Open source maintainer pulls the plug on npm packages colors and faker, now what? | Snyk
On January 8, 2022, the open source maintainer of the wildly popular npm package colors, published colors@1.4.1 and colors@1.4.44-liberty-2 in which they intentionally introduced an offending commit that adds an infinite loop to the source code. The infinite loop is triggered and executed immediately upon initialization of the package’s source code, and would result in a Denial of Service (DoS) to
colorsなどのnpmパッケージに悪意あるコードが含まれている問題について
追記: 2022年1月11日 2:29 JSTにDoS脆弱性としてセキュリティアドバイザーが出されて、悪意あるバージョン(1.4.1や1.4.2)はnpmからunpublishされ、npmの最新は安全なバージョンである1.4.0へと変更されました。 Infinite loop causing Denial of Service in colors · GHSA-5rqg-jm4f-cqx7 · GitHub Advisory Database 2022-01-08 に colors というnpmパッケージにDoS攻撃のコードが含まれたバージョンが1.4.44-liberty-2として公開されました。 GitHub: https://github.com/Marak/colors.js npm: https://www.npmjs.com/package/colors 問題についてのIssu
あなたの「公開鍵暗号」はPKE? それともPKC? - Cybozu Inside Out | サイボウズエンジニアのブログ
初めに サイボウズ・ラボの光成です。 いきなりですがクイズです。次のうち正しい説明はどれでしょう。 SSHやFIDO2などの公開鍵認証はチャレンジを秘密鍵で暗号化し、公開鍵で復号して認証する。 ビットコインでは相手の公開鍵を用いてハッシュ値を暗号化して相手に送る。 TLS1.3ではサーバ公開鍵を用いてAESの秘密鍵を暗号化する。 答えはどれも間違いです。 公開鍵認証は、(デジタル)署名を使って相手先の正しさを検証するものであり、暗号化は行われません。 同様にビットコインもデータや相手の正当性を確認するために署名が用いられ、暗号化は行われません。 TLS 1.3ではRSA暗号の公開鍵を用いて暗号化する方式(static RSA)は廃止され、ECDH鍵共有された値を元に秘密鍵を生成し、AES-GCMなどの認証つき暗号で暗号化します。 公開鍵暗号とは いわゆる公開鍵暗号には大きく2種類の意味があ
FacebookからOAuthを停止されてわかった今時のセキュリティ - Uzabase for Engineers
NewsPicksの高山です。 この記事はUzabase Advent Calendar 2021の23日目の記事です。昨日は我らが赤澤剛さんによるAWS Organizationの記事でした。 去る2021年10月12日に突然NewsPicksのサービスでFacebookログインやFacebookへの投稿ができなくなりました。この状態は12月13日まで2ヶ月もの間継続していて、ユーザーさんには不便を強いてしまいました。 米Facebook本社とメールでやりとりしていましたが、メール返信に何週間も待たされ、Facebook日本法人に助けてもらってようやく解決に至ることができました。 この苦労話はいくらでもできるのですが、今回はセキュリティの切り口で書いていきます。 Facebookの「データ保護評価」 データセキュリティ項目 「すべてのプラットフォームデータストレージ(すべてのデータベース
サイバー攻撃者たちはどのようにLog4Shellを悪用しようとしているのか - F-Secure
今、インターネットがどのように映っているかは、これを読んでいる人の立場によって異なります。 多くのユーザーは、12月10日(金) にApacheが公開したLog4Shell (Log4jまたはCVE-2021-44228とも呼ばれる脆弱性) について耳にし、それを扱った記事の内容やヘッドラインを見て、いったい何の騒ぎだろうと思ったかもしれません。しかし、もしあなたが多くのテクノロジー企業の担当者であるなら、おそらく週末以来この脆弱性にパッチを当て、可能な限り侵害を防止するために、ほとんど休みなく作業を続けていることでしょう。そして、疲れ果ててかすれた目でこの記事を読んていることだと思います。 Log4Shellに何が起こっているのか？ エフセキュアのCISO (最高情報セキュリティ責任者) であるErka Koivunen (エルカ・コイヴネン) は、インターネットを利用している人にとって
Log4jで話題になったWAFの回避/難読化とは何か
はじめに 2021年12月に発見されたLog4jのCVE-2021-44228は、稀に見るレベル、まさに超弩級の脆弱性となっています。今回、私はTwitterを主な足がかりとして情報収集を行いましたが、(英語・日本語どちらにおいても)かなりWAFそのものが話題になっていることに驚きました。ある人は「WAFが早速対応してくれたから安心だ！」と叫び、別の人は「WAFを回避できる難読化の方法が見つかった。WAFは役に立たない！」と主張する。さらにはGitHubに「WAFを回避できるペイロード(攻撃文字列)一覧」がアップロードされ、それについて「Scutumではこのパターンも止まりますか？」と問い合わせが来るなど、かなりWAFでの防御とその回避方法について注目が集まりました。 実はWAFにおいては、「回避(EvasionあるいはBypass)」との戦いは永遠のテーマです。これは今回Log4jの件で
SaaS利用者/事業者が知っておくべきクラウドセキュリティの確かめ方と高め方 —第3回 総務省ガイドラインの読み方・使い方 | クラウドサイン
今回は、総務省発行の「クラウドサービス提供における情報セキュリティ対策ガイドライン」（以下、「総務省ガイドライン」という。）の検討を通じて、クラウドサービス利用者とクラウドサービス事業者がどのようにセキュリティについての共通認識を構築していくべきかを検討します。 事前に総務省ガイドラインを読んでいただく必要は必ずしもありませんが、ご興味を持っていただけた場合には後ほど一読いただくと良いと思います。 総務省ガイドラインとは 総務省ガイドラインは「安全・安心なクラウドサービスの利活用推進のため」に「実施することが望ましい情報セキュリティ対策について記載」したものであると説明されています。 令和3年7月17日（土）から同年8月15日（日）で意見募集を行なっていたため、良い機会であると考え本連載で取り上げることにしました。 概要 ガイドラインの全体構成は以下のようになっています。 Ⅰ．序編 Ⅱ．共
Apache Log4j2 Remote Code Execution (RCE) Vulnerability - CVE-2021-44228 - ESA-2021-31
Subject: Apache Log4j2 Vulnerability - CVE-2021-44228, CVE-2021-45046, CVE-2021-45105, CVE-2021-44832 - ESA-2021-31 Note - We will update this announcement with new details as they emerge from our analysis. Please check back periodically. Update Log Dec 16, 2021 - 04:20 UTC - Update Summary: ECK 1.9 released which automatically adds the JVM option to impacted Elasticsearch clusters managed by EC
Apache Log4j2 Security Bulletin (CVE-2021-44228)
Initial Publication Date: 2021/12/10 7:20 PM PDT All updates to this issue have moved here. AWS is aware of the recently disclosed security issue relating to the open-source Apache “Log4j2" utility (CVE-2021-44228). We are actively monitoring this issue, and are working on addressing it for any AWS services which either use Log4j2 or provide it to customers as part of their service. We strongly en
マイナンバー パスワード忘れた 多すぎない？ | NHK | News Up
最大2万円分のポイントにワクチンの接種証明。 マイナンバーカードの機能が増えていて、新たに作ろうとする人もいるのではないでしょうか。 さっそく申し込もうと思ったら、パスワードが4種類？ えっ、こんなに覚えられない。 どうすればいいのでしょうか？ （大阪拠点放送局 中本史・ネットワーク報道部 柳澤あゆみ・清水阿喜子） 現在、およそ4割の普及率のマイナンバーカード。 政府はカードの取得者に最大で2万円分のポイントを付与する新たな制度で、人口のおよそ75％にあたる9500万人まで取得者を増やしたいとしています。 今月20日からはマイナンバーカードとスマートフォンを使って、電子化されたワクチン接種証明書を入手できるようにすると岸田総理大臣が表明。
「エヴァ」公式ECでクレカ情報流出か セキュリティコード含む1万7828件
アニメ「エヴァンゲリオン」シリーズなどの著作権管理を手掛けるグラウンドワークス：は11月30日、同社が運営するECサイト「EVANGELION STORE（オンライン）」が第三者の不正アクセスを受け、顧客のクレジットカード情報1万7828件が漏えいした可能性があると発表した。一部の顧客のカード情報は、不正利用された可能性もあるという。 同社は7月12日に、カード会社から漏えい懸念の指摘を受けて、同日中にカード決済を停止し、ECサイトの閉鎖を発表。その後の調査で、2020年6月8日から21年6月30日の間に同ECサイトを利用した顧客1万7828人分のカード名義人名とカード番号、有効期限、セキュリティコード、会員用メールアドレス、パスワードが漏えいした可能性があると明らかになった。 同社に確認したところ「同ECサイトでは、顧客のカード情報は保持していなかった」としており、原因はサイトの改ざんと
登録確認メールを悪用したFBI正規アドレスからのスパム送信についてまとめてみた - piyolog
2021年11月13日（現地時間）、米国の連邦捜査局（FBI）は内部向けのシステムが第三者によって不正に操作されたこと受け、スパムメールが大量に送信される事態が発生したことを公表しました。ここでは関連する情報をまとめます。 連邦捜査局からスパムが届く FBIのメールアドレスeims@ic.fbi.govを送信元とするスパムメールが大量に発信される事態が発生した。送信されたメールは送信元を詐称したものではなく、FBIの運用する正規のサーバーmx-east-ic.fbi.gov（153.31.119.142）から直接発信されたもの。DKIMによる検証も問題がないことからスパムフィルタをそのまま抜けて届くケースなども発生したとみられる。 スパムメールは「Urgent: threat actor in systems.」（緊急：システム内の脅威アクター）と件名に記載。米国土安全保障省のセキュリティ
パッケージマネージャで配布されるマルウェア、対策と課題について - ぶるーたるごぶりん
はじめに 画像は記事に全く関係ないカニのフィギュアです👋 近年、善良なパッケージを騙ったマルウェアが配布されているケースが増えてきています。 これらのマルウェアはパッケージマネージャ上で配布され、開発者端末やそれをビルトインしたシステムを利用するユーザー端末で悪事を働きます。 これは俗にいうサプライチェーン型攻撃で、 これらの関連ニュースを目にする機会が増えてきていることを、多くの開発者が体感されていると思います。 ただ、これらのサプライチェーン型攻撃の記事は、 どうしてもエンドユーザー（パッケージを利用する開発者側・それらを組み込んだアプリを実行するユーザー側）の対策に焦点が当てられたものが殆どのように感じています。 そこで本記事では、このエンドユーザー側の対策だけではなく、 パッケージマネージャメンテナーたちがどう対策しているのかも含めて、 「パッケージマネージャ上で行われるマルウェ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Episode 62| Log4jのゼロデイ脆弱性が、企業にとって意味すること - F-Secure
Help And Training Community
Log4j hole revives chatter on Big Biz funding open source
Malicious packages in npm enable theft of Discord tokens
Log4j Known Packages
RCE 0-day exploit found in log4j, a popular Java logging package · Issue #81618 · elastic/elasticsearch
GitHub - YfryTchsGD/Log4jAttackSurface
