458の結果を表示中

プロジェクト管理ツール「Jira」に緊急度高い脆弱性、認証回避の恐れ

Atlassianは4月20日(米国時間)、「Jira Security Advisory 2022-04-20」において、同社が提供しているプロジェクト管理ツールの「Jira」に認証バイパスの脆弱性が発見されたとして、セキュリティアドバイザリを公開した。この脆弱性を悪用すると、リモートの攻撃者が認証を回避して標的のシステムに不正にアクセスできる…

マルウェアやコンテンツ改ざんをクラウドネイティブに防ぐ7つの対策

こんにちは、Finatextの @s_tajima です。 システム運用において、サーバー上でマルウェアを実行されてしまったり、配信するコンテンツを改ざんされてしまうというのは、セキュリティ上大きな脅威と言えます。金融機関、金融サービス提供者としては、当然そのような状況を防ぐ手を打つ必要があります。今回は、Finatext…

Terraform AWS Provider Version 4がリリースされました | DevelopersIO

2022/2/11に Terraform AWS Provider Version 4がリリースされました。2/22現在、もうVersion 4.2まででています。実際に触ってみて何が変わったのか確認したいと思います。 aws_s3_bucketの大規模リファクタリング 要は「aws_s3_bucketがデカくなりすぎて大変だから、細かく分けようぜ!」ということです。 御存知の通…

パナソニック、不正アクセスのサーバーに個人情報

日経の記事利用サービスについて 企業での記事共有や会議資料への転載・複製、注文印刷などをご希望の方は、リンク先をご覧ください。 詳しくはこちら パナソニックは7日、2021年6月~11月にあった不正アクセスに関する調査結果を発表した。第三者による不正アクセスがあったファイルには、採用応募者や取引先の個人情報…

Goでセキュアにロギングするzlog

以下、経緯や使い方の説明です。 背景:サーバーサイドにおけるロギングと秘匿値の問題 Webサービスを含む多くのサーバーサイドのサービスでは、サービスの挙動に関するログを出力・記録しておくのが一般的です。継続的にログを出力しておくことで、トラブルシューティングやデバッグ、セキュリティインシデントの対応や…

ALB配下のApache HTTP Serverに対して脆弱性(CVE-2021-41733)の再現ができない理由をNGINXの挙動から考えてみた | DevelopersIO

ALB配下のApache HTTP Serverに対して脆弱性(CVE-2021-41733)の再現ができない理由をNGINXの挙動から考えてみた ALBの実装はわからないのであくまで考察となります。 ALBについて考えてみたと謳っていますが、メインはNGINXのソースリーディングです。 少し長いですが、AWS環境でパストラバーサル攻撃の検証を行う際には…

ランサムウェア攻撃者が利用する脆弱性リストメモ

■概要 2021年09月12日、Recorded FutureのCSIRTメンバーであるAllan Liska氏がTwitter上で呼びかけを行いました。 その呼びかけはランサムウェアの攻撃者が初期アクセスを獲得するために使用する脆弱性のリストを作成しようとしているというもので、いくつかのベンダーや製品名とともにCVE番号が列挙されたリストの画像…

無料SSLサーバ証明書発行のLet’s Encryptに脆弱性 犯罪者が悪用する“穴”とは?

関連キーワード サイバー攻撃 | ハッキング | セキュリティ 無料でSSLサーバ証明書を発行する認証局(CA)「Let’s Encrypt」について、ドメイン所有権の検証方法に脆弱(ぜいじゃく)性があることが分かった。サイバー犯罪者は実際に所有していないドメインのSSLサーバ証明書を取得できる可能性があるという。脆弱性は、…

Windows Server 2022正式版がひっそりとリリース。セキュアコアサーバ搭載、SMB over QUICでVPN不要のファイルアクセスなど - Publickey

Windows Server 2022正式版がひっそりとリリース。セキュアコアサーバ搭載、SMB over QUICでVPN不要のファイルアクセスなど マイクロソフトからの発表はまだありませんが、Windows Server 2022正式版のリリースが事実上開始されました。 ライフサイクルのページに製品が登録され、2021年8月18日がサポート開始日となって…

みずほ銀行「5度目」のシステム障害、原因はDBサーバーのハード故障 | 日経クロステック(xTECH)

みずほフィナンシャルグループ(FG)は2021年8月20日、傘下のみずほ銀行とみずほ信託銀行で8月19日から20日に起こったシステム障害に関し、都内で記者会見を開いた。障害の原因は、営業店や行内端末と勘定系システムをつなぐ「業務チャネル統合基盤」のデータベース(DB)サーバーのハードウエア故障にあった。 関連記事…

[初心者向け]200以上あるAWSサービスのどこから始めれば良いのかガイド | DevelopersIO

AWS認定トレーニング講師の平野@おんせん県おおいたです。 みんな、温泉入ってますかー? (挨拶 さて先日こんなご質問をいただきました 「AWSは200サービス、「今から学ぼう!」て人は、多さが障壁になると思うので、この辺はどういったアドバイスありますか?」 確かにそうですよね。多くの人も同じように感じてるは…

Goでプライベートネットワークへのアクセスを制限する – 詩と創作・思索のひろば

Go において、いわゆる SSRF (Server Side Request Forgery) を防ぐような目的で、内部 IP アドレスにアクセスしない HTTP クライアントを作るには hakobe/paranoidhttp が便利だった。ただ、近年ではこれが作られて以降の Go 側のアップデートとして、net.Dialer.Control の登場がある(Go 1.11 より)。 type Dialer s…

Microsoft、Windows Update を通じた Windows 7 へのドライバー提供を終了

Microsoft は17日、Windows Update を通じた Windows 7 SP1/Server 2008/2008 R2 のドライバー提供を同日終了すると発表した(Windows Hardware Certification ブログの記事、 Bleeping Computer の記事、 BetaNews の記事、 Windows Central の記事)。

Microsoft が5月10日からSHA-2 アルゴリズムへ全面移行したことで、信頼されたルートプログラム参加パートナーが未…

Linuxでプロセスの権限を設定するpolkit、7年以上前から存在した特権昇格の脆弱性が見つかる

多くのLinuxディストリビューションに標準でインストールされるシステムサービス「polkit」に7年以上前から存在していた特権昇格の脆弱性が修正された(The GitHub Blogの記事、 The Registerの記事、 Computingの記事、 CVE-2021-3560)。

polkitは非特権プロセスが特権プロセスと通信するためのポリシーを定義し、認証処理を行うツールキットだ。systemdがpolkitを使用するため、systemdを使用するLinuxディストリビューションはpol…

2021年6月のセキュリティアップデートレビュー解説

今月の第2火曜日となった2021年6月8日、Adobe社およびMicrosoft社から更新プログラムがリリースされました。最新のセキュリティ更新プログラムの詳細について確認しましょう。 ■Adobe社による2021年6月…

The post 2021年6月のセキュリティアップデートレビュー解説 first appeared on トレンドマイクロ セキュリティブログ.

ALPACA Attack

Paper Q&A How to ALPN/SNI News ALPACA will be presented at Black Hat USA 2021 and at USENIX Security Symposium 2021. Recommended articles: Ars Technica (Dan Goodin), Golem (Hanno Böck; German) Introduction TLS is an internet standard to secure the communication between servers and clients on the …

Mac向けマルウェア「XCSSET」が最新のmacOS 11やM1チップ搭載端末に対応、攻撃手口を解説

2020年にトレンドマイクロは、Xcodeプロジェクトに感染してMacユーザを攻撃するマルウェア「XCSSET」を初めて発見しました。当初は単発の事例で使用されたマルウェアファミリとして報告しましたが、今回の調査結果を踏…

The post Mac向けマルウェア「XCSSET」が最新のmacOS 11やM1チップ搭載端末に対応、攻撃手口を解説 first appeared on トレンドマイクロ セキュリティブログ.