「ビットコインATM」とは、現金やデビットカードを使用してビットコインを購入したり、逆に所有しているビットコインを売却して現金にしたりできるATMのことです。暗号資産(仮想通貨)の普及に伴ってビットコインATMの設置台数は増えていますが、仮想通貨取引所・クラーケンの研究機関であるKraken Security Labs(クラーケン・セキュリティ・ラボ)が、「一般的に使用されているビットコインATMにハードウェアおよびソフトウェアの脆弱性(ぜいじゃくせい)を発見しました」と報告しています。 Kraken Security Labs Identifies Vulnerabilities In Commonly Used Bitcoin ATM - Kraken Blog https://blog.kraken.com/post/11263/kraken-security-labs-identi

関連キーワード サイバー攻撃 | ハッキング | セキュリティ 無料でSSLサーバ証明書を発行する認証局（CA）「Let's Encrypt」について、ドメイン所有権の検証方法に脆弱（ぜいじゃく）性があることが分かった。サイバー犯罪者は実際に所有していないドメインのSSLサーバ証明書を取得できる可能性があるという。脆弱性は、ドイツの研究機関であるフラウンホーファー研究機構のサイバーセキュリティ分析部門が見つけた。 意図的に検証を失敗させる巧妙な手口

Appleは2021年9月13日にiOS 14.8およびiPadOS 14.8をリリースし、ユーザーの操作なしで端末がスパイウェアに感染するゼロクリック・エクスプロイトに対応しました。Appleが、脆弱(ぜいじゃく)性の報告からわずか1週間程度で修正プログラムを開発するほどこの問題を重要視している理由について、セキュリティの専門家が一問一答形式で解説しました。 Apple security flaw: How do 'zero-click' attacks work? - Digital Journal https://www.digitaljournal.com/tech-science/apple-security-flaw-how-do-zero-click-attacks-work ◆質問1：そもそもゼロクリック攻撃とは？ iPhoneの脆弱性を発見したトロント大学のサイバーセキュ

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftは米国時間9月15日、「Internet Explorer」（IE）に搭載されているHTMLレンダリングエンジン「Trident」（「MSHTML」とも呼ばれている）に存在する、リモートコード実行（RCE）攻撃につながる脆弱性がどのように悪用されているのかについての調査結果を明らかにした。攻撃者らは「Office」ドキュメントに細工を施し、開発者らを標的にしていたという。 同社のセキュリティ研究者らは8月、「Windows」システムに潜んでいるこの脆弱性が活発に悪用されていることを発見した。それまで存在を知られていなかったこの脆弱性は共通脆弱性識別子「CVE-2021-40444」を付与され、9月の月例パッチで対処され

デバイスの状態を監視して問題を検知してくれるDellのSupportAssistに内在するサポート用ソリューション「BIOSConnect」に脆弱性が見つかりました。この脆弱性を突くとBIOS/UEFIレベルで任意コード実行が可能で、共通脆弱性評価システム(CVSS)スコアは「8.3」と算定されています。 Eclypsium Discovers Multiple Vulnerabilities in Dell BIOSConnect https://eclypsium.com/2021/06/24/biosdisconnect/#mitigations Dell SupportAssist bugs put over 30 million PCs at risk https://www.bleepingcomputer.com/news/security/dell-supportassis

CodeZine編集部では、現場で活躍するデベロッパーをスターにするためのカンファレンス「Developers Summit」や、エンジニアの生きざまをブーストするためのイベント「Developers Boost」など、さまざまなカンファレンスを企画・運営しています。

5月11日、Microsoftはウェブサーバーhttp.sysの非常に重大な脆弱性（CVE-2021-31166）について情報公開しました。この製品は、Windows専用のHTTPサーバーで、スタンドアロンまたはIIS（Internet Information Services）と連携して実行することができ、HTTPネットワークリクエストを介してインターネットトラフィックを仲介する目的で使用されます。この脆弱性は、2015年に報告された、HTTPネットワークスタックのもうひとつのMicrosoftの脆弱性であるCVE-2015-1635と非常によく似ています。 発表された脆弱性はCVSSスコアが9.8であり、直接的な影響を与える可能性があり、悪用も非常に簡単であるため、影響を受ける製品に対してリモートで認証されないサービス拒否（Blue Screen of Death）を引き起こす可能性が

今回はDNS脆弱性シリーズの中では簡単です。 要点 脆弱性の概要については以下です。 NAME:WRECKはDNSメッセージ圧縮の実装不備による9つの脆弱性を総称したもの DNSだけでなくmDNSやDHCPでもドメイン名圧縮を行っており脆弱性が見つかっている Nucleus NET, NetX, IPnet, FreeBSDの4つのTCP/IPスタックに脆弱性が見つかっている IoT/OT機器でNucleus NET, NetXを利用している場合は攻撃が比較的容易でOSによる保護も弱くRCEに繋がる可能性が高いので影響大きめ しかし無差別に攻撃するのは難しい FreeBSDはDHCPの脆弱性でありローカルネットワークに攻撃者がいる必要があるので難易度高め そして今回の脆弱性を公表したForescout Research Labsの取り組みが非常に良いと感じたのでそちらもまとめておきます。

Vdooは6月2日(米国時間)、「Realtek Critical Wi-Fi Vulnerabilities Discovered」において、Realtek RTL8170C Wi-Fiモジュールに2つの脆弱性が存在すると伝えた。RTL8170C Wi-Fiモジュールを搭載しているすべてのデバイスが影響を受けるとされている。 攻撃者がこの脆弱性の悪用に成功した場合、RTL8170C Wi-Fiモジュールの制御権が乗っ取られ、このモジュールを使用しているオペレーティングシステムなどにroot権限でアクセスされる危険性がある。 Realtek Critical Wi-Fi Vulnerabilities Discovered Realtek RTL8170C Wi-FiモジュールはCortex M3プロセッサをベースに開発されたWi-Fiモジュールで、次のようなさまざまな分野の機器で使われて

広く使われる仕様にセキュリティ上の問題が発見された場合、影響を受けるシステムの数が多くなるため、注意が必要だ。最近のデバイスでよく使われる「Bluetooth」の仕様に脆弱（ぜいじゃく）性があることが発見された。この脆弱性を利用されると、なりすまし攻撃を受けたりAuthValueの漏えいなどが発生する危険性があるとされている。 米国CERT Coordination Centerは2021年5月27日（現地時間）、「Bluetooth Core」および「Bluetooth Mesh」の仕様をサポートするデバイスに、ペアリング時に攻撃者が正規のデバイスになりすますことができる脆弱性が「存在する可能性がある」と伝えた。影響を受けるベンダー製品が広範囲に渡る可能性があるため警戒してほしい。

PDFドキュメントには不正変更を防止する認証機能が用意されているが、この認証機能を攻撃する方法が発見された。認証された文書であるにもかかわらず可視コンテンツを変更することができるという。26のアプリケーションで検証され、攻撃に対して安全だったのは2つだけだったと報告されている。 現在の社会活動においてPDFはドキュメントの電子データフォーマットとして広く普及している。PDFには署名の機能があるが、これとは別にPDFドキュメントそのものを認証する機能も用意されている。これまでPDFの電子署名を攻撃する研究はあったが、今回ドキュメント認証に対しても攻撃が可能であることが発見された。認証されたドキュメントであっても可視コンテンツを変更できてしまうという。 ドイツのルール大学ボーフムに在籍するセキュリティ研究者らは2021年5月24日（現地時間）、認証されたPDFドキュメントに対する攻撃方法に関す

またWordPressプラグインの一つ「Fancy Product Designer」にゼロデイの脆弱（ぜいじゃく）性が発見された。既にこれを利用した攻撃も確認されている。 Fancy Product Designerは1万7000以上のWebサイトが導入していると推計されている。この脆弱性の深刻度は高く、プラグイン機能を無効にしても影響を受けるとされる。2021年6月1日（現地時間）にはこの脆弱性を修正したバージョンが公開された。

M1チップに修正不可能な脆弱性ありと研究者が報告〜低リスクも、アプリ同士が通信可能に 2021 5/27 M1搭載MacへのLinux移植作業を行っている研究者が、「悪用されるリスクは低いが、M1チップには修正不可能な脆弱性がある」と報告しました。この脆弱性を利用し、アプリ同士が相互に情報をやり取りした様子がYouTubeチャンネル「marcan」で公開されています。 M1チップに設計上の欠陥か？リスクは低い模様 この脆弱性を報告した研究者によれば、M1チップには設計上の欠陥があり、任意の2つのアプリが、メモリ、ソケットなどを使用せずに密かにデータのやり取りができるようです。 これは、異なるユーザー、異なる権限レベルで実行されているプロセス間でも動作し、データをやり取りするための隠れたチャネルを作成することで行われます。 この脆弱性を修正するにはM1チップを新たに作り直すしかないと、研究者

関連キーワード OSS | JavaScript | オープンソース | 脆弱性対策 | アプリケーション開発 | セキュリティホール セキュリティ研究者のアレックス・ビルサン氏とジャスティン・ガードナー氏は、ソースコード保管場所であるレジストリに、偽のソースコードを忍び込ませる攻撃手法を発見した。この攻撃手法は、オープンソースソフトウェア（OSS）のパッケージ（拡張機能群）のうち、企業が社内でホストしているプライベートなパッケージの名前が、ソースコード共有サービス「GitHub」で誤って公開されていたことを悪用。正規のプライベートパッケージを偽った悪質なソースコードをレジストリにアップロードすることで、標的企業に偽のソースコードをダウンロードさせ、標的に侵入する。 「ほぼ確実に侵入可能」　スクワッティングの本当の怖さ

米コンピュータ緊急事態対策チーム（US-CERT: United States Computer Emergency Readiness Team）は5月13日(米国時間)、「WordPress Releases Security Update｜CISA」において、WordPressに脆弱性が存在すると伝えた。この脆弱性を悪用されると、攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性があるとされている。 脆弱性に関する情報は次のページにまとまっている。 News – WordPress 5.7.2 Security Release – WordPress.org 脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。 WordPress 3.7から5.7.1までのバージョン 脆弱性が修正されたプロダクトおよびバージョンは次のとおり。 WordPress 5.7.2