Uber で生じたデータ侵害:Lapsus$ によるソーシャル・エンジニアリングが侵入経路?

Uber links breach to Lapsus$ group, blames contractor for hack

2022/09/19 BleepingComputer — 先週にサイバー攻撃に遭った Uber だか、その背後にいるハッカーについて、Microsoft/Cisco/NVIDIA/Samsung/Okta などの著名ハイテク企業を侵害したとされる、Lapsus$ グループに関連すると考えているようだ。この攻撃者は、盗み出した Uber EXT 契約者の認証情報を用いて、その契約者たちに 2FA ログインを要求し、誰かが受け入れるまで、MFA 疲れ攻撃を行ったと、同社は述べている。

Continue reading “Uber で生じたデータ侵害:Lapsus$ によるソーシャル・エンジニアリングが侵入経路?”

GitLab の深刻な脆弱性 CVE-2022-2884 が FIX:認証済みの攻撃者による RCE

GitLab fixed a critical Remote Code Execution (RCE) bug in CE and EE releases

2022/08/23 SecurityAffairs — DevOps プラットフォームの GitLab は、GitLab Community Edition (CE) および Enterprise Edition (EE) に影響を及ぼす、深刻なリモートコード実行の脆弱性 CVE-2022-2884 (CVSS 9.9) を修正する、セキュリティ・アップデートをリリースした。攻撃者が認証されている場合には、GitHub の Import API を介して、この脆弱性の悪用が可能となる。

Continue reading “GitLab の深刻な脆弱性 CVE-2022-2884 が FIX:認証済みの攻撃者による RCE”

Twitter のゼロデイ脆弱性:540 万件のアカウント情報流出に悪用される

Twitter confirms zero-day used to expose data of 5.4 million accounts

2022/08/05 BleepingComputer — Twitter は、最近発生したデータ流出の原因が、現在は修正済みのゼロデイ脆弱性にあったこと、そして、メールアドレス/電話番号をユーザーのアカウントにリンクさせるために悪用されていたことを発表した。BleepingComputer が7月に行った、ある脅威アクターたちへのインタビューで、この脆弱性を悪用に成功した彼らは、 540万人のユーザーアカウントのリストを作成していたことが判明した。

Continue reading “Twitter のゼロデイ脆弱性:540 万件のアカウント情報流出に悪用される”

バグバウンティ・プログラム市場の需要と供給:誰もが幸せになれない現状を考える

Why Bug-Bounty Programs Are Failing Everyone

2022/07/30 DarkReading — Black Hat USA の講演で Katie Moussouris は、バグバウンティ・プログラムが目標を達成できない理由と、セキュリティ上の成果としてバウンティを活用するために、それに続くステップで必要となるものを説明することになる。

Continue reading “バグバウンティ・プログラム市場の需要と供給:誰もが幸せになれない現状を考える”

Twitter のアカウント情報が大量に流出:548万人分が $30k で販売されている

Hacker selling Twitter account data of 5.4 million users for $30k

2022/07/22 BleepingComputer — Twitter の脆弱性が脅威アクターに悪用されたことで、540万件のアカウントに関する電話番号と電子メールアドレスのデータベースが構築され、そのデータがハッカー・フォーラムで $30,000 で販売されるというデータ侵害が生じている。 昨日に devil と呼ばれる脅威アクターが、このデータベースには有名人/企業/一般的なユーザーを含む、さまざまなアカウントに関する情報が含まれていると、ダークウェブで述べている。

Continue reading “Twitter のアカウント情報が大量に流出:548万人分が $30k で販売されている”

Kaspersky が FCC の禁止リストに追加:Huawei や ZTE と同じクラスに分類

Kaspersky added to FCC list that bans Huawei, ZTE from US networks

2022/03/25 CyberScoop — 金曜日に連邦通信委員会 (FCC) は、ロシアに本拠を置くサイバー・セキュリティ大手 Kaspersky を、米国の国家安全保障にとって受け入れがたいリスクをもたらす企業の、対象リストに追加した。この決定により、実質的に Kaspersky は、このリストが始まった 2021年に最初にリストに追加された、中国の通信ハードウェア・メーカーである Huawei や ZTE と同じクラスに入ることになる。

Continue reading “Kaspersky が FCC の禁止リストに追加:Huawei や ZTE と同じクラスに分類”

Cloudflare の有償パブリック・バグバウンティ・プログラムが開始された

Cloudflare launches a paid public bug bounty program

2022/02/01 BleepingComputer — Web インフラ/Webサイトのセキュリティに特化したプロバイダーである Cloudflare は、新たな公開バグバウンティ・プログラムの開始を発表した。Cloudflare の Product Security Engineer である Rushil Shah は、「本日、Cloudflare は有償パブリック・バグバウンティ・プログラムを開始する。私たちは、バグバウンティが全てのセキュリティ・チームにおける、ツール・ボックスの重要な一部であると信じており、ここ数年、プライベート・バグバウンティ・プログラムの改善と拡大に努めてきた」と述べている。

Continue reading “Cloudflare の有償パブリック・バグバウンティ・プログラムが開始された”

HackerOne のバグバウンティ・プログラム:そこから見えてくる5つの論点

5 Things New with Bug Bounty Programs

2022/01/07 SecurityIntelligence — 2021年9月29日に HackerOne は、Internet Bug Bounty (IBB) プログラムの最新版を発表した。この取り組みにより、2013年から2021年の間に生じている、オープンソース・ソフトウェアに存在する、1,000件以上の脆弱性を発見するよう調整がなされた。HackerOne の最新バージョンは、既存のバグバウンティから得られる防御力を蓄積し、脆弱性管理ライフサイクルに貢献する利害関係者を表彰する方法で報奨金を分割していく。さらに、脆弱性提出フローの統合により、参加する研究者のエクスペリエンスを向上させ、プログラムの範囲をさらに拡大することを目的としている。

Continue reading “HackerOne のバグバウンティ・プログラム:そこから見えてくる5つの論点”

OWASP Top-10 2021 Draft:Web アプリへの脅威をカテゴライズ

OWASP shakes up web app threat categories with release of draft Top 10

2021/09/09 DailySwig — Open Web Application Security Project (OWASP) は、2021年の Top-10 リストのドラフトを発表し、現代の脅威の分類方法を一新した。9月8日の発表で OWASPは、ピア・レビュー/コメント/翻訳・改善の提案を目的とする、Top 10 Web Application Security Threats for 2021 のドラフトを公開したと述べている。

Continue reading “OWASP Top-10 2021 Draft:Web アプリへの脅威をカテゴライズ”

Ford における顧客データの流出と対応:これじゃ研究者が可哀相

Ford bug exposed customer and employee records from internal systems

2021/08/15 BleepingComputer — Ford Motor Company の Web サイトのバグにより、機密システムへのアクセスが可能となり、顧客データベースや、従業員記録、社内チケットなどの、プロプライエタリ・データを窃取された。このデータ流出は、Ford のサーバー上で稼働している、顧客エンゲージメント・システム Pega Infinity のインスタンスが、誤って設定されていたことに起因している。

Continue reading “Ford における顧客データの流出と対応:これじゃ研究者が可哀相”