ake_sec_

ITセキュリティ系エンジニア、
診断とかいろいろやってます。
macOS、Linux、Windows でごにょごにょしてます。
にゃーん

[情報の灯台 @joho_no_todai]

https://t.co/EJgYUxsZG5・Hotmail・Liveに届くはずだったメールが11月5〜9日ごろに消えていた可能性がある。マイクロソフトが迷惑メール規則の更新ミスを認めた。
https://t.co/5jss4jzTVC

正当なメールまで誤ってブロックしていたという。

配信は復旧済みだが拒否されたメールは迷惑メールフォルダーにも残っておらず、マイクロソフトにも復元できない。

受信者には何も通知されない。拒否の通知は送信者に返るため、受信者のメールボックスには痕跡すら残らない。

心当たりがあれば確認を。

[ふも @fumokmm]

コピペ禁止の時点で複雑なパスワードの入力をユーザーに諦めさせる作戦ですね😠

[ふも @fumokmm]

せっかく1Passwordで複雑なパスワード作ったのに、コピペ不可とかありえん😠

[すまほん!! @sm_hn]

警察がスマホに遠隔接続しデータ取得。トクリュウ対策法案が衆院通過 https://t.co/l8MvsTn2Eb

[mattn @mattn_jp]

企業が AI を使って大量の脆弱性を発見し修正した、というニュースを見た時の感想としては

(1) AI 凄い！
(2) 金持ってるなぁ
(3) 今までそんなに酷かったんか

などがある。

[yousukezan @yousukezan]

OpenSSHの認証回避脆弱性「SSHole」を悪用する攻撃が確認された。特定のmusl系Linux環境では、パスワードログインを無効化したアカウントにも侵入できる。攻撃者は認証情報の取得やSSH鍵の改変を試み、管理者権限を奪った事例も報告された。

CVE-2026-123158は、長すぎるパスワードを処理したmuslのハッシュ関数がエラー時に「*」を返し、OpenSSHが保存済みの「*」と一致したと誤認する欠陥だ。特定の認証設定が必要だ。

修正版OpenSSH 10.6p2は11月5日に公開され、同日に実証コードが公開された。GreyNoiseは7日、6つの送信元IPから16件の攻撃成功例を記録した。

攻撃では環境調査、クラウド情報の照会、認証情報の読み取り、SSH鍵の変更が試みられた。root権限を得た攻撃者はPython製のTAC Agentを設置したが、指令サーバーには接続できなかった。

Previdianも9カ国の13のIPから20件の試行を観測した。更新やSSHパスワード認証の無効化が推奨される。
https://t.co/8lcf1HegtW

[ふも @fumokmm]

標的型メールの訓練メールが、昨日現場で一斉に送られて来ました。

結構引っかかってクリックしちゃって、「引っかかりましたねm9(^Д^) これが本物だったらどうするんですか？甚大な被害が出ますよ！あなたのセキュリティ意識の低さを自覚して反省しなさい」的な指摘を受けた人が多いようです。

え、私ですか？
メーラーを開いてすらいませんでした。

[三輪信雄 @NobMiwa]

いくつかご指摘をいただきましたので、AIによる動的診断と静的診断を組み合わせてWebサーバを守る形態をできるだけ簡潔にまとめてみました

[yousukezan @yousukezan]

韓国の金融機関7社への侵入に使われたAI自動侵入テストツール「ARTEX」について、https://t.co/iv6TgKh94dが攻撃基盤の内部構成を明らかにした。公開状態のサーバーから、複数のAIモデルへの接続設定や19種類の独自エージェント機能、認証情報を扱うスクリプトなどが見つかった。

調査によると、香港の中継サーバー23.248.226.250で、42ファイル計105MBを確認。設定にはARTEX管理サーバーへの接続情報があった。

Claude Codeを基盤に、DeepSeek、GLM、Grok関連の接続設定を組み合わせていた。独自機能には偵察、Web認証の検査、決済処理の分析、Android端末の操作などが含まれる。

調査では、79種類の出口IPを使うプロキシ基盤や、JNDI／LDAPを利用した遠隔コード実行用の仕組みも発見。暗号資産取引所へのアクセス、Linuxの権限昇格、モバイル端末に関するツールも見つかったが、事件との直接的な関係は未確認だ。

CrowdStrikeによると、9月末から10月初めの侵害では約6万6000～6万7000人と約2200社の情報が影響を受けた。
https://t.co/uE7JFo7bPF

[yousukezan @yousukezan]

Node.jsプロジェクトは、深刻度「HIGH」の脆弱性に対処するセキュリティ更新を11月11日、またはその直後に公開する予定だ。対象はNode.jsの26.x、24.x、22.xの3系列で、いずれも修正対象となる問題の最高深刻度は「HIGH」とされている。

公式発表は11月3日に更新された。現時点の告知では、修正する脆弱性のCVE番号、件数、技術的な内容は示されていない。

Node.jsプロジェクトは、サポートが終了したバージョンについて、セキュリティ更新が行われる際には常に影響を受けると説明。公開されているリリース予定に従い、最新のサポート対象バージョンを利用するよう求めている。

脆弱性の報告手順はNode.jsのセキュリティポリシーに掲載されており、今後のセキュリティ情報は告知専用のnodejs-secメーリングリストでも受け取れる。
https://t.co/x8sRh8e4R8

[スティングレイ @stingrayyyyyyyy]

さっき、詐欺の電話が掛かって来たので共有します。ちなみにハキハキとした女性からです。

詐欺「もしもし〇〇さんでしょうか？日本郵便 の南と申します」

私「はい、そうです」

詐欺「11月2日に荷物を発送されましたか？」

私「いや、発送してないですよ」

詐欺「〇〇さんが福井県からタイのバンコクに発送された荷物が税関で止められまして」

私「は？福井県に行って無いし、海外になんて送ってないので間違いでは」

詐欺「送り先がコバヤシナオ様なんですがご存じないですか？」

私「全く知らない人ですね」

詐欺「ご親族の方が代わりに送ったりもしてないですか？」

私「全く関係無いですね」

詐欺「〇〇さんの住所は〜ですよね？」

私「合ってますね、情報漏洩かなんかで手に入れたのかな？」

詐欺「情報漏洩の心当たりはありますか？」

私「無いですよ、でも色々な所で漏洩してるから漏洩してても驚かないけど、ま、私じゃ無いんで」

詐欺「御本人からじゃ無くても〇〇さんとして送ってしまって居るので、容疑者みたいになってしまうんですよ、なので被害届を出して貰わないと」

私「分かりました、じゃあ被害届出すので今回の詳細を手紙で下さい(日本郵便という事なので)」

詐欺「いや、それでは間に合わないかも知れません、また出された場所が福井県なので福井県警に被害届を出さないとダメなんです」

私「そうなんですか？あなたの会社名とお名前と部署を改めて教えて下さい」

詐欺「株式会社日本郵便、お客様サービスセンターの南です。弊社では警察を連携をとっているので福井県警にお取次ぎする事が出来ますよ」

私「あ、そうなんですね。自分で掛けるから良いです。送り先を改めて教えて…

…ガチャ、プープープー

途中まで信じてたから最後まで付き合って欲しかったのに取次ぎされなきゃ意味ないもんな

諦めやがった

一応、この件は警察に通報して番号も詐欺電話として登録してもらえる様に伝えました。

最近送ってはいないけど届く予定の荷物もあったのでその辺の絡みかと思ってしまって丁寧に聞いてしまいました。

情報漏洩にかこつけて入手した情報の人間をターゲットにしてるみたいです。
皆さんも気を付けて下さいね

[Hiromitsu Takagi @HiromitsuTakagi]

あくまでも一般論だが、脆弱性診断の業者を選定する指標としてCTF等のセキュリティコンテストにおける上位入賞実績が役に立つのかという文脈で「あいつらそれほどでもないですぜー」みたいな声を耳にしたことがあるのだけど、どうなんだろうか。10年くらい前までは、診断ツールを動かして出てくるレポートを解説するだけみたいなサービスが多かった（それだけでも有益な時代ではあったが）ので、どうやってそこを超えていくかが課題だったが、その後、人材も厚くなり、手作業検査のできる検査業者も数多くなってきたわけだけれども、検査品質の技術評価は難しく（単なるチェックリストではなく）能力を測る指標を決められないため、上位入賞実績のようなものを援用してきたのだと思う。ここ数か月の被害実態は、診断業者の検査品質を適正に評価できていなかったからなのか、それとも単に診断を受けていなかったとこで起きているにすぎないのか、明らかになる必要がある。

[Cyber Security News @The_Cyber_News]

‼️Breaking - Debian APT Flaw Lets Hackers Hijack Software Updates and Execute Code as Root

Details: https://t.co/bLmWKa11H9

A newly disclosed bug in APT, the package manager behind Debian and Ubuntu, can let a network spy swap a trusted software package for a bad one.

The flaw is tracked as CVE-2026-109518 and can end in code running with root rights, the highest level of control on a Linux system. APT checks each package against signed data before it installs anything. This flaw lets an attacker get around that check.

According to Debian, APT can merge two different package downloads after an HTTP redirect gives them the same address. When APT resumes an interrupted download, it handles the file badly, and that opens a short window to replace the package after it has been verified.

#CybersecurityNews

[浸透いうな (浸透待ちは時に危険) @tss_ontap_o]

ケースバイケースで自分で考えるべきでしょうね。一番マシとは思わないけれど私が主に使っているのは、
権威サーバ
　NSD もしくは tinydns (djbdns)
キャッシュサーバ
　Unbound を極力安全設定
　(harden-unverified-glue: yes は必須)
　もしくはプライベートには dnscache (djbdns) も

[ITmedia NEWS @itmedia_news]

ノジマオンライン、会員情報約700万件漏えい　不正アクセスでサイト休止、再開未定
https://t.co/3POY2wipvy

[つむぎ @tsumugiai_jp]

ChatGPTに、GMOの記者会見を見せて、
何の会見だったかを聞いたら吹いた。

[ITmedia NEWS @itmedia_news]

ビックカメラG、メールアドレスなど約1490万件漏えいの可能性　委託先への不正アクセスで
https://t.co/2xls8QIZAq

[ake_sec_ @_seclab_]

@nomizooone ウチの学校は山の名前だった。
NFS でファイルのやりとりするのに
mount fuji
とかやってた。

[ふも @fumokmm]

どうしよう、ガス止められちゃう🥹

[yousukezan @yousukezan]

感情を揺さぶる会見で打線組んでみた

1番中船場吉兆「ささやき女将会見」
2番二日大アメフト部「司会者逆ギレ会見」
3番右雪印乳業「私は寝てないんだ会見」
4番投野々村竜太郎「号泣会見」
5番一GMO「命の砂時計会見」
6番三ビッグモーター「ゴルフを愛する人への冒涜会見」
7番左小保方晴子「STAP細胞はあります会見」
8番遊佐村河内守「ゴーストライター謝罪会見」
9番捕山一證券「社員は悪くありませんから会見」