Docker が俺の Postgres を勝手に全世界に公開しやがって色々怒られた話 - Qiita
こちらは 「本番環境などでやらかしちゃった人 Advent Calendar 2023」 22 日目の記事になります。 はじめに Happy Coding!🤶 みなさん年末いかがお過ごしでしょうか。 私は卒論の抄録執筆が終わらないし、今年体調崩しまくってるしで泣きそうです😭 この記事では「Docker が俺の Postgres を勝手に全世界に公開しやがって色々怒られた話」について述べていきたいと思います。 ※所属団体の関係で、技術的な話以外のところの一部で詳しく話せないところはぼかしたり、デタラメなことで置き換えたりしています。ご了承ください。 背景 私は大学 4 年で、働いているという訳でもなく、 個人やちょっとした団体で Web アプリや API サーバなどを作って、みんなが使えるようにしています。 今回は数年前に起こった、とある団体でのお話です。 サービス構成 そこではオンプレ
【セキュリティ ニュース】「OpenSSL」にセキュリティアップデート - 脆弱性9件を解消（1ページ目 / 全1ページ）：Security NEXT
OpenSSLの開発チームは、複数の脆弱性に対処したセキュリティアップデート「OpenSSL 3.0.8」「同1.1.1t」をリリースした。 バージョンによって影響は異なるが、今回のアップデートであわせて9件の脆弱性に対応している。4段階ある重要度においてもっとも高い「クリティカル（Critical）」とされる脆弱性は含まれていない。 重要度が2番目に高い「高（High）」とされる脆弱性は「CVE-2023-0286」の1件。「X.509 GeneralName」における「X.400」のアドレス処理において型の取り違えが生じ、サービス拒否に陥るおそれがあるという。 このほか「Use After Free」の脆弱性「CVE-2023-0215」をはじめ、ダブルフリーの脆弱性「CVE-2022-4450」、NULLポインタ参照の脆弱性「CVE-2023-0217」「CVE-2023-0401」
【セキュリティ ニュース】GitHubからコード署名証明書が漏洩か - Mac版プログラムに影響（1ページ目 / 全2ページ）：Security NEXT
GitHubは、「GitHub Desktop」「Atom」の一部バージョンでコード署名に利用した証明書を現地時間2月2日に失効させると発表した。macOS版ではアップデートなど対応が必要となる。 一部プログラムの署名に利用した証明書が同社リポジトリより漏洩した可能性があることが判明したもの。 これらプログラムの開発などに用いていた同社関連リポジトリが、2022年12月6日にマシンアカウントに関連付く侵害された「個人用アクセストークン（PAT）」によって複製されたという。 同社では翌日7日に問題を把握。問題のトークンを失効させて影響を調べたところ、問題のリポジトリに複数の暗号化されたコードサイニング証明書が保管されていたことが判明した。 現地時間1月30日の時点で攻撃者によって証明書を復号されたり、悪用されたといった報告はないが、復号されると悪意あるプログラムの署名に悪用されるおそれがある
JavaのLog4jライブラリで「Log4Shell」に加えて新たな脆弱性「CVE-2021-45046」が発覚、アップデートで対応可能
Javaのログ出力ライブラリであるLog4jで、任意のコードをリモート実行される深刻な脆弱(ぜいじゃく)性・CVE-2021-44228、通称「Log4Shell」が発見されました。Log4jを提供するApacheソフトウェア財団(ASF)は、さらに新たな脆弱性・CVE-2021-45046が発覚したと報告しており、Log4jをバージョン2.16.0以降にアップデートするように呼びかけています。 CVE - CVE-2021-45046 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046 CVE-2021-45046- Red Hat Customer Portal https://access.redhat.com/security/cve/cve-2021-45046 Log4Shell Update: Secon
Appleの脆弱性報奨金プログラムへ送られた脆弱性が半年間も未修正であると判明、発見者は「失望した」としてゼロデイ脆弱性を公開
自社製品の脆弱性に関する報告に報奨金を支払う脆弱性報奨金制度は、MicrosoftやGoogleなど多くの企業が導入しています。Appleも2019年に同様のプログラムである「Apple Security Bounty」を開始しましたが、同プログラムを利用したソフトウェアエンジニアであるジェフ・ジョンソンが「報告した脆弱性が半年間も修正されていない」と自身のブログ上で明かしました。 Disclosure: Another macOS privacy protections bypass https://lapcatsoftware.com/articles/disclosure2.html ジョンソン氏がAppleに報告した脆弱性は、macOSに搭載されているセキュリティフレームワーク「Transparency Consent and Control(TCC)」に関するもので、発見したのは
JVNTA#95827565: UPnP プロトコルを実装した機器に対する攻撃手法について(CallStranger)
UPnP プロトコルを実装した機器に対する攻撃手法が報告されています。 インターネットからアクセス可能な UPnP 機器は、DDoS 攻撃に悪用されたり、機器内部の情報を外部に送信させられたりする可能性があります。 UPnP (Universal Plug-and-Play) は、ネットワーク上の機器の自動検出や機器間の通信を規定したプロトコルです。 UPnP プロトコルは UPnP フォーラムで策定され、その後 2016年には OCF (Open Connectivity Foundation) に移管されています。 UPnP プロトコルを実装した機器は、インターネットからアクセスできない、組織内ネットワーク(LAN)で使用されることが想定されています。しかし、実際にはインターネットから直接アクセス可能な機器が多く存在することが知られています。 UPnP プロトコルでは、サービスを提供す
【セキュリティ ニュース】「VMware Workstation」に深刻な脆弱性 - アップデートが公開（1ページ目 / 全1ページ）：Security NEXT
「VMware Workstation」など複数製品に脆弱性が含まれていることがわかった。VMwareではアップデートをリリースしている。 「VMware Workstation」および「VMware Fusion」の「vmnetdhcp」に、解放後のメモリを使用するいわゆる「Use After Free」の脆弱性「CVE-2020-3947」が明らかになったもの。 脆弱性を悪用されると、ゲストマシンからホスト上でコードを実行されたり、「vmnetdhcp」がサービス拒否に陥るおそれがある。共通脆弱性評価システム「CVSSv3」のベーススコアは「9.3」で、重要度は「クリティカル（Critical）」とレーティングされている。 またゲストマシンにおいて仮想プリント機能を有効化している場合に、権限の昇格が生じるおそれがある「CVE-2020-3948」が判明した。「CVSSv3」のベーススコ
Apple、パスワードなしで管理者ログインできる脆弱性を修正 ユーザーに謝罪
AppleのmacOS High Sierra（バージョン10.13）に、パスワードを入力しなくても管理者権限でログインできてしまう脆弱性が発見された問題で、Appleは11月29日、この脆弱性を修正するセキュリティアップデート「2017-001」を緊急公開した。 Appleのセキュリティ情報によると、認証情報の検証に関するログインエラーがあり、攻撃者が管理者パスワードを入力しなくても、管理者認証を迂回できてしまう可能性がある。 今回のアップデートはmacOS High Sierra 10.13.1のみが対象となる。一方、macOS Sierra 10.12.6までのバージョンは影響を受けないとしている。 なお、自分のMacで管理者用のrootユーザーアカウントを必要とする場合、今回のアップデートを適用後、rootユーザーを再度有効にして、rootユーザーのパスワードを変更する必要があると
最新版macOSでパスワード入力時に「ヒントを表示」ボタンを押すとパスワードが表示される不具合 | スラド セキュリティ
最新版macOSであるmac OS High Sierra 10.13で、パスワード入力ダイアログの「パスワードのヒント」ボタンを押すと、ヒントではなくパスワードが表示されるという不具合が発見された（PC Watch）。10月5日付けでこの問題を修正するアップデートがリリースされている（Appleのサポートページ）。 Appleによると、この問題はmacOS High Sierra 10.13で、ディスクユーティリティでAPFS形式の暗号化ボリュームを作成した場合にパスワードをヒントとして保存してしまうために発生するという。アップデートでこの問題が修正され、またヒントにパスワードが設定されていた場合はそのヒントを消去するとのこと。
Mac用ターミナルアプリ「iTerm 2」の機能により、パスワードを含む表示されたテキストがDNSサーバーに送られてしまう問題が確認される。
Mac用多機能ターミナルアプリ「iTerm 2」の”DNS Look”機能により、パスワードを含む表示されたテキストがプレーンテキストのままDNSサーバーに送られてしまう問題が確認され、開発者のGeorge Nachmanさんが最新の「iTerm 2 v3.1.1」へアップグレードする様に求めています。詳細は以下から。 オランダPowerDNS.COM BVのエンジニアPeter van Dijkさんによると、Mac用の多機能ターミナルエミュレータアプリ「iTerm 2」に、ユーザーが入力したパスワードなどがプレーンテキストの状態で誤ってDNSサーバーへ送られてしまう不具合が含まれているとして、至急iTerm 2のオプションを無効にする様に求めています(確認されたのはiTerm 2 v3.0.15およびmacOS 10.12.6)。 Detailed steps to reproduce
AWSアクセスキーをGitリポジトリに混入させないために git-secrets を導入した | DevelopersIO
先日開催されたAWS Summit Tokyo 2017、わたしもいくつかセッションを聴講してきたのですが、「DevSecOps on AWS - Policy in Code」というセッション1にてgit-secretsというツールが紹介されていました。 awslabs/git-secrets: Prevents you from committing secrets and credentials into git repositories これ以外にも、いくつかのセッションで言及されていたと思います。 git-secretsのことは以前から聞いてはいたのですが、自分自身があまりコードを書く環境にいなかったので、良くないとは思いつつも今まであまり気にしていませんでした。 ただ、AWSアクセスキーの漏洩が原因と思われる話を聞く機会はなかなか減りませんし、考えてみれば自分でも、AWSクレデ
Windows XPでランサムウェア「WannaCry」の被害が少なかった一因は「ブルースクリーン・オブ・デス」
by Acid Pix 2017年5月に世界的に広がり話題となったランサムウェア「WannaCrypt(WannaCry)」について、Windows XP環境ではいち早く研究者が暗号化解除ツール「Wannakey」を公開するという対応が取られました。その過程で、Windows XP環境ではそもそもWannaCryに感染しづらいらしい状況が報告されていましたが、その要因の1つが、Windows 10ではほとんど出会わなくなった「ブルースクリーン・オブ・デス」だったようです。 WannaCry: Two Weeks and 16 Million Averted Ransoms Later https://blog.kryptoslogic.com/malware/2017/05/29/two-weeks-later.html Windows XP computers were mostly i
IPv6でセキュリティがスカスカになってませんか？:Geekなぺーじ
さくらインターネットが、VPSの標準OSイメージでIPv6設定デフォルト無効化を発表しました。 さくらのVPS、標準OSイメージの仕様変更のご連絡 (IPv6設定デフォルト無効化) 発表では、以下のようにあります。 初期状態のおけるセキュリティ向上のため、以下のOSについてIPv6のデフォルト無効化を実施いたします。 有効化手順につきましては、ヘルプページをご用意しておりますのでそちらをご確認ください。 個人的には、IPv6が普及しつつある現状に対する一歩先を行く対応だと思いました。 流石だなぁと。 気づかずに放置されるIPv6セキュリティ 現段階では、IPv6環境でのセキュリティが放置されがちです。 IPv4環境とIPv6環境のセキュリティの差に関して述べられている発表が昨年ありました。 ITU/APNIC/MICT IPv6 Security Workshop : Securing t
SHA-1ハッシュの衝突を現実的な時間で生成する攻撃「Shatterd」 | スラド セキュリティ
オランダ・CWI AmsterdamとGoogleの研究チームは23日、SHA-1ハッシュ値の衝突を現実的な時間で生成する攻撃手法「Shattered (SHAtterd)」を発表した(CWIのニュース記事、 Google Security Blogの記事、 Phoronixの記事、 Ars Technicaの記事、 論文: PDF)。 Shattered攻撃は多数の暗号解析技術を組み合わせたもので、同じSHA-1ハッシュ値を持ち、内容の異なる2つのPDFファイルの生成などが可能だ。高速といっても263回の試行が必要となり、攻撃の第1フェーズは6,500 CPUで1年間、第2フェーズは110 GPUで1年間を要する。それでもブルートフォース攻撃と比較すると10万倍以上高速だという。shatterd.ioではPoCとして、同じSHA-1ハッシュ値で内容の異なる2つのPDFファイル (PDF
yumのセキュリティアップデートコマンドはCentOSでは効果がない - Qiita
yum経由でセキュリティアップデートをしようとyum-plugin-securityをインストールし、 yum --security upgrade-minimalを実行しました。 しかし、セキュリティパッチが存在するにも関わらず、 何度実行してもNo Packages marked for minimal Updateというメッセージしか出ません。 これはCentOSのリポジトリにセキュリティ情報が存在しないためです。 RHELやAmazon Linuxでは問題なく利用できるようです。 どうしてもCentOSでセキュリティアップデートしたい場合は、 https://github.com/vmfarms/generate_updateinfo を利用しましょう。 CentOS用にセキュリティ情報を更新しているサイトからデータを取ってくることで、 セキュリティアップデートが可能になります。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
sudo に環境変数の検証不備に起因する権限昇格が可能となる脆弱性（Scan Tech Report） | ScanNetSecurity
ノートンやAvast、Avira、AVGといった著名アンチウイルスが「Gen」に統合
Android版Slackに危険なバグの可能性。とるべき対応は？ | ライフハッカー・ジャパン
Bluetoothでペアリング済み機器になりすませる脆弱性
Vim or NeoVimを使っている人は、すぐにアップデートしましょう [CVE-2019-12735] - Qiita![Vim or NeoVimを使っている人は、すぐにアップデートしましょう [CVE-2019-12735] - Qiita](https://cdn-ak-scissors.b.st-hatena.com/image/square/8143972eeef89b728fefc98347dd2bd0ab8b4331/height=288;version=1;width=512/https%3A%2F%2Fqiita-user-contents.imgix.net%2Fhttps%253A%252F%252Fcdn.qiita.com%252Fassets%252Fpublic%252Farticle-ogp-background-412672c5f0600ab9a64263b751f1bc81.png%3Fixlib%3Drb-4.0.0%26w%3D1200%26mark64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-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%26mark-x%3D142%26mark-y%3D57%26blend64%3DaHR0cHM6Ly9xaWl0YS11c2VyLWNvbnRlbnRzLmltZ2l4Lm5ldC9-dGV4dD9peGxpYj1yYi00LjAuMCZoPTc2Jnc9NzcwJnR4dD0lNDBzeXVpJnR4dC1jb2xvcj0lMjMyMTIxMjEmdHh0LWZvbnQ9SGlyYWdpbm8lMjBTYW5zJTIwVzYmdHh0LXNpemU9MzYmdHh0LWFsaWduPWxlZnQlMkN0b3Amcz0yZTFhMzA4ZDk1NGM4NWZmNjVmMGUxYWJlNmFlNjFkNA%26blend-x%3D142%26blend-y%3D486%26blend-mode%3Dnormal%26s%3D20f0bd4e25aa78d36ddc10c30810d251)
