脆弱性

米NBAは「 The Association NFT 」という新しいシリーズのNFTを立ち上げた。これは、NBAコミュニティのサーバーに所属する初期メンバーに限定してNFTを提供することを目的としている。ただし、このNFTシリーズのスマートコントラクト（NFTの作成と取引を可能にするコンピューターコード）のセキュリティ上には脆弱性があり、現在NFTが複製され、マーケットプレイスで転売されている。 NBAはスマートコントラクトの脆弱性について認め、ファンに対して問題解決に取り組むと述べた。4月22日、このNFTシリーズの個数を18,000個から30,000個に増やすと発表した。 「The Ass…

脆弱性とは、脅威がつけこめることができる組織や情報システムを指します。組織に於ける脆弱性としては、機密情報や個人情報を管理する為の体制がしっかりしていないことが挙げられます。情報システムに於ける脆弱性は、ソフトウェアやハードウェアの欠陥により発生したセキュリティホールが挙げられます。脆弱性が発見されたら、OSやソフトウェアの開発元はその脆弱性を解消するためのアップデートを行います。脆弱性情報を把握しアップデートを心がけることが大切です。下記の表で①②③に入るべき言葉を選んでください。 ア ①脅威②脆弱性③リスク イ ①リスク②脅威③脆弱性 ウ ①脅威②リスク③脆弱性 エ ①脆弱性②脅威③リスク…

ホンダの乗用車シビックのキーレスシステムに脆弱性が発見された記事をまとめた記事になります。 脆弱性の種類 CVSS 関連CVSS 対象車 可能な悪用 攻撃方法 対策 関連記事 脆弱性の種類 キーレスシステムの脆弱性 CVSS CVE-2022-27254 Score: 未定 https://nvd.nist.gov/vuln/detail/CVE-2022-27254 関連CVSS 過去にも類似の脆弱性が存在。 CVE-2019-20626 Score:6.5(Medium) https://nvd.nist.gov/vuln/detail/CVE-2019-20626 対象車 Civic L…

CRI-O の脆弱性 (CVE-2022-0811) について調べた内容をまとめました。脆弱性の詳細と、関連する CRI-O の実装や Linux の機能を紹介します。 CVE-2022-0811 概要 CRI-O について CRI-O 概要 pinns による pod へのカーネルパラメータ設定 Coredump エクスプロイト 要点 検証 回避策 修正パッチ commit1 commit2 containerd の場合 さいごに 参考リンク CVE-2022-0811 概要 CVE-2022-0811 は CRI-O の任意コード実行・コンテナブレイクアウトの脆弱性で、報告した Crowd…

はじめに こんにちは！CTOのはせがわです。 先日公開された、Flatt Securityさんのブログ「開発者が知っておきたい「XSSの発生原理以外」の話」、おもしろいですね。このXSSの記事に限らず、Flatt Securityさんのブログは役に立つ記事が多い*1ので、個人的には記事が公開されるのを毎回楽しみにしています！*2 blog.flatt.tech たしかに、XSSの脅威についてはなかなか理解してもらうことが難しく、また一般的にはSQLインジェクション等と比べても脅威が低く見られることも多いため、XSSの脅威について少し掘り下げて考察したいと思います。 なお、この記事は「XSSの発…

CEHの復習 Webアプリケーションの脆弱性検査をするため、久々にCEHのテキストを見直す。 14章が「Hacking Web Applications」で300ページほどあり、20章のうちで、特にボリュームが多かったと記憶している。 改めて見直すと、基本的な理論からツールの紹介まで、幅広く網羅されている。 ツールについては、以下のカテゴリで列挙されていた。 Web application Analyze Web application Vulnerability Web application Hacking API Vulnerability Fuzz Testing Web applic…

CentOS Linux 8のサポートは、当初のアナウンスの通り2021年12月31日で終了しました。サポートがなくなったOSが危険であるということは一般に広く認識されています。でも、その危険性とは具体的にどういったものなのでしょうか？ 脆弱性はどれくらい報告されているのか ここでは脆弱性情報を総合的に取り扱っている「CVE Details」のサイトからいくつかの数字を見ていきます。このサイトではLinuxだけでなくWindowsや各種アプリケーションの脆弱性情報も含まれていますので、全体的な傾向がわかります。 www.cvedetails.com 脆弱性件数はこの10年で大幅に増加 2010…

【インシデント事例】 ・名古屋大学に不正アクセス 「ブラインドSQLインジェクション」攻撃でメアド2086件漏えいか - ITmedia NEWS ・トヨタ紡織グループのタイの販売会社に不正アクセス | ScanNetSecurity 【攻撃の傾向・手法、攻撃組織の動向】 ・FBI: Stolen PII and deepfakes used to apply for remote tech jobs ・Lockbit Ransomware Delivered Through Fake Copyright Claim E-mail 【脆弱性情報】 ・Over 900,000 Kubernete…

前回に引き続き、boofuzzのコード読みをします。 前回までは静的にソースコードを読んでいましたが、あまり理解が進まなかったので、 今回からはvscodeのデバッグ機能を用いて順に処理を追っていきます。 簡易httpサーバの起動 boofuzzを実際に動かす都合上、ターゲットのhttpサーバをあらかじめ起動しておきます。 適当なディレクトリを用意し、以下の構成にします。 py_httpserver ├ server.py └ index.html server.pyのコードは以下の通りです。 from http.server import SimpleHTTPRequestHandler, …

1948年（昭和23年）6月28日 福井地震 福井地震は内陸の活断層による地震であり、福井平野の被害が甚大で、家屋全壊率100％の集落が相次いだほか、福井市内は大火により焦土と化しました。 死者数としては2011年（平成23年）の東日本大震災、1995年（平成7年）の阪神・淡路大震災に次ぐ戦後3番目の多さとなります。 この地震強い地震動がもたらした壊滅的な家屋被害を契機に、震度7が新設されました。 1950年の建築基準法制定に鉄筋コンクリート造の耐震規定にも大きな影響を与え、また木造の耐震規定にも壁量計算の規定が取り入れられました。 出典 内閣府 防災情報のページ 1948年6月 福井地震 過…

2021年10月にライセンスフリーとなったMIRACLE LINUX、現在では9社の11種類のクラウドサービスやVPSホスティングに採用され、また多くのセキュリティや各種ツールの稼働基盤として認証されてきています。今回はMIRACLE LINUXの現在の状況をお伝えします。 インストールイメージのダウンロード数は45,000件超え MIRACLE LINUXのインストールイメージのダウンロード数は45,000件を超えました。 当初のフルイメージ（約9.3GB）に加えて、ご要望の多かったミニマルインストールイメージ（約1.8GB）も追加され、より容易にダウンロードして、インストールできるようにな…

【目次】 概要 【辞書】 【最新情報】 記事 【ニュース】 関連情報 【関連まとめ記事】 ◆ブラインドSQLインジェクション (まとめ) https://malware-log.hatenablog.com/entry/Blind_SQL_Injection

私の怖いもののひとつに「地震」があります。最近あちこちで地震が頻発しており本当にイヤですね。なんでこんな地震の多い国に生まれてしまったのか、いや、なんで地震の存在する世界に生まれ落ちたのか、って気分です。なんらかのミラクルでこの世から地震がなくなるのであれば悪魔と契約してもいいです。悪魔と契約って具体的に何をするんだかよく分かりませんが。 ……といってまあ地震が好きな人も少ないでしょうし、全く怖がらなければないでそれはそれで問題があるんでしょうが、最近、自分の怖がり方が常軌を逸していることを複数人から指摘され、そうだったのかと思いました。たしかに、数年前の地震では、わが地域はさほどの揺れではな…

こばじです。 今回は、PCのOSをWindows10系から11にアップグレードしたことを記事にしてみました。 目次 はじめに 簡単な自己紹介 基本的に、すぐにはアップグレードしない方針にしている Windows11にアップグレードした 最大化が面倒 新規フォルダ作成が面倒←解決済 メリット教えてくれ！ まとめ おわりに

こんにちは、デジタルペンテスト部のねいちゃーどです。 普段は チート対策ペネトレーションテストサービス の診断員として、主にゲームに関わるサービスの脆弱性診断を担当しています。 私たちのチームでは、お引き受けさせていただいた案件に対する成果物として「報告書」を作成・提出しています。 報告書には「発見した脆弱性についての詳細なレポート」などが記載されています。 端的に還元すれば「報告書を作成するのが本業」と言っても過言ではありません。 その報告書の作成には以前まで Microsoft Word (以下、Word) を用いていました。 しかし Word を用いた報告書作成には、以下の問題がありまし…

今回は、アーセナル移籍が決まったジェズスについて、シティに来てからのキャリアをずっと定点観測している自分の目から見た、シティでの各年の経過、選手としての特性、そこから導かれる最適運用法について付します。 第1章でシティでのジェズスの来歴、第2章で選手としての特徴を語り最適運用について提言を行っている次第です。 グーナーの方にとって有益になりましたら幸いです。 第1章 『未来』 ①16-17 メシア到来 ②17-18 2年目 ③18-19 従者 ④19-20 NEW ERA ⑤20-21 シルバなき世界で ⑥21-22 新境地 第2章 特徴とトリセツ ①強み ②弱み ③最適運用 ④ARSの印象 …

こんにちは、技術部の前田です。 ICC2022というCTFの地域対抗の国際大会にCTFプレイヤーとして参加したのでその一部始終や簡易Writeupを報告します。 はじめに International Cybersecurity Challenge (ICC)はICC委員会が主催するCTF大会です。 ICC委員会は世界の各地域を統括する団体から構成され、2022年度はアフリカ、アジア、カナダ、ヨーロッパ、ラテンアメリカ、オセアニア、アメリカの7地域の団体が参加しました。 開催されたCTFへもこれらの7つの地域から1チームずつが参加しています。 このICC2022は今年度が初開催のイベントで、ギリ…

はじめに こんにちは。株式会社Flatt Security セキュリティエンジニアの石川です。 本稿では、ログイン機能をもつWebアプリケーションにおける実装上の注意を、マイページ機能から派生する機能のセキュリティ観点から記載していきます。特に、XSS（Cross-Site Scripting）やSQLインジェクションのような典型的な脆弱性と比較して語られることの少ない「仕様の脆弱性」にフォーカスしていきます。 これから述べる実装上の注意点は、実際にはマイページ機能であるかどうかに関係なく注意するべきです。 しかし、開発者の視点に立つと「これこれの機能にはどのようなセキュリティ観点があるか」と…

概要 KubeCon + CloudNativeCon EU が 2022年5月16日から20日の日程で行われた。 16日と17日には co-located event があり、本体のイベントは18日からの3日間であった。 トラック毎のセッション数の比較を下に示す。 増減がはっきりしないものがほとんどであるが、"Security + Identity + Policy" と Observability と "Customizing + Extending kubernetes" は増えているように見える。 セッション数 前回に引き続き、会場とネット配信のハイブリッド開催で、co-located…