Version 1.90 is now available! Read about the new features and fixes from May. Updated: June 23, 2019 We have been working with extension authors to get their extensions and dependencies updated. Below is the current list of blocked extensions: JacobeanResearchandDevelopmentLLC.vscode-scxml-preview joaquin6.package-watch KazuoCode.gthubsum MaxGotovkin.tslens November 26, 2018 Kai Maetzel, @kaimaet

人気のある npm パッケージ event-stream (DL数: 2M/週) が悪意ある攻撃に利用されるというセキュリティ インシデントがありました。 私が管理する npm-run-all (DL数: 440K/週) も間接的に event-stream に依存していたため、インシデントの詳細と私の対応について触れておきます。 何をすべき? あなたのプロジェクトが event-stream に依存している場合は、この依存を削除し、代替手段を探すと良さそうです。event-stream の作者は、このパッケージをメンテナンスしないと明言しています。ただ、これだけ騒ぎになったので、信用できる誰かが引き継ぐ可能性はあります。 [編集(2018/11/30)] 現在は npm 社がパッケージ管理を引き継いでいます。ただ、リポジトリは凍結されており、今後変更されることはないでしょう。 次に、あな

2018 年 7 月 12 日に、ESLint 開発チームが管理する npm パッケージに悪意あるコードが挿入されるセキュリティ インシデントがありました。 ESLint からのアナウンス: https://eslint.org/blog/2018/07/postmortem-for-malicious-package-publishes npm からのアナウンス: https://status.npmjs.org/incidents/dn7c1fgrr7ng 以下の場合に npm install を実行したユーザーの npm アカウントへのログイン情報 (アクセストークン) が盗まれた恐れがあります (盗まれたアクセストークンはすでに無効化されています)。 日本時間の 18:49 から 19:25 の約 1 時間のあいだに npm install を実行し、eslint-config-e

2018年2月観測レポートサマリー DDoS攻撃の観測情報 IIJマネージドセキュリティサービスの観測情報 Web/メールのマルウェア脅威の観測情報 セキュリティインシデントカレンダー 2018年2月観測レポートサマリー はじめに、IIJの提供するセキュリティ事業において収集・観測した、様々な攻撃活動について示します。当月もサーバやクライアントなどを狙った複数の攻撃活動を観測しています。 まず、DDoS攻撃については、memcachedを用いたUDPのAmplificationに関する通信について、IIJのセキュリティサービスではmemcachedを探索しているものと推測される通信を多数確認しました。 次に、Webサーバに対する攻撃では、先月に引き続き複数の脆弱性を利用してWebサーバを改ざんし、Webサーバ上で仮想通貨のマイニングを試みる攻撃を多数検知しました。攻撃に使われた脆弱性のある

2017年10月観測レポートサマリー DDoS攻撃の観測情報 IIJマネージドセキュリティサービスの観測情報 Web/メールのマルウェア脅威の観測情報 セキュリティインシデントカレンダー 2017年10月観測レポートサマリー 2017年10月は、Apache Struts 2の脆弱性有無を目的とした攻撃通信を多数観測しました。この攻撃は60ヵ国もの国を送信元としていましたが、同様の攻撃内容であったことから、ボットネットが利用された可能性があります。 また、Webコンテンツの利用においては、仮想通貨マイニングスクリプトの埋め込み型サイトへのアクセスを多数確認しています。IIJではWebサイトが改ざんされて埋め込まれた事例を確認しており、動向を注視しています。 企業などの組織における電子メールの利用においては、先月と同様に継続して日本語メールによる不特定多数への不審メールが発生しており、その多

ロシアのある研究者が、過去の「Windows」製品に潜んでいた脆弱性を発見した。NTFSファイルシステムを実装した際に生じたこの単純なバグにより、「Windows Vista」から「Windows 8.1」までのシステムがクラッシュすることになるのだという。 NTFSではファイルシステム上に存在するすべてのファイルを管理するために「$MFT」という名称のファイル（マスターファイルテーブル）が用いられている。この$MFTをディレクトリ名としたファイル名を入力するだけで、該当ボリューム上のファイルアクセスがブロックされてシステムがロック状態に陥ったり、最悪の場合には「死のブルースクリーン」（BSoD:Blue Screen of Death）の表示とともにシステムがクラッシュしたりするという。 この問題を発見した研究者によると、NtfsFindStartingNode関数に対して、$MFTをデ

昨年2014年は、SSL（Secure Sockets Layer）とTLS（Transport Layer Security）というプロトコルがリリースされてから20年が経過し、HeartBleedやPOODLEなどの脆弱性でも話題となった年でもありました。今回の10分講座では、SSL/TLS暗号通信プロトコルの動向を紹介します。 SSL/TLSとは SSL/TLSは最も普及している暗号通信プロトコルの一つで、TCP/IPの4レイヤーモデルのトランスポート層とアプリケーション層との間に位置するため、広く使われているHTTPばかりでなく、SMTPなど任意のプロトコルを安全に送受信する目的で使用することができます。特にWebにおいて暗号通信機能を提供できるようになったことにより、オンラインショッピング、オンラインバンキングやユーザー認証を必要とする各種オンラインサービスの普及に重要な役割を担

Intro このブログで CSP レポートの収集を開始してもうすぐ 1 年になる。 現状、対象ドメイン内で <input> は一切提供しておらず、大半が静的に生成されたページであるが、この条件でも、かなり多くのレポートが集まった。 今回は、収集した実際のレポートを例に、攻撃ではないと思われるレポートとしてどういったものが送られて来たかを中心に、その内容やレポーティングサーバ、 CSP の運用に関する現時点の考察についてまとめる。 収集目的 CSP の基本は、意図しないリソースの読み込みや、 Inline Script の実行を防ぐことにある。 例えば、エスケープ漏れにより XSS が発生し、悪意のある Inline Script が埋め込まれた場合でも、 Inline Script を禁止するポリシーを適用したページでは、その実行はブラウザによって Violation(違反)と判断されブロ

nspとは 先日たまたま会社で Vulnerability の話になって色々と Node.js だとこういうのあるんですよって言ったら知らなかった方も多かったので紹介。 nsp は node security platform の頭文字を取ったプロジェクトである。 Node Security Platform はサイト上で脆弱性を公開している。 Node.js のコアの脆弱性というよりも npm モジュールなどのモジュールの脆弱性だ。 nsp に挙げられてる脆弱性の一例 例えばこの脆弱性なんかは2017年2月11日に公開された脆弱性である。 https://nodesecurity.io/advisories/313 github.com どういう脆弱性かというと、このモジュールはJavaScript Objectをシリアライズするためのモジュールだが、そのserializeする時に関数ま

経緯 適当に別タブを開くリンクをjsxで書いたら eslint-plugin-react の jsx-no-target-blank で怒られいました。 ほんとに知らなかったし、気軽にできちゃうからやばいな。っと思ったのでメモしておきます。 import React from 'react'; import ReactDOM from 'react-dom'; class Index extends React.Component { render() { return ( <a href="http://example.com" target="_blank" > アンカーリンク </a> ); } } ReactDOM.render( <Index />, document.getElementById('root') );

[レベル: 初級] Androidデバイスのモバイル版Chromeに対してもセーフブラウジングの提供を開始したことを、Googleはセキュリティブログでアナウンスしました。 セーフブラウジングは、危害を加えるおそれがあるサイトにユーザーがアクセスしないように未然に守るための機能です。 これまでは、ChromeやFirefox、SarariなどPCの代表的なブラウザで提供されていました。 モバイルでも赤い警告 マルウェアや望ましくないソフトウェア、フィッシングなどの危険性があるサイトにアクセスしようとすると、「アクセス先のサイトで不正なソフトウェアを検出しました。」というメッセージが書かれた赤い画面でChromeが警告を発します。 Chromeを使っている限りは、Googleのセーフブラウジングテクノロジーが危険性を検出したサイトにはアクセスできません。 ユーザーの安全を確保してくれます。

Let's Encrypt は、クライアントソフトウェア「Certbot」を使用することで、SSL/TLS サーバ証明書の取得・更新作業を自動化できる仕組みになっています。 独自ドメインがあれば、簡単なコマンド操作で SSL/TLS 証明書（無料）を取得できます。 ※一般の認証局で SSL/TLS サーバ証明書を取得する場合とは異なり、秘密鍵・公開鍵・署名リクエスト（CSR）を手動で生成する必要はありません。これらの作業は、Certbot クライアントが自動的に行います。 ※Certbot 以外の ACME クライアント (英文) を使用して Let's Encrypt の証明書を取得することも可能です。 より詳しく知りたい方へ このページでは、Certbot クライアント（旧・Let's Encrypt クライアント）のプラグイン Webroot または Standalone を使用して

(訳注：2016/1/5、いただいた翻訳フィードバックを元に記事を修正いたしました。) セキュリティ – 誰もが見て見ぬふりをする問題 。セキュリティが重要だということは、誰もが認識していると思いますが、真剣にとらえている人は少数だと思います。我々、RisingStackは、皆さんに正しいセキュリティチェックを行っていただきたいと考え、チェックリストを用意しました。皆さんのアプリケーションが何千人というユーザやお客様に使用される前にセキュリティチェックを行ってください。 ここに挙げたリストのほとんどは概略的なもので、Node.jsに限らず、全ての言語やフレームワークに適用することができます。ただし、いくつのツールは、Node.js固有のものとなりますので、ご了承ください。 Node.jsセキュリティ に関するブログ記事も投稿してありますので、こちらも是非読んでみてください。 構成管理 HT