最新記事一覧
JPCERT/CCは、WordPress用プラグイン「Forminator」に複数の脆弱性が存在すると伝えた。これらの中にはCVSS 9.8に分類されるものも含まれるため注意が必要だ。
()
Ciscoはスモールビジネス向けルーターにクロスサイトスクリプティングの脆弱性が見つかったと報告した。この問題はWeb管理インタフェースの不十分な入力検証に起因しており、攻撃者による不正利用の可能性がある。
()
Akamaiは、脅威レポート「インターネットの現状（SOTI）｜影に潜む脅威：攻撃トレンドでAPIの脅威を解き明かす」を公開した。それによるとWebに関する全攻撃の29％が「APIを標的とした攻撃」だという。
()
ラックは、生成AIシステムのセキュリティを強化するサービス「生成AI活用システム リスク診断」の提供を開始した。生成AIを使ったシステムに特有の脆弱性が含まれていないかどうかを評価し、改善点をレポートする。
()
ネット上で商売するのが当たり前な時代。インシデントが発生すれば失うものは計り知れない。本連載では脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。
()
セキュリティ人材の不足が世の中で叫ばれていますが、人材不足を嘆く前に自社が従業員の才能を伸ばせる環境かどうかを再考してみるといいかもしれません。
()
日本シノプシスが、同社が行ったソフトウェア脆弱性に関する調査レポートについて説明。ソフトウェアやアプリケーションから脆弱性が検出される割合が2020年の97％から2022年には83％となり、減少傾向にあることが分かった。
()
第4回は、第3回の続きとして、投稿アプリにWebアプリケーションテンプレートエンジンの「Tera」を導入し、見た目を整えていきます。
()
QNAP SystemsはQTS 5.1.x、QuTS hero h5.1.x、QuMagie 2.2.x、Video Station 5.7.xなどの自社製品について脆弱性を発表した。修正版がリリースされており、適用が推奨される。
()
米GitHubの年次イベント「GitHub Universe 2023」が米サンフランシスコで開幕。1日目の基調講演で、GitHub Copilotが脆弱性のあるコードを自動的に修正してくれる「Code scanning autofix 」を発表し、発表と同時にプレビューが公開された。
()
オンライン決済サービス「PAY.JP」では、システム基盤の見直しやPCI DSS準拠といった取り組みを継続的に進め、高いセキュリティ水準の維持に取り組んできた。PAYで代表取締役CEOの高野兼一氏が、クラウドネイティブな取り組みをどう進めているのか、解説した。
()
セキュリティ企業のESETが、サイバーセキュリティ分野で最も使用されている5つのプログラミング言語をレビューした。それぞれの主な利点とは。何のためにどう使われているのか。
()
ランサムウェアHelloKittyのソースコードがロシア語圏で人気のハッキングフォーラムで公開されていると報じられた。
()
ビジネスニーズを満たすために、APIを活用する機会は増している。だが、セキュリティのツール、プロセス、スキルセットはAPIの活用に追い付いていない。企業のAPIセキュリティについて調査したEnterprise Strategy Groupでシニアアナリストのメリンダ・マークス氏に話を聞いた。
()
Cloudflareが2023年第2四半期（4〜6月）におけるインターネット全体のアプリケーションセキュリティの傾向に関するレポートを発表した。毎日平均1120億件ブロックしたサイバー脅威データを基に分析した結果分かった傾向とは。
()
Googleの年次報告書によると、2022年に悪用されたことが検出、公開されたゼロデイ脆弱性は41件。2021年の69件からは減少したが、2014年に同社が追跡を開始して以来、2番目に多かった。
()
MITREは、ソフトウェアにおいて危険な脆弱性タイプの1位〜25位をまとめた「CWE Top 25」を発表した。
()
鹿児島県志布志市の「志布志市ふるさと納税特設サイト」でクレジットカード情報910件が漏えいした可能性がある。クロスサイトスクリプティングの脆弱性を悪用され、クレジットカード決済実行時にカード情報を盗み出すよう改造されていた。
()
今、米国のサイバーセキュリティ当局を中心に、製品の開発段階でセキュリティを確保しようとする取り組み「セキュア・バイ・デザイン」と「セキュア・バイ・デフォルト」が進んでいる。製品から脆弱性を取り除くための“戦術”の内容を見てみよう。
()
WordPressのプラグインで人気の高いカスタムフィールドプラグインに重大なセキュリティ脆弱性が見つかった。これは200万以上のインストールがあるため大きな影響が予想される。該当する場合は迅速に更新することが望まれる。
()
Microsoftは、BingやOffice 365を攻撃できる可能性のあるAzure ADの脆弱性を修正した。この問題を発見し、報告したWizのアナリストは、悪用すればXSS攻撃も可能だったと解説した。
()
クラウドネイティブを推進する上では、どのようなセキュリティリスクが潜むのか。そしてどのようなアプローチが有効なのか。「ITmedia Cloud Native Week 2022 冬」に登壇したラックの倉持浩明氏が紹介した。
()
LEGOの中古品売買サイト「BrickLink」に見つかった脆弱性は、「API」の脆弱性だった。専門家はAPIセキュリティの重要性を呼び掛けている。その背景は。
()
セキュリティ専門家が、LEGOの中古品売買サイト「BrickLink」に脆弱性を発見した。見つかったのは2つの脆弱性だ。どのような脆弱性だったのか。発見に至ったいきさつとは。
()
VMwareのリモートサポートソリューション「VMware Workspace ONE Assist」にCVSSv3スコア9.8に該当する複数の脆弱性が見つかった。これらを悪用されると影響を受けたシステムの制御権を乗っ取られる可能性があるため注意してほしい。
()
最新IT動向のキャッチアップはキーワードから。専門用語で煙に巻かれないIT人材になるための、毎日ひとことキーワード解説。用語の意味から隠されたIT用語が何なのか当ててみよう。
()
JPCERT/CCが、WordPressに複数の脆弱性が見つかったとして最新版へのアップデートを呼び掛けた。悪用されるとWebサイトの閲覧者に悪影響が出る可能性がある。
()
セキュリティの素朴な疑問を、話題のトピックスを交えて解説する本連載。第2回は、「サイバー攻撃のHow」をテーマに、セキュリティの基礎を紹介する。
()
ハイブリッド戦の影響が世界に波及する中で、サイバー空間でいま何が起きているのか。緊張の高まる台湾およびアジアの情勢を前に、民間企業はどう備えるべきか。変わりつつあるWeb攻撃の傾向などを基に、浮かび上がったハイブリッド戦の影について考察する。
()
Comparitech.comはサイバーセキュリティに関わる脆弱性について、最新の状況を示す28の重要な統計と事実を取り上げて紹介した。2021年第4四半期にはゼロデイマルウェアが全脅威の3分の2を占めた。だが、同時に84％の企業のネットワーク境界に高リスクの脆弱性が残っていた。企業や個人はまず古い脆弱性に対応するとよいだろう。
()
VMwareの複数製品に脆弱性が見つかった。これらの中には深刻度「緊急」（Critical）に分類される脆弱性も含まれている。該当製品を使用している場合には迅速にアップデートを適用してほしい。
()
常に優秀なエンジニアたちに囲まれ、「底辺をはいつくばるような」気持ちでマルウェア解析に取り組んできた男が誇れるのは、「粘り強くものを追い続ける姿勢」だった。
()
HSSEDIは「CWE Top 25 Most Dangerous Software Weaknesses」の2022年版を公開した。サイバー攻撃者が悪用する脆弱性タイプがランキング形式で紹介されている。参考の上、対処することが望まれる。
()
「既知の悪用された脆弱性カタログ」に36個の脆弱性が追加された。複数のAdobe製品やMicrosoft製品などに影響を及ぼす脆弱性が含まれるため注意が必要だ。内容を確認し、迅速に対処してほしい。
()
先日に引き続き、CISAは「既知の悪用された脆弱性カタログ」にQNAP製NASやiOS、Windowsなどに存在する20個の脆弱性を追加した。
()
CISAは「既知の悪用された脆弱性カタログ」にGoogle ChromeやiOSなどに存在する21個の脆弱性を追加した。確認の上、必要に応じてアップデートや緩和策を適用することが望まれる。
()
Webアプリケーションを狙うサイバー攻撃の高度化は、機械学習機能を組み込んだbotによる同時多発攻撃などとどまるところを知らない。従来のWAFでは防ぎ切れない攻撃にどのように立ち向かうべきなのか。
()
WhiteSourceは、静的アプリケーションセキュリティテスト（SAST）に関する解説記事を公式ブログで公開した。SASTの目的や仕組み、特徴、新世代製品のメリット、ツールの選び方、導入方法を解説している。
()
社会全体でデジタル化が加速し、Webサイトは重要な顧客接点の一つになっている。一方で、サイバー攻撃による企業の被害は事業継続を脅かすほどに深刻化しており、迅速な対策の見直し、強化が求められている。ソフトウェアからミドルウェアまで日々多数の脆弱性が発覚する一方、企業の人材や予算は限定的だ。ビジネスを確実に守る方法はあるのか。
()
GitLabに「緊急」（Critical）に分類される脆弱性が見つかった。アカウント乗っ取りの可能性もあることから直ちにアップデートを適用することが推奨される。
()
新型コロナウイルス感染症に関連したドメインを新規に登録し、サイバー犯罪に悪用する動きがある。こうした悪質ドメインを取り締まるため、「.uk」ドメイン管理団体Nominetはどのように取り組んでいるのか。
()
業者がイーサリアムの売買を停止したから3500万円損をした。「NEMが流出したから」だなんて言い訳は許さん！
()
英国のドメイン管理組織Nominetの報告から、同国でのサイバー犯罪に対する取り組みが功を奏していることが明らかになった。効果の概要とその要因を解説する。
()
「Log4j」の脆弱性が話題になっているが、どれほど影響が大きいものなのか。ITmedia NEWS副編集長に聞いてみた。
()
「The Open Web Application Security Project」（OWASP）は、Webアプリケーションの重大なセキュリティリスクについてトップ10を選び、解説するドキュメントの最新版「OWASP Top Ten 2021」を公開した。
()
サイバーセキュリティツールベンダーのPortSwiggerは、セキュリティ研究者「s1r1us」氏のブログで発表された調査報告を紹介した。広く使われている18のJavaScriptライブラリに、プロトタイプ汚染の脆弱性があることが明らかになったという。
()
アプリケーション開発においてセキュアコーディングの重要性は高まっている。だが、「具体的に何をチェックしていけばいいのか」が定まらず、実践するとなると難しい。同様の悩みを抱えていた富士ソフトはどうやってこの課題を解決したのか。
()
「Apple AirTag」を狙ったiCloudアカウント窃取の方法が公開された。格納型クロスサイトスクリプティング攻撃が使われているという。
()
2021年7月に新しいランサムウェア「BlackMatter」が出現、作成者はサイバー攻撃者を“募集”している。ランサムウェア「REvil」が犯罪者フォーラムを利用禁止になった直後というタイミングから、2つの密な関係が浮かび上がっている。
()