[B! セキュリティ][javascript] fashiのブックマーク

fashi id:fashi

セキュリティとjavascriptに関するfashiのブックマーク (8)

トロイの木馬化された「jQuery」がnpmやGitHubで拡散
海外のセキュリティ企業﹁Phylum﹂はトロイの木馬化された﹁jQuery﹂がnpmやGitHub、jsDelivr のCDNホストで拡散している事を指摘しました。﹁jQuery﹂を悪用したサプライチェーン攻撃の概要 Phylumは 2024 年5月26日以来、トロイの木馬化された jQuery のバージョンを悪用する執拗なサプライチェーン攻撃者を監視しており、最初にnpm でこのjQuery を悪用する亜種を発見しました。そこでは、1か月にわたって数十のパッケージで侵害されたバージョンが公開されていました。調査の結果、GitHubや、jsDelivr の CDN ホストリソースでも、トロイの木馬化された jQuery のインスタンスを発見しました。なお、今回解説されている内容は正規の﹁jQuery﹂へ今回のトロイの木馬が紛れ込んでいるのではなく、悪意のあるユーザ
fashi 2024/07/09
セキュリティ

javascript
リンク
JavaScriptライブラリ「Polyfill.io」にマルウェアが混入され10万以上のサイトに影響
ウェブブラウザのバージョン間の違いを無効化するJavaScriptライブラリ﹁Polyfill.io﹂が、2024年2月のプロジェクトオーナー変更後、マルウェアが混入されてサプライチェーン攻撃に利用され、10万以上のサイトに影響が出ています。 Polyfill supply chain attack hits 100K+ sites https://sansec.io/research/polyfill-supply-chain-attack ﹁Polyfill.io(polyfill.js)﹂はアンドリュー・ベッツ氏が開発したJavaScriptライブラリです。ウェブブラウザのバージョン間で機能の違いがあると開発時に苦労しますが、Polyfill.ioを利用すれば、新しいバージョンにしかない機能を古いバージョンで利用できるようになるため、バージョンの違いを気にすることなく開発を進めること
fashi 2024/06/26
javascript

セキュリティ
リンク
Polyfill supply chain attack hits 100K+ sites
by Sansec Forensics Team Published in Threat Research − June 25, 2024 The new Chinese owner of the popular Polyfill JS project injects malware into more than 100 thousand sites. Update June 28th: We are flagging more domains that have been used by the same actor to spread malware since at least June 2023: bootcdn.net, bootcss.com, staticfile.net, staticfile.org, unionadjs.com, xhsbpza.com, union.m
fashi 2024/06/26
セキュリティ

javascript
リンク
Node.jsのMySQLパッケージにおけるエスケープ処理だけでは防げない「隠れた」SQLインジェクション - Flatt Security Blog
※本記事は筆者styprが英語で執筆した記事を株式会社Flatt Security社内で日本語に翻訳したものになります。 TL;DR Node.jsのエコシステムで最も人気のあるMySQLパッケージの一つである mysqljs/mysql (https://github.com/mysqljs/mysql)において、クエリのエスケープ関数の予期せぬ動作がSQLインジェクションを引き起こす可能性があることが判明しました。通常、クエリのエスケープ関数やプレースホルダはSQLインジェクションを防ぐことが知られています。しかし、mysqljs/mysql は、値の種類によってエスケープ方法が異なることが知られており、攻撃者が異なる値の種類でパラメータを渡すと、最終的に予期せぬ動作を引き起こす可能性があります。予期せぬ動作とは、バグのような動作やSQLインジェクションなどです。ほぼすべてのオンラ
fashi 2022/02/16
セキュリティ

javascript
リンク
‘-‘ という名前の、中身が無いのに70万回ダウンロードされてる謎のnpmパッケージ
– という名前の JavaScript/TypeScript パッケージについて警告を発している記事が話題となっています。このパッケージ、中身はほとんど空で、Readme と、dev で TypeScript を動かせるようにするライブラリ群を呼ぶ箇所だけのもの。しかし、この “-” を使っている他のnpm パッケージが50個以上あり、約一年前の公開時からのトータルのダウンロード数は72万回にもなります。しかし、”-” を読み込んでいるパッケージを見てみても、”-” が必要そうには見えません。警告記事では、この無名のパッケージが密かに使われるようになった原因が、npm コマンドのコマンドラインを打つときのミスタイプにあるのではないかとの仮説を立てています。つまり、someFlag というオプションを使いnpm i -someFlag somepackage と打つべきところ
fashi 2021/08/04
セキュリティ

javascript
リンク
猶予8時間！脆弱性だらけのサービスを堅牢化する実践型研修 - Speee DEVELOPER BLOG
Speeeエンジニアの西岡︵@nisshieeorg︶です。去る7/5(水)、Speeeでは社内の全エンジニア向けに、セキュリティ研修を実施しました。本研修では、株式会社リクルートテクノロジーズの西村宗晃様に講師としてお越しいただきました。この場を借りてお礼申し上げます。研修の目的 Webを主戦場にして戦う私達エンジニアは、自分たちのサービスそのものや、ユーザー、顧客を守るために、より安全なWebアプリケーションを構築する知識・技術を求められます。もちろんSpeeeでも、このような知識を身につけることは必須とした上で、日々の開発ではソースコードレビューや各種脆弱性診断ツールを用いて、私達が構築するアプリケーションの安全性を高めるよう努めています。しかし一方これまでSpeeeでは、﹁セキュリティに関する体系的な知識の学習法が会社から提示されていないため、個人の学習に依存している﹂﹁小さな
fashi 2017/07/26
SPAでのCSRF対策、プリフライトリクエスト

セキュリティ

javascript
リンク
どのようにして5,000ドルのGoogleマップXSSを発見したか | POSTD
数ヵ月前、私はGoogleマップを、もっと正確に言うとGoogleストリートビューを利用しました。Googleストリートビューは子供の頃に思い描いた未来的なテレポートみたいで、とても気に入っています。私は、普段そうするように、その時もアドレスバーを見ました。2014年のいつ頃からか、パラメータは単なるクエリの文字列ではなくなり、その代わりに感嘆符で区切られた英数字の奇妙な寄せ集めになったようです。難解で、現在のところ公開されたドキュメンテーションもなく、多くの人々に毎日使用され、リバースエンジニアリングが可能なプロトコル。こういうコードを目の前にすると、私は解読したくてウズウズしてきます。私はブラウザのWebコンソールも見てみました。AJAX APIへのリクエストが同じようにエンコードされていただけではなく、もしレスポンスの一部が画像だった場合、その他のレスポンスは暗号を用いたバイナリ
fashi 2017/04/25
セキュリティ

JavaScript
リンク
Kazuho@Cybozu Labs: クロスサイトのセキュリティモデル
« Japanize - IE 系の User JavaScript エンジンに対応しました | メイン | 安全な JSON, 危険な JSON (Cross-site Including?) » 2007年01月04日クロスサイトのセキュリティモデルあけましておめでとうございます。昨年、社内で﹁XMLHttpRequest は何故クロスサイトで使えないのか。画像や SCRIPT タグは使えるのに﹂という疑問 (というより試問) を耳にしました。おもしろい話なのでブログネタにしようと思っていたのですが、新年早々GMAILの事例がスラッシュドットされていたので、自分の現時点での理解をまとめてみることにしました。文書を確認して書いているわけではないので、間違いがあれば指摘してください。また、よい参考文献をご存知の方がいらっしゃいましたら、教えていただければ幸いです。ウェブブラウザ
fashi 2007/01/07
javascript

セキュリティ
リンク
1