当社サーバへの不正アクセスによる 一部データ流出の可能性に関する 詳細調査のご報告（最終報）
2018年12月20日発表の「不正アクセスによる一部データ流出の可能性に関するお詫びとお知らせ（第一報）」について、お客さまおよび提携先企業の皆様、関係者の皆様には多大なるご心配とご迷惑をおかけしましたことを、心よりお詫び申し上げます。 2018年9月17日から12月6日にかけて当社の保有するサーバへの不正アクセスおよびお客様情報流出の可能性があることが判明したため、本件を公表し、発生の原因について、詳細な調査を進めてまいりました。 第三者機関によるフォレンジック調査*1および社内調査の結果、当社で管理するお客様情報のファイルが流出した痕跡は確認されませんでした。このたびの経緯ならびに第三者機関による調査の結果、再発防止策等について下記の通りご報告いたします。 1. 本件の概要ならびに調査概要、経緯 2018年12月6日、当社で利用しているクラウドサービス（AWS*2）において、不正アクセ
Safariのオートコンプリートの不思議な挙動 - Qiita
<form method="post" action="/"> <div> <label> username <input type="text" name="username" /> </label> </div> <div> <label> password <input type="password" name="password" /> </label> </div> <div> <input type="submit" /> </div> </form> とりあえずユーザー名に myname@example.com パスワードに password とか入力して送信して、またこのページに戻ってくるとユーザー名とパスワードが自動入力されます。 同じサイト内のパスワードフィールドのあるフォーム この状態で同じサイト内の他のパスワードフィールドのあるページに移動してみます。 <form
GitHub Security
GitHub Bug Bounty Software security researchers are increasingly engaging with internet companies to hunt down vulnerabilities. Our bounty program gives a tip of the hat to these researchers and provides rewards of $30,000 or more for critical vulnerabilities. If you have found a vulnerability, submit it here. You can find useful information in our rules, scope, targets and FAQ sections. Happy hac
Security Harden CentOS 7
Security Harden CentOS 7 Based on a Minimal Install Issues with Security Hardening Why use OpenSCAP ? Kickstart Secure Partition Mount Options Install NTP Configure System for AIDE Install AIDE Prevent Users Mounting USB Storage Enable Secure (high quality) Password Policy Secure /etc/login.defs Pasword Policy Set Last Logon/Access Notification Max Password Login Attempts per Session Set Deny For
A new security header: Referrer Policy
Scott Helme Security researcher, entrepreneur and international speaker who specialises in web technologies. More posts by Scott Helme. Regular readers will know how fond I am of the existing security headers so it's great to hear that we're getting another! Referrer Policy will allow a site to control the value of the referer header in links away from their pages. What's a referrer? When a user c
GMO子会社のクレカ情報漏えい事件、“褒められる対応”を考えた
GMO子会社のクレカ情報漏えい事件、“褒められる対応”を考えた：半径300メートルのIT（1/2 ページ） 約70万件の情報が漏えいしたとみられるGMOペイメントゲートウェイの不正アクセス事件。100％情報漏えい事故を防ぐことはできない時代、事件を起こした企業がすべき“褒められる対応”を考えてみました。 また、情報漏えい事故が起きました。 東京都税の指定代理納付者であるトヨタファイナンスが、再委託業者であるGMOペイメントゲートウェイにサイト運営を委託していた「東京都の都税クレジットカードお支払サイト」で不正アクセスが発覚し、クレジットカード番号やセキュリティコード（CVV）を含む情報が外部に漏えいしました。 この記事を執筆している時点では、まだ第1報しか出ていない状況ですが、67万件以上の情報が漏えいしたと発表されているので、対象となる人は引き続き情報をチェックしてください（編注：その後
WordPress をさらに安全にするための HTTP セキュリティヘッダーまとめ – Capital P – WordPressメディア
今年になってから常時 SSL が本格的に普及し始めました。 この流れは誰もがインターネットを安全に利用できるようにしようという趣旨なんですが、来訪者の安全を守るためにみなさんが対策可能なことは他にもたくさんあります。 ここで紹介する各種のレスポンスヘッダーは、もし XSS などの脆弱性があった場合でも、来訪者がその影響をうけないように、このサイトはこういうポリシーでできてるから、それにマッチしないコンテンツは実行しないで！とあらかじめ来訪者のブラウザにお知らせすることで、来訪者の安全を守るためのものです。 根本的には、WordPress をつねに最新版に保つ、プラグインやテーマは信頼できるものを使用するなどの一般的な対策が別途必要なので誤解のないようにお願いいたします。 X-XSS-Protection 以下のようなレスポンスヘッダーを出力することで、ブラウザの XSS フィルター機能を強
SHAttered attack (SHA-1コリジョン発見) – IIJ Security Diary
暗号アルゴリズムのうちデジタル署名などの用途で利用されているハッシュ関数のひとつ、SHA-1 のコリジョン(衝突)が報告されました。 今回見つけられた攻撃手法は SHAtterd attack と名付けられました[1]SHAttered attack https://shattered.it/ https://shattered.io/[2]Google Security Blog, Announcing the first SHA1 collision https://security.googleblog.com/2017/02/announcing-first-sha1-collision.html。(暗号学的)ハッシュ関数は、異なるデータを異なる固定長データに圧縮することが保証されています。SHA-1 は160ビットの出力長を持つことから、2^80程度という膨大な SHA-1 計算
徳丸浩の日記
この記事はPHPアドベントカレンダー2014の22日目の記事です 。 2002年3月に公開されたIPAの人気コンテンツ「セキュアプログラミング講座」が2007年6月に大幅に更新されました。そして、その一節がPHPerたちを激しく刺激することになります。 (1) プログラミング言語の選択 1) 例えば、PHPを避ける 短時日で素早くサイトを立ち上げることのみに着目するのであれば、PHPは悪い処理系ではない。しかし、これまで多くの脆弱性を生んできた経緯があり、改善が進んでいるとはいえまだ十分堅固とは言えない。 セキュアプログラミング講座（アーカイブ）より引用 「PHPを避ける」とまで言われてしまったわけで、当然ながらネット界隈では炎上を起こし、現在はもう少しマイルドな表現に変わっています(参照)。 本稿では、当時のPHPの状況を振り返る手段として、この後PHPのセキュリティ機能がどのように変化
blog.ishinao.net
どうしようかなー。削除するのは簡単なんだけど、ひとまず何をやるつもりなのか、しばらく様子を見ておこう。はてなの方のアカウントが先に無効になったりするかな？ マルチアカウントでばりばり投稿したりしない限りは、別に消さなくてもいいかなーと思っているんだけど、大量のマルチアカウントはさすがにうざいしなー。 ちなみに、HTTP_USER_AGENTにAlexa Toolbarとか出ているあたり、いかにもそういう方面で飯を食っている人って感じだ。 spam用に自動取得したっぽいアカウント一覧 apple5001sweet apple5002sweet apple5003sweet apple5004sweet apple5005sweet apple5006sweet apple5007sweet apple5008sweet apple5009sweet apple5010sweet egg501
RIPS - free PHP security scanner using static code analysis
vulnerabilities Code Execution Command Execution Cross-Site Scripting Header Injection File Disclosure File Inclusion File Manipulation LDAP Injection SQL Injection Unserialize with POP XPath Injection code audit interface scan and vulnerability statistics grouped vulnerable code lines (bottom up or top down) vulnerability description with example code, PoC, patch exploit creator file list and gra
Googleは巨大なインフラをどうやってセキュアに保っているか。独自のセキュリティチップ利用やDoS対策、安全なソフトウェア開発など、全体像を解説したホワイトペーパーを公開
Googleのクラウドは間違いなく世界最大規模のコンピュータシステムです。膨大なハードウェアとソフトウェアから構成されるこの巨大なシステムを、同社はどうやってセキュアに保っているのか。そのことを解説したホワイトペーパー「Google Infrastructure Security Design Overview」が公開されました。 ホワイトペーパーには、Googleのデータセンターを構成するデバイスの1つ1つにまで独自のセキュリティチップを組み込んで正規のデバイスかどうかを相互に認証するという物理レベルのセキュリティから、何層のものロードバランサーからの情報を集約してDos攻撃を検知すると、その通信を破棄するといったDoS対策。 そしてマシンも従業員もサービスも包括するグローバルな名前空間など、きわめて広範かつ綿密なセキュリティ施策が説明されています。 クラウドがいかに高度なセキュリティで
Attack method of open redirect using basic authentication / Basic認証を用いたオープンリダイレクトの攻撃手法 - http80
僭越ながら、脆弱性"&'<<>\ Advent Calendar 2016 の6日目の記事です。 端的に言うと、URLにBasic認証を埋め込む方法があるのですが、これをオープンリダイレクトの攻撃に応用できます。 この手法は昨年に発見し、もう1年以上経っているので、既にご存知の方もいるかと思われますが、Web初出でしょうか。日々の健全な脆弱性診断にご活用ください。 www.adventar.org ●オープンリダイレクトの脆弱性 診断ベンダによっては「オープンリダイレクタ」「外部サイトへ誘導可能」といったタイトルで揺らぎはありますが、本質的には同じです。*1 実はこの脆弱性、OWASP TOP 10(2013)に仲間入りしている悪いヤツです。 Top10-2013-A10: Unvalidated Redirects and Forwards (原文) 日本語版PDFでは、未検証のリダイレ
たった1バイトの書き込みが引き起こすルート権限での実行の脆弱性 | POSTD
2016年9月22日（木）。こんなメールが私のもとに飛び込んできました。 件名： arescreatequery OOB write c-aresプロジェクト のメンテナのひとりとして、c-aresにセキュリティ問題の恐れがあるというメールを受け取ったのです。実際、そのとおりでした。この問題を知らせてくれたのは、かつてChromeOSの脆弱性をGoogleに報告したこともある人でした。 このc-aresの不具合を悪用すると、 ChromeOS上で、rootユーザーとしてJavaScriptのコードを実行できる ことがわかりました。ChromeOS史上最悪の脆弱性かもしれません。報告者には、相当な額の報奨金が贈られることでしょう。 この動きを実現したり、どうやって実現するのかを説明したりするのはとても面倒な作業だったでしょう。報告者がこれを発見したこと、そしてさらに深く掘り下げて、再現可能な
Have I Been Pwned: Check if your email has been compromised in a data breach
Breaches you were pwned in A "breach" is an incident where data has been unintentionally exposed to the public. Using the 1Password password manager helps you ensure all your passwords are strong and unique such that a breach of one service doesn't put your other services at risk. Pastes you were found in A paste is information that has been published to a publicly facing website designed to share
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
HowTos/OS_Protection
なぜ自社で脆弱性診断を行うべきなのか
PHPメール送信用ライブラリ「PHPMailer」「SwiftMailer」「zend-mail」に、ほぼ同種の脆弱性 
NISC、「ネットワークビギナーのための情報セキュリティハンドブック」を全154ページに改訂し、無料で提供 
Linux OS のセキュリティ-2 — MIRACLE LINUX サポート&テクノロジー | サイバートラスト株式会社