2022-01-01から1年間の記事一覧
色々あって記事にできてなかった・・・ NIST Retires SHA-1 Cryptographic Algorithm https://www.nist.gov/news-events/news/2022/12/nist-retires-sha-1-cryptographic-algorithm SHA-1も終わった・・・！！！ 政府機関と警察庁が年末年始のセキュリティに…
優秀であることは、デメリットも多分に含む。 「私が新米セキュリティエンジニアとか、セキュリティ仕事したい人に伝えられることはなんだろう？」と考えたところ、仕事とそれ以外で学んだことの組み合わせかなと思った。 なぜこのテーマを選んだかというと…
私のキャリアとかインタビューでまぁまぁ聞かれるのでメモした。 一応結論としては、何か技術力が大切なわけではないと思ったというところ。 小学生時代 天才ハッカーのエピソードであるような「父親のパソコンをつかってプログラムをしていたんだ！」ってな…
新潟大学の外部サイトで秘匿箇所を加工すれば個人情報が閲覧可能に https://scan.netsecurity.ne.jp/article/2022/12/15/48635.html… CTF入門みたいな事例やなー exploitation-course 低レイヤの勉強用として使えそう。 なんか勉強用色々出てきて優しいなー …
今週はコロナワクチン接種して副反応で大変だった・・・ パスワード リセット コールは、組織に多額の費用がかかっています https://www.bleepingcomputer.com/news/security/password-reset-calls-are-costing-your-org-big-money/ ヘルプデスクへの負荷が…
検証って感じじゃないけどなんか知っておきたそうなニュースメモ あとで読むというより、書いて定着用 Googleは、2022年に8番目のゼロデイを修正する緊急Chromeアップデートをプッシュします https://www.bleepingcomputer.com/news/security/google-pushes-…
ReDosについて（OWASP） https://owasp.org/www-community/attacks/Regular_expression_Denial_of_Service_-_ReDoS 脆弱性を再現してみる axiosのCVE-2021-3749は以下の正規表現が原因で発生していた。 入力に多大な空白を含む文字列を渡すと処理が遅くなる…
報告した脆弱性が対応されました。 関連された方々、ご対応ありがとうございました。 https://jvn.jp/jp/JVN10921428/index.html 本脆弱性の対象バージョンは以下となっていますので、アップデートの程よろしくお願いします。 Android アプリ「Lemon8 (レモ…
だいぶ前に個人的に作ってた記事の移動 概要 認証無しでリモートコード実行可能な脆弱性。 参考 公式 https://www.f5.com/services/support/big-ip-vulnerability-cve-2020-5902 JPCERT https://www.jpcert.or.jp/at/2020/at200028.html certik https://cert…
だいぶ前に個人的に作ってた記事の移動 概要 Spring Data Commonsを使用しているWebアプリケーションで任意のコード実行が可能。 https://tanzu.vmware.com/jp/security/cve-2018-1273 https://www.jpcert.or.jp/at/2018/at180017.html https://recruit-tech…
関係された方々、ご対応ありがとうございました。 https://jvndb.jvn.jp/ja/contents/2022/JVNDB-2022-000059.html 該当の脆弱性は外部サービスのAPIキーがアプリにハードコードされていたというものです。 こちらは現在は無効化されているとのことですので…
※脆弱性診断を行う上でのスキルアップとして検証を行っております。この記事で知り得たことを悪用することは禁止とします。 概要 ◦dialog 関数の「closeText」オプションへの入力がエスケープされていないためXSSが出る問題 https://github.com/advisories/G…
※脆弱性診断を行う上でのスキルアップとして検証を行っております。この記事で知り得たことを悪用することは禁止とします。 普段jquery UIの古いのをよく見る気がするので、報告されている脆弱性の挙動を確かめてみた。 個人的な検証なので、間違いなどあり…
仕事で「/*com*/」と「/**com/」でSQLインジェクションの検証をしているが、JSONパーサに惑わされて紛らわしいときがある。 どのJSONパーサがコメントっぽい文字を解釈するのか気分のまま確かめてみる。 個人的な興味での調べごとなので、「～までやるべき」…
