徳丸さんは好きな脆弱性はありますか？ 私はクリックジャッキングです。 初めて脆弱性を学習したとき、透明化したページを重ねてユーザーに意図しない処理を実行するメカニズムに感動した覚えがあります。 （こういうやり方があるのか、みたいな感じでした。）
徳丸さんは好きな脆弱性はありますか？ 私はクリックジャッキングです。 初めて脆弱性を学習したとき、透明化したページを重ねてユーザーに意図しない処理を実行するメカニズムに感動した覚えがあります。 （こういうやり方があるのか、みたいな感じでした。） | mond
徳丸さんは好きな脆弱性はありますか？ 私はクリックジャッキングです。 初めて脆弱性を学習したとき、透明化したページを重ねてユーザーに意図しない処理を実行するメカニズムに感動した覚えがあります。 （こういうやり方があるのか、みたいな感じでした。）
Ubuntu・RHEL・Fedoraに新たなLinux脆弱性、コアダンプ経由でパスワードハッシュ窃取が可能に - イノベトピア
Ubuntu・RHEL・Fedoraに新たなLinux脆弱性、コアダンプ経由でパスワードハッシュ窃取が可能に Last Updated on 2025-06-27 09:40 by 荒木 啓介 Qualys脅威研究ユニット（TRU）は2025年5月31日、Ubuntu、Red Hat Enterprise Linux、FedoraのコアダンプハンドラーであるapportとSystemd-coredumpに2つの情報漏洩脆弱性を発見したと発表した。 CVE-2025-5054（CVSSスコア4.7）はCanonical apportパッケージ2.32.0以下に存在するレースコンディション脆弱性で、ローカル攻撃者がネームスペースを活用してPID再利用により機密情報を漏洩させることを可能にする。 CVE-2025-4598（CVSSスコア4.7）はSystemd-coredumpのレースコンディ
「Active! mail」におけるスタックベースのバッファオーバーフローの脆弱性について（JVN#22348866） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
トップページ 情報セキュリティ 重要なセキュリティ情報 2025年度 「Active! mail」におけるスタックベースのバッファオーバーフローの脆弱性について（JVN#22348866） 注釈：最新情報は、JVN(JVN#22348866)をご覧ください。 概要 株式会社クオリティアが提供する「Active! mail」は、ウェブメールシステムです。 「Active! mail」には、スタックベースのバッファオーバーフローの脆弱性（CVE-2025-42599）が存在します。 本脆弱性を悪用された場合、遠隔の第三者によって細工されたリクエストを送信され、任意のコードを実行されたり、サービス運用妨害（DoS）状態を引き起こされたりする可能性があります。 同脆弱性を悪用する攻撃がすでに確認されているため、できるだけ早急に、製品開発者が提供する情報をもとに、最新版にアップデートしてください。
CVE Foundationが発足。脆弱性に固有の番号を付与するCVEプログラムの長期的な安定性、独立性を確保
ソフトウェアの脆弱性に対して固有の番号を付与する「CVE」（Common Vulnerabilities and Exposures）プログラムを実行するための新たな非営利団体「CVE Foundation」の発足が発表されました。 CVEはソフトウェア脆弱性に番号を付与する ソフトウェアに関する脆弱性の情報は、以前はソフトウェアベンダやセキュリティベンダがそれぞれ独自に名称や識別子を付けていました。この状況はユーザーやシステム開発者にとってセキュリティ対策を行う際の情報整理を困難にしていました。 そこで発足したのが、ソフトウェアの脆弱性について固有の番号を付与する「CVE」（Common Vulnerabilities and Exposures）プログラムです。 ソフトウェアが社会基盤として重要な位置を占めるようになった現在、CVEはグローバルなIT業界におけるソフトウェア脆弱性情報の
PHPの重大脆弱性を悪用した暗号通貨マイニング攻撃が急増中 – 日本の組織も標的に - イノベトピア
Last Updated on 2025-03-20 11:23 by TaTsu サイバーセキュリティ企業Bitdefenderの報告によると、脅威アクターがPHPの重大な脆弱性（CVE-2024-4577）を悪用して、暗号通貨マイナーやリモートアクセストロイの木馬（RAT）を配布する攻撃が急増している。 この脆弱性は、Windows系システム上でCGIモードで実行されているPHPに影響し、リモート攻撃者が任意のコードを実行することを可能にする。 この脆弱性は2024年6月7日に公開され、CVSS v3スコアは当初9.8（最大10点）と評価されたが、後に6.9に下方修正された。影響を受けるのはPHP 8.3.8未満、PHP 8.2.20未満、PHP 8.1.29未満のバージョンである。 攻撃は主に台湾（54.65%）、香港（27.06%）、ブラジル（16.39%）に集中しており、日本も1
無線LANに新たな脆弱性、通信速度が65％低下するも現時点で対策なし
日々の生活や企業活動に必要不可欠となっている無線LAN（Wi-Fi）。その規格の一部に、新たな脆弱性が見つかった。イタリアと米国の研究者グループが2025年1月に報告した。脆弱性を悪用すれば、端末の通信速度を大きく低下させられるという。この脆弱性を突く攻撃手法は「BREAK（Beamforming Report Eavesdropping AttacK）」と名付けられた。一体、どのような攻撃なのだろうか。 「フィードバック」を暗号化していない 今回の脆弱性は、Wi-Fiの規格であるWi-Fi 5（IEEE 802.11ac）以降に実装されている「MU-MIMO（Multi-User Multiple-Input Multiple-Output）」という技術に存在する。Wi-Fi 5以降に準拠したWi-Fi機器全てが対象になるので、世界中で200億台以上の機器が影響を受ける可能性があるという
LinuxカーネルのeBPFに複数の深刻な脆弱性 PoC公開済みのため要注意
「Linuxカーネル」のeBPF（Extended Berkeley Packet Filter）に複数の脆弱（ぜいじゃく）性が存在することが分かった。これらが悪用された場合、Linuxカーネル内で任意のコード実行やDoS攻撃が引き起こされる可能性がある。 eBPFはLinuxカーネル内で安全かつ高効率にカスタムコードを実行できる仕組みで、カーネルの振る舞いを動的に変更、拡張するためのプラットフォームとして機能している。もともとパケットフィルタリングのために開発されたが、現在ではトレースや監視、ネットワーク制御、セキュリティなど幅広い用途に利用されている。eBPFプログラムはカーネル内の特定のイベント（システムコール、ネットワークパケット処理、スケジューラなど）にフックでき、ユーザースペースからロードされる。 LinuxカーネルのeBPFに複数の脆弱性 PoC公開済みのため急ぎ対処を 脆弱
CVE-2024-11477: 7-Zip Vulnerability Allows Remote Code Execution, Update Now!
CVE-2024-11477: 7-Zip Vulnerability Allows Remote Code Execution, Update Now!by do son · November 24, 2024 A high-severity vulnerability (CVE-2024-11477) has been discovered in the popular file archiver 7-Zip, potentially allowing attackers to execute malicious code on vulnerable systems. The flaw, identified by Nicholas Zubrisky of Trend Micro Security Research, resides in the program’s Zstandard
PostgreSQLの重大脆弱性：環境変数の不適切な制御が引き起こすリスク - イノベトピア
2024年11月16日、PostgreSQLの開発チームは、オープンソースデータベースシステムPostgreSQLに重大なセキュリティ脆弱性が発見されたと発表した。この脆弱性は「CVE-2024-10979」として追跡され、CVSSスコアは8.8と高い深刻度を示している。 この脆弱性により、特権のないユーザーが環境変数を変更でき、潜在的にコード実行や情報漏洩につながる可能性がある。具体的には、PL/Perlにおける環境変数の不適切な制御により、特権のないデータベースユーザーが重要なプロセス環境変数（例：PATH）を変更することができる。 影響を受けるバージョンは、PostgreSQL 12から17までのすべてのサポート中のバージョンである。PostgreSQLの開発チームは、この問題に対処するためのセキュリティアップデートをリリースした。修正されたバージョンは、17.1、16.5、15.9
Okta AD/LDAP Delegated Authentication - Username Above 52 Characters Security Advisory - Nov 1, 2024
Okta AD/LDAP Delegated Authentication - Username Above 52 Characters Security Advisory - Nov 1, 2024 Description DescriptionOn October 30, 2024, a vulnerability was internally identified in generating the cache key for AD/LDAP DelAuth. The Bcrypt algorithm was used to generate the cache key where we hash a combined string of userId + username + password. Under a specific set of conditions, listed
AWS CDK の脆弱性が発覚、S3バケット名の予測可能性で管理者権限奪取の危険｜約38,000アカウントに影響の可能性 - イノベトピア
AWS CDK の脆弱性が発覚、S3バケット名の予測可能性で管理者権限奪取の危険｜約38,000アカウントに影響の可能性 Last Updated on 2024-11-07 15:31 by admin Aqua Securityのセキュリティ研究チームは、AWSの6つのサービス（CloudFormation、Glue、EMR、SageMaker、ServiceCatalog、CodeStar）に重大な脆弱性を発見した。この発見は2024年8月のBlack Hat USAカンファレンスで発表された。 脆弱性の概要 – AWS Cloud Development Kit (CDK)のデフォルトのS3バケット命名パターンが予測可能で、攻撃者による悪用が可能 – 攻撃者は未使用のAWSリージョンで事前にS3バケットを作成し、被害者がそのリージョンでサービスを使用するのを待つことができる – こ
AWS ALBに脆弱性 1万5000以上のアプリケーションに影響
Miggo Securityは2024年8月20日（現地時間）、AWSのアプリケーションロードバランサー（ALB）に重大なセキュリティ脆弱(ぜいじゃく）性「ALBeast」があると発表した。ALBeastはALBを認証機能として使用するアプリケーションにおいて認証バイパスを可能にするものだ。影響を受けるアプリケーションは1万5000以上におよぶ。 AWS ALBの認証機能に隠れた脆弱性「ALBeast」 ただし、AWSは脆弱性とは認めず、「サービスは意図された通りに動いている」と述べた。その理由は何か。また、ALBeastが悪用されるとどのような危険性があるのだろうか。 ALBeastはALBの認証メカニズムに依存しているインターネットに公開されたアプリケーションにおいて、攻撃者が認証や承認のプロセスをバイパスできる構成ベースの欠陥とされている。悪用された場合は不正アクセスやデータ侵害、情
ZabbixにCVSS 9.9の「緊急」の脆弱性が見つかる 速やかなアップデートが必要
Zabbixは2024年8月9日（現地時間）、監視ソリューション「Zabbix」に深刻な脆弱（ぜいじゃく）性があると伝えた。この脆弱性が悪用された場合、リモートコード実行の攻撃を受け、システム全体が危険にさらされる可能性がある。 Zabbixはネットワークやサーバ、仮想マシン、クラウドサービスなどのITインフラ全体をリアルタイムで監視し、パフォーマンスデータを収集・分析するオープンソースの監視ソフトウェアだ。シンプルなアプリケーションから大規模なインフラまで、さまざまなITリソースを監視するために利用されている。 ZabbixにCVSS 9.9の脆弱性 急ぎアップデートを 今回報告された脆弱性は「CVE-2024-22116」として特定されている。共通脆弱性評価システム（CVSS）v3.1のスコア値は9.9で深刻度「緊急」（Critical）に分類されている。 影響を受けるバージョンでは制
0.0.0.0 Day: Exploiting Localhost APIs From the Browser | Oligo Security
Oligo Security's research team recently disclosed the “0.0.0.0 Day” vulnerability. This vulnerability allows malicious websites to bypass browser security and interact with services running on an organization’s local network, potentially leading to unauthorized access and remote code execution on local services by attackers outside the network. The issue stems from the inconsistent implementation
数億個のAMD製CPUに存在する深刻な脆弱性「Sinkclose」が報告、検出不可能なマルウェアインストールが可能となり、システムの廃棄が必要になる場合も | XenoSpectrum
AMD製CPUに10年以上にわたって存在していた深刻な脆弱性「Sinkclose」が発見された。この脆弱性は、2006年以降に製造されたほぼ全てのAMD製プロセッサに影響を与え、システムの非常に奥深くに侵入することを可能とする物であり、場合によってはマシンの修復が不可能となり、マシン自体を廃棄する必要すらある程に深刻な物となっている。 Sinkclose はウイルス対策を回避し、OS の再インストール後も存続する Sinkcloseは、セキュリティ企業IOActiveの研究者Enrique Nissim氏とKrzysztof Okupski氏によって発見された。彼らは、AMDのドキュメントを何度も読み返す中で、この重大な脆弱性を見出した。Nissimは、「脆弱性のあるページを約1000回読んだと思います。そして1001回目に気づいたのです」と述べており、この発見が綿密な、そして粘り強い調査
Acer・Dell・GIGABYTE・Intel・Supermicroの数百以上のデバイスでUEFIセキュアブートのプラットフォームキーが漏えいしていたと発覚、システム侵害のリスクあり
セキュリティ企業・Binarlyの研究チームが、Acer、Dell、GIGABYTE、Intel、Supermicroが販売する200種類以上のデバイスでブート時に任意コード実行が可能になる脆弱(ぜいじゃく)性「PKfail」を報告しました。脆弱性の起因は、セキュアブートの基盤となるプラットフォームキーが2022年に漏えいしたことと指摘されています。 PKfail: Untrusted Platform Keys Undermine Secure Boot on UEFI Ecosystem https://www.binarly.io/blog/pkfail-untrusted-platform-keys-undermine-secure-boot-on-uefi-ecosystem SupplyChainAttacks/PKfail/ImpactedDevices.md at main
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
NTT東日本が提供する「RT-400MI」など複数のホームゲートウェイ／ひかり電話ルーターに、アクセス制限不備の脆弱性。最新ファームウェアへの更新を 
Windowsにゼロクリック攻撃の脆弱性。必ず対策を
Security Update Guide - Microsoft Security Response Center
葬ったはずでは!? 「Internet Explorer」が蘇るゼロデイ脆弱性、Kasperskyが注意喚起／Windows 10/11の最新パッチを適用しておこう【やじうまの杜】
