Hatena Blog Tags
はてなブログ トップ
CVE
このタグでブログを書く

CVE

(社会)
【かーぼう゛ぇるでえすくーど】
このタグの解説についてこの解説文は、すでに終了したサービス「はてなキーワード」内で有志のユーザーが作成・編集した内容に基づいています。その正確性や網羅性をはてなが保証するものではありません。問題のある記述を発見した場合には、お問い合わせフォームよりご連絡ください。
ロード・トゥ・ザ・ホワイトハッカー•5 か月前

脆弱性情報について

CVE、CWE、CVSS log4jの脆弱性はCVSSが10です、なんてワードを見る。 改めて、その辺の整理をする。 こちらで、さっぱりとまとめてくれています。 qiita.com CVE：脆弱性を識別するための共通ID（CVE識別番号(CVE-ID)） CWE：脆弱性のカテゴリ分けするための共通ID（CWE識別子(CWE-ID)） CVSS：脆弱性の危険度を評価するための共通方法 CVE wikiによれば、CVEは辞書とのこと。 CVEの目的は「識別可能性の確保＝個々の脆弱性に固有のCVE番号を割り当て、CVE番号によって脆弱性を識別可能とすること」と「命名＝個々の脆弱性に（業界標準的な）名…

#NIST#CVE#CWE#MITRE#CAPEC

関連ブログ

これからのくるまのセキュリティを考えるぶろぐ•7 か月前

続 ソフトウェアだけじゃない、きっとRXSWINやCVEも -ソフトウェア部品表 SBOM-

前回までの「これからのくるまのセキュリティを考えるぶろぐ」・・・ 最近のセキュリティ事情をざっと見つつ、その中でソフトウェア部品表(Software Bill of Materials: SBOM)を取り上げました。具体的にSBOMの管理ツールとしてBlackberry社のJARVIS 2.0を拝見し、CVEはもとよりRXSWINも一緒に管理したいなあ、などと妄想をしておりました。 今回は同様の管理ツールとしてCybellum(サイベラム)社を見てみたいと思います。 ところで、Cybellumといえば韓国のLG社に買収されるという記事には驚きましたね。 液晶に強いくらいのイメージしか持っていま…

#ソフトウェア部品表#SBOM#Cybellum#CVE
これからのくるまのセキュリティを考えるぶろぐ•7 か月前

ソフトウェアだけじゃない、きっとRXSWINやCVEも -ソフトウェア部品表 SBOM-

ソフトウェア部品表(Software Bill of Materials: SBOM)とは SBOMの管理ツールを見てみる ソフトウェア部品表(Software Bill of Materials: SBOM)とは 前回更新時に幾つか気になる記事を上げておきました。 今回はその中でも下記で取り上げられていた、ソフトウェア部品表(Software Bill of Materials: SBOM)を取り上げたいと思います。 このブログを読んで下さっている方には今更なことですが、車載ソフトに含まれるOSSなどの構成要素をすべて展開、閲覧できるようにし、脆弱性の有無を把握することは、サイバー攻撃を未然…

#ソフトウェア部品表#SBOM#バイナリ#CVE
ラック・セキュリティごった煮ブログ•昨年

EOLを迎えたアクセスポイントで脆弱性を見つけた件(CVE出ました)

リニューアル後のブログでは初めましてになります。しゅーとです。 今回は、EOL(End-of-Life、サポート終了)になった機器を調査したら脆弱性を見つけてしまった話です。どんなものを見つけたのか、脆弱性の原理を説明します。 なお今回見つかった脆弱性はメーカーに報告しており、2021年5月にセキュリティアドバイザリが公開されました。(CVE-2021-1400, CVE-2021-1401) 報告した製品はEOLを迎えているので修正リリースはありませんが、現役製品にも刺さったようで、サポート対象製品では修正リリースが公開されています。サポート対象の製品を利用している方はアップデートしましょう…

#脆弱性#CVE
Nishiki-Hub•昨年

Apple、本日リリースのアップデートで修正されたCVEベースの脆弱性を公開（2021/5/25）

錦です。 Appleは本日リリースされたiOS 14.6を始めとしたアップデートで修正されたCVEベースの脆弱性を公開しています。

#iOS#macOS#iPadOS#Apple#CVE
みつきんのメモ•昨年

YoctoProject CVE Checkについて調べる

はじめに bitbakeではビルドするパッケージの脆弱性をCVEによってチェックを行う機能がある。 使い方 local.confに下記を追加する。 INHERIT += "cve-check" すると、各パッケージのタスクにdo_cve_checkが追加される。 bitbakeを実行すると、このタスクが実行され、未対策の脆弱性があった場合には警告として表示される。 実行例 この機能を実装しているcve-check.bbclassに記載されているコマンドの実行例を示す。 $ bitbake -c cve_check openssl $ bitbake core-image-sato $ bitb…

#yocto#cvechecker
未熟なエンジニア•2 年前

脆弱性を報告して初めて採番されたCVEの解説と注意喚起

このブログではお久しぶりです。azaraです。 近況の報告などは別の記事で書くとして、本記事はIPFactory Advent Calendar 2020の17日目の記事です。IPFactoryに関してはこちらをご覧ください。 注意喚起 本ブログの内容はセキュリティに関する知見を広く共有する目的で執筆されており、脆弱性の悪用などの攻撃行為を推奨するものではありません。許可なくプロダクトに攻撃を加えると犯罪になる可能性があります。筆者が記載する情報を参照・模倣して行われた行為に関して筆者は一切責任を負いません。 また、該当製品は常に今回する脆弱性への修正を行っているため、影響を確かめながらアップ…

過密です•2 年前

やりつくされたCVE-2020-25213のPoC検証をあえてやる

一応肩書きがセキュリティエンジニアになったので、セキュリティエンジニアならPoCくらい動かさんかい、ということで2020年9月頃に情報公開されたwordpressのfile-managerプラグインの脆弱性であるCVE-2020-25213のPoC検証をやろうと思います。 なんでこれ選んだかの理由は特にないです。強いて言えばwordpress触ったことないし、結構話題になっていた気がしたからです。 別に新しいことを書くとかではないです。メモ程度に。 環境構築 検証 脆弱性の原因 対策 おわりに 環境構築 Dockerでwordpress,mysqlのイメージから作成 file-managerの…

#wordpress#CVE
VA Linux エンジニアブログ •16 時間前

KubeCon + CloudNativeCon Europe 2022 レポート

概要 KubeCon + CloudNativeCon EU が 2022年5月16日から20日の日程で行われた。 16日と17日には co-located event があり、本体のイベントは18日からの3日間であった。 トラック毎のセッション数の比較を下に示す。 増減がはっきりしないものがほとんどであるが、"Security + Identity + Policy" と Observability と "Customizing + Extending kubernetes" は増えているように見える。 セッション数 前回に引き続き、会場とネット配信のハイブリッド開催で、co-located…

kdnakt blog•17 時間前

今週気になったTLS関連のニュース

先週に続き、2022年6月20日～6月26日に読んだ中で気になったニュースとメモ書き（TLSらじお第62回の前半用原稿）です。 [EdDSA Double-PubKey Oracle攻撃] [CertigoとTlsx] [その他のニュース] ▼e-GovのTLSプロトコル ▼Amazon CloudFrontのTLSヘッダー ▼JavaとTLS ▼OpenSSL：CVE-2022-2068 ▼証明書管理ツールStep [まとめ]

TT Malware Log•19 時間前

Log4j [攻撃関係] (まとめ)

【要点】 ◎ 脆弱性: CVE-2021-44228を狙う攻撃 ◎ 攻撃活動が活発化傾向 ◎ マルウェア(ランサムウェア, コインマイナー, Bot等)のダウンロード活動が活発化 ■関連情報(まとめサイト) - 脆弱性関連 - ◆Log4Shell [脆弱性] (まとめ) [TT 脆弱性 Blog] ⇒ 脆弱性関係の情報はこちら https://vul.hatenadiary.com/entry/Log4Shell vul.hatenadiary.com ■警察庁の攻撃数観測データ 出典: https://www.npa.go.jp/cyberpolice/important/2021/202…

セキュリティ管理のメモ帳•20 時間前

「マネジメントの責任」について

はじめに 「マネジメントの責任」とは？ マネジメントについて 具体的な実施例 他の管理策との関連性 具体的な実施例 その他 まとめ 参考資料 脚注 はじめに 情報セキュリティのための管理策の中で組織的対策として分類されている「マネジメントの責任」について、主要なガイドラインを参考に自分なりに解釈した内容を、なるべく具体的に残しておきます。 「マネジメントの責任」とは？ 先ずは管理策の本質を理解するために、ISMSに基づく管理策の指針として活用されることの多い ISO/IEC 27002:2022 にどのように記載されているかを確認してみます。 ISO/IEC 27002:2022 5.4 Ma…

セキュリティ管理のメモ帳•一昨日

「職務の分離」について

はじめに 「職務の分離」とは？ 具体的な実施例 「職務の分離」が十分に機能しないとどうなるのか？ その他 まとめ 参考資料 脚注 はじめに 情報セキュリティのための管理策の中で組織的対策として分類されている「職務の分離」について、主要なガイドラインを参考に自分なりに解釈した内容を、なるべく具体的に残しておきます。 「職務の分離」とは？ 先ずは管理策の本質を理解するために、ISMSに基づく管理策の指針として活用されることの多い ISO/IEC 27002:2022 にどのように記載されているかを確認してみます。 ISO/IEC 27002:2022 5.3 Segregation of duti…

ちりもつもればミルキーウェイ•3 日前

Go1.19のcrypto/randではunix環境のReadで内部バッファがなくなるので色々しらべた

はじめに 先日なんとなしに go.1.19 release note よんでたら、crypto/randの項目で興味深い一文を見つけた Read no longer buffers random data obtained from the operating system between calls. 当時の僕も気になっていたよう ざっと見たけど crypto/rand.Read()で内部バッファ取らなくなったり net パッケージが context.DealineExceededとか context.Canceled を満たす形でエラー返すようになったりがほえ〜ポイントだった。あとは fm…

めるノート•4 日前

脆弱性対応の流れ

前職まで、運用フェーズの大規模なシステムに関わる機会がなかったのもあって、意外とこの辺の知見が少ないことに気がついた。そう思っていたとき、一緒に仕事している同僚の対応が参考になったので、雑にメモしておきたくなった。 1. CVE の内容を確認する どんな脆弱性か どういう条件で攻撃される可能性があるのか ユーザー入力のあるアプリケーションとか 影響するバージョン 2. あれば、POCのソースコードを確認する 3. 上記の情報と、運用しているシステムの情報を照らし合わせて対応方針を決める 緊急性はどうか いますぐ対応が必要 営業日にできる範囲で対応が必要 対応不要 どんな対応が必要か バージョン…

セキュリティ関連Twitterメモ•4 日前

2022/6/24 セキュリティ関連Twitterメモ

CISA Alert (AA22-158A) 中華人民共和国に支援されたサイバー犯罪者がネットワークプロバイダーやデバイスを悪用している (2022.06.07): まるちゃんの情報セキュリティ気まぐれ日記 https://t.co/JsM147cmfi — piyokango (@piyokango) Jun 12, 2022 業務委託先の不正アクセス--Oktaが直面した対応プロセスでの難しさ - ZDNet Japan https://t.co/wcaMfSkOw8 @zdnet_japanより 業務委託させてる（してる）組織は一読しておいても良い気がした — にゃん☆たく (@taku…

TT 脆弱性 Blog•6 日前

WordPress (まとめ)

【目次】 概要 【概要】 【CVE_DB】 【最新情報】 記事 【ニュース】 【ブログ】 【公開情報】 関連情報 【関連まとめ記事】 概要 【概要】 日 CVE番号 NVD CVSS v3 CWE 脆弱性 備考 2021/12/14 CVE-2021-25036 NVD 8.8 CWE-287 特権昇格 2021/12/14 CVE-2021-25037 NVD 6.5 CWE-89 SQL インジェクション 2022/02/08 CVE-2022-24663 NVD 9.9 CWE-94 Code Injection ショートコードによるリモートコード実行の脆弱性, 2022/02/08 C…

TT 脆弱性 Blog•7 日前

テキストエディタ「vim」に深刻な脆弱性 - パッチがリリース

【概要】 日 CVE番号 NVD CVSS v3 CWE 脆弱性 備考 2022/06/21 CVE-2022-2042 NVD 9.8 CWE-416 Use After Free 【ニュース】 ◆テキストエディタ「vim」に深刻な脆弱性 - パッチがリリース (Security NEXT, 2022/06/21) https://www.security-next.com/137486

Apeiria Tech•8 日前

Azureにハニーポットを建てた結果

はじめに 以前からハニーポットの構築・運用になんとなく興味があったので実際にやってみました。 当記事ではT-potの構築までの流れと攻撃結果の軽い紹介をしようと思います。 前回 マルウェア解析の環境構築についての記事を投稿しましたが、肝心の解析するマルウェア検体の収集方法が無く、もうハニーポットで検体集めるしかないという結論に至りました。Try Hack MeやHack The Boxなどで解析方法学べばよくね？という思いもありましたが、やはり実物を見たくなってしまうものです。 ※2022/6/07~2022/6/14の1週間運用した結果となります。 apeiria.hateblo.jp 環境…

CUEBiC TEC BLOG•8 日前

WORDPRESS 脆弱性検知の仕組みを構築してみた！

こんにちは、キュービックで SRE をやっております、hskn-cuebic と申します。 今回は、WORDPRESS の脆弱性に対応するための検知の仕組みを構築したので、そのときのお話をしたいと思います。 はじめに キュービックでは多くの WORDPRESS メディアを管理しています。 WORDPRESS に限った話ではありませんが、日々発生する脆弱性を個別に確認してアップデートを促していくというのはなかなか大変な作業になります。 キュービックでの脆弱性検知から WORDPRESS アップデートまでは、おおよそ以下のプロセスになっています。 WORDPRESS で検知した脆弱性（コアとプラグ…

treedown’s Report•12 日前

2022年6月のWindows Update

Microsoft月例更新の2022年6月版の適用を実施しましたのでご報告です。今月も特に問題はなさそうですが、Internet Explorer 11のサポート終了の話題がメディアでちらほら目に付く月です。