【読売新聞】 昨年１２月に始まった国内最大の円墳・富雄丸山古墳（４世紀後半）の発掘調査では、古墳造り出しの埋葬施設で、木棺と、その内部から青銅鏡と 竪櫛 （ たてぐし ） が見つかった。奈良市教育委員会の調査で、明らかになったことも
被葬者、副葬品 深まる謎
【読売新聞】 昨年１２月に始まった国内最大の円墳・富雄丸山古墳（４世紀後半）の発掘調査では、古墳造り出しの埋葬施設で、木棺と、その内部から青銅鏡と 竪櫛 （ たてぐし ） が見つかった。奈良市教育委員会の調査で、明らかになったことも
信頼できないAIモデルを実行するとそのAIを通してシステムに侵入される可能性があることをセキュリティ企業が警告
セキュリティ企業の「Wiz」が、悪意のあるAIモデルをHugging Face上で実行することでそのAIモデルを通してHugging Faceのシステムに侵入できる脆弱(ぜいじゃく)性を発見したと発表しました。 Hugging Face works with Wiz to strengthen AI cloud security | Wiz Blog https://www.wiz.io/blog/wiz-and-hugging-face-address-risks-to-ai-infrastructure Hugging Face partners with Wiz Research to Improve AI Security https://huggingface.co/blog/hugging-face-wiz-security-blog We uploaded a backdoo
Aterm製品におけるLAN側からの不正アクセスの脆弱性への対処方法について［2024年4月5日更新］｜サポート技術情報｜目的別で探す｜Aterm（エーターム） サポートデスク
このたびAterm製品の一部で、悪意のある第三者により、お客様の意図しない現象を引き起こされる可能性があることがわかりました。 Aterm製品は、管理パスワードおよび無線暗号化キーによって、お使いの方以外はアクセスできないようになっておりますが、対象製品をお使いの場合は、影響を受けにくくする対策として、以下の内容に従ってご対応をお願いいたします。 ご利用いただいているお客様には、ご不便とご迷惑をお掛けいたしましてまことに申し訳ございません。 現象1 ： 悪意ある第三者によってお客様がご使用の製品がアクセスされた場合、telnet経由で任意のコマンドが実行される可能性 現象2 ： 悪意ある第三者によってお客様がご使用の製品がアクセスされた場合、UPnP経由で任意のコードが実行される可能性 現象3 ： 悪意ある第三者によってお客様がご使用の製品がアクセスされた場合、任意のコマンドが実行される、
富雄丸山古墳の蛇行剣初公開、8日間で1万6千人が来館 年間入館者の3分の1
奈良市の富雄丸山古墳（４世紀後半）で発掘された東アジア最大の蛇行剣（長さ２３７センチ）が奈良県立橿原考古学研究所付属博物館（橿原市）で初公開された。７日までの８日間で、同館の年間入館者数約５万人の３分の１近くにあたる約１万６千人（速報値）が来館、その人気ぶりを見せつけた。中国の歴史書に記されていない「空白の４世紀」の謎に迫る一級資料といわれる蛇行剣。蛇のように曲がりくねった姿は邪を退けるとされ、古代の魔力は現代人をも引きつけた。 １時間以上前から列蛇行剣は、刀身が６カ所も屈曲した特異な形状で、柄（つか）や鞘（さや）を合わせると長さ２８５センチ。同研究所が表面の土やさびを除去するクリーニングを１年がかりで行い、黒漆（くろうるし）塗りの柄や鞘がほぼ完全な状態で残っていた。 公開初日となった３月３０日、午前９時開館の１時間以上前から５０メートルほどの列ができ、一番乗りをしたのは東京都内の男性（６
「長いだけじゃなかった…」巨大蛇行剣の全容が明らかに、刀剣の歴史に迫る新発見が続々と【報道特集】 | TBS NEWS DIG
“国宝級の発見”とも言われる巨大蛇行剣。私たちは1年間にわたって密着取材を続けて来ましたが、2024年3月、クリーニングが終了。その全容が明らかになりました。「もう1枚ある、もう1枚。3枚目あった、3枚目」2…
research!rsc: Timeline of the xz open source attack
Posted on Monday, April 1, 2024. Updated Wednesday, April 3, 2024. Over a period of over two years, an attacker using the name “Jia Tan” worked as a diligent, effective contributor to the xz compression library, eventually being granted commit access and maintainership. Using that access, they installed a very subtle, carefully hidden backdoor into liblzma, a part of xz that also happens to be a d
Linux環境で使用されている圧縮ツール「XZ Utils」に仕掛けられたバックドアのスクリプトをGoogleのエンジニアが解説
2024年3月29日に、圧縮ツールのXZ Utilsに、悪意のあるバックドアが仕込まれていたことが明らかになりました。そのバックドア攻撃において攻撃者が使用したスクリプトについてGoogleのエンジニアであるラス・コックス氏が解説しています。 research!rsc: The xz attack shell script https://research.swtch.com/xz-script XZ Utilsへの攻撃がどのように行われたのかという時系列順のまとめは下記記事で確認できます。 XZ Utilsにバックドア攻撃が行われるまでのタイムラインまとめ - GIGAZINE コックス氏は今回の攻撃は大まかに「シェルスクリプト」の部分と「オブジェクトファイル」の部分の2つに分割できると述べました。攻撃はソースコードをコンパイルする「make」に対し、環境に応じて適切な設定を行う「con
さくらインターネットのASNで重大なマルウェア活動を確認 HYAS Infosec調査
AS7684（さくらインターネット）： さくらインターネットは日本に拠点を置くWebホスティングおよびデータサービスプロバイダーだ。このASNに重大なマルウェアアクティビティーがリンクされている。これによってユーザーシステムの侵害や悪意のあるエンティティによるサービスの悪用が懸念される AS9318（SK Broadband）： SK Broadbandは韓国に拠点を置く重要なインターネットサービスプロバイダー（ISP）だ。このASNにマルウェアアクティビティーが存在している。これはネットワークインフラストラクチャ内の潜在的なサイバーセキュリティの脆弱性を示唆しており、侵害されたエンドユーザーマシンまたは悪意のあるクライアントに起因している可能性がある AS8968（BT Italia）： BT Italiaはイギリスの大手通信企業BT Groupのイタリア子会社だ。このASNに関連する多
マルカワみそで個人情報約9万人分が流出、原因は決済アプリの改ざん
老舗味噌メーカーのマルカワみそは2024年4月2日、自社が運営する「マルカワみそ公式サイト」に第三者の不正アクセスがあり、顧客のクレジットカード情報5447件分、個人情報8万9673人分が漏洩した可能性があると発表した。原因は第三者からの不正アクセスによるペイメントアプリケーションの改ざんだったという。 クレジットカード情報が漏洩した可能性があるのは、2023年3月11日～11月13日の間、公式サイトでクレジットカード決済した顧客およびサイトのマイページでクレジットカード情報を登録・変更した顧客4851人（5447件）。カード名義人名やクレジットカード番号、有効期限、セキュリティーコードの情報が漏洩した可能性があるという。また個人情報が漏洩した可能性があるのは、公式サイトの立ち上げから2023年11月13日までの間、同サイトで購入した顧客またはサイトのマイページに登録した顧客8万9673人
Linuxカーネルに特権昇格の脆弱性 急ぎ確認とアップデートを
NSFOCUSは2024年3月29日（現地時間）、Linuxカーネルの特権昇格を可能にする脆弱（ぜいじゃく）性（CVE-2024-1086）の詳細と概念実証（PoC）ツールが公開されたと伝えた。 Linuxカーネル特権昇格のセキュリティリスク、NSFOCUSが報告 この脆弱性を悪用すると、サイバー攻撃者が自身の特権を一般ユーザーからrootに昇格させる可能性があり、NSFOCUSは脆弱性が修正された新バージョンへのアップデートを迅速に適用することを推奨している。 この脆弱性はLinuxカーネルにおいてネットワーク関連の操作をカスタムハンドラーの形式で実装できるようにする「Netfilter」と呼ばれるフレームワークに存在している。Netfilterはパケットフィルタリングやネットワークアドレス変換、ポート変換などさまざまな機能と操作を提供しており、パケットをネットワーク経由で誘導してネット
「はじめて学ぶ最新サイバーセキュリティ講義」の監訳を担当しました
日経BPから4月4日発売予定の『はじめて学ぶ最新サイバーセキュリティ講義 「都市伝説」と「誤解」を乗り越え、正しい知識と対策を身につける』の監訳を担当したので紹介させていただきます。 本書の原書は、ユージーン・H・スパフォード、レイ・メトカーフ、ジョサイヤ・ダイクストラの3名の共著として書かれた「Cybersecurity Myths and Misconceptions」で、米国Amazonのレビューでは4.6の高評価を得ています。また、「インターネットの父」ことヴィントン・サーフ氏が本書に前書きを寄せています（後述）。 はじめにサイバーセキュリティは、その短い歴史にも関わらず、神話や都市伝説に満ちています。古典的なものとして、本書の冒頭では、「ウイルス対策企業が自社製品を売るためにマルウェアを作って拡散した」が紹介されています。 本書は、このようなセキュリティの都市伝説や神話をとりあげ
XZ Utilsの脆弱性 CVE-2024-3094 についてまとめてみた - piyolog
2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh
【訃報】「PostgreSQL」の開発に携わったソフトウェアエンジニアのサイモン・リッグス氏が航空機事故で死亡
2024年3月26日、データベース管理システムのPostgreSQLの開発やデータサーバーソリューション会社の2ndQuadrantの立ち上げに携わったソフトウェア開発者のサイモン・リッグス氏が亡くなりました。 PostgreSQL: Remembering Simon Riggs https://www.postgresql.org/about/news/remembering-simon-riggs-2830/ First picture of pilot who died in crash at Duxford aviation museum https://www.telegraph.co.uk/news/2024/03/27/plane-crash-imperial-war-museum-duxford/ 'Truly great' Bedfordshire man named
xzの脆弱性(バックドア埋め込み: Critical: CVE-2024-3094) - SIOS SECURITY BLOG
03/29/2024にxzの脆弱性(バックドア埋め込み: Critical: CVE-2024-3094)が公開されました。Fedora Linux 40beta, Fedora rawhide, Debian unstable等の一部のOpenSSHにも使われており、バックドアを利用してログインが出来る状態だったという話も出ています。ソフトウェアサプライチェーン攻撃の一つとも捉えられており、いずれSBOMと関係する話として取り上げられると思います。 （SBOMの話、VEXの話はこちら）。 今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。 【04/01/2024 09:45更新】情報が纏まっているサイトを更新しました。また、piyologさんからリンクを貼っていただいていたので、こちらも載せています。その他、「xz –version」を実行するのもだめという話
日本の｢ホワイトハッカー｣育成に不可欠な視点
コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕
xz Backdoor CVE-2024-3094 – Open Source Security Foundation
By Omkhar Arasaratnam, General Manager, OpenSSF; Bennett Pursell, Ecosystem Strategist, OpenSSF; Harry Toor, Chief of Staff, OpenSSF; Christopher “CRob” Robinson, OpenSSF TAC Chair & Director of Security Communications, Intel CVE-2024-3094 documents a backdoor in the xz package. This backdoor was inserted by an actor with the intent to include an obfuscated backdoor into the software. While the mo
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【特集】名古屋で古墳めぐり 旅人 ＳＫＥ４８鎌田菜月さん｜NHK 東海のニュース
カオナビ子会社でマイナンバーカードや免許証情報漏洩 悪用リスクは？ - 日本経済新聞
XZ Utils Supply Chain Puzzle: Binarly Ships Free Scanner for CVE-2024-3094 Backdoor
Overlayfs