Dockerでホストを乗っ取られた - Qiita
注意 本件記事ですが、私の不適切な行動（拾ったスクリプトを検証なく走らせる）が原因です。「dockerは（特に何もしなくとも）危険」との誤解を皆様に与えた点、ご迷惑をおかけいたしました。申し訳ございません。 拡散されている記事を削除するのはさらなる誤解を招きかねないと思いましたので、冒頭に注意を付記しております。以下の記事は、「自分が何してるかをきちんと検証できないとセキュリティホールを生み出す」という意味で参考にして頂ければ幸いです。 追記 Twitterやはてブで言及いただきました皆様、ありがとうございます。 本件はpullしてきたイメージが悪意ある開発者によるものかどうかにかぎらず、不適切な設定をしていると起こり得ます。 ※コメント欄に質問への回答という形で、私がそのときに走らせていたイメージの一覧を挙げておりますが、どのイメージも評判あるものだと思います。 皆様におかれましては「あ
私がどのようにしてキーロガーをクラックし、最終的に第三者の受信トレイに行きついたか | POSTD
(訳注：2016/9/28、頂きましたフィードバックを元に記事を修正いたしました。) ことの始まりは、あるスパムキャンペーンでした。画像1は、スパム向けに仕掛けた罠に最近引っかかった、疑わしいドキュメントファイルが添付されたメールです。文面の英語がとても稚拙なことに気付くかと思いますが、この稚拙さがメール受信者への警告サインとなります。 画像1：スパムサンプル 添付のファイルは、”.doc”のファイル拡張子を使っていますが、実際はRTF（リッチテキストファイル）ファイル形式で、特別に細工されたRTFファイルによるスタックオーバーフローの脆弱性が含まれています。この脆弱性は、CVE-2010-3333で文書化されており、”pFragments”の形をしたプロパティを扱う際にMicrosoft Word RFTパーサを攻撃するものです。これに対する修正モジュールは5年以上前にパッチされています
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します | ツイナビ
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します — Yusuke OSUMI (@ozuma5119) 2015, 6月 30 Zaimの件、そもそも家計簿アプリごとき(と敢えて言う)に、銀行やクレカのログインパスワードを入れちゃう人があんなにたくさんいることの方がよっぽど問題だと思う https://t.co/pidZhtUbej pic.twitter.com/jpNw41MqK0 — Yusuke OSUMI (@ozuma5119) 2015, 6月 28 Zaimの「金融機関の連携」機能、新生銀行にいたっては暗証番号までナチュラルに入れさせようとしてくるので、控えめに言ってこのアプリは頭がおかしいと思う https://t.co/50guysHXIV pic.twitter.com/BQnIaUnfGo — Yusuke OSUMI (@ozuma5119
1000万件のユーザー名とパスワード、研究者がオンラインで公開
Charlie Osborne （Special to ZDNET.com） 翻訳校正： 編集部 2015-02-12 13:10 Microsoftの「Windows」ベースのサーバやネットワークを専門にしているセキュリティコンサルタント兼研究者であるMark Burnett氏は米国時間2月9日、既存の情報から集積した、1000万件のユーザー名とそのパスワードがセットになったデータをオンラインで公開した。この情報は、パスワードとユーザーの行動に関する研究を進める目的で、インターネット上から収集されたものだ。 パスワードを研究するためのこのデータは今まで、Burnett氏自身の所有にとどまっていたが、同氏は世の中の人々と共有することにした。同氏はブログ投稿で、このデータセットは「ユーザーの行動に関する深い洞察をもたらすとともに、パスワードのセキュリティを向上させるうえで価値がある」ため、「
Gitに深刻な脆弱性、緊急メンテナンスリリースが公開される | スラド セキュリティ
Gitの深刻な脆弱性「CVE-2014-9390」が18日に公表された(Gitのアナウンス、 Git Blameの記事、 GitHubの記事、 窓の杜の記事、 本家/.)。 この脆弱性は大文字と小文字を区別しないローカルファイルシステム上でGitまたは互換クライアントを使用している場合に影響する。攻撃者は「.Git」のような名前のディレクトリ(「.git」を除くすべての大文字小文字の組み合わせが利用可能)を作成してファイルを格納することで、影響を受けるシステムのローカルリポジトリで「.git」ディレクトリ内のファイルを上書きすることや、任意のコマンドを実行することができるという。また、Mac OS XのHFS+ではUnicodeの特定範囲を無視するため、「.g\u200cit」のような名前のディレクトリを使用して攻撃を行うことも可能だ。影響を受けるのは主にWindows版とMac OS X
Apple IDの2段階認証が日本でも利用可能に。まずは下準備を済ませよう！ | AppBank
気になる、記になる…によると、日本では、2段階認証の機能はまだ正式に提供されていないようです。 そのために、2段階認証の設定項目が表示されるユーザーと表示されないユーザーがいると思われます。 また、2段階認証の設定項目が表示されているユーザーであっても、この機能が正しく動作しない可能性があります。 （2013年5月13日8:30追記） ———- AppBank の主任です。 Apple ID の2段階認証が日本からも利用できるようになりました。これまではアメリカやイギリスなどでのみ利用できる機能でした。 2段階認証とは ID・パスワードの他に、その時々で生成されるコードを使って認証する方法。手間は掛かりますが、アカウント乗っ取りを防ぐ上で効果があります。 今回ご紹介するのは「下準備編」。なぜかというと Apple ID の2段階認証を利用するには、申し込んでから約3日間は待つ必要があるから
OS X キーチェーンから環境変数をセットするツールを作りました - クックパッド開発者ブログ
こんにちは、技術部の福森 (@sora_h) です。 最近は環境変数に API トークンや credential といった認証情報を入れる事が増えてきています。 たとえば、AWS を利用するツールでは AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY といった環境変数にだいたいの場合で対応しています。 そのため、~/.bashrc や ~/.zshrc などシェルの設定に export を書いておき常に使える状態にしている方も多いと思いますが、 それって実は危険ではないでしょうか? 例えば、下記のようなリスクが考えられます: 意図せず情報が利用されて意図しない副作用が発生してしまう危険性 本番に変更を与えるつもりはなかったけれど事故を起こしてしまう等 悪意のあるスクリプトを実行した際に環境変数を送信などされてしまう危険性 事故や漏洩を防ぐためにも、筆者はかな
JavaScriptでセキュアなコーディングをするために気をつけること – cybozu developer network
（著者：サイボウズ kintone開発チーム 天野 祐介） kintoneはJavaScriptを使って自由にカスタマイズすることができます。 カスタマイズにより独自のリッチなUIを構築したり、新しい機能を追加したりできるようになりますが、セキュアなコーディングをしないとクロスサイトスクリプティング脆弱性を作り込んでしまう危険性があります。 この記事では、JavaScriptでセキュアなコーディングをするための基本的な点を解説します。 主な原因 脆弱性を作り込む主な原因になるコードは、要素の動的な生成です。特に、レコード情報などのユーザーが入力した値を使って要素を生成するときに脆弱性が発生しやすくなります。 対策 document.write()やelement.innerHTMLを使って要素を生成するときは、コンテンツとなる文字列をかならずHTMLエスケープするようにしましょう。 以下は
艦隊これくしょんの通信がとてもじゃないけど見てられない
その文字列検索、std::string::findだけで大丈夫ですか？【Sapporo.cpp 第8回勉強会（2014.12.27）】Hiro H.
豪公共交通システム、Webサイトの脆弱性を報告した少年を警察に通報 | スラド セキュリティ
16歳の少年がオーストラリア・ビクトリア州の公共交通システム、Public Transport Victoria(PTV)のWebサイトで脆弱性を発見して報告したが、PTVは不正アクセスを受けたとして警察に通報したそうだ(The Ageの記事1、 The Ageの記事2、 Wiredの記事、 本家/.)。 この少年が見つけたのはSQLインジェクションの脆弱性で、旧公共交通システムMetlinkのオンラインストア利用者の名前や住所、電話番号、メールアドレス、クレジットカード番号の一部といった個人情報が保存されたデータベースにアクセス可能だったとのこと。少年は12月26日にPTVに脆弱性を報告したが、何の反応もなかったという。その後、少年からこの件について連絡を受けたFairfax Mediaが1月6日に問い合わせたところ、PTVは不正アクセスを受けたとして警察に通報。少年に対する警察からの接
【三重】 ウィンドウズＸＰ期限切れ、自治体「サイバー攻撃は滅多にあるもんじゃないし、別に不安は無い」 : 痛いニュース(ﾉ∀`)
【三重】 ウィンドウズＸＰ期限切れ、自治体「サイバー攻撃は滅多にあるもんじゃないし、別に不安は無い」 1 名前：そーきそばΦ ★：2013/10/06(日) 12:23:03.99 ID:???0 米マイクロソフト社の基本ソフト「ウィンドウズＸＰ」のサポートが来年４月で切れる「２０１４年問題」。サポート切れのＸＰを使い続けることは「ヘルメットなしでバイクに乗る」と例えられるほど、サイバー攻撃の危険は高まるが、自治体の更新作業は遅れている。専門家は「住民情報を扱う自治体は、セキュリティー対策を講じる責任がある」と指摘している。 ◆「たぶん大丈夫」 三重県四日市市の公用パソコンは約４０００台。このうち、ＸＰの後継ソフト「７」は わずか０・５％の２０台。残りはＸＰのままだ。 更新のための予算約６億円は来年度予算で確保できる見込みだが、導入が始まるのは 来年８月から。戸籍や住民票を扱う業務システム
Webアプリケーション向けのセキュリティスキャナ「skipfish」を使う | OSDN Magazine
近年では多くの分野でWebアプリケーションが使われるようになり、大量の個人情報や重要な秘密情報を扱うようなアプリケーションも少なくない。そのため、Webアプリケーションも攻撃対象として狙われやすくなっている。今回はWebアプリケーションのセキュリティ対策として、Googleが公開しているセキュリティ調査ツール「skipfish」を使ったセキュリティスキャンを紹介する。 Webアプリケーションに特化したセキュリティ調査ツール「skipfish」 今日では、Webブラウザ経由でさまざまな操作を行えるWebアプリケーションが広く浸透している。Webブラウザは最近のほぼすべてのPCにインストールされており、専用のクライアントを用意せずにアプリケーションを操作できるというのがその浸透の理由の1つだ。しかし、Webアプリケーションでは簡単にその一部（HTMLやJavaScript）のソースコードを閲覧
そのドメイン名、使い終わった後も面倒を見続ける覚悟がありますか？:Geekなぺーじ
2013年参議院議員通常選挙の広報活動を目的として、2013senkyo.jpというドメイン名が登録(および利用)されています。 これに限らず、このような形で各案件ごとに専用のドメイン名を利用したPR活動が、世界中で頻繁に行われています。 公開予定の映画のタイトルや期間限定で発売される商品名をドメイン名に使ったプロモーションなどが、その典型的なものであるといえるでしょう。 しかし、そのような形態で登録・利用されているいわば「期間限定のドメイン名」では、「使い終わった後のこと」が、しばしば忘れ去られてしまうことがあります。 たとえば、今回取り上げた2013senkyo.jpは汎用JPドメイン名です。 汎用JPドメイン名は日本国内に住所があれば誰でも登録できます。 そのため、仮に今回の選挙終了後にこのドメイン名の使用を終了した場合、登録料さえ払えば基本的に誰でもこのドメイン名を再登録し、次の登
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
実は危ない、パスワードの定期変更 - 日本経済新聞
Engadget | Technology News & Reviews
Expired
TLSに新たな脆弱性「Logjam」、多数のサーバーや主要ブラウザーに影響 
添付ファイルにパスワードをかけ、別メールで送る無意味な行為について - Windows 2000 Blog
http://news.itmedia.co.jp/20140414/008108
ごりゅご.com
