Google フォームの共同編集設定に起因して発生していた情報流出についてまとめてみた - piyolog
2024年6月以降、Google フォームの設定に起因する情報流出が生じたとして複数の組織より公表されました。ここでは関連する情報をまとめます。 回答情報を第三者に参照される恐れのあった共同編集設定 Google フォームの設定次第で外部から回答者の情報を閲覧することが可能な状態が発生し、実際に影響を受けたとして複数の組織が6月以降公表を行っている。 事案公表した組織が行っていた設定とは、Google フォームの「共同編集者の追加」において「リンクを知っている全員」が選択されている場合。 Googleのアカウントにログインした状態で当該設定が行われたGoogle フォームに回答を行った後、自身のGoogleアプリからGoogle フォームの画面を表示した際に、「最近使用したフォーム」の欄にそのGoogle フォームが表示されるようになっていた。そこよりGoogle フォームを通じて入力され
【重要】OpenSSHに含まれる脆弱性（CVE-2024-6387）について（2024年7月4日 17:30更新） | さくらインターネット
お客さま各位 平素よりさくらインターネットに格別のご愛顧を賜り、誠にありがとうございます。 2024年7月1日（月）、OpenSSHに対して重大かつ緊急性の高いセキュリティ脆弱性（CVE-2024-6387）が発表されました。 弊社提供中の下記サービスのOSにおいて、対象となるバージョンのOpenSSHがインストールされている場合がございます。 お客様におかれましてはご利用のOpenSSHのバージョンをご確認いただき、不正に利用されないよう対策をお願いいたします。対策の一例として詳細情報を下記にご案内いたしますのでご参照ください。 さくらインターネットでは、今後もよりよいサービスの提供が行えますよう、精一杯努めて参ります。引き続き変わらぬご愛顧を賜りますようお願い申し上げます。 対象サービス さくらのクラウド さくらのVPS さくらの専用サーバ さくらの専用サーバ 高火力シリーズ さくらの
AlmaLinux OS 9 - CVE-2024-6387: regreSSHion
AlmaLinux 9.4 and AlmaLinux 8.10 are both stable! Checkout AlmaLinux OS 9.4 Stable and AlmaLinux OS 8.10 Stable for more information! If you are running an AlmaLinux OS 9 machine, you need to know about a vulnerability in OpenSSH’s server (sshd) in glibc-based Linux systems that was published earlier today, July 1, 2024. It has been assigned the identifier CVE-2024-6387 and named regreSSHion. This
OpenSSHの脆弱性 CVE-2024-6387についてまとめてみた - piyolog
2024年7月1日、OpenSSHの開発チームは深刻な脆弱性 CVE-2024-6387 が確認されたとしてセキュリティ情報を発出し、脆弱性を修正したバージョンを公開しました。この脆弱性を発見したQualysによれば、既定設定で構成されたsshdが影響を受けるとされ、影響を受けるとみられるインターネット接続可能なホストが多数稼動している状況にあると報告しています。ここでは関連する情報をまとめます。 概要 深刻な脆弱性が確認されたのはOpenSSHサーバー（sshd）コンポーネント。脆弱性を悪用された場合、特権でリモートから認証なしの任意コード実行をされる恐れがある。 悪用にかかる報告などは公表時点でされていないが、glibcベースのLinuxにおいて攻撃が成功することが既に実証がされている。発見者のQualysはこの脆弱性の実証コードを公開しない方針としているが、インターネット上ではPoC
xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 | gihyo.jp
Linux Daily Topics xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 “アップストリームのxzリポジトリとxz tarballsはバックドア化されている（The upstream xz repository and the xz tarballs have been backdoored）”―2024年3月29日、Microsoftに所属する開発者 Andres Freundが「Openwall.com」メーリングリストに投稿したポストは世界中のオープンソース関係者に衝撃を与えた。 backdoor in upstream xz/liblzma leading to ssh server compromise -oss-security 主要なLinuxディストリビューションにはほぼ含まれているデータ圧縮プログラ
XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
PHP-FPMに含まれるリモートコード実行に関する脆弱性（CVE-2019-11043）についての検証レポート | NTTデータ先端技術株式会社
Tweet 2019/11/06 初版 2019/11/12 更新 2019/11/13 更新 2019/11/14 更新 2019/11/28 更新 松本 拓也、上原 渓一郎、鈴木 涼太 2019年10月24日にThe PHP Groupが公表した、PHP-FPMに含まれるリモートから任意のコードを実行される脆弱性（CVE-2019-11043）についての検証を実施し、脆弱性の悪用が可能であることを確認しました。 1. 本脆弱性の概要 「PHP-FPM」は、The PHP Groupによって提供されているFastCGI型のPHP実行環境です。 The PHP Groupにより、PHP-FPMにはWebサーバアプリケーションNginxとPHP-FPMで構成される環境において、特定の設定値が設定されている場合にリモートからの任意コード実行が可能となる脆弱性（CVE-2019-11043）が存
クレジットカードの偽決済画面が稼働していたサーバーについて調べてみた - piyolog
2019年6月8日夜、クレジットカードの情報窃取を目的としたページが稼働していたと情報をいただきました。偽ページが稼働していたドメインやIPアドレスを調べたところ、いくつか興味深い情報が確認できたため、調べた内容をここではまとめます。 偽決済画面だらけのサーバー 情報提供頂いたURLではクレジットカード情報を窃取することを目的とした偽決済画面が稼働していた。 サブドメインには決済代行サービスのペイジェントに似せた文字列が用いられていた。 偽決済画面はワイン販売を行っている会社名がフォーム上部（モザイク部）に掲載。 この会社は2019年2月にWebサイトの改修を目的として一時閉鎖すると案内。 6月に新ドメインでECサイト再開。新ドメインへ移行した理由は「諸事情により」とのみ説明。 問題のドメインsearch-hot.comを調べる 問題のページが稼働していたドメインsearch-hot.co
Anonymous Relay Test
Anonymous Relay Test Please, enter the IP number or the FQDN of the target host: Copyright © 2000-2003 Rafael Jorge Csura Szendrodi Powered by:
Network Tools: DNS,IP,Email
About the SuperTool! All of your MX record, DNS, blacklist and SMTP diagnostics in one integrated tool. Input a domain name or IP Address or Host Name. Links in the results will guide you to other relevant tools and information. And you'll have a chronological history of your results. If you already know exactly what you want, you can force a particular test or lookup. Try some of these example
alertを出したいんだ俺たちは - 葉っぱ日記
利用者に対してメッセージを意識的に伝えたり、あるいは何かしらの行動を促すために、ダイアログボックスを表示するための機能がブラウザーには複数実装されている。alertの聖地、兵庫県出身者として、その手の機能を以下にまとめた。 機能 UIの占有など 機能、特徴 javascriptの window.alert メソッド タブモーダル 任意のメッセージが表示可能。繰り返し表示される場合にそれを抑止する機能がほとんどのブラウザーに実装されている。 javascriptの window.prompt メソッド タブモーダル 任意のメッセージが表示可能。任意の１行テキストが入力できる。繰り返し表示される場合にそれを抑止する機能がほとんどのブラウザーに実装されている。 javascriptの window.confirm メソッド タブモーダル 任意のメッセージが表示可能。OK、キャンセルのボタンを持つ
OpenSSL の脆弱性 (CVE-2019-1559) について
2019年2月26日 (米国時間)、OpenSSL Project から OpenSSL の脆弱性 (CVE-2019-1559) に関する情報[1]が公開されました。OpenSSL Project は、本脆弱性の重要度を中 (Moderate) と評価しています。公開された情報によると、OpenSSL にはパディングオラクル攻撃が可能な脆弱性があり、悪用されると、遠隔の第三者が通信情報を窃取する可能性があるとされています。なお、研究者から本脆弱性に関する情報[2]が公開されています。 本脆弱性の影響を受けるバージョンは次のとおりです。 - OpenSSL 1.0.2 から 1.0.2q まで OpenSSL Project によると OpenSSL 1.0.2r にて本脆弱性を修正済みとのことです。なお、OpenSSL 1.1.1、1.1.0 を使用している場合や暗号スイートに認証暗号
bcryptの72文字制限をSHA-512ハッシュで回避する方式の注意点
宅ふぁいる便から平文パスワードが漏洩した件を受けて、あらためてパスワードの安全な保存方法が関心を集めています。現在のパスワード保存のベストプラクティスは、パスワード保存に特化したハッシュ関数（ソルトやストレッチングも用いる）であるbcryptやArgon2などを用いることです。PHPの場合は、PHP5.5以降で使用できるpassword_hash関数が非常に便利ですし、他の言語やアプリケーションフレームワークでも、それぞれ用意されているパスワード保護の機能を使うことはパスワード保護の第一選択肢となります。 なかでもbcryptは、PHPのpassword_hash関数のデフォルトアルゴリズムである他、他の言語でも安全なハッシュ保存機能として広く利用されていますが、パスワードが最大72文字で切り詰められるという実装上の特性があり、その点が気になる人もいるようです（この制限はDoS脆弱性回避が
Webアプリケーションの脆弱性ケーススタディ（WordPress編その２） - Qiita
以前WordPressの脆弱性ケーススタディをご紹介しました。 Webアプリケーションの脆弱性ケーススタディ（WordPress編） 今回もWebアプリケーションのセキュリティを学ぶために、WordPressで実際にあった脆弱性をいくつかご紹介したいと思います。 XML External Entity (XXE) Processing CWE-611によると、XML External Entity (XXE) は以下のように記載されています。 XML documents optionally contain a Document Type Definition (DTD), which, among other features, enables the definition of XML entities. It is possible to define an entity by pr
世の中にはTLS v1.0も許可しない業界があるようで — MIRACLE LINUX サポート&テクノロジー | サイバートラスト株式会社
MIRACLE ZBXのWEB監視において、WEB監視を行えないサイトがあります。現状では、TLS v1.1, v1.2のみ許可するサイトとなります。 TLS v1.2のみ有効なサイトのWEB監視ができません！ お客様より問い合わせを頂いた内容はまさしくこんな感じでした。 HTTPサーバの暗号化通信において、SSLプロトコルに対してTSL v1.2のみを有効にしたサイトの監視を行ったところ、「SSL connect error」となり監視を正しく行えないとのことです。 今までOpenSSL関連の脆弱性により、いくつかのSSLプロトコルを禁止することは今や常識だったりしますが、ここまで限定することはありませんでした。(ちなみに、SSL v2とSSL v3は使っちゃだめですよ！) なんでこんなに制限するかな～と思いつつ、ぐ～ぐる様に問い合わせてみると、PCI DSSという基準があり、ここではT
徳丸浩の日記: SSRF(Server Side Request Forgery)徹底入門
SSRF(Server Side Request Forgery)という脆弱性ないし攻撃手法が最近注目されています。以下は、ここ3ヶ月にSSRFについて言及された記事です。 EC2上のAWS CLIで使われている169.254について SSRF脆弱性を利用したGCE/GKEインスタンスへの攻撃例 SSRFを利用したメール送信ドメインの乗っ取り 「CODE BLUE 2018」参加レポート（岩間編） この「空前のSSRFブーム」に便乗して、SSRFという攻撃手法および脆弱性について説明します。 SSRF攻撃とは SSRF攻撃とは、攻撃者から直接到達できないサーバーに対する攻撃手法の一種です。下図にSSRF攻撃の様子を示します。 攻撃者からは、公開サーバー（203.0.113.2）にはアクセスできますが、内部のサーバー（192.168.0.5）はファイアウォールで隔離されているため外部から直接
segunabe.com - このウェブサイトは販売用です！ - segunabe リソースおよび情報
This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.
PHPの脆弱性 CVE-2018-17082 によるキャッシュ汚染についての注意喚起
エグゼクティブサマリ PHPの脆弱性CVE-2018-17082はXSSとして報告されているが、現実にはXSSとしての攻撃経路はない。一方、Apacheのmod_cacheによるキャッシュ機能を有効にしているサイトでは、キャッシュ汚染という攻撃を受ける可能性がある。 概要 PHPの現在サポート中のすべてのバージョンについて、XSS脆弱性CVE-2018-17082が修正されました。以下は対応バージョンであり、これより前のすべてのバージョンが影響を受けます。ただし、Apacheとの接続にApache2handlerを用いている場合に限ります。 PHP 5.6.38 PHP 7.0.32 PHP 7.1.22 PHP 7.2.10 PHP 5.5以前も対象であり、これらは脆弱性は修正されていません。 脆弱性を再現させてみる この脆弱性のPoCは、当問題のバグレポートにあります。 PHP ::
「Have I Been Pwned」のメールアカウント漏洩通知サービス「Notify me」と「Domain search」登録メモ | (n)inja csirt
「Have I Been Pwned」のメールアカウント漏洩通知サービス「Notify me」と「Domain search」登録メモ memo 今年度に入ったあたりからメールとパスワードのセットが流出しているであるとか、売買されているというニュースやリリースなどが目立つと感じています。 そういった内容を受けてかプライベート、仕事の繋がりのある方からお問い合わせをいただくこともあります。問い合わせの内容としては「あなたのところの組織のメールアドレスとパスワードがダークウェブで売買されているのを発見した。それについての情報提供が必要であればうちのサービスを契約しませんか？」という売り込みを受けたのだが、何か情報持ってない？といったような類いのものです。こうした状況はあまりよろしくない気がするので、そんな状況を少しでも緩和することができそうな「Have I Been Pwned」というサイトの
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「PuTTY」に秘密鍵が復元できてしまう深刻な脆弱性 ～「WinSCP」など他ツールにも影響／v0.81への更新と鍵の再生成を
