narita1980のブックマーク - はてなブックマーク

narita1980 id:narita1980

ブックマーク / www.security-next.com (7)

【セキュリティニュース】「パスワード呟きながら打つ上司」 - セキュ川柳コンテスト（1ページ目 / 全1ページ）：Security NEXT
ソフォスは、「セキュリティ川柳・セキュリティ四文字言葉コンテスト」の優秀作品を発表した。同社ではセキュリティ意識の向上を目的に、2019年12月1日から2月28日にかけて、「情報セキュリティ」をテーマにした川柳と四文字言葉を募集。期間中に寄せられた605作品より、川柳部門2作品、四文字言葉部門2作品を優秀作品として選出、発表した。川柳部門の最優秀作品は「パスワード呟きながら打つ上司」。「寝てる間もそっとあなたを守ります」が次点となった。四文字言葉部門の最優秀作品は「慢心脅威」。2位は「至急注意」が選ばれた。（Security NEXT - 2020/03/24 ）ツイート
narita1980 2020/03/26
セキュリティ

security

あとで読む

セキュリティ技術
リンク
【セキュリティニュース】「VMware Workstation」に深刻な脆弱性 - アップデートが公開（1ページ目 / 全1ページ）：Security NEXT
「VMware Workstation」など複数製品に脆弱性が含まれていることがわかった。VMwareではアップデートをリリースしている。「VMware Workstation」および「VMware Fusion」の「vmnet dhcp」に、解放後のメモリを使用するいわゆる「Use After Free」の脆弱性「CVE-2020-3947」が明らかになったもの。脆弱性を悪用されると、ゲストマシンからホスト上でコードを実行されたり、「vmnet dhcp」がサービス拒否に陥るおそれがある。共通脆弱性評価システム「CVSSv3」のベーススコアは「9.3」で、重要度は「クリティカル（Critical）」とレーティングされている。またゲストマシンにおいて仮想プリント機能を有効化している場合に、権限の昇格が生じるおそれがある「CVE-2020-3948」が判明した。「CVSSv3」のベーススコ
narita1980 2020/03/18
あとで読む
リンク
【セキュリティニュース】セキュリティ啓発動画コンテストの結果を発表 - トレンド（1ページ目 / 全1ページ）：Security NEXT
トレンドマイクロは、同社が一般ユーザーを対象に実施したセキュリティ啓発動画コンテストの結果を発表した。「What's Your Story？」は、子どもや保護者に対するセキュリティ啓発活動の一環として2016年より実施。4回目となる今回は、自身や周囲をスマートフォン関係のネットトラブルから守ることを目的とする啓発動画の作品を募集した。一般視聴者による評価が高かった作品から、審査員が優勝作品を選定。ネット上の情報の信頼性や偽情報の拡散などをテーマに扱った「yama」さんの作品「snsによるネット炎上」が選ばれた。（Security NEXT - 2020/03/13 ）ツイート
narita1980 2020/03/14
あとで読む

セキュリティ技術

セキュリティ
リンク
【セキュリティニュース】Linuxなどに含まれる「pppd」に脆弱性 - root権限でコード実行のおそれ（1ページ目 / 全2ページ）：Security NEXT
モデム接続やPPPoE接続、VPN接続の「PPTP」など、ノード間の接続に用いる「Point-to-Point Protocol（PPP）」の接続セッションを管理する「pppd」に、深刻な脆弱性が含まれていることがわかった。 Linuxなどで広く採用されているPaul's PPP Packageの「pppd」に脆弱性「CVE-2020-8597」が明らかとなったもの。「同2.4.8」から「同2.4.2」までが影響を受ける。認証プロトコル「EAP（Extensible Authentication Protocol）」のパケットを処理する際、データサイズの検証処理に問題があり、バッファオーバーフローが生じるという。脆弱性を悪用されると、任意のコードを実行されたり、サービス拒否に陥るおそれがある。認証に「EAP」を用いていない環境でもパケットを受け付け、脆弱性の影響を受ける可能性があるた
narita1980 2020/03/09
あとで読む

セキュリティ技術
リンク
【セキュリティニュース】脆弱性の影響を可視化できるOSS「Vuls」を解説 - IPA（1ページ目 / 全2ページ）：Security NEXT
情報処理推進機構（IPA）は、効率的な脆弱性対策に活用できるとして、ソフトウェア「Vuls」について解説した資料「脆弱性対策の効果的な進め方ツール活用編」を公開した。また初心者向けに提供している「同実践編」の第2版をあらたにリリースしている。「Vuls」は、「MyJVN」をはじめとする各種脆弱性データベースの情報を導入済みのソフトウェアと関連付けることで、利用環境における脆弱性の検知、可視化が行えるソフトウェア。GitHubを通じて2016年より公開されている。「Linux」や「FreeBSD」に対応しており、影響を受ける脆弱性のみ自動的に検知し、メールなどを用いてアラートを送信することが可能。パッケージに依存しないソフトであっても、「CPE（Common Platform Enumeration）」に登録されたソフトウェアであれば、フレームワークやライブラリ、ミドルウェアについても
narita1980 2019/02/26
あとで読む
リンク
【セキュリティニュース】Google、2.7万件以上のバグを発見したファジングツールをオープンソース化（1ページ目 / 全1ページ）：Security NEXT
Googleは、脆弱性の調査を行うためのファジングツール「ClusterFuzz」をオープンソース化した。GitHubより入手できる。同ソフトウェアは、さまざまなデータを入力することでバグの有無を調査するほか、報告機能なども備えたファジングツール。同社では8年以上にわたり、同ツールの開発に取り組んできたが、今回あらたにオープンソース化したという。 GitHub上で公開しており、同社のクラウドプラットフォームに依存する部分もあるが、ローカル環境で試用したり、自身のクラスタ上で利用することもできるとしている。同社はブラウザ「Chrome」の脆弱性診断で活用し、1万6000以上のバグを発見。さらに2年前からは、OSS-Fuzzを通じてオープンソースの開発者向けに2万5000以上のコアで動作する「ClusterFuzz」を提供。160超のプロジェクトで1万1000以上のバグを発見しているという
narita1980 2019/02/08
あとで読む
リンク
【セキュリティニュース】OpenSSLの複数署名アルゴリズムに脆弱性 - 次期更新で修正予定（1ページ目 / 全1ページ）：Security NEXT
OpenSSLにおいて、複数の署名アルゴリズムにサイドチャネル攻撃を受けるおそれがある脆弱性が含まれていることがわかった。楕円曲線「DSA」「ECDSA」を利用した署名アルゴリズムに脆弱性「CVE-2018-0734」「CVE-2018-0735」が存在し、サイドチャネル攻撃によりプライベート鍵を回復されるおそれがあることが判明したもの。開発チームでは、いずれも脆弱性の重要度を「低（Low）」とレーティングしており、これら脆弱性の修正だけを目的としたアップデートについては用意しない方針だという。いずれも次期アップデート「OpenSSL 1.1.1a」「同1.1.0j」にて他脆弱性とあわせて対応するほか、「CVE-2018-0734」に関しては、「同1.0.2q」においても修正する予定。（Security NEXT - 2018/11/01 ）ツイート
narita1980 2018/11/01
あとで読む
リンク
1