Node.js で発生した Hash flooding DoS とその内容について - from scratch
Node.js のセキュリティアップデート 7/11 に Node.js のセキュリティアップデートがリリースされました。 Security updates for all active release lines, July 2017 | Node.js これには複数の脆弱性が報告されており、今回はそのうちの1つの Hash flooding DoS という脆弱性が何なのか、それに対して採用された対策が何なのかについてお話します。 Hash flooding DoS (hashdos) Denial Of Service 、つまりサービス拒否攻撃の一種です。 JavaScript のオブジェクトは内部的にハッシュテーブルとして表現されています。 図はこちらから引用 ハッシュ関数は同じkeyなら同じ値を返しますが、別なkeyなら通常は別な値になります。 ハッシュテーブルのinsert, g
AWS Lambda + AWS WAF でDOS攻撃からの ✝守護者✝ を実装する | DevelopersIO
はじめに DOS攻撃からいかにシステムを守るか。オートスケールの仕組みが充実し、大量のアクセスでも耐えられるようになってきている昨今ですが、悪意ある急激なアクセス増加は誰も望まないはずです。防御する仕組みが欲しいところではありますが、開発の時間が限られている中で、防護機構の自動化まで持っていくのは骨が折れます。そこで今回は、AWSを使ったシステムを構築するシーンで、DOS攻撃から自動でWAFを設定する仕組みを作ります。重視した点は以下2点です。 安価であること。可能な限り新しいAWSリソースを使わない、使うとしても高価なものは避ける。 ポータビリティが高いこと。別の環境に同様の手順で導入できること。 DOS攻撃防御の仕組み比較 Apache の mod_dosdetector アプリケーションサーバ群の前段にApacheサーバを置き、そこにmod_dosdetectorを導入することを考え
StackExchangeが攻撃されたReDoSの効果
(Last Updated On: 2018年8月13日)StackExchangeがReDoS攻撃に遭いサイトがダウンした原因をStackExchangeのブログで紹介していました。 PHPへの影響があるか試してみました。結論を書くと、脆弱な正規表現を使っていて攻撃者が入力をコントロールできる場合、簡単に攻撃できるようです。PCRE、Onigurumaの両方で試してみましたがどちらも脆弱でした。 参考：正規表現でのメールアドレスチェックは見直すべき – ReDoS Onigurumaでは破滅的なReDoSが可能です。以前からメールアドレスのチェックに利用する正規表現には注意喚起していましが、どの程度浸透していたのだろうか？ ReDoSとは ReDoSはこのブログでも紹介しています。正規表現のアルゴリズムを利用してDoS攻撃する攻撃です。 参考： 正規表現を使ったDoS – ReDoS R
Node.js と io.js のCritical Security Issue について
緊急のセキュリティパッチについて node.js-v0.12.6 io.js-v2.3.3 io.js-v1.8.3 初めに、このような処理は我々にとって理想的な方法ではありません。もっと戦略的に更新し、時間を使って更新する方がより良い方法である事は明らかでしょう。今は USA の夕方で、 7/4 の週末です。 バグの詳細と潜在的なエクスプロイトが public なフォーラムでその脆弱性を突くための方法が公開されてしまいました。そのため、我々はNode.jsを使っている企業やユーザーに現実的に発生する DoS 攻撃を和らげて、それらから守るためのツールを与えたほうが、ただ座って起きないように祈るよりも良いだろうと判断し、緊急パッチを公開することにしました。 タイミングはありえないほどダメでした。特に USA では週末に重なっていて、7/4 （独立記念日）の中で大きな開発を行うのは人々にとっ
Samsung Galaxyに深刻な脆弱性、6億台に影響か
この脆弱性を悪用された場合、端末のセンサーやGPS、カメラ、マイクなどへのアクセス、悪質なアプリのインストール、他のアプリや電話の機能の改ざん、メッセージや通話の盗聴、個人情報へのアクセスなどに利用される恐れがあるとしている。 Samsungは2014年12月にNowSecureから報告を受け、2015年初めごろから携帯電話会社向けにパッチの提供を開始したという。しかしNowSecureがまとめた米国のキャリアの対応状況によれば、6月16日の時点でほとんどが「未解決」または「不明」となっている。 問題のキーボードをアンインストールすることはできず、携帯電話会社からパッチが配信されているかどうかをユーザーが確認することも難しいとNowSecureは指摘する。 対策として、安全ではないWi-Fiの使用は避け、別のモバイル端末を使うか、パッチについて携帯電話会社に問い合わせるよう促している。 関
2015年3月に発生したGithubへのDoS攻撃についてまとめてみた - piyolog
Githubが同社サービスに対してDoS攻撃が行われていることを発表しました。一連のDoS攻撃はGreatfire.orgに対して行われているものと考えられ、ここではGreatFire.orgに関係するDoS攻撃の情報をまとめます。 公式発表 GreatFire.org 2015年3月19日 We are under attack 2015年3月25日 (PDF) Using Baidu 百度 to steer millions of computers to launch denial of service attacks Github 公式Blog 2015年3月28日 Large Scale DDoS Attack on github.com · GitHub Github 公式Twitter The attack has ramped up again, and we're evo
Railsの脆弱性: XML実体爆発攻撃 | 水無月ばけらのえび日記
RailsでXMLリクエストのパースに使用されているREXMLに、DoS脆弱性が発見されました。XML entity explosion attackと呼ばれる攻撃手法により、ユーザから与えられたXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすることができます。大部分のRailsアプリケーションはこの攻撃に対して脆弱です。 XML entity explosion attackというのは、実体宣言の中で別の実体を参照することを繰り返して実体参照の処理負荷を高める手法のようですね。掲げられているサンプルコードは短いですが、実体参照を展開するとデータは30メガバイトにもなります。展開の処理方法によっては、メモリを食い尽くしてしまうのでしょう。 外部からXMLデータのPOSTを受け付けるようなサイトは注意……と言いたいところですが、XMLデータのPOSTを受け付けないはずの
（緊急）複数のDNSソフトウェアにおける脆弱性（システム資源の過度な消費）について（2014年12月25日更新）
--------------------------------------------------------------------- ■（緊急）複数のDNSソフトウェアにおける脆弱性（システム資源の過度な消費） について（2014年12月9日公開） - BIND 9では権威DNSサーバーにも限定的に影響、バージョンアップを強く推奨 - 株式会社日本レジストリサービス（JPRS） 初版作成 2014/12/09（Tue） 最終更新 2014/12/25（Thu） （米国The CERT Divisionの注意喚起・Vendor Informationへのリンクを追加） --------------------------------------------------------------------- ▼概要 BIND 9・Unbound・PowerDNS Recursorを含む複
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
