Atlassian Bitbucket Server の深刻な RCE 脆弱性:PoC エクスプロイトの前にパッチ適用を!

Atlassian Bitbucket Server vulnerable to critical RCE vulnerability

2022/08/26 BleepingComputer — Atlassian は、Bitbucket Server/Data Center ユーザーに対して、深刻なセキュリティ脆弱性を警告するセキュリティ・アドバイザリを公開した。この脆弱性の悪用に成功した攻撃者に対して、脆弱なインスタンス上での任意のコード実行を許す可能性があるという。Bitbucket とは、Jira と Trello が統合された、Git ベースのコード・ホスティング/マネージメント/コラボレーション・ツールのことである。

Continue reading “Atlassian Bitbucket Server の深刻な RCE 脆弱性:PoC エクスプロイトの前にパッチ適用を!”

バグバウンティ・プログラム市場の需要と供給:誰もが幸せになれない現状を考える

Why Bug-Bounty Programs Are Failing Everyone

2022/07/30 DarkReading — Black Hat USA の講演で Katie Moussouris は、バグバウンティ・プログラムが目標を達成できない理由と、セキュリティ上の成果としてバウンティを活用するために、それに続くステップで必要となるものを説明することになる。

Continue reading “バグバウンティ・プログラム市場の需要と供給:誰もが幸せになれない現状を考える”

HackerOne のバグバウンティ・プログラム:そこから見えてくる5つの論点

5 Things New with Bug Bounty Programs

2022/01/07 SecurityIntelligence — 2021年9月29日に HackerOne は、Internet Bug Bounty (IBB) プログラムの最新版を発表した。この取り組みにより、2013年から2021年の間に生じている、オープンソース・ソフトウェアに存在する、1,000件以上の脆弱性を発見するよう調整がなされた。HackerOne の最新バージョンは、既存のバグバウンティから得られる防御力を蓄積し、脆弱性管理ライフサイクルに貢献する利害関係者を表彰する方法で報奨金を分割していく。さらに、脆弱性提出フローの統合により、参加する研究者のエクスペリエンスを向上させ、プログラムの範囲をさらに拡大することを目的としている。

Continue reading “HackerOne のバグバウンティ・プログラム:そこから見えてくる5つの論点”

Log4j 脆弱性とバグ報奨金:大衆のパワーが事態を明確にしてきた

Bug bounty platforms handling thousands of Log4j vulnerability reports

2021/12/22 DailySwig — 世界のソフトウェア・エコシステムに衝撃を与え続けている、Apache Log4j のバグに関連する脆弱性報告が、バグバウンティ・ハンターにより何千件も提出されている。このバグは、オープンソースの Java ロギング・ライブラリ Log4j に存在する、CVSS 値 10 という深刻な欠陥であり、これまでにない数の潜在的な標的に対して、サイバー犯罪者によるリモートコード実行 (RCE) 攻撃を許してしまうものとなる。

Continue reading “Log4j 脆弱性とバグ報奨金:大衆のパワーが事態を明確にしてきた”

オープンソースからバグを取り除く:重要なのは報奨金とエコシステムだ

Searching for Bugs in Open Source Code

2021/11/30 SecurityBoulevard — まずは、迷信の払拭から始めよう。オープンソース・ソフトウェアが、クローズドソース・ソフトウェアよりも、安全性が低いということはない。しかし、オープンソースのプログラムに脆弱性が発見されると、クローズドソースで発見された脆弱性よりも、はるかに容易に武器化し、悪用される傾向にある。これが、現実だ。

Continue reading “オープンソースからバグを取り除く:重要なのは報奨金とエコシステムだ”

倫理的ハッカーたちを護れ:この一年で3兆円の経済効果を生み出している!

Ethical Hackers Prevented $27B in Cybercrime

2021/11/17 SecurityBoulevard — 倫理的ハッカーたちが、パンデミックが経済を破壊し、組織が最も脆弱になった14ヵ月間に、その価値を証明した。世界中のセキュリティ・チームが、ソフトウェアの欠陥に圧倒された時期に、$27 billion の被害額に相当するサイバー犯罪を未然に防いだのだ。Bugcrowd のレポートによると、2020年5月1日〜2021年8月31日に、倫理的ハッカーの10人に8人が、これまでに遭遇したことのない脆弱性を発見したという。

Continue reading “倫理的ハッカーたちを護れ:この一年で3兆円の経済効果を生み出している!”

CISA が立ち上げた民間機関向けの脆弱性開示プラットフォームとは?

CISA launches vulnerability disclosure platform for federal agencies

2021/07/30 BleepingComputer — 今日のこと、Cybersecurity and Infrastructure Security Agency (CISA) は、米国連邦民間機関向けに新たな脆弱性開示ポリシー (VDP : vulnerability disclosure policy) プラットフォームの提供を開始した。

Continue reading “CISA が立ち上げた民間機関向けの脆弱性開示プラットフォームとは?”