらわしいドメインこそが、一番詐欺に使われます。出す前に、社内のエンジニアのレビューを受けましょう。 pic.twitter.com/hLVrhHisPH 2021-06-07 14:59:35
ニュース｜サンリオピューロランド
このホームページに掲載のイラスト・写真・文章の無断転載を禁じます。すべての著作権は株式会社サンリオに帰属します。 © 2024 SANRIO CO., LTD. TOKYO, JAPAN 著作 株式会社サンリオ
不正アクセスによる会員様情報流出に関するお詫びとお知らせ – 株式会社ネットマーケティング
この度、当社が提供する恋活・婚活マッチングアプリ「Omiai」を管理するサーバーに対し、外部からの不正アクセスを受け、会員様情報の一部が流出した可能性が高い事が判明しました。 本件に関して、現時点で判明している概要と対応につきまして、下記の通りご報告いたしますとともに、会員様および関係各位の皆様にご心配、ご迷惑をおかけすることとなり、深くお詫び申し上げます。なお、現時点におきまして、今回の事案に関わる個人情報の不正流用等の事実は確認されておりません。 今後当社は、会員様情報の不正流用の発生防止に努めるとともに、本件に誠意を持って全力で対応させていただく所存でございます。皆様にご心配をおかけすることを重ねてお詫び申し上げます。 今回の対象のお客様におかれましては、万が一身に覚えのない連絡や、心当たりのないコンタクトがあった場合、念のためご注意をお願いいたします。また、何かお気づきの点がござい
国内約200組織へ行われたサイバー攻撃と関係者の書類送検についてまとめてみた - piyolog
2021年4月20日、国内約200の組織をターゲットにしたサイバー攻撃が2016年に行われていたとして、攻撃に関連するサーバーの契約に係った男を警視庁公安部が書類送検したと報じられました。捜査は現在も行われており他関係者の情報も報じられています。ここでは関連する情報をまとめます。 攻撃発信元サーバーに係った男を書類送検 書類送検されたのは中国共産党員 中国籍の男で、既に中国へ帰国。中国の大手情報通信企業勤務で日本滞在中もシステムエンジニアの職に就いていた。*1 容疑は私電磁記録不正作出・同供用。2016年9月から17年4月、5回にわたり虚偽の氏名、住所を使い国内レンタルサーバー業者と契約。サーバー利用に必要なアカウント情報を取得した疑い。 男は中国国内から契約を行い、転売サイトでアカウントを販売。Tickと呼称されるグループがそのアカウントを入手し一連の攻撃に悪用されたとされる。 捜査にあ
ガーディアンズ・オブ・サイバースペース ～知られざる戦い～ | NHK | WEB特集
サイバー空間で“最恐”と呼ばれた、コンピューターウイルス、エモテット。 かつてないほど猛威を振るっていたこのウイルスが、ことし1月、制圧された。 日本を含む世界の200以上の国と地域の端末が感染、25億ドルの損害をもたらしたとされる。 世界8か国の捜査機関のおよそ2年間に及ぶ合同捜査の結果だったが、そこに日本の捜査機関の名前はなかった。 だが、この作戦には、日本の有志のホワイトハッカーたちの活動が、大きく寄与していた。 “最恐ウイルス”VS“ガーディアンズ” その知られざる戦いを追った。 （ネットワーク報道部記者 鈴木有） ウクライナ東部の町ハリコフ。 集合住宅の狭い路地を武装した捜査員らが駆け入っていく。 一つの部屋のドアをバールでこじあけ、蹴破って突入する。 捜査員が目にしたのは、数十台はあると思われるコンピューターやハードディスク。 そして、大量の紙幣と金塊。 世界中で猛威を振るって
マイナンバー、中国で流出か 長妻氏指摘、年金機構は否定：時事ドットコム
マイナンバー、中国で流出か 長妻氏指摘、年金機構は否定 2021年02月17日17時15分 衆院予算委員会で答弁する日本年金機構の水島藤一郎理事長＝１７日、国会内 立憲民主党の長妻昭副代表は１７日の衆院予算委員会で、マイナンバーが業者を通じて中国で流出した可能性を指摘した。長妻氏は証拠となる通報メールの存在を明らかにした上で徹底調査を求めたが、日本年金機構の水島藤一郎理事長は「流出はしていない」と否定した。 マイナンバー、８例目も敗訴 「権利侵害ない」―大阪地裁 発端は、日本年金機構から個人データ入力の委託を受けた東京都内の情報処理会社が中国業者に再委託した問題。２０１８年に発覚し、当時の機構の特別監査では、中国業者に再委託されたのは５００万人分の氏名部分の入力で、個人情報の外部流出はないとされていた。 監査のきっかけになったとみられる通報メールは、長妻氏が厚生労働省から入手したという。差
sudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit) - SIOS SECURITY BLOG
OSSに関するセキュリティ・ツールの使い方・脆弱性等を紹介しています。 SELinux/Capability/AntiVirus/SCAP/SIEM/Threat Intelligence等。 OSS脆弱性ブログ01/27/2021にsudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit)が公開されています。どのローカルユーザでもパスワード認証を経ずに特権昇格が出来るため、一度ローカルユーザのターミナルを開くことが出来れば権限昇格できてしまうという強烈なものです。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。 【01/27/2021 10:30更新】Amazon Linuxのリンク（ALSA-2021-1478)も加えました。また、詳細情報を追記しました。 【01/27/2021 14:30更新】O
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Apple PayのVISA、勝手に決済される脆弱性
警視庁職員、運転免許データ26万人分削除「上司困らせようと」 | 毎日新聞
Ryou Ezoe(江添 亮) on Twitter: "ミネソタ大学がLinuxに意図的に脆弱性を含んだ貢献を試みた上で論文を書いたので、信頼が毀損されたとしてLinuxカーネルからミネソタ大由来の貢献をすべて除去する作業が進められている。マジでやるらしい。 https://t.co/y2NPX3TsNv"
中国軍サイバー攻撃 日本向けソフトが狙われる 事前入手で分析か | 毎日新聞
「WordPress」が標的に ～3DCG制作ツール「Blender」公式サイトが改竄の被害に／今後の方針が定まるまでメンテナンスモードで運用
「Ｐｅｒｌ．ｃｏｍ」がドメインジャック、アクセスしないよう呼び掛け【やじうまWatch】
