g_sato

ウェブサイトの脆弱性検査が好きで探求していたら脆弱性診断を本業にすることができました。EC-CUBE等OSSの脆弱性を時折見つけています。その他自己紹介：URL欄

[piyokango @piyokango]

修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた - piyolog https://t.co/1IXbPQLpuK

[ITmedia NEWS @itmedia_news]

PHPに「緊急」レベルの脆弱性2件　修正版を日本時間21日深夜に公開へ、事前準備を呼び掛け
https://t.co/JKmu6byUQn

[The PHP Foundation @ThePHPF]

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.

PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

[徳丸 浩 @ockeghem]

アンドロイドアプリからバックエンドAPIの仕様（エンドポイント、パラメータ）を調べて攻撃する手口でNICTがA2B攻撃と命名した / “【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」｜2026年｜NICT-情報通信研究機構” https://t.co/gnjoFxzr3P

[チャエン | デジライズ CEO《重要AIニュースを毎日最速で発信⚡️》 @masahirochaen]

■ 補足
・脆弱性発見ベンチCyberGymの正答率は昨年初の20%未満→今年85%超
・GoogleのOSS-Fuzzに着想。人間のレビューを挟まない完全モデル生成なので誤りの可能性もある
・wolfSSLは74件中72件が有効で5件がCVE化。curlでは近年最悪級の脆弱性も見つかった
・対象はインフラやセキュリティへの影響が大きいプロジェクト。GitHubリポジトリへのPRで申請
・Claude for OSSでMax 20xの無料提供も

■ 出典
https://t.co/f6lS0kaF2Q

[チャエン | デジライズ CEO《重要AIニュースを毎日最速で発信⚡️》 @masahirochaen]

【Anthropic、OSSの脆弱性を無料で探すサービス開始】

これは普通に申請しておいた方がよさそう。

・名称はOSS Scanner。申込制で最強モデル（Mythos含む）が定期スキャン
・過去半年で脆弱性候補2.9万件を発見、人手で確認できたのは約6,000件
・重大97件の検証で85件（88%）が本物、誤検知は1件だけ
・再現コード＋修正パッチ付きで届く

↓詳細

[Shinkai | システムエンジニア @shinkai_dev]

記事を投稿しました！ 【もう無理だよ…】免許証画像まで流出する時代に、エンジニアは何をすればいいのか [Security] on #Qiita https://t.co/x94yGg7oi6

[piyokango @piyokango]

JPCERT/CCから相次ぐ国内組織への不正アクセスを受けて注意喚起が発出されました。
対策の確認とともに、記載された不審な送信元IPからインターネット上に公開されたホストへのアクセスがないか点検されることを強く推奨します。

[徳丸 浩 @ockeghem]

ChatGPT o1-previewで「jQueryでAPIを呼びだし、その結果を表示するサンプルプログラムを書いてください」と指示したら、相変わらずXSS脆弱性のあるサンプルが出できた

[やまざきkei5 @ymzkei5]

php-cgi の CVE-2024-4577 に関連して、「今どきphpをcgiとして動かしている人いないでしょ」という声も聞こえてきますが、例えば、XAMPPのデフォルト設定では確かにphp-cgiではなく、php5_module経由の実行になっている......けれども、/php-cgi/php-cgi.exeが露出しているので攻撃可能という🤪

[Autumn Good @autumn_good_35]

🚨🚨🚨
DEVCOREが見つけたPHPのRCEについて（6/6にパッチ公開）
Windowsのロケールによっては悪用シナリオには条件があるようですが、日本語の場合は条件がないようです。

Security Alert: CVE-2024-4577 - PHP CGI Argument Injection Vulnerability
https://t.co/PfGxMaBVj1

[JVN 脆弱性レポート @jvnjp]

[2024/05/29 12:00 公表] EC-Orangeにおける認可回避の脆弱性 https://t.co/Z9F9lu8YZE

[JVN 脆弱性レポート @jvnjp]

[2024/03/28 12:00 公表] EC-CUBE における認可回避の脆弱性 https://t.co/h3wcZyDaf4

[Masato Kinugawa @kinugawamasato]

#Security_Tokyo の発表資料を公開しました。最近よく見るクライアントサイドのパストラバーサルと、いつまで経ってもよく見るpostMessage経由の脆弱性について話しました。聴いてくださった皆様ありがとうございました！
https://t.co/ihzgOjGypg

[kusanoさん@がんばらない @kusano_k]

😢
"サービス終了のお知らせ
誠に勝手ながら「https://t.co/P5UULzA9R9」は、2024年2月29日をもちまして
サービスを終了することになりました。
これまでご愛顧いただき、誠にありがとうございました。 今後とも
株式会社スプラウトをよろしくお願い申し上げます。"
https://t.co/YkSOki2926

[徳丸 浩 @ockeghem]

JVNに出ている脆弱性の大半は、ウェブサイトではなく、ソフトウェアに対するものです。なので他人が運用しているサイトに勝手に攻撃するのではなく、自分自身でソフトウェアが動く環境を作り、そこでテスト… https://t.co/gp2FFAWpbV #Mond_ockeghem

[piyokango @piyokango]

NICT法が成立　通信機器のサイバー攻撃対策を延長 - 日本経済新聞 https://t.co/vBaV6FGoCf

[はざ @haza3g]

お名前.comが全ドメインに対して、自動で脆弱性診断を実施するらしい。

診断して欲しくないユーザー向けに「停止方法」も案内されているけれど、自動で診断されるまでに気付ける人がどれだけいるか心配。
（セキュリティアラート上がってバタバタしないことを祈ります）

お名前.com - 2023.12.11 【お知らせ】 全ドメインへ脆弱性診断サービス【ネットde診断】の無償提供を開始いたします。
https://t.co/L8BCwW3tZi
>~省略~、お客様のセキュリティ強化の一環として、脆弱性（セキュリティ）診断サービス『お名前.com ネットde診断』を未実施のドメインに対して、1回限り自動的に提供し、順次結果をメールにて送信することとなりました。

[IPUSIRON @ipusiron]

『イシューからはじめよ』
12月の月替わりKindle本セールの対象で、今ならほぼ1k（50%OFF）😆
50万部突破の名作が安すぎ。
https://t.co/bzUbzuAD3X #ad

[徳丸 浩 @ockeghem]

原告の訴えが中々に酷い。たとえば、事件発覚後にベンダーが緊急性に鑑み契約外で無償でセキュリティ対策をしたことを以て事前に対策の責務があったとするなど。裁判官の判断は素晴らしいもの / “ベンダが提供していない決済モジュールの不具合による情報漏洩事故” https://t.co/E9mupD2Jnn