無料で脆弱性検査！Dockerfileに4行追加で導入できるmicroscannerを試してみた
microscannerは、CVEベースでDockerイメージの脆弱性検査をするツールです。簡単に導入できかつ有用なので、導入方法と利用上の注意事項などをまとめました。 先日レポートした「Docker漬けの一日を共に〜Docker Meetup Tokyo #23」は、情報量がてんこ盛りで、学び多くて楽しくてワッセロイだったんですが、その中で、とく(@CS_Toku)さんがLT発表されていた「KubeCon報告とmicroscanner試してみた」のmicroscannerが、面白そうだったので早速触ってみました。 Dockerfileに4行追加するだけで、CVEベースの脆弱性検査が無料で利用でき、既存のイメージビルドに組むこむのもお手軽そうなので、これからコンテナ導入しようと思っている人も、既に本番でガンガンコンテナ使っている人も、一度導入を検討してみてはいかがでしょうか。 __ （祭）
【図解】CPUの脆弱性[Spectre/Meltdown]と投機的実行の仕組み〜分岐予測とアウトオブオーダー実行〜
Spectre/MeltDown の概要と影響範囲2018/1/3 にCPUに関する脆弱性 Spectre (スペクター)/Meltdown (メルトダウン) が Google の "Project ZERO"によって公開され話題になっています。発見された脆弱性は 3 つ(Variant 1～3とラベルされています)で、うち2つが Spectre、1つが Meltdown に分類されます。 3 つとも CPU 性能向上のための「投機的実行 (Speculative Execution)」というコンセプトを実装した仕組み (Branch Prediction/Out of Order Execution) が原因だと判明しています。長い時間、予測を誤るように投機実行をさせ、その間にミスリードし、保護されたメモリ領域の読込や意図せぬプログラムの実行をさせるものです。 いずれの脆弱性もサイドチャ
![【図解】CPUの脆弱性[Spectre/Meltdown]と投機的実行の仕組み〜分岐予測とアウトオブオーダー実行〜](https://cdn-ak-scissors.b.st-hatena.com/image/square/8d304b3c0d7227567b9aaf4d57b2fdca1cb4ad44/height=288;version=1;width=512/https%3A%2F%2Fmilestone-of-se.nesuke.com%2Fwp-content%2Fuploads%2F2018%2F01%2Fprogram-mem-01.png)
Ruby 1.9.2リリースとWEBrick脆弱性問題の顛末 - 西尾泰和のはてなダイアリー
はい、Ruby 1.9.2がリリースされましたね。このバージョンではWEBrick にゼロデイ攻撃可能な脆弱性 - スラッシュドット・ジャパンで紹介されている脆弱性が僕が書いたパッチで修正されているわけなのですけど、そもそもなんで僕が修正しているのか、って顛末がわりと面白いので紹介します。 Apple、upstreamに報告してくれないまま脆弱性をCVEに届け出る upstreamに連絡が来ないまま脆弱性が公開される ruby-devにAppleが書いたと思われるパッチが貼られる(Appleでない人間によって) パッチのライセンスが不明なので取り込めない ライセンスを問い合わせるAppleの窓口が不明なので問い合わせもできない ruby-devを読んだ人はライセンス上安全なパッチを書けない 脆弱性だから話は非公開に進めたい yuguiさんがruby-devを読んでない僕に書かせることにする
Rails 2系のXSS脆弱性がRuby 1.9では影響なしとされる理由 - 岩本隆史の日記帳（アーカイブ）
Rails 2系のXSS脆弱性を修正するパッチが先日公開されました。 4日(米国時間)、Ruby on Railsの2系すべてのバージョンにXSSの脆弱性があることがRiding Rails: XSS Vulnerability in Ruby on Railsにおいて発表された。特定のUnicode文字列を使ってチェックをくぐり抜け、任意のHTMLを送り込まれる危険性がある。なおRuby 1.9系で動作しているアプリケーションはこの影響を受けない。 http://journal.mycom.co.jp/news/2009/09/07/048/index.html この件に関して、大垣さんは次のように説明しています。 RoRの脆弱性に関連してRuby1.9では安全、と解説されていますが、それはRuby1.9は不正な文字エンコーディングを受け付けないからです。 何故かあたり前にならない文字エ
[Think IT] 第3回：Railsでセッションハイジャックを実体験 (1/3)
【セキュリティ最前線】 セキュリティホールをついて遊ぶ 第3回：Railsでセッションハイジャックを実体験 著者：大垣 靖男 公開日：2008/1/25（金） Railsでセッションハイジャックを実体験 第3回となる本記事では、Web開発プラットフレームワークとして人気が急上昇中の「Ruby on Rails」（以下、RoR）を目標に、サンプルコードを用いたセッションハイジャック攻撃を行う。 RoRはRuby言語で記述されたWebアプリケーションフレームワークで「DRY（Don't Repeat Yourself：自分で繰り返さない）」を信条の基に開発されている。「scaffolding（足場組み、スタブコードの自動生成）」や「ActiveRecord（ORMライブラリ）」など、アジャイル開発に必要な機能を備えている。 Webアプリケーションに欠かせないHTTPセッション管理機構ももちろん
Rails 2系すべてのブランチに脆弱性、Ruby 1.9ユーザはアップグレード注意 | エンタープライズ | マイコミジャーナル
Ruby on Rails 4日(米国時間)、Ruby on Railsの2系すべてのバージョンにXSSの脆弱性があることがRiding Rails: XSS Vulnerability in Ruby on Railsにおいて発表された。特定のUnicode文字列を使ってチェックをくぐり抜け、任意のHTMLを送り込まれる危険性がある。なおRuby 1.9系で動作しているアプリケーションはこの影響を受けない。それぞれのバージョンに対するパッチは次のとおり。 2-0-CVE-2009-3009.patch - Patch for 2.0 series 2-1-CVE-2009-3009.patch - Patch for 2.1 series 2-2-CVE-2009-3009.patch - Patch for 2.2 series 2-3-CVE-2009-3009.patch - Pa
Railsの脆弱性その２ - おもしろwebサービス開発日記
昨日公開された下記エントリの意訳です。 Riding Rails: XSS Vulnerability in Ruby on Rails どんな脆弱性か Railsのform helpersでのエスケープに脆弱性がある。攻撃者は、故意に変形させたunicodeの文字列をform helpersに入れることで、エスケープのチェックを外して自由にHTMLを差し挟むことができるようになる。 該当バージョン 2.0.0以降(2.3.4, 2.2.3を除く, ruby 1.9で動いているものを除く) Impact ほとんどのデータベースは奇形のunicodeを受け取らないか、洗浄するので、この脆弱性は恐らく一度だけ突かれるタイプの攻撃に使われる。しかし継続した攻撃かもしれない。 全ての該当するバージョンを利用するユーザーにアップグレードを勧める。 patch 2.0, 2.1, 2.2, 2.3用の
Railsの脆弱性その１ - おもしろwebサービス開発日記
昨日公開された下記エントリの意訳です。 Riding Rails: Timing Weakness in Ruby on Rails どんな脆弱性か クッキーストアのメッセージダイジェストを検証する部分に脆弱性がある。ねつ造した証明書が完璧に正しいときに、証明書を検証するのに使っている不定期なアルゴリズムを、攻撃者が決めることができる。 このプロセスを繰り返すことで、攻撃者はダイジェストをねつ造できる。 該当バージョン 2.1.0以降(2.2.3, 2.3.4を除く) Impact ネットワーク遅延のような問題のために、非決定的なGCが動いているため、全うなタイムフレームの範疇では、この攻撃は利用されることはなさそう。しかしユーザはできるだけ早くアップグレードするべき。 patch 2.2と2.3用のパッチが用意されています。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
投げ銭サービス「Osushi」、サービス開始するやいなやオモチャにされてしまう
ソースコードセキュリティ検査ツール iCodeChecker：IPA 独立行政法人 情報処理推進機構