Getting 2FA Right in 2019
Since March, Trail of Bits has been working with the Python Software Foundation to add two-factor authentication (2FA) to Warehouse, the codebase that powers PyPI. As of today, PyPI members can enable time-based OTP (TOTP) and WebAuthn (currently in beta). If you have an account on PyPI, go enable your preferred 2FA method before you continue reading! 2018 and 2019 have been big years for two fact
Docker Hub Hacked – 190k accounts, GitHub tokens revoked, builds disabled | Hacker News
Received this email a few minutes ago:"On Thursday, April 25th, 2019, we discovered unauthorized access to a single Hub database storing a subset of non-financial user data. Upon discovery, we acted quickly to intervene and secure the site. We want to update you on what we've learned from our ongoing investigation, including which Hub accounts are impacted, and what actions users should take. Here
TLS1.3時代の新常識
TLS • TLS (reliable) endpoint endpoint CC BY 3.0 https://www.youtube.com/user/TheWikiLeaksChannel ClientHello+ ApplicationData end_of_early_data Finished ServerHello EncryptedExtension ServerConfiguration Certificate CertificateVerify Finished ApplicationData
Container Security Issue (CVE-2019-5736)
February 13, 2019 9:00 PM PST CVE Identifier: CVE-2019-5736 AWS is aware of the recently disclosed security issue which affects several open-source container management systems (CVE-2019-5736). With the exception of the AWS services listed below, no customer action is required to address this issue. Amazon Linux An updated version of Docker (docker-18.06.1ce-7.amzn2) is available for Amazon Linux
oss-sec: CVE-2019-5736: runc container breakout (all versions)
CVE-2019-5736: runc container breakout (all versions) From: Aleksa Sarai <cyphar () cyphar com> Date: Tue, 12 Feb 2019 00:05:20 +1100 [[ Patch CRD: 2019-02-11 15:00 CET ]] [[ Exploit Code CRD: 2019-02-18 15:00 CET ]] Hello, I am one of the maintainers of runc (the underlying container runtime underneath Docker, cri-o, containerd, Kubernetes, and so on). We recently had a vulnerability reported whi
PHPの脆弱性 CVE-2018-17082 によるキャッシュ汚染についての注意喚起
エグゼクティブサマリ PHPの脆弱性CVE-2018-17082はXSSとして報告されているが、現実にはXSSとしての攻撃経路はない。一方、Apacheのmod_cacheによるキャッシュ機能を有効にしているサイトでは、キャッシュ汚染という攻撃を受ける可能性がある。 概要 PHPの現在サポート中のすべてのバージョンについて、XSS脆弱性CVE-2018-17082が修正されました。以下は対応バージョンであり、これより前のすべてのバージョンが影響を受けます。ただし、Apacheとの接続にApache2handlerを用いている場合に限ります。 PHP 5.6.38 PHP 7.0.32 PHP 7.1.22 PHP 7.2.10 PHP 5.5以前も対象であり、これらは脆弱性は修正されていません。 脆弱性を再現させてみる この脆弱性のPoCは、当問題のバグレポートにあります。 PHP ::
どうして JWT をセッションに使っちゃうわけ？ - co3k.org
備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ？」というタイトルが不適切だとご指摘をいただいています。 その意見はもっともだと思いますので、現在、適切となるようにタイトルを調整しています。 ご迷惑およびお騒がせをして大変申し訳ございません。 本文の表現についても改善の余地は大いにありそうですが、こちらは (すでにご意見を頂戴している関係で、) 主張が変わってしまわないように配慮しつつ慎重に調整させていただくかもしれません。 はあああ〜〜〜〜頼むからこちらも忙しいのでこんなエントリを書かせないでほしい (挨拶)。もしくは僕を暇にしてこういうエントリを書かせるためのプログラマーを募集しています (挨拶)。 JWT (JSON Web Token; RFC 7519) を充分なリスクの見積もりをせずセッシ
「さようなら ImageMagick」の考察 - Qiita
はじめに サイボウズさんの ImageMagick の利用をやめる記事について少し思う所を書きます。否定というよりアシストのつもりです。(2018年08月26日投稿) さようなら ImageMagick 自分のスタンスを3行でまとめると、 policy.xml で読み書き出来るファイル形式を絞れば、いうほど怖くはない ただ、ImageMagick に限らずサーバサイドで動かすのは手間と覚悟が要る Yahoobleed の件でコード品質が信用ならないと言われたら、ごめんなさい 「ImageMagick を外した理由」 サイボウズさんのブログでは、2017年の ImageMagick 脆弱性報告数が多いので駄目との事です。 脆弱性 ImageMagick には脆弱性が大量に存在します。 2017 年に報告された ImageMagick の脆弱性は 236 件 でした。 大量にある上にリモートコ
【翻訳】Laravelを5.6から5.6.30にアップグレードする(Security Release) - Endo Tech Blog
Laravelのセキュリティリリースがアナウンスされました。 laravel-news.com このセキュリティ修正が入るverは5.6.30と5.5.42です。 5.6から5.6.30へのアップグレード 記事によるとアプリケーションの暗号化キーである APP_KEYが悪意のある第三者に渡ってしまった場合に起きるという事なので、大前提としてAPP_KEY流失させない and もし流失してしまっているなら暗号化キー変更するようにして下さい。 なお、readoubleでもアップグレード方法が日本語で記載されているのでこちらもご覧下さい! アップグレードガイド 5.6 Laravel 以下はLaravelNewsの記事の翻訳とアップグレードガイドの紹介です。 この翻訳記事はLaravel Newsの運営者である、Eric L. Barnesさんに許可を頂いて翻訳しています。 今朝発表されたlar
Detecting the use of "curl | bash" server side | Application Security
Installing software by piping from curl to bash is obviously a bad idea and a knowledgable user will most likely check the content first. So wouldn't it be great if a malicious payload would only render when piped to bash? A few people have tried this before by checking for the curl user agent which is by no means fail safe - the user may simply curl the url on the commandline revealing your malic
VAddyで複数FQDNをまたぐアプリケーションの脆弱性検査が可能に！ - クラウド型Web脆弱性診断ツール VAddyブログ
本日、複数のFQDNをまたぐアプリケーションの脆弱性検査機能をリリースいたしました！ これまでのVAddyでは検査対象として登録できるのは単一のFQDNで構成されたWebアプリケーションだけでしたが、本日リリースした機能によって複数のFQDNから構成されているWebアプリケーションの脆弱性検査が実現されます。 中規模以上のWebアプリケーションでは機能ごとにFQDNが分かれているケースが多くあります。 例えばECサイトなどで見られる以下のようなケースです。 ログイン機能：login.example.com 会員ページ：mypage.example.com これまでのVAddyではこのようなアプリケーションの脆弱性検査を行うには、それぞれのFQDNで個別に検査を実行する必要があったため、別FQDNで提供されているログイン機能を経由しないと動作しないアプリケーションの検査はできませんでした。
Postmortem for Malicious Packages Published on July 12th, 2018 - ESLint - Pluggable JavaScript Linter
Summary On July 12th, 2018, an attacker compromised the npm account of an ESLint maintainer and published malicious versions of the eslint-scope and eslint-config-eslint packages to the npm registry. On installation, the malicious packages downloaded and executed code from pastebin.com which sent the contents of the user’s .npmrc file to the attacker. An .npmrc file typically contains access token
CloudFront Domain Hijacks under Attack
My blog has moved: https://vincentyiu.co.uk Update: To my attention in April, it appears that Mindpoint may have been behind the automated assigning of the hijackable instances. See https://www.mindpointgroup.com/blog/pen-test/cloudfront-hijacking/ This is great, but CloudFront’s engineers definitely missed a whole lot, so I’m not sure if they actually see the problem. Given that they have access
弊社WEB予約サービスに対する不正アクセスに関する最終報告｜九州商船
2018年3月30日 お客様 各位 九州商船株式会社 代表取締役社長 美根 晴幸 この度、弊社WEB予約サービスに対する不正アクセスにつきましては、お客様に多大なるご心配とご迷惑をお掛けいたしましたこと、深くお詫び申し上げます。 弊社では、今回の不正アクセスにつきまして、社外の専門家により構成される調査委員会を設置し、本件不正アクセスの事実関係の調査、原因究明、お客様情報漏えいの蓋然性の評価、再発防止策の提言について調査、検討してまいりましたが、この度、最終的な報告書を受領いたしましたので、下記の通りご報告させて頂きます。 １．不正アクセスに関する調査について WEB予約サービスに対して第三者による不正アクセスが行われたことが判明しております。 今回、不正アクセスの対象となったサーバーは、WEB予約サービスを提供しているサーバーです。 本システムでは、お客様情報はWEBサーバーには保存せず
Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-002 | Drupal.org
A remote code execution vulnerability exists within multiple subsystems of Drupal 7.x and 8.x. This potentially allows attackers to exploit multiple attack vectors on a Drupal site, which could result in the site being completely compromised. The security team has written an FAQ about this issue. Edited 2020, February 13 to fix links to patch files. Upgrade to the most recent version of Drupal 7 o
共通脆弱性評価システムCVSS v3概説 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
CVSS(Common Vulnerability Scoring System) ～脆弱性の深刻度を評価するための指標～ 共通脆弱性評価システムCVSS(Common Vulnerability Scoring System)は、情報システムの脆弱性に対するオープンで包括的、汎用的な評価手法の確立と普及を目指し、米国家インフラストラクチャ諮問委員会(NIAC: National Infrastructure Advisory Council)のプロジェクトで2004年10月に原案が作成されました。 その後、CVSSの管理母体としてFIRST(Forum of Incident Response and Security Teams)が選ばれ、FIRSTのCVSS-SIG(Special Interest Group)(*1)で適用推進や仕様改善が行われており、2005年6月にCVSS v
ハッカーに盗まれたNEMの行方、ホワイトハッカーが捕捉し包囲網 - すまほん!!
仮想通貨NEMが、国内取引所Coincheckから5億2300万XEM盗まれたことがわかりました。取引所がNEMをマルチシグを掛けずにホットウォレットに保管していたことが原因ではないかと考えられます。 この盗まれたNEMについて、現在ホワイトハッカーが追跡中です。ホワイトハッカーはNEMコミュニティの日本人開発者で、NEMのモザイクという仕組みを使い、盗難犯のアドレスからの送金にマーキング。犯人の追尾を行っています。 NEM財団が、流出資金自動追跡プログラムの作成を開始しました。 その完成を待ち引き継ぎを行い、作業終了とさせていただきます。 それまでは、こちらで追尾を続けます。 — Rin, MIZUNASHI (JK17) (@minarin_) 2018年1月26日 そもそもNEMを含む仮想通貨はブロックチェーン、分散型台帳技術を用いています。トランザクションごとのブロックがハッシュに
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPAのITパスポート試験申し込みシステムで個人情報が漏洩、原因は排他制御の欠落 | 日経 xTECH（クロステック）
Duo Finds SAML Vulnerabilities Affecting Multiple Implementations
GitHub - antonioribeiro/google2fa: A One Time Password Authentication package, compatible with Google Authenticator.
