Auth0 が JsonWebToken の脆弱性を FIX:22,000 以上プロジェクトに影響か?

Auth0 fixes RCE flaw in JsonWebToken library used by 22,000 projects

2023/01/09 BleepingComputer — Auth0 が修正したリモートコード実行の脆弱性は、22,000 以上プロジェクトで使用され、NPM からは毎月 3600 万回以上もダウンロードされている、人気のオープンソース・ライブラリ JsonWebToken に存在するものだ。このライブラリは、Microsoft/Twilio/Salesforce/Intuit/Box/IBM/Docusign/Slack/SAP などのオープンソース・プロジェクトでも使用されている。

Continue reading “Auth0 が JsonWebToken の脆弱性を FIX:22,000 以上プロジェクトに影響か?”

Zoom/Box/Google の URL スプーフィング問題:公認 SaaS のサブドメインなどが悪用される

Researchers uncover URL spoofing flaws on Zoom, Box, Google Docs

2022/05/11 HelpNetSecurity — フィッシング犯人が生成した悪意のコンテンツへのリンクが、組織の SaaS アカウントによるホストされているように見せかける、いくつかの URL スプーフィング・バグを、研究者たちが Box/Zoom/Google Docs で発見された。

Continue reading “Zoom/Box/Google の URL スプーフィング問題:公認 SaaS のサブドメインなどが悪用される”

Box の SMS-based 多要素認証がバイパスされる:研究者たちが指摘する欠陥とは?

Researchers Bypass SMS-based Multi-Factor Authentication Protecting Box Accounts

2022/01/18 TheHackerNews — サイバー・セキュリティ研究者たちが、Box の多要素認証 (MFA) 機構に存在していた、パッチ適用済みのバグの詳細を公開した。Varonis の研究者たちは The Hacker News に対して「このバグを利用すると、攻撃者は盗んだ認証情報を使って組織の Box アカウントを侵害し、被害者の携帯電話にアクセスすることなく機密データを流出させることができる」と報告している。

Continue reading “Box の SMS-based 多要素認証がバイパスされる:研究者たちが指摘する欠陥とは?”

SaaS 運用の管理が甘いとサプライチェーン・リスクが生じる

Unmanaged SaaS Data Brings Supply Chain Risks

2021/08/30 SecurityBoulevard — SaaS (Software-as-a-Service) のデータに対するアクセスが管理されていなと、内部および外部からの脅威が発生する可能性が高まる。その理由を、DoControl Inc の新しいレポートが示している。この SaaS セキュリティ企業は、平均 1,000人の従業員を抱える企業と、50万件〜1,000万件の資産を持つデータストアを評価した結果として、SaaS データ・アクセスの40%が管理されていないことを発見した。つまり、膨大な資産が、パブリックに共有される可能性があるのだ。

Continue reading “SaaS 運用の管理が甘いとサプライチェーン・リスクが生じる”