高度診断部アプリケーションセキュリティ課の山崎です。 弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。 本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。 本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。 TL;DR ・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する ・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144) ・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が

マクドナルド公式アプリのモバイルオーダー経由でクレジットカードが不正利用された話 やられました。一応，全容がわかってきたので記録として残しておきます。 クレジットカードの不正利用されてしまった【マックデリバリーでセゾンアメックスが被害に】｜モチのブラックカードが欲しい！ かなりの部分は上記の方と類似していましたので，こちらもご参照ください。 セゾンポータルアプリへの通知で気付く 最初に気付いたのは，セゾンポータルアプリへの通知でした。 この時点では「ショッピング利用」としかわからなかったので，身に覚えがなく不審には思いましたが，まだ不正利用を確信できませんでした。 続いてクレディセゾンモニタリング担当からSMSが セゾンポータルアプリへの通知とほぼ同じタイミングで，クレディセゾンからSMSが届きました。 上記，ものすごくフィッシングっぽいですが，「0366883248」からのSMSは本物で

こんにちは、6/1にenechainに入社したPdMの加藤です。 突然ですが、「進撃の巨人」って面白い漫画ですよね。こうした少年漫画の主人公は大体が特別な才能と運を持っていて、それを活かして友情と努力で困難を乗り越えていくストーリーが描かれます。 一方で、リアルな自分を見つめると、特別な才能も、運もないです。でも、日々何者かになりたくて葛藤しながら生きています。 この記事は、ちょっとでも大志を抱いているが、イマイチ未知のドメインへ踏み込めない方に向けた入社エントリという名のポエムです。そんな方の背中を少しでも押すことができ、世の中に挑戦者が1人でも増えれば嬉しいです。 エネルギードメインとは全く縁がなかった身、かつ特に天賦の才もない身で、なぜPdMとしてenechainに飛び込んだのか、実際に働いてみてどう感じているのか、エネルギー初心者の視点からしたためます。 enechainってどんな

1兆円を盗んだ男　仮想通貨帝国FTXの崩壊 作者: マイケル・ルイス 出版社: 日経BP 日本経済新聞出版 発売日: 2024/6/26 この『1兆円を盗んだ男』は、『マネー・ボール』や『最悪の予感』などで知られるマイケル・ルイスの最新作。今回彼がテーマに選んだ人物は暗号資産取引所FTXを立ち上げ莫大な富を築き上げた後、2022年に逮捕されてしまった男サム・バンクマン＝フリードだ。 マイケル・ルイスといえば複雑な題材であっても見事な一本筋の通ったストーリーに仕立て上げるノンフィクションの名手だ。しかし、本書ではさすがにそうもいかなかったらしい。最終的には年間で10億ドルもの利益をあげるようになり、20代で長者番付にも名を連ねた暗号資産の若き天才に幼少期から迫る──というプロローグながら、マイケル・ルイスの取材中にFTXは破産。 その後、サムはFTXの破産と関連した詐欺やマネーロンダリングを

前回のブログ冒頭で記載した通り、弊社では今年からサイバーセキュリティチームを立ち上げました。今回はチーム立ち上げにあたって考えたことを共有します。 目指す姿〈Vision〉 目についた課題に対処するだけでは中長期的な成長は望めません。チームとして目指すべき到達点、Visionが抽象的なレベルでもあると、活動の軸になりますし、チームとして自分たちが前進していることを実感できると思います。 では、どういったVisionがよいか。当チームでは、『The Sliding Scale of Cyber Security』[1]を採用しました。このモデルではサイバーセキュリティの防御態勢を大きく5段階で表現しており、チームとして目指すべき姿を認識するうえで良いモデルだなと感じています。当社では少しだけ表現を変え[2]、下の絵のようにしました。 このうち、Offenceは事業会社としてはNGですので、そ

ケビン松永 @Canary_Kun 大手SIerで15年間システム開発に従事し、現在は独立してITコンサルをやってます。零細法人経営者 | 意識高い系よりは尿酸値高い系 | 3児の父 | 大家クラスタ | 多重債務力167M、加重平均金利は197bp ケビン松永 @Canary_Kun 自分は情報安全確保支援士(登録セキスペ)も持っていて素人ではないんですが、セキュリティ脆弱性に対するサイバー犯罪については、もう心情的に白旗を上げてしまってます。 技術的には対策が打てたとしても、運用が追いつかない…。そんな気持ちを連ツイします。 x.com/yuri_snowwhite… 白”雪姫” @yuri_snowwhite 一応、セキュリティ担当としておおっぴらには言ってないことなんだけどたまにはきちんと言おうかな。 今回のSSHの件然り、カドカワの情報漏洩然りなんだけど、 1：定期的に脆弱性対応

徳島県は7月3日、納税通知書などの印刷業務を委託していたイセトーがランサムウェア攻撃に遭った影響で、個人情報約20万件が漏えいした可能性があると発表した。徳島県は、イセトーから納税者情報を削除したとの報告書を受け取っていたが、実際には削除されておらず、さらに通常とは異なるネットワークで扱われていたという。 漏えいした可能性がある情報は、氏名、住所、税額、車のナンバーが記載された2023年度自動車税の印刷データ19万5819件。このうち14万9797件が個人（13万2503人分）のもので、4万6022件が法人（7691組織分）のものだった。さらに、氏名、住所、車のナンバーが書かれた22年度減免自動車の現況報告書4260件（同人数分、いずれも個人の情報）と、氏名、住所、還付額の書かれた22年度還付充当通知書1件（同）も漏えいした可能性がある。 徳島県は、イセトーの事務処理には不適切な点があった

クラウド電話APIを手掛ける米Twilioは7月1日（現地時間）、セキュリティ保護されていないAPIのエンドポイントにより、“脅威アクター”（攻撃者）が同社の多要素認証ツール「Authy」のユーザーの多数の電話番号を入手したことを確認したと発表した。「このエンドポイントを保護する措置を講じ、認証されていないリクエストを許可しないようにした」という。 Twilioはユーザーに対し、Authyのアプリをすぐに最新版（Androidはv25.1.0、iOSはv26.1.0）にアップデートするよう呼び掛けている。 この件については6月27日、ShinyHuntersとして知られる攻撃者がダークウェブ上で、Twilioをハッキングして入手したという約3300万人のユーザーの電話番号を含むCSVファイルを公開した。米BleepingComputerは、このファイルにAuthyのアカウントIDや電話番号

情報処理サービス会社「イセトー」がランサムウェア攻撃を受けた問題で、業務を委託している徳島県は14万5000人の個人情報が漏えいしたと発表しました。 ■【動画で見る】「ランサムウェア」情報処理サービス会社のサーバーが感染　徳島県・和歌山市など委託の個人情報が漏えい 近畿地方では、「イセトー」に委託していた自治体や企業で続々と情報漏えいが発覚しています。

最強の暗記アプリ「Anki」をご存じでしょうか。暗記といえば、たとえば「ノートに英単語とその意味を手で書き、赤いシートで答えを隠しながら復唱する」という方法を思い浮かべる方も多いでしょう。 【画像でわかる】「Anki」PC版のダウンロード方法 そうした学習方法と一線を画すのが、このAnkiです。たとえば、Z世代の大学生は大学のオンライン講義を受けながら、授業のスライドや教科書の内容をAnkiにどんどん入力し、テスト前にはAnkiで学習し直すことが多いそうです。 そんなZ世代の学習に欠かせないツールになりつつある「Anki」はどれほど凄いのか、30代後半にさしかかる筆者が試してみました。 Ankiは「忘れそうになったときに問題を出す」最強の単語帳「ノートに英単語とその意味を手で書き、赤いシートで答えを隠しながら復唱する」と一線を画す「Anki」。その最大の特徴は、忘れそうになったタイミングで

iOSやmacOS向けのアプリケーション開発で利用されるライブラリ管理ツールの「CocoaPods」に、過去10年間にわたって脆弱(ぜいじゃく)性が存在していたことが明らかになりました。これにより、300万個ものiOSおよびmacOSアプリケーションがサプライチェーン攻撃の危機にさらされていたことが明らかになっています。 3 million iOS and macOS apps were exposed to potent supply-chain attacks | Ars Technica https://arstechnica.com/security/2024/07/3-million-ios-and-macos-apps-were-exposed-to-potent-supply-chain-attacks/ Millions of iOS apps were exposed t

・翻訳専任の時短ワーママ ・議事録の作成 ・FAQの作成 ・簡単なプログラムの作成 ・難解なレガシースパゲティコードのお守り このあたり、コピペしてGPTにぶちこめば誰でも同じ結果になってしまう。 先日「属人化してワイのコード絶対守るマン」おじいちゃんコーダーが高学歴の若手にリプレースされた。 うーむ。これでいいのだろうか。

はじめに Slackにリストというタスクを管理できる機能がリリースされました。 利用できるようになってから1週間程度なのでまだ使いこなすことはできてはいませんが、それでもSlackでのタスク管理がしやすくなったという実感があります。 リストの概要 リストはSlack内でタスクやプロジェクトを管理する機能です。 有料プランの利用者は順次使えるようになっているそうです。 これまでSlackでタスクを管理する方法としては「後で」（ブックマーク）を使う方法や外部ツールと連携する方法をとっていましたが、それらと比較するとリストには以下の優位性があると感じています。 「後で」（ブックマーク）との比較 表形式で確認できるため一覧性が高い カテゴリごとにリストを分けられる 設定次第でステータスを細かく管理できる 「後で」には完了しなかい リストを他の人と共有できる 自分専用のリストも作成できる Slack

小林製薬の「紅麹」の成分を含むサプリメントを摂取した人に健康被害が出ている問題で、厚生労働省は医療機関を受診した人の数が、おととい（30日）時点で2000人を超えたと発表しました。 小林製薬の「紅麹」の成分を含むサプリメントをめぐっては、摂取した後に死亡した人が新たに76人明らかになっていて、厚労省は小林製薬に対して因果関係を調査するよう指示しています。 厚労省はきょう（2日）、小林製薬から報告があった健康被害の状況について改めて公表し、おととい時点で、▼医療機関を受診した人が2221人に、▼入院した人が492人になったということです。 厚労省はこれまでこの人数について、小林製薬からの報告をもとに腎疾患の人のみを発表していましたが、今回から腎疾患以外の人も含んだ数を公表することにしたため、大幅に増加しています。 ただ、これらの人が実際にサプリメントを飲んだかどうかは確認中ということです。

『ＯＵＴ』『グロテスク』など社会に顧みられることのない女性たちと、その“痛み”を圧倒的な筆力で浮かび上がらせてきた作家・桐野夏生さん。最新作『燕は戻ってこない』では女性の貧困と生殖医療を題材にし、相次いで女性誌の特集が組まれています。人や物事をひとくくりにする「『安易なラベリング』に抵抗するために仕事をしている」と語る桐野さん。単独インタビューで、桐野さんが見据える現代社会と“痛み”に迫りました。

Published 2024/07/02 21:07 (JST) Updated 2024/07/03 13:29 (JST) 官房長官が出納管理し使途が公表されない内閣官房報償費（機密費）に関し、2019～22年度の各年度で予算計上された約12億3千万円が全額引き出されていたことが分かった。年度内に使わずに国庫へ返納した額は最大で21年度の19万9174円。各年度、予算のほぼ全額を使い切っていた。19年4月～24年1月の入金と支出について共同通信が行った情報公開請求で明らかになった。官房長官経験者は選挙応援に使用したケースもあったと証言した。 機密費は「国の事務を円滑かつ効果的に遂行するために機動的に使用する経費」とされる。会計検査院の検査を受けるが、支払先などは明らかにされず、国会のチェックも働かない。「機動的に使用」としながらもほぼ全額消化する対応には、不必要な用途に使っているのでは

はじめに 2024年1月にリテール(ネットショップ・レジ)部門からサービス(予約)部門に異動になった @ucks です。 異動してからはスマートリストという機能の開発を行っていて、5月6日に無事リリースできたのと、開発途中で障害に至ってしまった部分があるので、裏側を少し紹介しようかなと思います。 はじめに スマートリストとは スマートリストの設計 検索の仕様変更 高負荷時のハンドリング そして障害へ 見逃した点 DBの実行計画確認時の見逃し 動作確認時の漏れ 監視先の漏れ ログの損失 おわりに スマートリストとは スマートリストの開発についての話を行う前に、まずはスマートリストについて簡単に説明しておきます。 スマートリストとは、特定の条件の顧客をラベリングする機能です。 早い話、最終予約日がいつ、予約回数が何回以上等の顧客の検索条件を保存しておいて、閲覧時にラベリングして、視認しやすくし

2024年7月1日、OpenSSHの開発チームは深刻な脆弱性 CVE-2024-6387 が確認されたとしてセキュリティ情報を発出し、脆弱性を修正したバージョンを公開しました。この脆弱性を発見したQualysによれば、既定設定で構成されたsshdが影響を受けるとされ、影響を受けるとみられるインターネット接続可能なホストが多数稼動している状況にあると報告しています。ここでは関連する情報をまとめます。 概要 深刻な脆弱性が確認されたのはOpenSSHサーバー（sshd）コンポーネント。脆弱性を悪用された場合、特権でリモートから認証なしの任意コード実行をされる恐れがある。 悪用にかかる報告などは公表時点でされていないが、glibcベースのLinuxにおいて攻撃が成功することが既に実証がされている。発見者のQualysはこの脆弱性の実証コードを公開しない方針としているが、インターネット上ではPoC