【セキュリティ ニュース】Dropboxの電子署名サービスに不正アクセス - 顧客情報が流出（1ページ目 / 全2ページ）：Security NEXT
Dropboxは、同社の電子署名サービス「Dropbox Sign（旧HelloSign）」がサイバー攻撃を受けたことを明らかにした。 同社によると、現地時間4月24日に同サービスの本番環境が侵害されたことを把握したもので、調査を行ったところ、顧客情報などもアクセスされていたことが判明したという。 具体的には、メールやユーザー名、電話番号、ハッシュ化済みパスワード、アカウント設定にくわえ、APIキー、OAuthトークン、多要素認証などの認証情報を含むデータに対してアクセスが行われていた。 同サービスを利用していない場合でも、同サービス経由で文書を受け取ったことがある場合、メールアドレスや氏名が流出したおそれがある。 攻撃者は、同サービスで利用する自動システム構成ツールにアクセスし、本番環境の操作権限を持つバックエンドのサービスアカウントを侵害。同アカウント経由で顧客のデータベースに不正アク
【セキュリティ ニュース】Palo Alto Networksの「PAN-OS」にゼロデイ脆弱性 - パッチを準備中（1ページ目 / 全1ページ）：Security NEXT
Palo Alto Networksが提供するファイアウォールに搭載されている「PAN-OS」のリモートアクセス機能に深刻な脆弱性が明らかとなった。悪用されると影響が大きく、すでにゼロデイ攻撃も確認されている。 現地時間4月12日にセキュリティアドバイザリを公開し、「PAN-OS」が備えるリモートアクセスVPN機能「GlobalProtect Gateway」にコマンドインジェクションの脆弱性「CVE-2024-3400」が見つかったことを明らかにしたもの。「GlobalProtect Gateway」とデバイステレメトリ機能のいずれも有効化している場合に影響を受ける。 脆弱性を悪用すると、認証を必要とすることなくファイアウォール上でroot権限により任意のコードを実行することが可能。共通脆弱性評価システム「CVSSv4.0」のベーススコアを、最高値となる「10.0」、重要度をもっとも高い
Silk Typhoon targeting IT supply chain | Microsoft Security Blog
Executive summary: Microsoft Threat Intelligence identified a shift in tactics by Silk Typhoon, a Chinese espionage group, now targeting common IT solutions like remote management tools and cloud applications to gain initial access. While they haven’t been observed directly targeting Microsoft cloud services, they do exploit unpatched applications that allow them to elevate their access in targete
【セキュリティ ニュース】「Zabbix」に権限昇格が可能となる深刻な脆弱性 - パッチ適用を（1ページ目 / 全1ページ）：Security NEXT
システム監視ソフトウェア「Zabbix」において権限の昇格が可能となる脆弱性が明らかとなった。重要度が「クリティカル」とレーティングされており、アップデートが呼びかけられている。 一部関数にSQLインジェクションの脆弱性「CVE-2024-42327」が明らかとなったもの。バグ報奨金プログラムを通じて報告を受けた。「同7.0.0」「同6.4.16」「同6.0.31」および以前のバージョンに影響がある。 フロントエンドにおけるデフォルトのユーザーロールを持つか、APIに対するアクセスが可能であるロールを持つ場合に、ネットワーク経由で権限の昇格が可能になるという。 Zabbixは、同脆弱性について共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.9」と評価。重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。 同社は「同7.0.1rc1」「同6
Compulocks、新デザインのMac mini (2024)に対応したセキュリティロックマウント「Maclocks Mac mini M4 2024 Security Mount with Lock Head」を発売。
CompulocksがApple M4チップ搭載のMac mini (2024)に対応したセキュリティロックマウント「Maclocks Mac mini M4 2024 Security Mount with Lock Head」を12月に発売すると発表しています。詳細は以下から。 PCやタブレット用のセキュリティロックを開発＆販売するイスラエルのCompulocks Inc.は現地時間2024年11月13日、MacBook Air/ProシリーズやMac mini/Studio/Pro向けのセキュリティロックシステムを提供する同社のMaclocksブランドから、新たにApple M4/M4 Proチップを搭載したMac mini (2024)対応のセキュリティロックマウント「Maclocks Mac mini M4 2024 Security Mount with Lock Head (
Picus Security発表：「露出検証」で脆弱性対応を90%効率化 ─ Gartner推奨のCTEMアプローチとは - イノベトピア
Last Updated on 2024-10-30 18:57 by admin Picus Securityの共同創設者兼研究部門副社長であるDr. Suleyman Ozarslanが、サイバーセキュリティにおける「露出検証（Exposure Validation）」の重要性について解説する記事を発表した。 この手法は以下の特徴を持つ： 脆弱性の中から実際に脅威となるものだけを特定し、対処する 自動化されたツールにより、数千の脆弱性を迅速に検証可能 既存のセキュリティ対策で防御できる脆弱性を除外する 具体例として、ある金融サービス企業では1,000個の脆弱性のうち、検証の結果90%が既存の対策（NGFW、IPS、EDR）で防御可能であることが判明し、実際に対処が必要な重大な脆弱性は100個のみだったことが報告された。 この手法は、Gartnerが2024年の戦略的ロードマップで提唱す
【セキュリティ ニュース】Windows環境の「PHP」脆弱性、ランサムの標的に - 他脆弱性にも注意（1ページ目 / 全2ページ）：Security NEXT
「PHP 8.3.8」「同8.2.20」「同8.1.29」で修正された深刻な脆弱性に対する攻撃が観測された。ランサムウェアの感染活動などに悪用されている。 脆弱性「CVE-2024-4577」は、「CGI」モジュールに判明した脆弱性。過去に修正された「CVE-2012-1823」をバイパスし、リモートよりコードを実行されるおそれがある。Windows環境で利用している場合にのみ影響を受ける。 すでに同脆弱性の悪用がはじまっている。Impervaでは、ウェブシェルの設置やランサムウェア「TellYouThePass」の感染活動に悪用されたことを観測したという。 また「PHP 8.3.8」「同8.2.20」「同8.1.29」に関しては、「CVE-2024-4577」以外に複数の脆弱性が修正されたことも明らかとなっている。 別名「BatBadBut」として修正された脆弱性のひとつである「CVE-
【セキュリティ ニュース】アルバイトが業務上知り得た個人情報を漏洩 - 河合塾進学研究社（1ページ目 / 全1ページ）：Security NEXT
予備校や学習塾を経営する河合塾進学研究社は、業務上知り得た一部個人情報が漏洩したことを明らかにした。 同社によれば、4月22日に秋葉原館で同社アルバイトが業務上知り得た2人分の個人情報を漏洩したもの。 同社では、アルバイト含むスタッフ全員に対し就業前研修や年に一度の研修を実施するなど情報漏洩対策をこれまでも講じてきたと説明。 今回の問題を受け、同社ではあらためて個人情報管理体制の見直しを実施。スタッフに対する教育を徹底するとしている。 （Security NEXT - 2024/05/09 ） ツイート
2025年4月、国立感染症研究所（NIID）と国立国際医療研究センター（NCGM）が統合し、「国立健康危機管理研究機構（JIHS）」が発足しました。
LAC Security Insight 第8号 2024 春 ペネトレーションテストから見る脅威の傾向 | LAC WATCH
本レポートは、ラックの中でもサイバー攻撃の脅威に対して最前線で対応しているJSOCおよびサイバー救急センター、そして攻撃者が利用するサイバー攻撃手法も採り入れてお客様のシステムへ侵入テストを行うデジタルペンテスト部において、分析・調査・侵入テストを実施する中で得た最近の脅威の傾向や特徴を、セキュリティ専門家が「洞察」としてまとめたものです。 日々発生している実際の攻撃やインシデントに根ざしており、また日本の企業や団体を狙った脅威を中心にまとめているため、日本の企業や団体のサイバーセキュリティ担当者が、自組織が直面しているサイバー攻撃や脅威を把握できる内容です。 サイバー119で出動したインシデント傾向 サイバー119の出動傾向：2024年1月～3月 当該期間では、マルウェア関連による被害の相談が30%、およびサーバ不正侵入による被害の相談が47%であり、両者で全体の77%を占めています。
【Security Hub修復手順】[Inspector.4] Amazon Inspector Lambda 標準スキャンを有効にする必要があります | DevelopersIO
【Security Hub修復手順】[Inspector.4] Amazon Inspector Lambda 標準スキャンを有効にする必要があります 皆さん、お使いのAWS環境のセキュリティチェックはしていますか？ 当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。 本記事の対象コントロール [Inspector.4] Amazon Inspector Lambda 標準スキャンを有効にする必要があります [Inspector.4] Amazon Inspector Lambda standard scanning should be enabled 前提条件 本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります
![【Security Hub修復手順】[Inspector.4] Amazon Inspector Lambda 標準スキャンを有効にする必要があります | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/ad9624ef3c3eec726d644036ee7ce06f3a9792ac/height=288;version=1;width=512/https%3A%2F%2Fimages.ctfassets.net%2Fct0aopd36mqt%2Fwp-thumbnail-e71a738589e583b65670923628e8b6f4%2F45568b9fd457506bd2f3d6fd304d4b6a%2Faws-security-hub)
多数のFortinetインスタンスが現在悪用されている欠陥に対して脆弱：CVE-2024-23113 | Codebook｜Security News
多数のFortinetインスタンスが現在悪用されている欠陥に対して脆弱と判明（CVE-2024-23113）The Register – Mon 14 Oct 2024 米CISAが9日、KEVカタログ（悪用が確認済みの脆弱性カタログ）に追加し、連邦政府各機関に対応を呼びかけていたFortiOSのCVE-2024-23113。Shadowserverが公開した10月13日時点のデータによると、8万6,000以上のFortinetインスタンスがいまだこの欠陥に対して脆弱だという。また、当該欠陥の影響を受けている機器の大半がアジア（38,778台）に位置していることや、北米（21,262台）とヨーロッパ（16,381台）がこれに続いていることが明らかとなった。なお、日本における脆弱なインスタンス数は「5,184」。 CVE-2024-23113は、fgfmdデーモンのフォーマット文字列に関する
【セキュリティ ニュース】システムの仕様を知らずメール誤送信が発生 - 東京都福祉保健財団（1ページ目 / 全1ページ）：Security NEXT
東京都福祉保健財団は、研修受講者へメールを送信した際、メールアドレスが流出したことを明らかにした。 同財団によれば、7月8日に担当者が研修受講者472人にメールを送信した際、メールアドレスが宛先として設定され、流出したもの。 メール送信にあたり、研修で使用するシステムの「お知らせ機能」にあった「メール送信機能」をはじめて使用。他担当者の確認を経て案内メールを送信したものの、「お知らせ」機能は宛先欄にメールアドレスを挿入するしくみだった。 流出後にシステム会社に確認したことで宛先にメールアドレスが設定される仕様であることを把握したという。 同財団では、対象となる受信者に謝罪。誤送信したメールの削除を依頼した。研修時にあらためて謝罪を行っている。 今回の問題を受けて、今回利用した送信機能を廃止。他機能に関してもセキュリティ上のリスクがないか検証するとしている。 （Security NEXT -
Passkeys enhance security and usability as AWS expands MFA requirements | Amazon Web Services
AWS Security Blog Passkeys enhance security and usability as AWS expands MFA requirements Amazon Web Services (AWS) is designed to be the most secure place for customers to run their workloads. From day one, we pioneered secure by design and secure by default practices in the cloud. Today, we’re taking another step to enhance our customers’ options for strong authentication by launching support fo
【セキュリティ ニュース】「macOS Sonoma 14.6」をリリース - 脆弱性69件を修正（1ページ目 / 全1ページ）：Security NEXT
Appleは、Mac向け最新OSとなる「macOS Sonoma 14.6」をリリースした。複数の脆弱性を解消している。 「macOS Sonoma 14.6」では、CVEベースであわせて69件の脆弱性を修正。 カーネルに関する脆弱性3件、セキュリティに関する3件をはじめ、キーチェーン、サンドボックスのほか、ショートカット、Siri、WebKitなど多岐にわたる脆弱性へ対処した。 サードパーティ製ソフトウェアに関する脆弱性の修正も含まれる。「OpenSSH」に明らかとなった別名「regreSSHion」としても知られる「CVE-2024-6387」を修正。「curl」に関する脆弱性4件のほか、「Apache HTTP Server」に関する脆弱性3件なども修正した。 同日「macOS Ventura 13.6.8」「macOS Monterey 12.7.6」をリリースしており、それぞれ4
【セキュリティ ニュース】自立支援医療利用者の個人情報含むメディアを紛失 - 北九州市（1ページ目 / 全1ページ）：Security NEXT
福岡県北九州市は、自立支援医療利用者の個人情報が記録されたメディアを紛失したことを明らかにした。誤って廃棄した可能性があるという。 同市によれば、自立支援医療利用者の5月診療分保険診療報酬支払基金連名簿データが記録された光ディスク1枚を紛失したもの。推定約1万件のデータが記録されており、氏名、年齢、生年月日、性別、医療機関コードなどが含まれる。パスワードが設定されているという。 7月10日に請求書とディスクが入った封筒を担当者が受領。同月23日に名簿データを使って業務をしようとしたが、パソコンにデータがダウンロードされていないことに気づいたという。 メディアを外部に持ち出すことはなく、7月26日の時点で被害の報告なども受けていない。領後日に支払処理のために請求書を取り出し、処理を終えたあとに封筒を廃棄しており、その際に廃棄した可能性があると説明している。 （Security NEXT -
独自調査のWeb脆弱性検出数ランキング 「GMO Flatt Security Top 10」2025年版を発表 ～検出数最多の「認可制御不備」をはじめとして アプリケーションのビジネスロジックに関わるものが半分以上～ GMOインターネットグループでプロダクト開発組織に向けたサイバーセキュリティ関連事業を展開するGMO Flatt Security株式会社（代表取締役社長：井手 康貴 以下、GMO Flatt Security）は、Webアプリケーションに存在する脆弱性に関する独自調査の最新版「GMO Flatt Security Top 10 2025」を2025年3月3日に公開しました。 検出数最多の「認可制御不備」をはじめとして、アプリケーションごとに固有の仕様を踏まえる必要がある「ロジックの脆弱性」が半数以上を占める結果となり、一般的な脆弱性対策に留まらない高度な対策の必要性を示す
Microsoftソリューション推進チームの若居和直です。 2024年4月に、セキュリティ運用サポートを行うマイクロソフト社の生成AIサービス「Microsoft Copilot for Security（以下、Copilot for Security）」が発表されました。皆さんは早速使っていますか？ Copilot for Securityはとても便利ですが、使い方によってはコストが思いがけず高くなることもあります。必要以上のリソースを割り当てていたり、管理が不十分だったりすると、予算オーバーになることも少なくありません。しかし、設定を適切に行うことでコストの最適化は可能です。 今回は、新時代のセキュリティ対応で夢が広がるCopilot for Securityを活用するにあたり、ラックで行っているコスト対策のポイントを4つお伝えします。 Copilot for Securityを使うに
GitHub - yogsec/Physical-Pentesting-Tools: Physical penetration testing is a critical aspect of security assessment that involves simulating real-world attacks to evaluate the effectiveness of physical security controls.
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
WordPress「Really Simple Security」に重大な脆弱性、400万サイトに影響 ー 2FA機能に認証バイパスの欠陥 - イノベトピア
WordPress「Really Simple Security」に重大な脆弱性、400万サイトに影響 ー 2FA機能に認証バイパスの欠陥 WordPressセキュリティプラグイン「Really Simple Security」に重大な脆弱性、400万サイトに影響 セキュリティ企業Wordfenceは2024年11月6日、WordPressプラグイン「Really Simple Security」に重大な認証バイパスの脆弱性を発見した。この脆弱性は、CVSSスコア9.8（最大10.0）と評価される深刻なもので、Really Simple Security ProおよびPro Multisiteプラグインのバージョン9.0.0から9.1.1.1に影響する。 影響を受けるサイト数：400万以上 対象バージョン：Really Simple Security Pro/Pro Multisite 9
Amplified exposure: How AWS flaws made Amplify IAM roles vulnerable to takeover | Datadog Security Labs
research Amplified exposure: How AWS flaws made Amplify IAM roles vulnerable to takeover April 15, 2024 aws vulnerability disclosure Key Points We identified two variants of a vulnerability in AWS Amplify that exposed identity and access management (IAM) roles associated with Amplify projects, allowing them to become assumable by anyone in the world. If the authentication component was removed fro
GitHub - orhun/flawz: A Terminal UI for browsing security vulnerabilities (CVEs)
You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert
【セキュリティ ニュース】「PostgreSQL」にアップデート、脆弱性を修正 - 「同12」はサポート終了へ（1ページ目 / 全1ページ）：Security NEXT
データベース「PostgreSQL」の開発チームは、現地時間11月14日にアップデートをリリースした。報告を受けた4件の脆弱性や35件以上のバグを修正している。 今回のアップデートでは、「PL/Perl」の環境変数を操作することでコードを実行されるおそれがある「CVE-2024-10979」を修正した。 セキュリティポリシーを回避してデータを操作できる可能性のある「CVE-2024-10976」や、セッションの認可において誤ったユーザーIDにリセットされる脆弱性「CVE-2024-10978」に対処。あわせて「libpq」におけるエラーメッセージ処理に関する脆弱性「CVE-2024-10977」を解消している。 共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、今回修正されたなかで「CVE-2024-10979」がもっとも高く、「8.8」と評価した。「CVE-2024-10
JVNVU#96058081 トレンドマイクロ製Deep Security Agentにおける不適切なアクセス制御の脆弱性
【セキュリティ ニュース】酪農事業者の個人情報をメールで誤送信 - 茨城県（1ページ目 / 全1ページ）：Security NEXT
茨城県は、県央農林事務所において、無関係の酪農事業者に関する個人情報含んだファイルをメールで誤送信する事故があったことを公表した。 同県によれば、8月14日に県央農林事務所の職員が、調査対象法人1件に対し、調査票の表計算ファイルを送信した際、非表示となっていた同法人以外の情報を削除して送信すべきところ、削除せずに送信するミスがあったという。 法人7件、個人97件の事業者情報が記載されており、氏名または事業者名、補助金額、飼養頭数などが記載されていた。 8月16日に県央農林事務所が送信したファイルを確認した際、調査対象外の酪農事業者の情報が含まれていることに気づいた。 同県では送信先の法人に対して謝罪し、誤送信したメールの削除を依頼し、削除された。情報が漏洩した酪農事業者には、電話で経緯の説明と謝罪を行っている。 （Security NEXT - 2024/08/20 ） ツイート
【セキュリティ ニュース】農林事務所より調査協力者リストを関係ない複数自治体に誤送信 - 茨城県（1ページ目 / 全1ページ）：Security NEXT
茨城県は、県内の農林事務所において、個人情報含むメールを誤って関係ない自治体へ誤送信するミスがあったことを明らかにした。 同県によれば、5月31日に鹿行農林事務所で、本来鉾田市のみへ送付すべきメールを、管轄する他の4市にも誤って送信するミスがあったという。 問題のメールには、4人分の氏名、住所、電話番号が記載された国産飼料調査協力者リストが添付されていた。 誤送信の直後に気づき、誤送信先となった4市に電話とメールで謝罪。メールの削除を依頼した。また、個人情報が流出した4人に謝罪を行っている。 （Security NEXT - 2024/06/17 ） ツイート
【セキュリティ ニュース】「Wget」非推奨機能に起因する脆弱性、アップデートで削除（1ページ目 / 全2ページ）：Security NEXT
GNUプロジェクトのコマンドラインツール「Wget」に脆弱性が明らかとなった。アップデートが提供されている。 「同1.24.5」および以前のバージョンにおいて、URLスキームを省略したURLを処理すると意図しない挙動が発生し、細工されたホストへ誘導される脆弱性「CVE-2024-10524」が判明したもの。 CVE番号を採番し、脆弱性を報告したJFrogによると、「CVE-2024-38428」の調査中に発見した脆弱性で、サーバサイドリクエストフォージェリ（SSRF）やフィッシング攻撃、中間者攻撃（MITM）などにつながるおそれがあると同社は指摘している。 共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.5」と評価しており、重要度を「中（Medium）」とレーティングした。 悪用には認証部分を制御できる必要があり、ユーザーの入力においてURLスキームが省略されることは少ない
AI & MLLearn about artificial intelligence and machine learning across the GitHub ecosystem and the wider industry. Generative AILearn how to build with generative AI. GitHub CopilotChange how you work with GitHub Copilot. LLMsEverything developers need to know about LLMs. Machine learningMachine learning tips, tricks, and best practices. How AI code generation worksExplore the capabilities and be
【セキュリティ ニュース】サポート詐欺で患者情報含むPCが遠隔操作できる状態に - 富田林病院（1ページ目 / 全1ページ）：Security NEXT
大阪府の富田林病院は、職員がサポート詐欺に遭い、患者情報が保存されたパソコンが遠隔操作されたことを明らかにした。情報流出は確認されていないという。 同院によれば、2月29日に職員が個人で使用しているパソコンでインターネットを利用していたところ、いわゆる「サポート詐欺」の被害に遭い、パソコンを遠隔より操作できるアプリケーションをダウンロードさせられた。 被害を受けた端末内のデータを調べたところ、特定診療科の患者の診療内容などが保存されていたことが判明したという。 同端末は、第三者により20分程度遠隔操作が可能だった。端末やデータについて調査したところ、患者情報にアクセスし、抜き取られた形跡などは確認されていないとしている。 同院では、パソコンに情報が保存されていた患者に対し、個別に報告を行った。 （Security NEXT - 2024/04/12 ） ツイート
AWS Security Hubで複数リージョン複数コントロールをまとめて無効化するシェルスクリプトを作ってみた | DevelopersIO
複数あるグローバルリソースのコントロールを複数リージョンまとめて無効化したい こんにちは、のんピ(@non____97)です。 皆さんはSecurity Hubで複数あるグローバルリソースのコントロールを複数リージョンまとめて無効化したいと思ったことはありますか? 私はあります。 先日、Security Hubでグローバルリソースの課金を抑えるためには「一つのリージョンでのみグローバルリソースを対象としたコントロールを有効化し、その他のリージョンでは無効化するべき」ということを紹介しました。 こちらの対応をしない場合のコストインパクトについては以下記事が分かりやすいです。 では、コントロールの無効化はどのように行えば良いでしょうか。 2024/6/16時点でグローバルリソースを含む Security Hub コントロールは49個あります。詳細は以下AWS公式ドキュメントをご覧ください。 私
AWS Security Hubの特定のコントロールで、対象のリソースと更新時間が同一のチェック内容が複数表示されるはなぜですか？ | DevelopersIO
AWS Security Hubの特定のコントロールで、対象のリソースと更新時間が同一のチェック内容が複数表示されるはなぜですか？ 困ったこと AWS Security Hubのコントロール[IAM.3]を確認したところ、アカウントID、リージョン、リソース名、更新時間が同一であるチェック内容が2つ存在していました。なぜ2つあるのでしょうか？ 理由 これは、AWS Security Hubで複数のセキュリティ基準を有効化しており、それぞれのセキュリティ基準に同一のコントロール内容が含まれているためです。 このような現象は、AWS Security Hubで複数のセキュリティ基準を有効化している場合に発生します。 今回、以下の２つが有効化されていました。 CIS AWS Foundations Benchmark v1.4.0 AWS 基礎セキュリティのベストプラクティス v1.0.0 AW
【セキュリティ ニュース】「iOS」「iPadOS」のアップデート公開 - ゼロデイ脆弱性を修正（1ページ目 / 全1ページ）：Security NEXT
Appleは現地時間11月19日、「iOS」および「iPadOS」向けに複数の脆弱性を修正するセキュリティアップデートをリリースした。すでに悪用されている可能性があるという。 「iOS 18.1.1」および「iPadOS 18.1.1」、さらに「iOS 17.7.2」「iPadOS 17.7.2」をリリースした。これらアップデートにおいて2件の脆弱性に対処している。 具体的には、JavaScriptエンジン「JavaScriptCore」において、任意のコードを実行されるおそれがある「CVE-2024-44308」を修正した。 さらに「WebKit」においてCookie管理の不備に起因するクロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-44309」を解消している。 いずれの脆弱性もGoogleの研究者より報告を受けた。Intel製CPU上で稼働するmacOSを標的に攻撃が
日本マイクロソフトは2024年4月17日、生成AIチャットbot「Microsoft Copilot for Security」（以下、Copilot for Security）の顧客事例を紹介する報道関係者向け説明会を開催した。 同説明会では、三井住友トラスト・グループのDX子会社であるTrust Baseと、金融機関などを対象にコンサルティングサービスを提供するシンプレクスによる、Copilot for Securityの導入・活用事例が語られた。Copilot for Securityを実際に使って見えてきたメリットや課題とはどのようなものか。 Copilot for Securityを使って見えてきた4つのメリットと課題感 はじめにTrust Baseの中川 哲氏（DXプラットフォームセンター センター長）が登壇し、Copilot for Securityのアーリーアクセスプログラ
【セキュリティ ニュース】新「NOTICE」がスタート、脆弱性ある機器も注意喚起対象に（1ページ目 / 全3ページ）：Security NEXT
総務省、情報通信研究機構（NICT）、ICT-ISACは、IoT機器を悪用したサイバー攻撃を防ぐ取り組みとして、あらたな枠組みのもと「NOTICE（National Operation Towards IoT Clean Environment）」を開始した。 これまでも、ボットネットの活動を抑制し、DDoS攻撃などを防止するため、脆弱なIoT機器を調査し、注意喚起を行う取り組みを「NOTICE」として2019年2月より展開。 約14万件の脆弱なIoT機器を特定し、プロバイダ経由で利用者に注意喚起を行ってきたが、2023年度末に期限を迎えたことから、あらたなプロジェクトとして4月より再始動した。 今回開始した「NOTICE」の実施にあたっては、2023年にNICT法が改正されており、従来の業務にくわえ、2024年度よりあらたにサイバーセキュリティ対策について助言する業務なども新設されている
May 28, 2024 OpenAI Board Forms Safety and Security Committee This new committee is responsible for making recommendations on critical safety and security decisions for all OpenAI projects; recommendations in 90 days. Today, the OpenAI Board formed a Safety and Security Committee led by directors Bret Taylor (Chair), Adam D’Angelo, Nicole Seligman, and Sam Altman (CEO). This committee will be resp
Backdoor in XZ Utils That Almost Happened - Schneier on Security
Backdoor in XZ Utils That Almost Happened Last week, the Internet dodged a major nation-state attack that would have had catastrophic cybersecurity repercussions worldwide. It’s a catastrophe that didn’t happen, so it won’t get much attention—but it should. There’s an important moral to the story of the attack and its discovery: The security of the global Internet depends on countless obscure piec
【セキュリティ ニュース】WordPress向けファイルアップロード用プラグインに深刻な脆弱性（1ページ目 / 全1ページ）：Security NEXT
コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「WordPress File Upload」に脆弱性が判明した。アップデートが提供されている。 「同4.24.11」および以前のバージョンに「パストラバーサル」の脆弱性「CVE-2024-9047」が明らかとなったもの。リモートより認証を必要とすることなく、ファイルの読み取りや削除が可能となる。 DefiantのWordfenceによると、特に「PHP 7.4」以下で同プラグインを使用している場合に影響を受けるという。 共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。 最新版となる「同4.24.12」において同脆弱性は修正されており、アップデートが呼びかけられている。 （Securit
Windows Security best practices for integrating and managing security tools | Microsoft Security Blog
Windows is an open and flexible platform used by many of the world’s top businesses for high availability use cases where security and availability are non-negotiable. To meet those needs: Windows provides a range of operating modes that customers can choose from. This includes the ability to limit what can run to only approved software and drivers. This can increase security and reliability by ma
【セキュリティ ニュース】「PHP」にアップデート - 悪用済み脆弱性の修正をバイパスされる問題に対処（1ページ目 / 全1ページ）：Security NEXT
PHPの開発チームは現地時間9月26日、セキュリティアップデートとなる「PHP 8.3.12」「同8.2.24」「同8.1.30」をリリースした。 これらアップデートでは、CVEベースで4件の脆弱性を解消した。なかでも「CVE-2024-4577」の修正をバイパスされ、パラメータを不正に挿入できる脆弱性「CVE-2024-8926」への対処も含まれる。 「CVE-2024-4577」はWindows版に影響があり、「CVE-2012-1823」の修正を回避されることに起因。6月にリリースされた「PHP 8.3.8」「同8.2.20」「同8.1.29」にて修正されていた。 共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」と高く、ウェブシェルの設置やランサムウェア「TellYouThePass」の感染活動に悪
Announcing upcoming changes to the AWS Security Token Service global endpoint | Amazon Web Services
AWS Security Blog Announcing upcoming changes to the AWS Security Token Service global endpoint AWS launched AWS Security Token Service (AWS STS) in August 2011 with a single global endpoint (https://sts.amazonaws.com), hosted in the US East (N. Virginia) AWS Region. To reduce dependency on a single Region, STS launched AWS STS Regional endpoints (https://sts.{Region_identifier}.{partition_domain}
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
国立健康危機管理研究機構（Japan Institute for Health Security：JIHS）
独自調査のWeb脆弱性検出数ランキング 「GMO Flatt Security Top 10」2025年版を発表
Microsoft Copilot for Securityのコスト対策に有効な4つのポイント | LAC WATCH
JVNVU#96058081: トレンドマイクロ製Deep Security Agentにおける不適切なアクセス制御の脆弱性
Git security vulnerabilities announced
「Copilot for Securityを使ってみた」 セキュリティ担当者が感じた4つのメリットと課題
OpenAI Board Forms Safety and Security Committee