Googleのセキュリティグループ Project Zero はiPhoneが2年間もの間、Webサイトにアクセスさせるだけでハッキングされる恐れがあったことを報告した。 5つのエクスプロイトチェーンが公開され、全体で14つの脆弱性が発見された。 1つ1つのチェーンに関する詳…

最近 Google、Appleがバグバウンティ制度を拡大しているが、バグバウンティで支払われる平均金額が上がっているとバグバウンティのプラットフォームを提供しているHackerOneがレポートを発行した。 クリティカルな脆弱性に対して支払われた平均の金額は平均3…

GoogleがAndroidのバグバウンティプログラム Google Play Security Reward Program (GPSRP) の対象を拡大し、ダウンロード数が1億回以上の全てのアプリを対象とした。 加えて、新たなプログラム Developer Data Protection Reward Program (DDPRP) も開始。 …

1億ダウンロード以上されている Androidの人気PDF作成アプリCamScannerにマルウェアが発見された。 既にGoogle Playストアからは削除されている。 今回のKasperskyによって発見されたマルウェアが混入した原因は広告のためのサードパーティライブラリー（AdH…

Androidのセキュリティを学ぶための脆弱なアプリEVABSがリリースされた。 このアプリでは、レベルごとに設定された課題(Challenges)をクリアしていくことでAndroidのセキュリティを学んでいく事ができる。 課題をクリアするためにはADB、apktool、dex2jarな…

iOS 12.4のパッチにiOS 12.2に含まれていたuse-after-free(解放済みのメモリ使用)の脆弱 (CVE-2019-8605)が謝って混入していた問題があったが、修正したパッチが提供された。 パッチを適用するにはiPhoneのソフトウェアップデートより行う事ができる。 脱獄…

Webホスティングプロバイダー Hostingerがハッカーによって顧客情報が保存されたサーバーに不正アクセスされ、顧客情報が流出した。 予防措置として、全顧客2900万のうち、影響があると疑われている1400万人分のパスワードのリセットを行なった。 Hostinger…

お菓子の名前を辞めたAndroid 10は、新しいより強固なセキュリテイとプライバシーの機能が追加される。 プライバシーに関するものでは、アプリがバックグラウンドで動作している時には位置情報を渡さない (起動中のみ位置情報を渡す) オプションの提供や利用…

Googleがプライバシーサンドボックスと呼ばれるオンライン広告によるユーザーのトラッキングに対処する機能を発表しました。 Googleは、広告によるトラッキングが当初の想定を超えて利用されてしまっている現状を認め、ユーザーのプライバシーへ対処する。 …

パスワードの流出確認ができるサイト「Have I Been Pwned?」、このAPIとPastebin Dumpsでパスワードの特定を行うことができるOSINT ツール pwnedOrNot v1.2.8 がリリースされた。 使い方は簡単。入力としてメールアドレスや複数のメールアドレスが書かれたフ…

GitHubがWebAuthnのサポートを発表、SMSやワンタイムパスワードアプリ、U2Fセキュリティキーを利用した2要素認証(2FA)が利用可能になる。 認証方法として、Windows Hello、macOSのTouch ID、Androidの指紋認証も選択できる。 2要素認証を利用する事でロック…

Facebookは過去1年間にプライバシー対策を複数行なっており、ユーザーに細かく制御できる機能やデータの透明性を向上する施策を取ってきていた。 今回、新しい取り組みとして「Off-Faceook Activity」と呼ばれるFacebook外のウェブサイトやアプリでのユーザ…

MicrosoftがChromiumベースのEdgeのベータ版をリリースし、それに伴い既存のバグバウンティプログラムを拡張し、1,000ドルから30,000ドルまでの報酬を与えることになった。 https://www.microsoft.com/en-us/msrc/bounty-new-edge スコープとなる脆弱性は、…

iOSのセキュリティ研究者のPwn2ownがiOS12.3で修正された脆弱性が最新バージョンiOS12.4で再度混入されたため、脱獄ツールを公開した。 unc0ver v3.5.1 is NOW OUT - Fixes exploit reliability on iOS 12.4, random reboots for some users and adds @Apple…

無料でSteamのゲームが貰えるというクーポンコード付きのメッセージが送られ、そのリンクから偽物のサイトにアクセスしてしまい、アカウントを乗っ取られる詐欺が発見されている。 偽サイトでログインを行うと、攻撃者側のサーバーのバックグラウンドでログ…

Linux向けのWebブラウザベースの管理ツールであるWebminにゼロデイ脆弱性が発見された。 この脆弱性はコーディングミスによるものではなく、ハッカーによってバックドアを入れられたものである。 また、この脆弱性はバージョン1.882~1.921に影響し、一年以上…

欧州中央銀行(ECB)のWebサイトのひとつであるthe Banks’ Integrated Reporting Dictionary (BIRD)がハッキングされ、マルウェアが入れられていることが15日に公表された。 現在、BIRDのWebサイトは閉鎖されている。 the Banks’ Integrated Reporting Diction…

Firefoxにマスターパスワードを入力せずに保存されたパスワードをクリップボードにコピーすることができるバグがあり、14日に修正されました。この脆弱性はCVE-2019-11733として公開されています。 CVE-2019-11733: Stored passwords in 'Saved Logins' can …

これまでにもAnubis, Red Alert 2.0, GM bot, ExobotなどのAndroid マルウェアがダークWebでビジネスとしてレンタルサービスを行なっていたが、新たにと呼ばれる新しいリモートアクセストロイの木馬が発見された。 Cerberus このマルウェアに感染すると、リ…

Black Hat USA 2019で新しい脆弱性のスコアリングシステムThe Exploit Prediction Scoring System (EPSS)が提案された。 https://i.blackhat.com/USA-19/Thursday/us-19-Roytman-Jacobs-Predictive-Vulnerability-Scoring-System.pdf 多くの企業がCVSSという…

Black Hat USA 2019にてGoogle Project Zeroの研究者によるプリインストールアプリに含まれるマルウェアに関する調査と取り組みが発表された。 ConPresentations/Blackhat2019.SecuringTheSystem.pdf at master · maddiestone/ConPresentations · GitHub Cas…

HTTP/2プロトコルの実装にリソースを過度に消費させる脆弱性が存在し、DoSを引き起こすサーバーは全世界のウェブサイトの40%になる。 8つの脆弱性が公開され、1つ(CVE-2019-9518)はGoogleによって発見され、他7つ(CVE-2019-9511,CVE-2019-9512,CVE-2019-9513…

マイクロソフトがリモートデスクトップに関する2つ(CVE-2019-1181, CVE-2019-1182)のリモートコード実行(RCE)の脆弱性へのパッチを提供した。 この脆弱性は以前修正された BlueKeep(CVE-2019-0708)に似た脆弱性であるという。 影響するバージョンは、「Windo…

"KNOB"と呼ばれる新しいBluetoothの脆弱性(CVE-2019-9506)が公開されました。 この脆弱性は、Bluetoothの暗号鍵の長さを短くすることができ、攻撃者がその暗号鍵を推測し、特定することができる。 暗号鍵が漏洩すると通信が盗聴・改ざんが可能になる。 Bluet…