はてなブックマーク

高度診断部アプリケーションセキュリティ課の山崎です。 弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。 本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。 本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。 TL;DR ・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する ・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144) ・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が

例えば、自分の操作するキャラクターがスキルを使用する際にはServerRPCをクライアントからコールすることで、スキルの使用をサーバー上に反映します。 逆に、サーバー上でキャラクター情報の変更があり、キャラクターのMPが減少したとします。DecreaseMPといったClientRPCをサーバーでコールすることでクライアント側にMP減少のイベントを通知できます。 最後の例として、クライアントが保持していないアクタである敵キャラクターがスキルを使用したとします。これらはNetMulticastRPCをサーバーで呼び出すことで全てのクライアント上で敵キャラクターのスキルをレプリケート可能です。 クライアントからRPCを呼び出し、サーバーで実行するにはそのアクタを所有していなければなりません。つまり、通常クライアントではAutonomous ProxyのアクタのServerRPCの呼び出しのみが機

高度解析部アプリケーションセキュリティ課の金子です。 パストラバーサル（またはディレクトリトラバーサル）はXSSやSQLインジェクションに並んでWebアプリケーションに対する代表的な攻撃手法のひとつです。本記事では、パストラバーサルの中でもURL正規化によるパストラバーサルに焦点を当てて攻撃の発生原理やよくある事例について解説します。関連して、PHP向けのAWS SDKで発見したS3バケットに対するパストラバーサルの脆弱性CVE-2023-51651についても紹介します。 2種類のパストラバーサル パストラバーサルは../のような文字列を含んだ文字列の正規化処理（normalization）を悪用して、アプリケーションが予期しない"領域"に対してアクセスを行う攻撃です。正規化処理を行う対象によって分類することが可能で、次の2種類のパストラバーサルが代表的です: ファイルシステムに対するパス

はじめに オフェンシブセキュリティ部の安里 悠矢です。 普段は組織内の社内ITインフラやクラウド環境上に構築されたインフラに対するペネトレーションテスト業務に従事しています。 突然ですが、皆さんはレッドチーム演習やペネトレーションテストサービスをセキュリティベンダーに依頼する際、ベンダーを選定する基準はどのようにお考えでしょうか。 テストをご依頼するお客様はさまざまなご事情を抱えていますが、弊社にお声がけいただいたお客様で共通しているのは 「テスターがテストを遂行する上で十分なスキルセットを有していること」 という点でした。 レッドチーム演習では、一般的には攻撃スコープが組織全体となり、我々テスターは組織の敵対者として活動する必要があります。 そのため、実務者にはより広範囲なスキルセットが要求されます。 スキルセットの例としては、 OSINT(Open Source Intelligenc

はじめに オフェンシブセキュリティ部ペネトレーションテスト課の安里 悠矢です。 普段は組織内の社内ITインフラやクラウド環境上に構築されたインフラに対するペネトレーションテストをしています。 皆様はAWSやGoogle Workspaceなどのクラウドサービスは活用されているでしょうか。弊社で実施するペネトレーションテストでも、「AWSアカウントの乗っ取りが可能か」ということを目的に様々なスコープでテストを行うことがあります。 AWSにおけるrootユーザは、AWS上に展開されたすべてのリソースへのアクセス権を所有し追加のリソースの作成も可能です。攻撃者にとってみてもrootユーザを奪取することは、企業・組織が所有する重要な資産に対してアクセスを行うための攻撃目標になります。 そして、攻撃者にrootユーザの奪取がなされないためにも、多要素認証(MFA)の設定等を行い、AWSアカウント全体

これまでのサイバーセキュリティは、多層防御によるセキュリティが主流であり、攻撃者の侵入を100％防ぐことが目指されてきました。 しかし、守るべきデジタル資産の増加と攻撃者の技術力向上により、近年では攻撃者の侵入を100%防ぐことは難しいとされています。 「攻撃者が絶対優位」といわれるセキュリティ業界において、防御側は全ての資産をやみくもに守るのではなく、攻撃者の思考・動向・手法を知ったうえで、対策や監視に優先度を付けピンポイントに対策していくことが求められています。 GMOサイバーセキュリティカンファレンス - IERAE DAYS 2023 - では、世界トップレベルのホワイトハッカーによる最先端の攻撃手法のご紹介を通じて、攻撃者たちの思考を実感していただくことで、今行うべきセキュリティ対策に関するヒントをご提供します。 当社の脆弱性調査・研究チーム「GMOイエラエ」が、2023年8月に

TOP > セキュリティブログ > ペネトレーションテスト > Azure AD参加端末におけるPRT (Primary Refresh Token)悪用のリスクと対策について はじめに オフェンシブセキュリティ部ペネトレーションテスト課の安里 悠矢です。 普段は組織内の社内ITインフラやクラウド環境上に構築されたインフラに対するペネトレーションテストをしています。 テレワーク環境の整備が進んだ昨今、エンドポイント端末の管理とセキュリティ対策はゼロトラストネットワークを実現するにあたって重要なポイントとなります。 ゼロトラストネットワークのよくある構成の一例としては、エンドポイント端末を Azure ADに参加させてIntuneでデバイス管理を実装している環境が挙げられます。 Azure ADに参加するエンドポイント端末は、PRT(Primary Refresh Token)と呼ばれる認証

2023年03月31日 13:23 (JST) こんにちは、アセスメントサービス部の篠宮です。 セキュリティへの重要性が高まる中、Web脆弱性診断を受けたいとおっしゃる企業様がますます増えてきていることを感じています。一方で、Web脆弱性診断を受ける上でのお客様側のコツや注意点については、まだまだ普及活動が足りていないことも感じています。 そのため、本記事では、お客様側のコツ、注意点の一つとして、「本番環境におけるWeb脆弱性診断を考えるポイント」をご紹介していきます。本番環境でのWeb脆弱性診断で得られるメリットもありますが、「実際のユーザにも影響を与えてしまう可能性がある」など、デメリットもあります。 本記事でご紹介するメリットやデメリット、そして、本番環境で受ける際のポイントを参考に、お客様のニーズにあったWeb脆弱性診断を実施いただければ幸いです。 ※なお、本記事での本番環境とは、

Sansan株式会社 技術本部 情報セキュリティ部 CSIRTグループ兼 情報セキュリティマネジメントグループ 兼 Quality Assuranceグループ 　黒澤 綾香 様 「出会いからイノベーションを生み出す」をミッションに掲げ、名刺管理や契約書管理サービスなど働き方を変えるDXサービスを提供しているSansan株式会社。今回、組織全体に対するセキュリティリスクの可視化、ブルーチームの評価及びトレーニングを主な目的として、レッドチーム演習をご依頼いただきました。毎年実施しているペネトレーションテストとの違いを踏まえて、実施の背景や効果について技術本部 情報セキュリティ部 CSIRTグループ兼 情報セキュリティマネジメントグループ 黒澤 綾香様にお話を伺いました。 セキュリティに対する取り組みと 今回の実施の背景についてお教えください Sansan株式会社は「出会いからイノベーションを

2022年4月19日 00:22 PM （JST） こんにちは、くまさかです。 本脆弱性に関しては既に様々な情報が出ておりますが、それらの情報に関し少し注意すべき点があるため、その共有と検証結果等を紹介します。 既に、OGNL式%{.*}等にてシグネチャを書かれた防御側の皆様は、本ページの項目「攻撃クエリの特徴は%{.*}ではない」 をご覧ください。 概要 既にJPCRERTより、S2-062について注意喚起が出ている ので、ご存じの方も多いかと思いますが、 Apache Struts 2.0.0 から、2.5.29 までで、 任意のコード実行 が可能な脆弱性があります。 なお、既に修正版の、Apache Struts 2.5.30 がリリース されているので、こちらへのアップデートを推奨します。 発動条件 本脆弱性は、OGNL式が存在するnameエレメントがあり、且つ、同一タグ上でval

こんにちは、くまさかです。 日本時間の2022/04/10 早朝頃から、NGINXとLDAPというキーワードに注目が集まっています。それらの組み合わせによる設定不備や脆弱な構成について、NGINXからアドバイザリが公開されていますが、弊社での検証結果も踏まえ、解説記事としてまとめました。 対象 まず、NGINX のブログでも解説がありますが、本脆弱性は、標準のNGINX自体に内包されている機能に問題があるわけではありません。 ldap認証モジュールの選択肢の一つである、nginxinc上に存在するnginx-ldap-authを利用している場合に影響を受けます。 もちろん、LDAP認証を利用していない場合は、影響を受けません。 nginx-ldap-authを利用していると考えられる特徴は以下の通りです。 LDAP認証を使っている NGINXの設定ファイルに、auth_request とい

はじめに 初めまして！イエラエセキュリティの教育サービス、「イエラエアカデミー」を担当している、出家(いでや)と申します。今年の1月に、ペネトレーションテストの難関資格であるOffensive Security Certified Professional(OSCP)を取得することができました。本記事では、同資格の取得を志望する方の参考になるよう、勉強・受験の軌跡や所感を共有したいと思います。私はサイバーセキュリティ分野の実務未経験で資格を取得できたので、スキルや経験に不安のある方にもぜひ読んでいただきたいです！ この投稿の目的 OSCPの取得を志す方々の参考となる情報の共有 セキュリティ未経験から見たOSCPのレベル感の共有 スキルレベル等様々な理由でOSCPにチャレンジする自信がない方々の背中を押す ※本記事の内容は基本的に初心者向けの個人の見解や感想が中心です。技術的な試験対策に関す

(この記事は2022年3月4日に公開されました) こんにちは。イエラエセキュリティ ディフェンシブセキュリティ部の高橋です。 マルウェア「Emotet」が活動を再開して以来、過去に無いレベルで感染報告が上がっています。弊社フォレンジック調査窓口でも非常に数多くの相談が寄せられています。 Emotetの感染被害を受けてしまうと、次は自身が加害者になってしまうというとても凶悪な特徴を持っています。そんなEmotetについて、弊社へフォレンジック調査をご依頼いただく前に読むことで、少しでも状況の切り分けになるようにブログにまとめてみたいと思います。 自組織ではEmotetに感染しているのだろうか？といった場合や、実際にEmotet付きメールが届いた場合など、事故調査の観点でまとめています。 はじめに まずはJPCERT/CCから公開されている「マルウェアEmotetへの対応FAQ」をご確認くださ

(この記事は2021年8月6日に公開されました。) こんにちは、ディフェンシブセキュリティ部の岩崎です。 本記事では、ログ全般に関わることの情報、インシデントレスポンスにおいて参照されることが多いイベントログに焦点を当て、情報システム部（情シス）の方、これからログ分析や管理を始める方、初めてCSIRTに所属された（CSIRT入門レベル）の方向けに、イベントログを見るための情報であったり、学習するための素材を紹介します。 ログとは セキュリティ業界にいらっしゃる方や、別の業界の方でもCSIRTに所属し運用している方は、よく目にするものかと思います。 ログとは（今更ですが、）PCおよびサーバなどで作成され、アプリケーション、OS、サービスが処理内容、警告などの履歴を逐一記録し、障害発生時や開発時（デバッグ）などに参照できるようにするため作成するためのものです。 参考ページ（Wikipedia

(※Digital Forensic Approaches for Amazon Alexa Ecosystem https://dfrws.org/presentation/digital-forensic-approaches-for-amazon-alexa-ecosystem/ にて紹介されたCloud-based IoT Forensics Toolkit、公開されている情報が少なく非公開のツール) あくまで抽象的な部分での比較ですが、「フォレンジック調査」といっても対象のデバイス・事象によって調査アプローチが変わるかと思います。 IoTフォレンジックの調査範囲 IoTフォレンジックの調査対象は主に以下の3つの領域に分類されます。 クラウドフォレンジック ネットワークフォレンジック デバイスフォレンジック まず、一番我々の身近であるところのデバイスフォレンジックから見ていきましょ

オフェンシブセキュリティ部の山崎です。サーバサイドレンダリング（SSR）の導入によってSSRFが発生する問題を見つける機会があったため、本記事では実例を交えながら紹介したいと思います。 サーバサイドレンダリング（SSR）とは？ 本記事で扱うSSRとは「サーバ上でHTMLを出力すること」を指しています。ただしerbやjspのようなテンプレートからHTMLを出力するのとは異なり、一般的には以下のようにクライアントサイドレンダリング（CSR）の文脈で使われることが主です。 近年のVue.jsやReactを代表するようなWebフロントエンドフレームワークはブラウザ上で動的にDOMツリーを構築して画面を描画（CSR）するのが主流となっています。これによってページ遷移を挟まずユーザ体験のよいシングルページアプリケーション（SPA）が作ることができるというメリットがあります。 ただ、単純なSPAにはデメ

札幌オフィス在籍の岸谷です。近年gRPCの利用がだいぶ普及してきましたね。今回はgRPCを利用するシステムの脆弱性診断と、そのためのツールについて書きたいと思います。 gRPCって何？ 本稿はgRPC自体の解説を目的としたものではありませんが、本題に進む前に簡単に概要に触れます。gRPCはGoogleで開発され、その後オープンソース化されたフレームワークです。grpc.ioには下記のようにあります。 gRPC is a modern open source high performance RPC framework that can run in any environment. 「環境を問わずハイパフォーマンスなRPC開発フレームワーク」ということで、XML-RPCやJSON-RPC、REST API開発用のフレームワークなどのように、他コンピュータ上のコードの呼び出しなどシステム間通

.header 最近行ったペネトレーションテストで、侵入したマシンから可能な限り多くの情報を取得すべく時間をかけて調査しました。そこで、ユーザのキーボード入力履歴を大量に保存したシステムファイルを発見しました。この挙動はコンピュータ使用者に対して隠匿されたものではありません(GUIで無効にするオプションがあります)し、履歴が利用者のコンピュータ外に漏洩しているということでもありませんが、プライバシー観点でリスクがある仕様と考えられることがあるかもしれません。また、ペネトレーションテスターにとっては注目すべきファイルと言えます。 本稿では対象ファイルのパーサを紹介するとともに、利用者自身が記録を無効化する方法を紹介します。 .text 日本語環境のWindows PCを使用している場合、デフォルトの日本語入力システムはMicrosoft IMEです。 漢字の入力方法は複数ありますが、一般的に

こんにちはフォレンジック課のWDです。 今回はMac端末のフォレンジックについて取り上げようと思います。 テーマとして長くなるので、反響に応じて複数回に分けて連載予定です。 初回は保全方法について取り上げます。 フォレンジック概要 フォレンジックの調査において必要なフェーズは主に3つのフェーズがあります。 ※実際の案件の際には保全の前段階の部分での事前調整や調査範囲の決定などが特に重要です。 今回、この記事で取り上げる保全作業は、つまるところデータのコピー作業です。ただし、データのコピーはただの複製作業という意味ではなく、データの固定化という意味があります。 例えば、PC内のデータを調査する際に、調査時のデータと調査後のデータに変化があっては調査の過程によって改変されたのではないかという疑いが発生してしまうため、証拠性がなくなってしまいます。 また、PC内でコンピュータウイルスなどが実行さ

イエラエセキュリティの顧問を務める川口洋が、イエラエセキュリティを支える多彩なメンバーと共に、サイバーセキュリティやサイバーリスクの今を語り合う座談会シリーズ、第12回をお送りします。 川口洋氏は、株式会社川口設計 代表取締役として、情報セキュリティEXPO、Interop、各都道府県警のサイバーテロ対策協議会などで講演、安全なITネットワークの実現を目指してセキュリティ演習なども提供しています。 イエラエ顧問として、「川口洋の座談会シリーズ」を2019年に開始。サイバーセキュリティを巡る様々な話題を、社内外のゲスト達と共に論じ語ってきました（川口洋の座談会シリーズ)。 今回ゲストとして登場するのは、イエラエセキュリティの高度解析部 ペネトレーションテスト課の課長で、執行役員でもあるルスラン・サイフィエフと、同じくペネトレーションテスト課の「黒林檎」こと、村島正浩。 イエラエセキュリティの

(この記事は2020年6月5日に公開されました。) こんにちは、フォレンジック課WDです。 今回は川口さんとの対談の際に取り上げられた、「インシデントが起こったら何をしておくと効果的か？」という内容のチェック項目についてピックアップします。 川口洋座談会シリーズ 前回記事「 デジタルフォレンジック調査の実態と今後の抱負」 インシデントとは？ インシデント(incident)はもともと英語で「事件」や「出来事」を指し示す言葉です。この記事の中では、PCやサーバなどIT機器を利用した際に生じるセキュリティインシデントのことを取り扱います。 特にウイルス感染などのセキュリティ事故や、内部不正などによるセキュリティ事故などのことを指します。 よくあるインシデントと要望 以下はよくあるインシデントと要望の一例です。 ■サイバー系 ・サーバで意図しない挙動が確認され原因がわからないので調査したい。 ・

※この座談会は緊急事態宣言以前に実施しました。 イエラエセキュリティの顧問を務める川口洋が、イエラエセキュリティを支える多彩なメンバーと共に、サイバーセキュリティやサイバーリスクの今を語り合う座談会シリーズ、第11回をお送りします。 川口洋氏は、株式会社川口設計 代表取締役として、情報セキュリティEXPO、Interop、各都道府県警のサイバーテロ対策協議会などで講演、安全なITネットワークの実現を目指してセキュリティ演習なども提供しています。 イエラエ顧問として、「川口洋の座談会シリーズ」を2019年に開始。サイバーセキュリティを巡る様々な話題を、社内外のゲスト達と共に論じ語ってきました（川口洋の座談会シリーズ)。 今回ゲストとして登場するのは、イエラエセキュリティのペネトレーション課に所属する馬場将次。Webデザイナーとしての経験から、Webに関するセキュリティへの鋭い視点を持つ馬場。

(この記事は2020年5月7日に公開されました。) こんにちは、フォレンジック課の traoka です。 よく「フォレンジックってなんやねん」と、あまり馴染みがない言葉ということで、この度AWSの名前の力を借りて技術面も交えながら少しご紹介したいと思います。 フォレンジックとは フォレンジックは法科学の一種で、事故・事件の痕跡や証拠を調査して原因究明を行うことを指します。調査の対象（事故現場）がコンピュータなどの場合、デジタル・フォレンジックと呼ぶ方が正しいのですが省略されることもしばしばあります。 デジタル・フォレンジックでは主にコンピュータ、ネットワークなどのセキュリティ事故（インシデント）や内部不正行為などを調査解析して事故原因や裁判で取り扱う証拠の特定などを行います。 分かりにくいので、ピンとこない場合は名探偵コナンにでてくる鑑識のトメさんみたいなイメージをもっていただければと思い

〜多様なシステム構成のクラウド環境やMac、スマートフォンにも対応し、お客さまのセキュリティ課題を幅広くサポート〜 株式会社イエラエセキュリティ（本社：東京都千代田区、代表取締役社長：牧田 誠、以下「イエラエセキュリティ」）は、セキュリティ事故発生時の対応支援および発生原因・被害の影響範囲などの調査を行う「フォレンジック※1調査」サービスを2020年4月1日より提供開始しました。 ※1フォレンジックとは、コンピュータなどに残されたデータの証拠収集や調査・分析を行うことです。 背景 近年、クラウドサービスの充実に伴い約６割の企業がクラウドサービスを利用しています※2。企業のあらゆる情報がデータ化されデジタル資産が増加する一方で、それらを標的としたサイバー攻撃も年々高度化・巧妙化しており、標的型攻撃の被害やビジネスメール詐欺（BEC）などが増加しています。また、企業で浸透しつつあるテレワークに

TOP > セキュリティブログ > 川口洋の座談会シリーズ > OSCP、OSCE、そしてOSEE…… 世界最高峰難度のセキュリティ資格保持者、試験を語る イエラエセキュリティの顧問を務める川口洋が、イエラエセキュリティを支える多彩なメンバーと共に、サイバーセキュリティやサイバーリスクの今を語り合う座談会シリーズ、第8回をお送りします。 川口洋氏は、株式会社川口設計 代表取締役として、情報セキュリティEXPO、Interop、各都道府県警のサイバーテロ対策協議会などで講演、安全なITネットワークの実現を目指してセキュリティ演習なども提供しています。 イエラエ顧問として「川口洋の座談会シリーズ」を2019年に開始、サイバーセキュリティを巡る様々な話題を、社内外のゲスト達と共に論じ語ってきました（「川口洋の座談会シリーズ」）。 今回ゲストとして登場するのは、株式会社ラックよりサイバーセキュリテ

イエラエセキュリティの顧問を務める川口洋が、イエラエセキュリティを支える多彩なメンバーと共にゲストを他社からお迎えし、サイバーセキュリティやサイバーリスクの今を語り合う座談会シリーズ、第5回をお送りします。 川口洋氏は、株式会社川口設計 代表取締役として、情報セキュリティEXPO、Interop、各都道府県警のサイバーテロ対策協議会などで講演、安全なITネットワークの実現を目指してセキュリティ演習なども提供しています。2018年からはサイバー攻撃をゲーム感覚で楽しむプロジェクト「Micro Hardening」で全国ツアーを開催するなど、サイバーセキュリティに関するコミュニティ活動にも長年貢献してきた人物です。 今回の座談会に登場するのは、イエラエセキュリティ高度解析部に所属する三村聡志、白木光達、安里眞夢の3人のメンバーです。 通常、キャリア採用の窓口しか設けていないイエラエセキュリティ