Webサーバーで使うサーバー証明書の発行数が世界最多の認証局Let's Encrypt（レッツエンクリプト）は2024年7月23日、衝撃的な声明を発表した。サーバー証明書の有効性を確認するメジャーなプロトコル「OCSP（Online Certificate Status Protocol）」のサポートを終了する意向を示したのだ。
世界最大の認証局Let's EncryptがOCSPサポート停止、企業ユーザーにも影響
Webサーバーで使うサーバー証明書の発行数が世界最多の認証局Let's Encrypt（レッツエンクリプト）は2024年7月23日、衝撃的な声明を発表した。サーバー証明書の有効性を確認するメジャーなプロトコル「OCSP（Online Certificate Status Protocol）」のサポートを終了する意向を示したのだ。
PCをゼロデイ脆弱性だらけにする新手のWindows攻撃とは：793rd Lap
OSを最新の状態に保つために重要な「Windows Update」。情シスにとってはアップデート管理は面倒な仕事かもしれないが、脆弱（ぜいじゃく）性を悪用するサイバー攻撃の被害者にならないためにも、常に最新のWindows Updateを適用しておくことが重要だ。 対処したはずの既知の脆弱性を復活させてしまう、厄介なサイバー攻撃の手口が明らかになった。一体、どんな方法で？ その新たな攻撃手法は「Windows Downdate」と呼ばれ、Windows Updateを「なかったこと」にしてしまうというもの。いわば「ダウングレード攻撃」だ。攻撃を受けると、パッチを適用したはずのWindowsマシンが何千もの脆弱性を抱えた状態にロールバックされ、ゼロデイ脆弱性を抱えた状態になる。 2024年8月3～8日にラスベガスで開催されたセキュリティカンファレンス「Black Hat USA 2024」で
Google翻訳やGoogleカレンダーなどに偽装した新たなマルバタイジング攻撃に注意
Malwarebytesは2024年8月15日（現地時間）、Googleの正規のサービスを偽造したマルバタイジング攻撃が展開されていることを報告した。 「Google Search」や「Google 翻訳」「Google フライト」「Google Analytics」「Google カレンダー」などさまざまなGoogleの正規サービスを装った偽の広告が使われていることが判明している。 偽広告によるテクニカルサポート詐欺、Googleのサービスを悪用 確認された新たな詐欺手口では全てGoogleのレポートツール「Looker Studio」が悪用されている。本来、Looker Studioはデータをダッシュボード形式で可視化するためのツールだが、詐欺師たちは「Windows」や「Mac」ユーザーのWebブラウザをロックする新たな攻撃手法として悪用している。 具体的にはLooker Studi
数多くのAMD製CPUで深刻な脆弱性「Sinkclose」が発見される、AMDは修正パッチを配布するも一部の古いモデルには適用されず
サイバーセキュリティ企業のIOActiveは2024年8月10日に、AMDの数多くのCPUに影響を及ぼす重大なセキュリティ脆弱(ぜいじゃく)性「Sinkclose」の存在を公表しました。これを受け、AMDは比較的新しいCPUに対して脆弱性を軽減するパッチを提供しています。一方で2017年に生産されたRyzen 1000シリーズなど、比較的古いモデルについてはアップデートの予定はないとのことです。 DEF CON Official Talk | AMD Sinkclose: Universal Ring-2 Privilege Escalation | Las Vegas, NV – IOActive https://ioactive.com/event/def-con-talk-amd-sinkclose-universal-ring-2-privilege-escalation/ SMM
法人向けメールサービスのアカウント数1000万突破記念に、これまでの思い出を振り返る | IIJ Engineers Blog
IIJ では、1998年にサービスを開始した「IIJ ポストオフィスサービス(※1)」を皮切りに、当時は珍しかった迷惑メールフィルタや、送信ドメイン認証といった先進的な技術に対応してきました。その後、いくつかのサービスを経て、「IIJ セキュア MX サービス」が誕生しました。 「IIJ セキュア MX サービス」の開始は、本ブログの記事発行時点で 18年前の 2006年。私が 2007年入社ですので、それより前からあります。毎年、堅実にお客様と利用アカウント数を伸ばしている右肩上がりの成長サービスであり、驚くべきことに今もなお成長を続けています。 「IIJ OEM プラットフォームサービス for Mail」と「IIJ xSPプラットフォームサービス/Mail」はインターネットサービスプロバイダ(ISP)や CATV 事業者向けのメールサービスです。一般消費者の方が直接意識することはあり
ブラウザ開発者ツールのネットワークタブに表示されない情報送信手法 - Qiita
はじめに はじめまして、セキュリティエンジニアのSatoki (@satoki00) です。今回はブラウザの開発者ツールのネットワークタブから隠れて、Webサイト内の情報を送信する手法をまとめます。所謂Exfiltrationというやつです。中にはCSPの制限をBypassするために用いられるテクニックもあります。CTFなどで安全に使ってください。 前提 発端はWeb上でテキストの文字数をカウントできるサイトが閉鎖する際の話です。カウント対象のテキストデータがサイト運営 (やサイトを改竄した攻撃者) に盗み取られていないかという議論が巻き起こっていました。「盗み取られていない」側の主張は、ブラウザの開発者ツールのネットワークタブにリクエストを送信した形跡がないというものでした。ここで ブラウザの開発者ツールのネットワークタブに表示がなければ外部へデータを送信していないのか？ といった疑問が
GitHub Actionsの脅威検知ツール tracee-action を触ってみる
はじめに こんにちは、セキュリティエンジニアのJJ (yuasa)です。今回はGitHub Actionsのワークフローにおける脅威検知ツールであるtracee-actionを触り、検知ルールの書き方について見ていきます。なお、tracee-actionは2024年7月時点で本番環境での利用は想定されていない点にご注意ください。 This project is not production ready. We are experimenting with it to test and demostrate Tracee capabilities. tracee-action tracee-actionはTraceeを用いてGitHub Actionsのワークフローにおける脅威を検知します。TraceeはeBPFを用いてLinuxランタイム上でのシステムコールを検出することができるツールです
Google フォームの共同編集設定に起因して発生していた情報流出についてまとめてみた - piyolog
2024年6月以降、Google フォームの設定に起因する情報流出が生じたとして複数の組織より公表されました。ここでは関連する情報をまとめます。 回答情報を第三者に参照される恐れのあった共同編集設定 Google フォームの設定次第で外部から回答者の情報を閲覧することが可能な状態が発生し、実際に影響を受けたとして複数の組織が6月以降公表を行っている。 事案公表した組織が行っていた設定とは、Google フォームの「共同編集者の追加」において「リンクを知っている全員」が選択されている場合。 Googleのアカウントにログインした状態で当該設定が行われたGoogle フォームに回答を行った後、自身のGoogleアプリからGoogle フォームの画面を表示した際に、「最近使用したフォーム」の欄にそのGoogle フォームが表示されるようになっていた。そこよりGoogle フォームを通じて入力され
Webサービス公開前のチェックリスト
個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお
しょーもない事務作業を快適にするためのツールを作りたいとき 〜セキュア意識の高い会社編〜 - Qiita
Pythonインストールできないんだけど！ なんかいつもこれ同じ作業してるよな、自動化出来ないかな…よしやったる！ ↓ みんなー！こんなツール作ったよー、使ってみてー！ ↓ そして起こる「ちょっと、俺、.pyとかいう拡張子使えないんだけど」の声。 会社のPCって外部のアクセス禁止だったり新規ソフトウェアのインストール制限があったりと、色々制約がありますよね。この制約のせいで、作ったはいいが使えなかった、みたいな理不尽なハマり方したり、一方で試してみたら意外とこれ動いちゃうんだ！？みたいなこともあったりするので、ここではそんなずる賢い業務改善を必死に考える社員のみんなに、どれでやれば利用可能なツールづくりができるのか、その選択肢を載せていくよ。 Python + exe化ツール(Pyinstaller) やっぱ中身含めてファイル操作系でちょこちょこやるならPythonが楽だよね。ただ、Pyt
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
New Platform sbomify Streamlines Making Software Inventories for SBOMs
タッチパネルの指紋から暗証番号推定か 女性宅侵入容疑で27歳逮捕 | 毎日新聞
McAfee Customer Service -- Official Site
Sveltekit - Storeからの情報漏洩の可能性について
WebAssembly: Hidden Camera Risks Explained
RADIUS Protocol Vulnerability Exposes Network Device Authentication
クラウドストライクが「Windowsブルスク化」システム障害の解析結果を発表
Well, it's just an AWS Account ID!
GitHub - wireghoul/dotdotpwn: DotDotPwn - The Directory Traversal Fuzzer
ちいさな Web ブラウザを作ってみよう
