Atlassianは4月20日(米国時間)、「Jira Security Advisory 2022-04-20」において、同社が提供しているプロジェクト管理ツールの「Jira」に認証バイパスの脆弱性が発見されたとして、セキュリティアドバイザリを公開した。この脆弱性を悪用すると、リモートの攻撃者が認証を回避して標的のシステムに不正にアクセスできる…
タグ: Server
こんにちは、Finatextの @s_tajima です。 システム運用において、サーバー上でマルウェアを実行されてしまったり、配信するコンテンツを改ざんされてしまうというのは、セキュリティ上大きな脅威と言えます。金融機関、金融サービス提供者としては、当然そのような状況を防ぐ手を打つ必要があります。今回は、Finatext…
2022/2/11に Terraform AWS Provider Version 4がリリースされました。2/22現在、もうVersion 4.2まででています。実際に触ってみて何が変わったのか確認したいと思います。 aws_s3_bucketの大規模リファクタリング 要は「aws_s3_bucketがデカくなりすぎて大変だから、細かく分けようぜ！」ということです。 御存知の通…
2005年に設立されたセキュリティ企業Haschek Solutionsの創設者であるオーストラリア人プログラマーのクリスティアン・ハスチェク氏が、仕事中に発見した謎のRaspberry Piについて、自身のブログにまとめています。 The curious case of the Raspberry Pi in the network closet https://blog.haschek.at/2019/the-curio…
SSH Bastion Host Best Practices Jan 13, 2022 by Sakshyam Shah SSH bastion hosts are an indispensable security enforcement stack for secure infrastructure access. Every security compliance standard that deals with remote infrastructure access (e.g., FedRAMP AC-17 – Remote Access, HIPAA §164.312(a)…
日経の記事利用サービスについて 企業での記事共有や会議資料への転載・複製、注文印刷などをご希望の方は、リンク先をご覧ください。 詳しくはこちら パナソニックは7日、2021年6月～11月にあった不正アクセスに関する調査結果を発表した。第三者による不正アクセスがあったファイルには、採用応募者や取引先の個人情報…
以下、経緯や使い方の説明です。 背景：サーバーサイドにおけるロギングと秘匿値の問題 Webサービスを含む多くのサーバーサイドのサービスでは、サービスの挙動に関するログを出力・記録しておくのが一般的です。継続的にログを出力しておくことで、トラブルシューティングやデバッグ、セキュリティインシデントの対応や…
ALB配下のApache HTTP Serverに対して脆弱性(CVE-2021-41733)の再現ができない理由をNGINXの挙動から考えてみた ALBの実装はわからないのであくまで考察となります。 ALBについて考えてみたと謳っていますが、メインはNGINXのソースリーディングです。 少し長いですが、AWS環境でパストラバーサル攻撃の検証を行う際には…
■概要 2021年09月12日、Recorded FutureのCSIRTメンバーであるAllan Liska氏がTwitter上で呼びかけを行いました。 その呼びかけはランサムウェアの攻撃者が初期アクセスを獲得するために使用する脆弱性のリストを作成しようとしているというもので、いくつかのベンダーや製品名とともにCVE番号が列挙されたリストの画像…
関連キーワード サイバー攻撃 | ハッキング | セキュリティ 無料でSSLサーバ証明書を発行する認証局（CA）「Let’s Encrypt」について、ドメイン所有権の検証方法に脆弱（ぜいじゃく）性があることが分かった。サイバー犯罪者は実際に所有していないドメインのSSLサーバ証明書を取得できる可能性があるという。脆弱性は、…
Windows Server 2022正式版がひっそりとリリース。セキュアコアサーバ搭載、SMB over QUICでVPN不要のファイルアクセスなど マイクロソフトからの発表はまだありませんが、Windows Server 2022正式版のリリースが事実上開始されました。 ライフサイクルのページに製品が登録され、2021年8月18日がサポート開始日となって…
みずほフィナンシャルグループ（FG）は2021年8月20日、傘下のみずほ銀行とみずほ信託銀行で8月19日から20日に起こったシステム障害に関し、都内で記者会見を開いた。障害の原因は、営業店や行内端末と勘定系システムをつなぐ「業務チャネル統合基盤」のデータベース（DB）サーバーのハードウエア故障にあった。 関連記事…
はじめに 対象イベント 読み方、使い方 Remote Code Execution(RCE) 親ディレクトリ指定によるopen_basedirのバイパス PHP-FPMのTCPソケット接続によるopen_basedirとdisable_functionsのバイパス JavaのRuntime.execでシェルを実行 Cross-Site Scripting(XSS) nginx環境でHTTPステータスコードが操作できる場合にCSPヘ…
AWS認定トレーニング講師の平野@おんせん県おおいたです。 みんな、温泉入ってますかー？ （挨拶 さて先日こんなご質問をいただきました 「AWSは200サービス、「今から学ぼう！」て人は、多さが障壁になると思うので、この辺はどういったアドバイスありますか？」 確かにそうですよね。多くの人も同じように感じてるは…
Go において、いわゆる SSRF (Server Side Request Forgery) を防ぐような目的で、内部 IP アドレスにアクセスしない HTTP クライアントを作るには hakobe/paranoidhttp が便利だった。ただ、近年ではこれが作られて以降の Go 側のアップデートとして、net.Dialer.Control の登場がある（Go 1.11 より）。 type Dialer s…
Microsoft は17日、Windows Update を通じた Windows 7 SP1/Server 2008/2008 R2 のドライバー提供を同日終了すると発表した(Windows Hardware Certification ブログの記事、 Bleeping Computer の記事、 BetaNews の記事、 Windows Central の記事)。
Microsoft が5月10日からSHA-2 アルゴリズムへ全面移行したことで、信頼されたルートプログラム参加パートナーが未…
日立が提供する Hitachi Application Server ヘルプには、クロスサイトスクリプティングの脆弱性が存在します。
日立が提供する Hitachi Application Server ヘルプには、クロスサイトスクリプティングの脆弱性が存在します。
多くのLinuxディストリビューションに標準でインストールされるシステムサービス「polkit」に7年以上前から存在していた特権昇格の脆弱性が修正された(The GitHub Blogの記事、 The Registerの記事、 Computingの記事、 CVE-2021-3560)。
polkitは非特権プロセスが特権プロセスと通信するためのポリシーを定義し、認証処理を行うツールキットだ。systemdがpolkitを使用するため、systemdを使用するLinuxディストリビューションはpol…
AGG Software 社が提供する Web Server Plugin には、複数の脆弱性が存在します。
AGG Software 社が提供する Web Server Plugin には、複数の脆弱性が存在します。
今月の第2火曜日となった2021年６月８日、Adobe社およびMicrosoft社から更新プログラムがリリースされました。最新のセキュリティ更新プログラムの詳細について確認しましょう。 ■Adobe社による2021年６月…
The post 2021年６月のセキュリティアップデートレビュー解説 first appeared on トレンドマイクロ セキュリティブログ.
Paper Q&A How to ALPN/SNI News ALPACA will be presented at Black Hat USA 2021 and at USENIX Security Symposium 2021. Recommended articles: Ars Technica (Dan Goodin), Golem (Hanno Böck; German) Introduction TLS is an internet standard to secure the communication between servers and clients on the …
Johnson Controls 社が提供する Metasys Servers、Engines、SCT Tools には不適切な権限管理の脆弱性が存在します。
Johnson Controls 社が提供する Metasys Servers、Engines、SCT Tools には不適切な権限管理の脆弱性が存在します。
A VMware vulnerability with a severity rating of 9.8 out of 10 is under active exploitation. At least one reliable exploit has gone public, and there have been successful attempts in the wild to compromise servers that run the vulnerable software. The vulnerability, tracked as CVE-2021-21985, res…
2020年にトレンドマイクロは、Xcodeプロジェクトに感染してMacユーザを攻撃するマルウェア「XCSSET」を初めて発見しました。当初は単発の事例で使用されたマルウェアファミリとして報告しましたが、今回の調査結果を踏…
The post Mac向けマルウェア「XCSSET」が最新のmacOS 11やM1チップ搭載端末に対応、攻撃手口を解説 first appeared on トレンドマイクロ セキュリティブログ.