CVE-2024-4367 - Arbitrary JavaScript execution in PDF.js — Codean Labs
This post details CVE-2024-4367, a vulnerability in PDF.js found by Codean Labs. PDF.js is a JavaScript-based PDF viewer maintained by Mozilla. This bug allows an attacker to execute arbitrary JavaScript code as soon as a malicious PDF file is opened. This affects all Firefox users (<126) because PDF.js is used by Firefox to show PDF files, but also seriously impacts many web- and Electron-based a
SOK: On the Analysis of Web Browser Security
Web browsers are integral parts of everyone's daily life. They are commonly used for security-critical and privacy sensitive tasks, like banking transactions and checking medical records. Unfortunately, modern web browsers are too complex to be bug free (e.g., 25 million lines of code in Chrome), and their role as an interface to the cyberspace makes them an attractive target for attacks. Accordin
EthicsfIRST: Ethics for Incident Response and Security Teams
EthicsfIRST Ethics for Incident Response and Security Teams Also available in PDF Members of incident response and security teams (Teams) have access to many digital systems and sources of information. Their actions can change the world. As a member of this profession, a Team member must recognize responsibility to their constituency and to other security professionals, as well as to wider society
証拠保全ガイドライン第７版 | ホーム | デジタル・フォレンジック研究会
特定非営利活動法人デジタル・フォレンジック研究会 「証拠保全ガイドライン」改訂ワーキンググループ編 「証拠保全ガイドライン第７版」 目次 本編 １. 本ガイドラインについて 1-1. 取り巻く環境の変化（状況認識） 1-2. デジタル・フォレンジックの状況 1-3. ねらいと方針 1-4. 想定読者 1-5. 留意事項 1-6. 謝辞 ２. 用語の定義 ３. インシデント発生前の準備 3-1. 活動プロセス及び体制の確立 3-2. 情報収集、情報共有及び分析 3-3. 資器材等の選定及び準備 3-4. 資器材等の使いこなし ４. インシデント発生直後の対応 4-1. 初動対応及び証拠保全が未実施の場合 4-2. 初動対応及び証拠保全が着手済みである場合 4-3. 初動対応及び証拠保全を円滑に進めるための活動 ５. 対象物の収集・取得・保全 5-1. 対象物の状態の把握 5-2. 収集・取得
クラウドを支えるこれからの暗号技術 - Cybozu Inside Out | サイボウズエンジニアのブログ
サイボウズ・ラボの光成です。 私は先月のDevelopers Summit 2015で、「クラウドを支えるこれからの暗号技術」という講演をいたしました。そのとき、近いうちに詳細なテキストを公開する予定と申し上げました。その準備ができましたので報告いたします。 講演と同じタイトル『クラウドを支えるこれからの暗号技術』のpdfはgithubから取得できます。 2015/6/21追記。このテキストが秀和システムから出版されました。 表題の講演は、主に2000年に入ってから登場した新しい暗号技術の紹介がメインです。そのときのプレゼン資料は3月の時点で4万5千ビューを超えていて、デブサミ資料の中でもかなり上位に入る閲覧数のようです。技術者の暗号に関する関心が高いことを伺わせます。 しかし一般向けの暗号のテキストは、公開鍵暗号の一つであるRSA暗号やElGamal暗号ぐらいしか詳しい原理が記されていな
HTML5 を利用したWeb アプリケーションのセキュリティ問題に関する調査報告書
HTML5 は、WHATWG および W3C が HTML4 に代わる次世代の HTML として策定を進めている仕様であり、HTML5 およびその周辺技術の利用により、Web サイト閲覧者 (以下、ユーザ) のブラウザ内でのデータ格納、クライアントとサーバ間での双方向通信、位置情報の取得など、従来の HTML4 よりも柔軟かつ利便性の高い Web サイトの構築が可能となっています。利便性が向上する一方で、それらの新技術が攻撃者に悪用された際にユーザが受ける影響に関して、十分に検証や周知がされているとは言えず、セキュリティ対策がされないまま普及が進むことが危惧されています。 JPCERT/CCでは、HTML5 を利用した安全な Web アプリケーション開発のための技術書やガイドラインのベースとなる体系的な資料の提供を目的として、懸念されるセキュリティ問題を抽出した上で検討を加え、それらの問題
IPAテクニカルウォッチ 『スマートフォンへの脅威と対策』に関するレポート：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、スマートフォンのうち「Android（アンドロイド） OS」を搭載したスマートフォン（アンドロイド端末）に対して、IPA独自でセキュリティ上の弱点（脆弱性）への対策状況を検査し、その結果に基づきアンドロイド端末の脆弱性対策の実情と課題の考察をまとめて、技術レポート（IPAテクニカルウォッチ 第3回）として公開しました。 スマートフォンは、従来の携帯電話と異なり、アプリケーションソフトをインストールすることにより、機能の追加や拡張を行える点がパソコンと類似しており、 “電話機能付きのパソコン” と表現しても過言ではありません。 米国Google（グーグル）社が提供するOS（基本ソフト）「アンドロイド」は、オープンソースソフトウェア(*1)の「Linux(*2)」などを基に開発され、世界各国で多数のメーカーに採用されています。スマー
DOMXss Identification and Exploitation
DOM Xss Identification and Exploitation Stefano Di Paola CTO and Co-Founder Minded Security Swiss Cyber Storm 3 12-15 May 2011 $ whoami Stefano Di Paola @WisecWisec Research OWASP-Italy Senior Member Testing Guide Contributor OWASP SWFIntruder Bug Hunter & Sec Research (Pdf Uxss, Flash Security, HPP) Security Since '99 Work CTO @ Minded Security Application Security Consulting Director of
自堕落な技術者の日記 : SignNowを試してみたぞ - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 20日ぐらい前、SignNow (https://signnow.com/)という電子署名をしてくれるらしいサービスが近日リリース予定というのを見つけまして、業界では楽しみにしていた方が何人かいたみたいですが(笑)どうやらようやく今日正式にサービス開始になったみたいなもんで早速試してみました。Adobe eSIGNATURESなんかと似た感じなんすかね？乞うご期待。 SignNowってどういうサービスなの？ SignNowは 米国のオンライン電子公証サービスNotaryNowの提供するウェブオンライン電子署名サービスでテキストやPDFなどのファイルを送信し、ウェブ画面上で手書き署名画像の場所を決めてやれば、サーバー側で電子署名してくれて署名済
電子書籍を盗め！ | fladdict
フォーブス誌による、Tim O’Reilly へのインタビュー、 Steal This E-Bookが興味深い。そしてティムがカッコイイので訳してみた！ オライリーの電子書籍はPDFで販売、コピペ、印刷OK、DRMなしという、おそらく電子書籍において世界で最前線。けっこう意訳してるので、興味ある人は原文をチェックすること。あまりに訳がアレな部分はコメント欄で指摘してください。 ファイル共有や複製から身を守るDRMを、全ての書籍から撤廃している。DRMを無くしたことで海賊版に不安はあるか？ 答えはNOで、まったく気にしない。 例えばある本の販売目標を10,000冊としてみる。そしてDRMを付与した場合、我々は10,000冊を販売してお金を得る。 もしDRMを付与しなければ、100,000冊が（無料で）流通し、それでもやっぱり我々は10,000冊を売り上げる。どっちがよい結果だろうか？ 私から
オライリーの被災者支援キャンペーン | その他（ライフ） | 踊るプログラマ物語 | あすなろBLOG
まっとうな開発者ならお世話になっているはずのオライリーが被災者支援キャンペーンをやっています。オライリーのebookというかpdfが半額になって、売り上げが義援金に化けるという凄い仕組みです。オライリーにとってうれしいかどうかは知りませんが、顧客としては半額になってうれしくて、ついでに払ったものが必要経費を差し引いた分が募金されて満足感がえられて、二度おいしいです。そのせいもあって、凄い数のebookが売れているらしいです。義援金を差し引いても、もともと大きな需要があったのが購入のきっかけがなかったのかもしれません。で、僕も何冊か買いました。去年、サービスが始まってから既に何冊か買っています。にわかではないです。キリッ。で、買ったPDFはiPadで読んでいます。PCで読むこともありますが、基本的にはiPadです。多分、タブレットが一番読みやすいデバイスでしょう。でも、pdfってレイアウトが
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
分散型金融システムのトラストチェーンにおける 技術リスクに関する研究 研究結果報告書
https://www.texasattorneygeneral.gov/sites/default/files/images/admin/2020/Press/20201216%20COMPLAINT_REDACTED.pdf
http://research.google.com/pubs/archive/43231.pdf
Browser history sniffing is still a thing - gHacks Tech News
https://misc0110.net/web/files/jszero.pdf
GitHub - cure53/browser-sec-whitepaper: Cure53 Browser Security White Paper
https://cure53.de/xfo-clickjacking.pdf
Australian Signals Directorate | Australian Signals Directorate
European Group Finds HTML5 Security Gaps