OSSに関するセキュリティ・ツールの使い方・脆弱性等を紹介しています。 SELinux/Capability/AntiVirus/SCAP/SIEM/Threat Intelligence等。 OSS脆弱性ブログ01/27/2021にsudoの脆弱性情報(Important: CVE-2021-3156 : Baron Samedit)が公開されています。どのローカルユーザでもパスワード認証を経ずに特権昇格が出来るため、一度ローカルユーザのターミナルを開くことが出来れば権限昇格できてしまうという強烈なものです。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。 【01/27/2021 10:30更新】Amazon Linuxのリンク（ALSA-2021-1478)も加えました。また、詳細情報を追記しました。 【01/27/2021 14:30更新】O

ソニーネットワークコミュニケーションズのインターネットワークサービス「NURO光」でレンタルされるネットワーク機器について、NURO光側が管理時に使用するアカウントIDとパスワードが特定されました。このアカウントを利用することで、通常はユーザーがアクセスできない機能にアクセスできるほか、root権限によるコマンド実行が可能になります。 GitHub - meh301/HG8045Q: Pwning the Nuro issued Huawei HG8045Q https://github.com/meh301/HG8045Q/ 目次 ◆1：「HG8045Q」の脆弱性の指摘 ◆2：脆弱性を確認してみた ◆3：新たな脆弱性を発見 ◆4：脆弱性の報告とNURO光の対応 ◆1：「HG8045Q」の脆弱性の指摘 研究者のAlex Orsholits氏によって報告された今回の脆弱性は、通信ネットワーク

Oracle Fusion Middleware の Oracle WebLogic Server コンポーネントは、多くの商用ウェブサイトや企業アプリケーションの構築等に利用されているソフトウェア製品です。 2017年12月下旬より、この Oracle WebLogic Server のサブコンポーネントである WLS Security における既知の脆弱性（CVE-2017-10271）を悪用する攻撃事例が報告されています。 本脆弱性は、昨年10月に修正プログラムがリリースされていますが、2017年12月下旬に公開された攻撃コードが悪用され、修正パッチが適用されていないシステムに対して 悪意のあるコインマイナー（仮想通貨をマイニングするプログラム）を仕込まれる攻撃事例が報告されています。 確認されている攻撃事例では、コインマイナーにより仮想通貨をマイニングすることが目的と考えられていま

TERRY @terry_u16 湯婆婆「契約書だよ。そこに名前を書きな。働かせてやる。」 千尋> <script type="text/javascript">for(;;){alert("んほぉぉ！イッぐぅぅ！！");}</script> 湯婆婆「フン。んほぉぉ！イッぐぅぅ！！んほぉぉ！イッぐぅぅ！！んほ 2017-04-28 12:02:34

総務省は2017年4月13日、Webサイトの「地図による小地域分析（jSTAT MAP）」から最大で2万3000人分の個人情報が流出した可能性があると公表した。サイトは4月11日正午に停止し、再開時期は未定という。 流出した恐れがある個人情報は、サイト利用登録時に必須項目である氏名、メールアドレス、職業、会社名/学校名、利用目的。加えて、任意入力項目である電話番号、性別、年代、住所、具体的利用目的、情報の入手先のほか、利用者がアップロードした店舗などの情報も漏れた可能性がある。 同サイトはJavaのWebアプリケーションフレームワーク「Apache Struts2」の脆弱性を悪用した不正アクセスを受けた。不正アクセスに気が付いたのは4月11日午前中で、「ウイルス対策ソフトの定期スキャンで悪意のあるプログラムを検知した」（総務省統計局統計情報システム管理官）。被害拡大を防ぐため、正午にサイト

国内のセキュリティ組織であるJPCERTコーディネーションセンター（JPCERT/CC）は2017年3月中旬、Active Directoryを狙ったサイバー攻撃の実態と対策を解説するドキュメントを公開した。Active Directoryを乗っ取る標的型攻撃が多発しているにもかかわらず、企業・組織の多くでは対策が取られていないためだ。 重要なのに守りが甘い Active Directoryは、米マイクロソフトがWindowsサーバーで提供するディレクトリーサービス。企業・組織のコンピュータやユーザーを集中的に管理できる仕組みで、多くの企業・組織が導入している。 一方で、攻撃者にも狙われやすい。Active Directoryのドメイン管理者権限を取得すれば、そのドメイン配下のコンピュータに自由にアクセスできるなど、ほぼ何でもできてしまうからだ。 しかも、Active Directoryの

iPhone・Nexus・Galaxyなど主要なスマートフォンに使われているBroadcomのWi-Fiチップに、リモートで悪意のあるコードを実行したり、端末のフルコントロールを奪ったりできる脆弱性が報告されています。 Project Zero: Over The Air: Exploiting Broadcom’s Wi-Fi Stack (Part 1) https://googleprojectzero.blogspot.jp/2017/04/over-air-exploiting-broadcoms-wi-fi_4.html Millions Of Smartphones Using Broadcom Wi-Fi Chip Can Be Hacked Over-the-Air http://thehackernews.com/2017/04/broadcom-wifi-hack.h

Samsungはモバイル端末用のOS「Tizen」を独自に開発しており、スマートフォンやスマートウォッチだけでなく、テレビなどのすべてのIT家電に搭載していくことを計画しています。しかし、Tizenにはセキュリティ専門家が「ハッカーが歓喜するような脆弱性が満載だ」とセキュリティ上の問題があると警告しています。 Samsung's Android Replacement Is a Hacker's Dream - Motherboard https://motherboard.vice.com/en_us/article/samsung-tizen-operating-system-bugs-vulnerabilities Kaspersky Lab主催のSecurity Analyst Summitで、イスラエルのセキュリティ対策企業Equus Softwareのアミハイ・ネイダーマン氏が

はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成