安全でないデシリアライゼーション(Insecure Deserialization)入門 | 徳丸浩の日記
先日のブログ記事にて、Welcartのオブジェクトインジェクション脆弱性について説明しましたが、オブジェクトインジェクションという脆弱性自体の情報源があまりないので、入門記事を書こうと思い立ちました。 （2017/11/22追記） OWASP Top 10 2017に正式に公開され、そのA7に安全でないデシリアライゼーション (Insecure Deserialization) が入りました。これは、本稿で扱うオブジェクトインジェクションと同内容ですが、OWASPの表記にならい、タイトルを変更しました。 以下、「そんなプログラムあり得るか?」という現実性についてはあまり気にしないで、原理的にオブジェクトインジェクションがどのようなものかについて順を追って説明していきます。以下、PHP言語のケースを題材として具体例を提示しますが、概念自体は他の言語でも通用するものです。 シリアライズとオブジ
スマホアプリの“目立たぬ弱点” 分かっていても対策が難しいワケ
コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 攻撃の約20%がAPIを標的に 普段利用するスマホアプリでも、購買や決済、パーソナライズなどの目的で、ID、パスワード認証を行うものは多い。そのログインを司るAPI認証・認可サーバには日々大量の不正なログイン試行がbot（自動実行プログラム）により行われている。世界中の主要なWebベースのコンテンツを配信している米Akamai Technologies（アカマイ）では、観測データからWebベースのサービスに対する不正なログイン試行総数の約20%が、APIサーバに対するものだと分析している。 SNSなどか
Androidアプリの誤設定で多数のユーザーのデータが危険にさらされている--CPR調査
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます サイバーセキュリティ企業のCheck Point Research（CPR）は米国時間5月20日、複数のAndroidアプリを分析したレポートを公開し、アプリ開発者らによるクラウド関連の誤設定によって、1億人を超えるユーザーのデータが危険にさらされていると警告した。 CPRは、広く普及している複数のモバイルアプリを調査したところ、少なくとも23本から「サードパーティーのクラウドサービスに関する（さまざまな）誤設定」が見つかったとレポートに記している。 今日のオンラインサービスやアプリではクラウドサービスが広く利用されており、こうした傾向は新型コロナウイルス感染症（COVID-19）のパンデミックで加速されたリモートワークの普及によってさ
Backdoored developer tool that stole credentials escaped notice for 3 months
A publicly available software development tool contained malicious code that stole the authentication credentials that apps need to access sensitive resources. It's the latest revelation of a supply chain attack that has the potential to backdoor the networks of countless organizations. The Codecov bash uploader contained the backdoor from late January to the beginning of April, developers of the
［速報］GitHub、依存関係表示でのパッケージやアプリケーション対応、セキュリティアラートなどの新機能発表。GitHub Universe 2017
基調講演では、GitHubの新機能としてプロジェクトの依存関係を表示する「Dependency graph」や、このDependency graphにおいてパッケージやアプリケーションの対応や、依存関係にあるパッケージなどで脆弱性が発見された場合に通知してくれる「Security alerts」機能などが発表されました。 プロジェクトの依存関係を表示する「Dependency graph」 GitHub上で開発されているソフトウェアの多くは、ほかのプロジェクトで開発されているソフトウェア、パッケージ、アプリケーションなどを利用しています。 同社はこうしたプロジェクトの依存関係を「Code metadata」として保持しており、同社 データサイエンスチームのエンジニアリングマネージャのMiju Han氏によると、リポジトリの75％が何らかの依存関係を持ち、半分以上は10以上の依存関係を持ち、
タオソフトウエア株式会社 Taosoftware.co.Ltd.
RiskFinder（リスクファインダー）とは、アンドロイドアプリケーションの脆弱性を診断するウェブサービスです。 開発知識は不要です。 アプリケーションファイルとブラウザを準備するだけで、すぐに診断結果が得られます。 セキュリティ事故防止の一環として必ずお役に立てるサービスです。 特徴 ブラウザでファイルをアップロードするだけなので、誰でも使用できます アプリケーションファイルのみで診断可能。ソースコードは不要です ウェブサービスなので常に最新のバージョンが使用できます 脆弱性に加え、マルウェアと間違えられやすい項目・品質に関する項目も検出します 総務省の「スマートフォン プライバシー イニシアティブ」に準拠するための情報を出力します NEW 2024年12月にRiskFinder15をリリースしました RiskFinder15は「Android15」に対応したバージョンです。 Andr
Secure Coding Checker | ソリューション | ソニーデジタルネットワークアプリケーションズ株式会社
デファクトスタンダード100%準拠の脆弱性検査サービス Secure Coding Checker(セキュアコーディングチェッカー)は、Androidアプリの脆弱性を発見し、原因と対策(修正方法)を提示するWebベースの検査サービスです。 検査の基準は、一般社団法人日本スマートフォンセキュリティ協会(JSSEC)発行の「Androidアプリのセキュア設計・セキュアコーディングガイド」に100%準拠しており、網羅的な検査が可能です。 また、Secure Coding Checkerは、アプリの開発者、発注者それぞれのニーズに合わせた使いやすい機能をご用意しています。 開発者に嬉しい機能 発注者に嬉しい機能 検査基準は、デファクトスタンダードに準拠 当ガイドは総務省推奨のAndroidアプリにおけるセキュリティ基準のデファクトスタンダードになっています。またガイドは2012年6月以降、随時更新
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHubが開発ライフサイクルのすべてをセキュアにする――、OSSを取り巻くセキュリティ動向を説明