kjur

PKI、署名、暗号、認証あたりが好みです。賛同するとかにかかわらずリツイート、いいねします。個人的なつぶやきもします。個人的な話は @kjur_p へ移すのを試み塩漬け、 @jsrsasign 開発用もあります。ドゾヨロシク

[yousukezan @yousukezan]

Pythonパッケージマネージャー「uv」に、依存関係の脆弱性とマルウェアを検査する新機能が追加された。新たに導入された「uv audit」は既知の脆弱性や非推奨状態のパッケージを検出でき、さらにインストール時のマルウェアチェック機能も提供される。

開発元は6月8日、プレビュー機能として「uv audit」を発表した。これは依存関係をスキャンし、既知の脆弱性やプロジェクトの廃止・非推奨状態などを検出する機能で、既存のpip-auditと同様の用途を持つ。uvのロックファイルや設定情報を活用することで、典型的なプロジェクトではpip-auditより4～10倍高速に動作するとしている。

また、「uv add」や「uv sync」実行時にOSVデータベースを参照し、既知のマルウェアパッケージが依存関係に含まれていないか確認する機能も追加された。マルウェアが検出された場合、同期処理は中断される。

この機能は環境変数「UV_MALWARE_CHECK=1」を設定した場合のみ有効になる。現時点では公開されたアドバイザリ情報に基づいて判定を行う。

開発チームは今後、脆弱性を考慮した依存関係解決、OSV以外の脆弱性データソース対応、requirements.txtやpylock.toml対応などを検討しているとしている。
https://t.co/YChYy5bV1l

[Hiromitsu Takagi @HiromitsuTakagi]

ずんだもん解説を加えたのだ。みんな見るのだ。

[Yasuhiro Morishita @OrangeMorishita]

【自分用メモ】TLS証明書の有効期間が短縮、段階的に47日へ　更新漏れが障害リスクに https://t.co/CsyRqobDkX

[kokumօtօ @__kokumoto]

Appleが対量子暗号のコードをOSS化。ML-KEM及びML-DSAの実装、並びに検証用の形式的検証ライブラリ及びツールを含む。アルゴリズムはAppleのcorecryptoライブラリでも使用されているもの。 https://t.co/jB3yKVWrpo

[MORIMOTO Jun @shakuji]

Emacs使っててなんか変だと思ったら、Google ChromeがグローバルにControl-Gを奪ってるのか。
これは地球から急に酸素がなくなったぐらいヤバイ。

[Cyber Security News @The_Cyber_News]

⚠️ Let's Encrypt Halts Certificate Issuance After Cross-Signed Root Certificate Incident

Source: https://t.co/UyHDVTTZPm

Let's Encrypt temporarily suspended all certificate issuance on May 8, 2026, after engineers identified a critical issue involving a cross-signed certificate linking the organization's Generation X root to its upcoming Generation Y root infrastructure.

The incident triggered a complete shutdown of issuance across both production and staging environments before services were restored within hours. At 18:37 UTC on May 8, Let's Encrypt engineers became aware of a potential incident and immediately halted all certificate issuance as a precautionary measure.

#cybersecuritynews

[yousukezan @yousukezan]

Let's EncryptはUTC 18:37に「問題の可能性」を理由にすべての証明書発行を停止し、ACME APIは約2時間半にわたりHTTP 503を返した。原因は、新しい「Generation Y」ルート証明書と旧「Generation X」ルート証明書の間のクロス署名に不具合があったことである。復旧時には、発行を従来のGeneration Xルートに戻すことでサービスが再開された。

この障害は、新規発行や更新処理に影響したが、既存の証明書は有効期限まで問題なく使用可能である。ただし、更新タイミングにあったサイトでは証明書更新が失敗し、期限切れに近い場合はサイト停止のリスクがある。また、この影響は自前サーバだけでなく、DigitalOceanなどのマネージドサービスにも波及した。

対策として、更新状況の確認、再試行の監視、必要に応じたZeroSSLなど代替CAの利用を推奨している。さらに、証明書の有効期限が短くなる傾向により、こうした障害の影響が今後大きくなる可能性も指摘している。
https://t.co/IS7743WkgO

[🇯🇵火鍋チャンネル跡地🇯🇵 @hinabe_ch]

時系列で言うとこんな感じかな

3月23日 報告
3月24日-4月20日（28日間
MITRE/CISA vs Linux Foundation vs ベンダー間の調整
国家機関（NSA？）からの意見
「いつ公開するか」「どこまで開示するか」の検討
4月1日 パッチ提交
4月22日 CVE割り当て（ようやく合意）
4月29日 公開（さらに1週間

[yousukezan @yousukezan]

脆弱性対応の手間を劇的に削減する新ツール「CVE MCP Server」が登場した。複数サイトを横断して調査していた作業を自然言語1回で完結させ、AIが実務レベルの分析を行う点が注目されている。

このプロジェクトは開発者Mahipalが公開したもので、AnthropicのClaudeとModel Context Protocolを組み合わせ、27種類のセキュリティツールを統合する。NVDやEPSS、CISA KEV、GitHub、VirusTotal、Shodanなど21の外部APIに横断的にアクセスし、単一の自然言語クエリで情報を取得できる。
最大の特徴はCVSSだけに依存しないリスク評価で、EPSS35%、KEV30%、CVSS20%、PoC15%の重み付けにより優先度を算出する点にある。スコア76以上は緊急対応対象とされ、現場の判断を自動化する。
また依存関係の脆弱性検査やGitHubアドバイザリ検索、URL分析にも対応し、DevSecOps用途にも拡張されている。8つの機能はAPIキー不要で即利用可能であり、段階的に機能拡張できる設計となっている。
https://t.co/IWg3jla0US

[Nicolas Krassas @Dinosn]

Fast, developer-friendly JS/TS dependency vulnerability scanner with local lockfile scanning, OSV matching, direct vs transitive visibility, --fix, JSON output, and practical remediation guidance. https://t.co/Bat4K3uF2n

[Bad Sector Labs @badsectorlabs]

CopyFail (CVE-2026-31431) in Go. In case you want to get root from a static binary without Python as a dependency.

https://t.co/w5NYM3JBvJ

[yousukezan @yousukezan]

Linuxカーネルに、わずか数百バイトのスクリプトで管理者権限を奪取できる重大欠陥が発覚した。Copy Failと呼ばれるこの脆弱性は広範な環境に影響し、検知も困難なため極めて深刻なリスクとなっている。

問題はCVE-2026-31431として報告され、暗号サブシステムのauthencesn処理におけるロジック不備が原因である。非特権ユーザーでも任意の読み取り可能ファイルのページキャッシュに対し、制御可能な4バイト書き込みを行える点が本質だ。攻撃者はsetuidバイナリを書き換えることで即座にroot権限を取得できる。さらにページキャッシュはシステム全体で共有されるため、コンテナ環境をまたいだ侵害も可能となる。ディスク上のファイル自体は変更されず、メモリ上のみ改変されるため、従来の整合性チェックでは異常を検知できない。原因はalgif_aeadにおけるin-place処理で、入力と出力の分離が行われていなかった点にある。修正ではout-of-place方式へ戻すことで問題を解消した。公開済みのPoCにより悪用リスクが高まっており、カーネル更新やAF_ALG機能の制限が急務とされる。

https://t.co/BZtnRBuFA6

[Dark Web Informer @DarkWebInformer]

‼️Copy Fail (CVE-2026-31431) is a Linux privilege escalation bug that lets any local user get root using a 732-byte Python script, and itworks on basically every major Linux distro shipped since 2017.

Website: https://t.co/f5G6KnEv35

Write-up: https://t.co/W86Pz2PC6C

GitHub: https://t.co/zAMTC6nTRk

It's a logic flaw in the kernel's crypto code (authencesn via AF_ALG and splice()) that allows a small write into the page cache, which can be used to tamper with a setuid binary like /usr/bin/su.

Think how bad this is going to be for shared environments like Kubernetes, CI runners, and cloud sandboxes, where it enables container escape and tenant-to-host compromise.

Found by Theori's Xint Code scanner, patched in the mainline kernel, and publicly disclosed on April 29, 2026; if you can't patch right away, the recommended workaround is to disable the algif_aead module.

[yousukezan @yousukezan]

Linuxカーネルに深刻な欠陥が見つかり、一般ユーザーでもわずかな操作で管理者権限を奪取できる可能性が明らかになった。単純なロジック不備により、ほぼ全ての主要ディストリビューションに影響する極めて危険な脆弱性である。

問題はCVE-2026-31431として追跡され、「Copy Fail」と呼ばれる。この欠陥は暗号サブシステムとページキャッシュの相互作用に起因し、非特権ユーザーでも任意ファイルのページキャッシュに対して4バイトの書き込みを実行できる。特にsetuidバイナリを書き換えることでroot権限を取得可能となる。攻撃はわずか732バイトのPythonスクリプトで成立し、UbuntuやRHELなど複数環境で再現されている。ディスク上のファイルは変更されないため検知が難しく、メモリ上の改変のみが即時反映される点も特徴だ。またページキャッシュ共有の仕組みにより、コンテナを越えた影響も確認されている。原因はAEAD処理のin-place最適化とauthencesnの設計が組み合わさったことで発生した。対策としてはカーネル更新が必須であり、暫定的にはAF_ALGの無効化も有効とされる。

https://t.co/t1XrWn6dNx

[kokumօtօ @__kokumoto]

OpenSSHにrootシェルが取れる15年物の脆弱性。CVE-2026-35414はCVSSスコア8.1で、カンマ文字をCAが使用するシナリオでのauthorized_keysの不適切な取扱。カンマがリストの分割文字として扱われてしまうバグ。"deploy,root"といったプリンシパル宛の証明書で遊べる。 https://t.co/w38DVMCdYY

[JP Aumasson @veorq]

seeing how many people believed this without checking the Pyhton script is a reminder that a well-orchestrated fake Q-Day announcement/rumor could absolutely crater crypto markets

[Nicolas Krassas @Dinosn]

OpenSSH Flaw Allowing Full Root Shell Access Lurked for 15 Years https://t.co/PtMUAsSbsF

[yousukezan @yousukezan]

企業ネットワークで広く使われる脆弱性スキャナに深刻な欠陥が見つかった。Windows版エージェントを悪用すると最高権限で不正コード実行が可能となり、組織全体の安全性を揺るがす恐れがある。

今回の問題はTenableのNessus Agentに存在する特権昇格の欠陥で、NTFSジャンクションを悪用したシンボリックリンク攻撃に分類される。攻撃者はローカルアクセスを前提に細工したジャンクションを配置し、エージェントのファイル削除処理を意図しない場所へ誘導できる。これによりSYSTEM権限で任意ファイル削除が可能となり、環境破壊や後続の不正ペイロード配置を通じて完全なコード実行に発展する。

SYSTEM権限は管理者を上回る最高レベルであり、セキュリティ機能の無効化や永続化、ルートキット導入まで可能になる。特にサーバーや重要端末に導入されるケースが多いことから、侵害時の影響は極めて大きい。

同社はバージョン11.1.3で修正を提供済みで、速やかな更新を強く推奨している。継続的スキャン環境を運用する組織では優先度の高い対応が求められる。

https://t.co/oC6Y74Nu0k

[matsuu @matsuu]

個人的には「ML-DSA-MU署名アルゴリズムのサポート」に注目しています。 / “「OpenSSL 4.0」が公開 ～13カ月サポートされるレギュラーリリース／「SSL 3.0」がとうとう削除” https://t.co/A8GGAbuteZ

[matsuu @matsuu]

オープンソースなOIDCプロバイダ実装。KeycloakやOry Hydraなどに比べてシンプルで簡単に始められることを謳ってる。あとパスキーのみサポート（パスワードは意図的に排除）だそうです。Go実装 / “GitHub - pocket-id/pocket-id: A simple and easy-to-use OIDC provider t…” https://t.co/eabJFDZz7Q