Okta warns of credential stuffing attacks targeting its CORS feature
2024/05/29 BleepingComputer — Okta は、Customer Identity Cloud (CIC) 機能がクレデンシャル・スタッフィング攻撃の標的となり、４月以降において多数の顧客が狙われていると警告している。Okta は ID／Access 管理の大手企業であり、アプリ／Web サイト／デバイスへの安全なアクセスのための、クラウド・ベースのソリューションを提供している。さらに同社は、SSO (single sign-on)／多要素認証 (MFA：multi-factor authentication) ／ユニバーサル・ディレクトリ／API アクセス管理／ライフサイクル管理なども提供している。
Continue reading “Okta 警告：CORS 機能を狙ったクレデンシャル・スタッフィング攻撃が展開されている”CVE-2024-27302 (CVSS 9.1): go-zero Framework Authorization Bypass Vulnerability
2024/03/06 SecurityOnline — 人気の go-zero Web／RPC フレームワークに、深刻な脆弱性 CVE-2024-27302 が発見された。この脆弱性の悪用に成功した攻撃者は、CORS (Cross-Origin Resource Sharing) ポリシーをバイパスする可能性がある。
Continue reading “go-zero フレームワークの脆弱性 CVE-2024-27302 が FIX：PoC もリリース”Urgent Alert for Developers: Fix the Critical Fiber Go CVE-2024-25124 Vulnerability Now
2024/02/22 SecurityOnline — Fiber Go Web フレームワークを使用する開発者にとって必要なことは、CORS ミドルウェアの深刻な脆弱性への速やかな対処である。脆弱性 CVE-2024-25124 (CVSS 9.4) は、CORS コンフィグレーションにおけるワイルドカード・オリジン (＊) を許可し、それと同時にクレデンシャルの有効化も可能にしてしまう。Fiber は Go Web フレームワークであり、Go 用の最速 HTTP エンジンである Fasthttp 上に構築されている。そのデザインは、メモリ・アロケーションを不要にするものであり、迅速な開発のためのパフォーマンスを念頭に置いたものとなっている。
Continue reading “Fiber Go の深刻な脆弱性 CVE-2024-25124 が FIX：CORS ミドルウェアの要注意ミスコンフィグ”Atlas VPN zero-day vulnerability leaks users’ real IP address
2023/09/05 BleepingComputer — Atlas VPN の Linux クライアントに存在するゼロデイ脆弱性により、Web サイトにアクセスしただけで、ユーザーの実際の IP アドレスが漏えいするという問題が生じている。Atlas VPN とは、WireGuard をベースとした費用対効果の高いソリューションを提供する VPN 製品であり、すべての主要なオペレーティング・システムをサポートしている。ある研究者が Reddit で共有した PoC エクスプロイトにより、Atlas VPN の Linux クライアントにおいて、具体的には最新バージョンである 1.0.3 において、ポート 8076 上で localhost (127.0.0.1) をリッスンする API エンド・ポイントについて、説明が行われている。
Continue reading “Atlas VPN のゼロデイ脆弱性：ユーザーの実際の IP アドレスが漏えいする可能性”
IoT OT Security News 