NECの無線LANルータAtermシリーズに複数の脆弱性、59製品に影響
JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は4月5日、「JVN#82074338: NEC Atermシリーズにおける複数の脆弱性」において、NECの無線LANルータAtermシリーズに複数の脆弱性が存在するとして、注意を呼びかけた。これら脆弱性を悪用されると、遠隔から攻撃者に任意のコマンドを実行される可能性があり注意が必要。 JVN#82074338: NEC Atermシリーズにおける複数の脆弱性 脆弱性に関する情報 脆弱性に関する情報は次のページにまとまっている。 NV24-001: セキュリティ情報 | NEC 公開された脆弱性(CVE)の情報は次のとおり。 CVE-2024-28005 - 攻撃者がTelnetでログインした場合、機器の設定を変
容量偽装USBメモリ検出アプリ『ValiDrive』が登場。偽物かどうかを簡単に判別 | ニッチなPCゲーマーの環境構築Z
容量を偽装した偽物の大容量USBメモリを検出するフリーソフト・アプリ『ValiDrive』が登場しました。 『ValiDrive』がどういったものか、制作者のGibson Research Corporationは以下のように述べています。 私は格安で売られていた1TBおよび2TBのUSBメモリを12台購入しました。しかし、そのすべてが容量を偽装した偽物でした。 偽物のUSBメモリはPC上では1TBおよび2TBとして認識されます。しかし、実際には64GBしかありませんでした。使用量が64GBを超えると、新しいファイルは保存されなくなります。PC上ではファイルが存在するように見えますが、ストレージ上には存在しないためファイルを開いても中身は空っぽです。 ValiDriveは、こういった容量を偽装したUSBメモリを見分けるために、ストレージスペース全体にわたってランダムな検査を実行します。 購
ヤフオク「中古スマホ出品時、マイナ証明書失効を」初期化だけでは消えない
5月11日から、マイナンバーカードの電子証明書機能をAndroid端末に搭載できるようになった。これを受け、ヤフーが運営するオークションサイト「ヤフオク！」は、中古スマートフォン出品の際、事前にスマホ用電子証明書の失効手続きを行うよう案内している。 スマホ用電子証明書は、端末の初期化だけでは削除できず、マイナポータルアプリから失効申請を行う必要がある。マイナカードの電子証明書機能を使っていたスマホを出品する際には、必ずこの手続きを行うよう呼び掛けている。 関連記事 マイナカードをAndroidスマホに入れてみた 何が便利で何ができる？ iPhone対応は？ 5月11日に、マイナンバーカードのスマホ用電子証明書搭載サービス、いわゆる「カード機能のスマホ搭載」がスタートした。「マイナカードがスマホに入る」なんて言われているが、何ができて何ができないのか。実際にスマホにマイナカードを搭載してみた
ベッドの下にペットボトルを投げる理由は？ CAが教える、ホテルで役立つ7つのライフハック｜Pen Online
ベッドの下にペットボトルを投げる理由は？ CAが教える、ホテルで役立つ7つのライフハック Culture 旅 2023.02.23 文：佐藤まきこ 普段から宿泊を伴う仕事が多いキャビンアテンダント。世界各国のさまざまなホテルに滞在している彼らには、ホテルで安全かつ快適に過ごすハックがある。SNSで話題になっている、CA流の目から鱗のライフハックを紹介しよう。 @esthersturrus After much asking Part 2! 💙 #hotelhacks #hotel #hacks #blowthisup #myklmmoment #klm #klmcrew #crewklm #klmairlines #klmroyaldutchairlines #flightattendant #stewardess #workingmode #cabincrew #cabincrewli
一般ユーザに払い出すと危険なサブドメインやメールアドレス - ASnoKaze blog
ユーザに対して、そのユーザ名のサブドメインやメールアドレスを払い出すWebサービスがあります。 しかし、特定のサブドメインやメールアドレスは特別な用途で使われているものもあります。そのようなサブドメインやメールアドレスを一般ユーザに払い出してしまうと危険です。 現在、IETFでは仕様上利用用途が決められている、それらのラベルをとりまとめる「Dangerous Labels in DNS and E-mail」というdraftが提出されています。 今回はそれを眺めていきます。 （あくまでIETFの取り組みであり、仕様上定義されているものをとりまとめています。クラウドサービスや特定ベンダーで特別利用しているものは現在含まれていません。） サブドメイン ここでとりあげるサブドメインは、利用用途が決まってるため一般ユーザに払い出すべきではありません。(例: mta-sts.example.com)
Instagram・Zoom・LinkedInなどでアカウントの「事前ハイジャック」が可能な脆弱性が発見される
マイクロソフト・セキュリティ・レスポンス・センター(MSRC)が支援したセキュリティ調査により、アクセス数が多いさまざまなサービスに、ユーザーがアカウントを作成する前にアカウントをハッキングしておく「アカウント事前乗っ取り攻撃(account pre-hijacking attacks)」に対する脆弱(ぜいじゃく)性があることが判明しました。 Pre-hijacked accounts: An Empirical Study of Security Failures in User Account Creation on the Web (PDFファイル)https://arxiv.org/pdf/2205.10174.pdf Account pre-hijacking attacks possible on many online services - Help Net Security
不正アクセスによる会員様情報流出に関するお詫びとお知らせ – 株式会社ネットマーケティング
この度、当社が提供する恋活・婚活マッチングアプリ「Omiai」を管理するサーバーに対し、外部からの不正アクセスを受け、会員様情報の一部が流出した可能性が高い事が判明しました。 本件に関して、現時点で判明している概要と対応につきまして、下記の通りご報告いたしますとともに、会員様および関係各位の皆様にご心配、ご迷惑をおかけすることとなり、深くお詫び申し上げます。なお、現時点におきまして、今回の事案に関わる個人情報の不正流用等の事実は確認されておりません。 今後当社は、会員様情報の不正流用の発生防止に努めるとともに、本件に誠意を持って全力で対応させていただく所存でございます。皆様にご心配をおかけすることを重ねてお詫び申し上げます。 今回の対象のお客様におかれましては、万が一身に覚えのない連絡や、心当たりのないコンタクトがあった場合、念のためご注意をお願いいたします。また、何かお気づきの点がござい
レンタルサーバー運営会社に不正利用を通報したときの窓口と、各社の対応をまとめた。 - Qiita
動機 おそらくCMSがクラッキングされて、私のブログの文章を断片的にコピーしたサイトがフィッシングサイトへの誘導に使用されているのを見つけたので、コンテンツをホスティングしている会社に片っ端から不正利用を報告しました。各社の窓口と対応スピードをまとめておけば、今後の自分の役に立ちそうだったのでまとめておきます。 なお、他人のブログをコピーしたものをつなぎ合わせたり、キーワードがひたすら埋め込まれたページを追加してフィッシングサイト等に誘導する手口はジブリッシュハックと呼ぶそうです。 意味不明な内容によるハッキングを解決する | Web Fundamentals | Google Developers 被害を受けるとこういう感じのページが量産されます。 今回の報告はすべてジブリッシュハックに対するものです。 なお、今回の報告対象は脆弱性ではないのでIPAには報告していませんが、脆弱性
GitHub Actionsを使ったDDoSに巻き込まれた - 私が歌川です
事例集です。 きのう、GitHubの通知を見たら、個人のリポジトリに My First PR というタイトルのPRが来ているのに気づいた。PR出すところを間違えたのかな、と思って見てみたがどうも様子がおかしい。 prog という名前のバイナリファイルを置いている .github/workflows/ci.yml*1の中身をガッと書き換えている on: [pull_request] でworkflowを起動している 20並列でjobが走るようにmatrixを設定している fail-fast: false なので、どれか1つのmatrixが失敗しても他のジョブは続行される base64 encodeした文字列をdecodeしてevalしている ドメインの名前解決を行ったあと ./prog を実行するコマンドにdecodeされた PRをめちゃくちゃな回数closeしてreopenしている PRを
無料プランのはずがたった1日の利用で750万円をGoogleから請求された企業が破産寸前に
ウェブサイトやアプリケーションを簡単に構築できるクラウドサービスは便利なものですが、その課金システムは非常に複雑です。通信量や利用した計算リソースに応じて課金する従量課金制のサービスもあれば、条件を満たすことで無料で利用できるサービスもあります。そんなクラウドサービスの無料プランを利用したつもりが、7万2000ドル(約750万円)を請求され倒産寸前に追い込まれたと、ベンチャー企業の創設者が当時の状況をブログに吐露しています。 We Burnt $72K testing Firebase + Cloud Run and almost went Bankrupt [Part 1] | Milkie Way https://blog.tomilkieway.com/72k-1/ We Burnt $72K testing Firebase - Cloud Run and almost went
無料の SSL 証明書が得られる ZeroSSL を使ってみた
はじめに 皆さんは ZeroSSL を知っていますか？個人でウェブサイトを運営している皆さんであれば、多くの方は Let's Encrypt を利用されていると思います。 https://letsencrypt.org/ja/ もちろん僕も使っています。僕の様なエンジニアの方であれば SSL の仕組みもおおよそ理解もしているし、コマンドラインの実行方法も知っておられるのでウェブサイトの SSL 証明書を取得する事もそれほど難しい事ではないでしょう。 しかしそれほど詳しくない方が certbot の様なコマンドを使って SSL 証明書を発行するのは割と難しい事です。そこでご紹介したいのが ZeroSSL です。 https://zerossl.com/ ZeroSSL とは ZeroSSL もまだあまり名前が知られていないせいか、Google 検索で「ZeroSSL」を検索すると「ZeroS
無料の証明書発行を「Let’s Encryptだけに頼るのは問題」との指摘、どんな代替サービスがあるのか？
SSL証明書を無料で発行してくれる認証機関「Let’s Encrypt」は、2014年の設立から安全なインターネットの利用に大きく貢献しています。しかし、ハッカーであり研究者でもあるScott Helme氏は、無料の証明書発行をLet’s Encryptのみに頼っている現状を問題として取り上げ、Let’s Encryptの代替となるサービスを紹介しています。 Introducing another free CA as an alternative to Let's Encrypt https://scotthelme.co.uk/introducing-another-free-ca-as-an-alternative-to-lets-encrypt/ Free SSL Certificates and SSL Tools - ZeroSSL https://zerossl.com/ L
セキュリティを丸投げしたい！ と思ってしまったときに見るべき指南書
サイバー犯罪は、日々高度化と複雑化を続けています。守る側はそれに追いつくために新技術を取り入れ、最新の攻撃にも対応できる柔軟な仕組みを構築し、どんな脅威にも即応できるセキュリティ人材を組織内で育てるべきである。……というのは、一部の大企業でしか実現できない夢物語かもしれません。そんな「一部の大企業」ではない大半の企業が頼れる先として「マネージドセキュリティサービス」（MSS）があります。 MSSとはセキュリティ対策をアウトソースし、企業内に設置した機器の監視をしてもらうものです。特にセキュリティ人材が不足しがちな中堅中小企業において、レベルの高いセキュリティ対策を実現できるのが魅力といえるでしょう。 しかし「MSSに全て任せれば、プロの集団による的確で適切な対策が手に入る」と思ってしまってはいけません。丸投げでは最適解にはたどり着けないのです。それでは、何を考えておけばいいのでしょうか。
高木浩光＠自宅の日記 - 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む
■ 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む IPAの「安全なウェブサイトの作り方」（改定第7版2015年、初版2006年）のHTML版が出ている。項目別にページが作られている。 1.1 SQLインジェクション 1.2 OSコマンド・インジェクション 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサル 1.4 セッション管理の不備 1.5 クロスサイト・スクリプティング 1.6 CSRF（クロスサイト・リクエスト・フォージェリ） 1.7 HTTPヘッダ・インジェクション 1.8 メールヘッダ・インジェクション 1.9 クリックジャッキング 1.10 バッファオーバーフロー 1.11 アクセス制御や認可制御の欠落 というのも、4年前にWELQ問題が火を噴いたのと同様に、キーワードWeb検索からの流入を当て込む「いかがでしたか系」の乱造記事のSEO汚染の
Dropbox Businessは非常に危険です | 江口某の不如意研究室
（この記事は、Dropbox社に対してフェアじゃないものになっています。続きの「Dropbox Businessは馬鹿が使うと非常に危険なことを検証しました」も読んでください） 最近、非常に重大な事故を起こしてしまったので報告します。実際の被害は、最高が7だとすると3か4ぐらい、しかし潜在的な危険度からいうと7段階で7、ってくらい重大。Dropboxでファイルを大量に失なってしまったばかりか、個人情報流出の危険をおかしてしまいました。（実際には流出といえるものはありませんでしたが） Dropbox Businessチームに招待され参加して「アカウントを統合」すると、自分では抜けられない状態になる それだけでなく、それまで自分がもっていたファイルもすべてチームのものになる 個人用の契約が勝手に解除されてしまう 私のアカウントを削除すると、管理者は私のファイルを自分のものにすることができる 管
自作サービスがDDoS攻撃された話 - 週休７日で働きたい
攻撃に立ち向かうイヌさんThe English version is available here. タイトル訂正: 「自作サービス『に』→『が』DDoS攻撃された話」「それはDDoSではない」という指摘に関して末尾に追記 (6/18)SaaSを開発していると本当にいろんな事が起こります。それらは時に開発者に喜びや悲しみ、怒り、感謝、落胆や興奮をくれます。思い返してみれば結局はみんないい思い出になるものです。先週末に、拙作の小さなウェブサービスがDDoS攻撃を受けました。言わずもがな、悪い出来事です。本稿ではこの事故がどんなものだったのか、どうやって対処したのかについてお話します。 どうもTAKUYAです。僕はInkdropというクロスプラットフォームなMarkdownノートアプリを独りで3年以上開発・運用しています。ユーザ数2万人以下のとてもニッチなSaaSで、僕はこのサービスで生計を立
NTTでフレッツ・v6オプションを契約している人は切れた方がいい(デフォルト設定でのセキュリティは皆無) - Qiita
はじめに デフォルト設定でフレッツを使っている皆さん、あなたのお宅は丸裸です。 こんな設定をデフォルトにしたNTTは狂っているとしか言いようがありません。 本気で信じられない。最初は冗談かと思ったさ。 本日、会社でIPv6の疎通試験をしていて発見した事実をありのまま話します。 NASAのこんな話は、対岸の火事ではなく、知識不足、環境、業者あたりがそろうと簡単に起きる話です。 https://www.gizmodo.jp/2019/06/nasa-hacker-raspberry-pi.html 1.フレッツ・v6オプションはデフォルトで有効 NTT東西、フレッツ・v6オプションの工事費を変更、東日本はデフォルトで提供 2012/5/29以降にNTT東日本でフレッツ光の工事(新規開通・移転・品目変更)をした皆さん、あなたのお宅はフレッツ・v6オプションが有効になっております。 「フレッツ・v
NURO光はセキュリティ的にやばいって話 (安全に使うための方法) - Qiita
要約 NUROひかりのHGWはデフォルトでIPv6ファイアウオール機能が 無効 または 未搭載 の可能性がある ので、そのまま使うと家庭内LANがインターネットから見えちゃうからちゃんと設定か対策して使おうぜって話。 このドキュメントの対象とする人たち 何も考えずに速度が速いだけでNURO光を使っている、「いんたぁねっとが何かよく分かっていない」人向けです。 ネットワークやセキュリティを理解していて、自分のルータでセキュリティを維持しつつ使える！って人には全く関係ない話なので気にしなくていいです。読まなくていいです。 IPv6 と IPv4 のセキュリティ ここでは IPv6 と IPv4 のアドレスが割り当てられたPCやスマホとかがインターネットからどう見えるのか？について説明します IPv4 の場合 一般的にIPv4アドレスは1契約につき1アドレスが付与され、それをルータ呼ばれる機器を
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
NEC製Wi-Fiルーター「Aterm」シリーズに複数の脆弱性報告
大量の「陰○の拡大」の予定が...iPhoneのカレンダーで勝手に操作するウイルス？を仕込まれた人が無事解決するまでのレポ
