トヨタが29万人分の個人情報漏洩の可能性、ソースコードがGitHub上で公開状態に ほか
トヨタ自動車は2022年10月7日、テレマティクスサービス「T-Connect」の契約者29万6019人分の個人情報が漏洩した可能性があると発表した。同サービスのソースコードの一部が、ソースコード共有サービス「GitHub」上に誤って公開され、T-Connectのデータを格納するサーバーにアクセスできる状態になっていた。 漏洩した可能性があるのはメールアドレスと顧客管理番号である。現時点で不正利用は確認されていないという。氏名や電話番号、クレジットカードなどの情報については漏洩の可能性はなく、T-Connectサービス自体への影響もないとしている。 原因は、T-ConnectのWebサイトの開発を委託した企業が、データサーバーへのアクセスキーを含むソースコードを、誤って公開設定のままGitHubにアップロードしたこと。2017年12月から2022年9月15日までアップロードされていた。 当
「GitHub Copilot」のAIが自動生成するコードはどのくらい安全か？ 研究者らが脆弱性を検証
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米New York UniversityとカナダのUniversity of Calgaryの研究チームが発表した論文「Asleep at the Keyboard？ Assessing the Security of GitHub Copilot’s Code Contributions」は、コードを自動生成する「GitHub Copilot」において、生成したコードがセキュリティ面でどれくらい安全かを調査した研究報告だ。結果、実験で生成したコードの約40％に脆弱性が発見された。 ソフトウェア開発者は、コードを迅速に作成することが求められるため、生産性を向上させる新しいツールや技術を常に
「GitHubで大規模なマルウェア攻撃が広まっている」──海外エンジニアのツイートが話題 すでに対応中か
スティーブンさんは当初、「3万5000のリポジトリ（プロジェクトのソースコード保管庫）が感染している」としていたが、その後「GitHub上に3万5000件以上見つかったのであり、リポジトリが感染しているわけではない」と訂正している。悪意あるコードが埋め込まれているのは、正規のリポジトリから第三者がクローンしたもの。 投稿によると、暗号通貨（原文ではcrypto）やGo、Python、JavaScript、Bash、Docker、Kubernetesなどのサードパーティーライブラリのクローンリポジトリで悪意あるコードを確認しているという。悪意あるコードは、Node.jsのモジュール管理ツール「npmスクリプト」やDockerコンテナのパッケージ「Dockerイメージ」、インストールドキュメントに追加されているとしている。 続けて、スティーブンさんは「攻撃者はクローンした偽のリポジトリを正規の
マイクロソフトとGitHubが実現し、進化させるDevSecOpsの姿
服部氏はまず、マイクロソフトとGitHubの歩みを紹介した。「（2018年にマイクロソフトがGitHubの）買収を発表したときには『どうなっちゃうの？』というコメントも散見された」。だが、その後の共同作業で「GitHub Actions」などによるCI/CD統合、GitHubの無料化、「Visual Studio Code」の「GitHub Codespaces」への統合、AIペアプログラミング機能の「GitHub Copilot」などを次々と発表し、「多くのポジティブな反応をもらえるようになった」という。 これからも引き続き新しいサービスの開発と提供を続けていくが、「いつの時代も『開発者が中心にいる』というのが、マイクロソフトとGitHubの変わらないスタンスだ」と強調する。 セキュリティになるとDev、Sec、Opsがバラバラな現状 「アジャイル開発」や「DevOps」といったキーワー
Stolen OAuth tokens used to download data from dozens of orgs, GitHub warns
FIN7 targeted a large U.S. carmaker with phishing attacks | Law enforcement operation dismantled phishing-as-a-service platform LabHost | Previously unknown Kapeka backdoor linked to Russian Sandworm APT | Cisco warns of a command injection escalation flaw in its IMC. PoC publicly available | Linux variant of Cerber ransomware targets Atlassian servers | Ivanti fixed two critical flaws in its Aval
GitHubへのソースコード流出問題、防ぎようはあるのか 専門家に聞く
三井住友銀行（SMBC）が1月29日、同行のシステムに関するソースコードが流出したことを明らかにした。業務委託先のSE（システムエンジニア）らしき人物が、ソースコードから年収を診断できるWebサービスを利用。その際、自身がSMBCなどの委託で開発したコードを、ソースコード共有サービス「GitHub」に公開したことが原因という。 ソースコードの中には、SMBCに加えてNTTデータ ジェトロニクスに関係するとみられる記述もあった。問題の指摘があったTwitterでは、28日深夜に「GitHub」「SMBC」などがトレンド入りした。 流出したコードの中にはセキュリティに影響を与えるものはなく、SMBCとNTTデータ ジェトロニクスはそれぞれ「顧客情報の流出には影響がない」「単独では悪影響を与えるものでない」と説明している。 今回の事態に対し、ネット上では「これを機にGitHubの利用やテレワーク
NECもソースコード流出を確認、GitHubで 三井住友銀、NTTデータに続き
ソースコード共有サービス「GitHub」で三井住友銀行（SMBC）などのシステムに関連するソースコードが無断公開されていた問題で、NECが顧客向けに開発したシステムのソースコードも無断公開されていたことが分かった。2月1日に同社が明らかにした。 ソースコードの流出を認めたのはSMBC、NTTデータ ジェトロニクスに続き、3社目。NECは取材に対し、「流出したソースコードの中に、（同社が）特定のお客さま向けに開発したシステムのソースコードが含まれていることを確認している」と回答。流出したシステムの詳細やセキュリティなどへの影響については「お客さまとの都合で、これ以上のことは話せない」として明言を避けたが、「原因究明と再発防止に努める」としている。 ソースコードの流出を巡っては、1月29日までに各社の委託先に所属していたSEとみられる人物による無断公開が発覚。自身が書いたソースコードから年収を
脆弱性を発見するコードスキャン機能がGitHubに統合、セキュリティの問題が次々見つかる
GitHubは2020年9月30日（米国時間）、コードを本番環境に展開する前にコードの脆弱（ぜいじゃく）性を簡単に発見できるコードスキャン機能の一般提供を開始した。 GitHubはSemmleの買収で獲得したセマンティックコード解析エンジン「CodeQL」のコード解析機能をGitHubのネイティブ機能として提供することに取り組んできた。今回のコードスキャン機能は、CodeQLの機能をGitHubにネイティブに統合したものだ。2020年5月のβ版リリースを経て、今回正式版の提供を開始した。 β版では1万2000以上のリポジトリが140万回スキャンされ、リモートコード実行（RCE）やSQLインジェクション、クロスサイトスクリプティング（XSS）といった脆弱性を含む2万以上のセキュリティ問題が見つかった。 マージ前のプルリクエストで報告があったセキュリティ上の問題の72％を、報告から30日以内に
GitHub、コミュニティ全体でセキュリティ脆弱性に対応する「GitHub Security Lab」を発表
「GitHubはセキュリティに真剣に取り組んでいる。これは機会ではなく、責任だと思っている」と話すのはGitHub Universe 2日目のKeynoteに登壇したJamie Cool氏。 GitHubは現地時間の11月14日、セキュリティリサーチャー、メンテナー、そして企業をオープンソース的に直接つなぐ「GitHub Security Lab」を発表した。すでに100以上のCVE（共通脆弱性識別子）を発見している。 GitHub Security Lab発足の背景には、多くのプロジェクトがオープンソースパッケージに依存していること、セキュリティの専門家の不足、すでに世界中で多くの企業を受け持つ専門家のコーディネートが難しいといった課題がある。 以下の企業がパートナーとして参加している。 F5 Google HackerOne IOActive J.P. Morgan LinkedIn
OSSのセキュリティをどう改善できるか、GitHubが他社と進める取り組みとは
GitHubは2019年11月14日（米国時間）、「GitHub Security Lab」を設立し、この組織が他の組織と共に、オープンソースソフトウェア（OSS）のセキュリティ確保を支援する活動を始めたことを発表した。この取り組みにはMozilla、Uber、LinkedIn、Google，Microsoftをはじめとした組織・企業が参加している。 以下では、この取り組みについて紹介する。 「OSSの利用が広がっているが、セキュリティは置き去りに」 GitHubのセキュリティ担当プロダクトマネージャー、ジェイミー・クール（Jamie Cool）氏によると、今回の取り組みはGitHubが従来力を入れてきたOSS支援の延長線上にある。製品やサービスの開発におけるOSSの活用が急速に広がっている。それにもかかわらず、OSSコードのセキュリティは後手に回っているのが現状で、OSSのメンテナーには
セキュアなソフトウェアを、共に開発する
ソフトウェアは、私たちの身の回りにある、あらゆるものに力を与えています。私たちが作るもの、服用する薬、そして摂取する食べ物ですら、その背後にはソフトウェアが存在しています。これから起こる飛躍的な進歩のすべてが、ソフトウェアの力を借りて成し遂げられることでしょう。ソフトウェアが使用されいないものを見つけることは、これからますます難しくなっています。 ソフトウェアが世界に力を与える存在であるならば、オープンソースはその鼓動を打つ心臓です。現在、すべてのソフトウェアプロジェクトの99%でオープンソースが使用されています。これは、本当に驚くべきことであり、非常に多くのオープンソースが無償で提供されているという取り組みの証です。オープンソースに貢献している人は皆、私たちすべての前進に一役を担っていることを誇りに思うべきです。 こうした成功には責任が伴います。オープンソースは、世界中の人々が信頼できる
GitHub に AWS キーペアを上げると抜かれるってほんと？？？試してみよー！ - Qiita
🤔 前書き 稀によくある 、AWS を不正利用されちゃう話、 AWSで不正利用され80000ドルの請求が来た話 - Qiita 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 - Qiita AWSが不正利用され300万円の請求が届いてから免除までの一部始終 - Qiita ブコメ等で GitHub にはアクセスキーを検索するBOTが常に動いていて、公開するとすぐに抜かれて不正利用される 的なコメントがつくのを何度か目にしたのですが、 本当にそんな BOT が動いているの？ どのくらいの時間でキーを抜かれて、不正利用が始まるの？ というのが気になったので、検証してみました。 GitHub にそれっぽいパブリックリポジトリを作成、権限が一つもついてない AWS のアクセスキー＆シークレットアクセスキーをうっかり公開、外部から利用されるまでの時間を計測します。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「変わらない」と思い込んでるセキュリティの常識、実は変わってきてない？ 根岸氏、辻氏、piyokango氏が問う
GitHubは悪者か？ SMBCのソースコード流出から学ぶ、情報漏えいのリスク
GitHubが開発ライフサイクルのすべてをセキュアにする――、OSSを取り巻くセキュリティ動向を説明
GitHub、全ユーザを対象に、脆弱なコードを発見する機能「Code Scanning」を提供開始
GitHubがセキュリティ関連の新機能を一挙に発表、専任のセキュリティチームも発足
GitHubが新機能を説明、セキュリティや管理だけでなく“スポンサーシップ”機能にも注目
GitHub、「GitHub Enterprise」のチーム管理やセキュリティ強化などの新機能を発表
GitHubセキュリティアラートが400万以上の脆弱性を検出
