CVE-2024-4367 - Arbitrary JavaScript execution in PDF.js — Codean Labs
This post details CVE-2024-4367, a vulnerability in PDF.js found by Codean Labs. PDF.js is a JavaScript-based PDF viewer maintained by Mozilla. This bug allows an attacker to execute arbitrary JavaScript code as soon as a malicious PDF file is opened. This affects all Firefox users (<126) because PDF.js is used by Firefox to show PDF files, but also seriously impacts many web- and Electron-based a
「LINEのセキュリティ」は大問題 TikTokと同じ道をたどるのか
「LINEのセキュリティ」は大問題 TikTokと同じ道をたどるのか：世界を読み解くニュース・サロン（1/5 ページ） 日本人の8割、約9600万人が利用している無料メッセージングアプリの「LINE」。新しいコミュニケーションツールとして2012年ごろから一気に市民権を獲得。写真やファイルを簡単に送れる機能や、キャラクターのスタンプなどが人気を博して、瞬く間に日本人の生活に不可欠なアプリとなった。 クラウド型ビジネスチャットツール「LINE WORKS」などで、深くLINEと付き合っている企業も少なくないだろう。 民間企業は言うまでもなく、中央省庁や地方自治体もLINEアカウントを開設している。例えば、コロナ禍では、経済産業省がLINEで「経済産業省 新型コロナ 事業者サポート」を設置して企業を支援。厚生労働省は海外から日本に入国する人に向けて「帰国者フォローアップ窓口」をLINEで設置し
ネイバー・LINEに圧力かける日本、928万件の個人情報を流出させたNTTには軽い処罰
ネイバー・LINEに圧力かける日本、928万件の個人情報を流出させたNTTには軽い処罰 社員が情報を流出させた深刻な事案にもかかわらず 総務省は「再発防止策」提出を求める指導のみ ▲イラスト＝UTOIMAGE LINEヤフーから利用者の個人情報が流出した問題を受け、同社の50％の株式を保有するネイバーに対し日本政府が株式の売却を求めている。一方で、自国企業のNTTによる同様の事案に対してははるかに軽い処分を下したことが分かり、今後論議を呼びそうだ。 昨年日本では100万件以上の個人情報が流出する事故が8件起こった。しかし日本政府は51万件を流出させたLINEヤフーには2回にわたり行政指導を行い、大株主のネイバーに対して経営から退くよう圧力を加えている。これについては公平性の観点から問題があるとの指摘が相次いでいる。日本で放送や通信分野を所管する総務省が同様の事案に対して行政指導を2回行った
LINE情報漏えい 原因の韓国IT企業 関係見直し“私達が決める” | NHK
総務省は、LINEの利用者の情報が漏えいした問題で、運営会社のLINEヤフーに対し漏えいの原因となった韓国のIT企業、ネイバーとの資本関係の見直しの検討を早急に行うよう求めています。 これについてネイバーのトップは、「中長期的な事業戦略に基づいて私たちが決める問題だ」と指摘し、韓国政府とも協議を進めながら対応を検討する考えを示しました。 この問題をめぐり、総務省は4月、運営会社のLINEヤフーに対する2度目の行政指導で、情報漏えいの原因となった韓国のIT企業、ネイバーが、LINEヤフーの親会社に50％出資しているいまの資本関係の見直しについて、親会社を含めたグループ全体での検討を早急に行うよう求めました。 韓国の通信社、連合ニュースなどによりますと、この問題で3日、ネイバーのチェ・スヨン（崔秀妍）CEOは「資本関係の見直しを要求する行政指導自体が異例だ」と指摘した上で、「これに従うかどうか
韓国のネイバー、１３年間育ててきたＬＩＮＥの経営権を奪われるか
日本政府の圧迫でソフトバンクがLINE（ライン）の株式取得の交渉に乗り出し、ネイバーが13年間かけて成長させた「日本の代表的なメッセンジャーアプリ」LINEの経営権が日本に渡るのではないかという懸念が高まっている。個人情報流出で始まった「LINEヤフー」の問題が、「セキュリティ対策」の用意ではなく「経営権の奪い取り」へと切り替わる様子だ。 25日、共同通信や産経新聞などの日本メディアによると、ソフトバンクは個人情報流出を問題視し、LINEサービスを運営する「LINEヤフー」の中間持ち株会社であるAホールディングスの株式をネイバーから買い取るための交渉を進めている。 共同通信は、ソフトバンクがネイバーからAホールディングスの株式を少しでも取得し、Aホールディングスの出資比率が高くなれば、LINEヤフーの経営主導権を握ることができると報じた。さらに、LINEヤフーを根本的に改革するには、わずか
楽天モバイルで「身に覚えのないeSIM再発行」の危険性 緩すぎる2つのプロセスは改善すべき
楽天モバイルで「身に覚えのないeSIM再発行」の危険性 緩すぎる2つのプロセスは改善すべき：石野純也のMobile Eye（1/3 ページ） 楽天モバイルは、4月23日にあるお知らせをWebサイトに掲載した。タイトルは、「【重要】身に覚えのないeSIMの再発行にご注意ください」。ユーザー自身が気付かない間に、eSIMを再発行され、楽天モバイルの回線を乗っ取られてしまった事例があり、それに対する注意喚起を行った格好だ。悪意のある第三者がSIMカードやeSIMの情報を盗み取る犯罪は「SIMスワップ」や「SIMハイジャック」などと呼ばれることがあり、世界各国で問題視されている。 こうした事例に対し、楽天モバイルはユーザーにIDのメールアドレスからの変更や、他のサービスとのパスワードの使い回しをやめるよう案内している。ただ、これで本当に十分な対応といえるのだろうか。モバイル回線は単に電話やデータ通
令和時代の API 実装のベースプラクティスと CSRF 対策 | blog.jxck.io
Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp
「認証」を整理する | IIJ Engineers Blog
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
楽天モバイルのスマホが乗っ取られる事案 同社が回線停止や楽天ID／パスワード変更などを呼びかけ
楽天モバイルは2024年4月23日から、eSIMを不正に利用される事案があったとして、利用者に注意喚起を行っている。eSIM（Embedded SIM）はネットワーク経由で契約者情報（プロファイル）を書き換えたり、プランを変更したりできるのが利点。eSIMの再発行もオンラインで行える場合が多い。 第三者が、不正なWebサイト（フィッシングサイト）などを通じて、利用者の楽天IDとパスワードを入手し、差し替えが必要なSIMカードをeSIMとして再発行し、モバイル通信サービスを不正に利用する事案が発覚したという。 同様の被害は近年、増加しており、FBIも2022年に警鐘を鳴らしていた。メディアやセキュリティー専門家は「SIMスワップ詐欺」と呼称することが多い。その手口は、楽天モバイルが案内している事案に似ており、何者かがフィッシングサイトなどで得た個人情報をもとに、スマートフォンの契約者になりす
かくしてGoogleはスパマーに敗北した | p2ptk[.]org
以下の文章は、コリイ・ドクトロウの「Google reneged on the monopolistic bargain」という記事を翻訳したものである。 Pluralistic 驚くべきことに、かつてAltavistaやYahooをふっと飛ばし、魔法の検索ツールで世界を驚かせたGoogleが、突如クソの山になってしまった。 Googleの検索結果はひどいものだ。ページの上部はスパム、詐欺、広告だらけだ。始末に終えないのは、その広告も詐欺だらけなのだ。時には、資金力のある敵対者がGoogleを出し抜いて大金を稼ごうと大掛かりな詐欺が試みることもある。 https://www.nbcnews.com/tech/tech-news/phone-numbers-airlines-listed-google-directed-scammers-rcna94766 しかし通常、こうした詐欺を働くのは
![かくしてGoogleはスパマーに敗北した | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/a3e1fdf42c7dd4fc729644f9cd286ef877f95066/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2024%2F04%2Fgoog-sleeping-watchdog.jpg)
ロシアによるウクライナ侵略に関する中国のロシア専門家の見解 （英エコノミスト誌）｜東野篤子
すでに1週間近く前になるのですが、北京大学の教授が、英エコノミスト誌に論考を掲載し、大きな話題となっています。 そのタイトルは 「中国のロシア専門家は考える：『ロシアはウクライナで確実に負ける』」（2024年4月11日付）。 執筆者は北京大学（その前は復旦大学）の馮玉軍（Feng Yujun）教授。1970年生まれ（私よりも1歳上です…） あとで述べますが、同教授は以前からこうした主張をなさっていたとのことです。 非常に論理明快なので、ぜひオリジナルの記事を読んでいただきたいのですが、ペイウォールで読めない方のためにざっくりした内容を書いておくと、同教授は「4つの要因」がこの戦争の流れに影響をあたえると述べています。 ①ウクライナ人の抵抗と団結の度合い。←現在に至るまで驚異的なレベル。 ②ウクライナへの国際的な支援。←現状ではウクライナの期待に必ずしも添っているとは言えないものの、依然とし
LINEヤフーが情報管理｢不祥事｣を繰り返す真因
コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕
iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ パスワードリセット通知を大量送付、乗っ取りを狙う
iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ パスワードリセット通知を大量送付、乗っ取りを狙う：この頃、セキュリティ界隈で 他人のiPhoneやApple Watchを狙ってパスワードのリセット通知を大量に送り付けるフィッシング詐欺攻撃が相次いで報告されている。「MFA爆弾」「MFA疲労」（MFA：多要素認証）と呼ばれる洪水のような通知は一度始まったら止める術がなく、Appleを装う相手にだまされてアカウントを乗っ取られる恐れもある。 「私のApple端末が全て、パスワードリセット通知で爆破された。Appleのシステム（を装った）通知（原文は「Apple system level alerts」）だったので、100件以上の通知で『許可しない』をクリックするまで、電話もウォッチもラップトップも使えなくなった」 大量の通知から15分ほどすると、今度はAppleのサポートをかた
The massive bug at the heart of the npm ecosystem
Disclosure: I was the Staff Engineering Manager for the npm CLI team between July 2019 & December 2022. I was a part of the GitHub acquistion of npm inc. in 2020. I left GitHub, for various reasons, in December. tldr;a npm package's manifest is published independently from its tarballmanifests are never fully validated against the tarball's contentsthe ecosystem has broadly assumed the contents of
xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 | gihyo.jp
Linux Daily Topics xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 “アップストリームのxzリポジトリとxz tarballsはバックドア化されている（The upstream xz repository and the xz tarballs have been backdoored）”―2024年3月29日、Microsoftに所属する開発者 Andres Freundが「Openwall.com」メーリングリストに投稿したポストは世界中のオープンソース関係者に衝撃を与えた。 backdoor in upstream xz/liblzma leading to ssh server compromise -oss-security 主要なLinuxディストリビューションにはほぼ含まれているデータ圧縮プログラ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【山田祥平のRe:config.sys】 LINEが読んだ総務省指導の行間
マイナンバーカードを用いた本人確認とiPhoneへの機能搭載【鈴木淳也のPay Attention】
「PuTTY」に秘密鍵が復元できてしまう深刻な脆弱性 ～「WinSCP」など他ツールにも影響／v0.81への更新と鍵の再生成を
mattn on X: "iOS 向けの Twitter クライアント、twitter.com を x.com に置換してるぽいのだけどガバガバ過ぎてセキュリティ上の問題が置きかねないので皆さん注意。 左が実際、右が iOS クライアントで見た場合。 https://t.co/h0QBl5742l"
RFIDカードを用いた電子キーに脆弱性が見つかる。世界131カ国のホテル、300万カ所のドアに影響【やじうまWatch】
