先週の私のMac: macOSの耳の痛い真実
THE ECLECTIC LIGHT COMPANYより。 macOSをアップグレードするかどうか、またいつアップグレードするかの決めるのは、私たちが直面するより最も難しい選択の1つです。お使いのMacが最新リリースのmacOSを実行できない場合、または互換性のない主要なハードウェアやソフトウェアに依存している場合、その判断はあなた次第です。しかし、私たちの多くは、誤った希望や思い込みではなく、事実に基づいた判断をする以外に、私たちを妨げているものは何もありません。ここで、一般的な認識について少し考えてみたいと思います。 AppleはmacOSを3年間サポートする 数年間から、私はAppleがこの一般的な前提を述べたと思われる文書を探していますが、見つけることができませんでした。ちょうど1年前、私はこれを詳しく調べ、「8年間にわたり、AppleはmacOSのサポートについて、多くの人が信じ
How a simple Linux kernel memory corruption bug can lead to complete system compromise
In this case, reallocating the object as one of those three types didn't seem to me like a nice way forward (although it should be possible to exploit this somehow with some effort, e.g. by using count.counter to corrupt the buf field of seq_file). Also, some systems might be using the slab_nomerge kernel command line flag, which disables this merging behavior. Another approach that I didn't look
AlmaLinux 3935 View AlmaLinux vulnerabilities Alpaquita 5975 View Alpaquita vulnerabilities Alpine 3787 View Alpine vulnerabilities Android 3013 View Android vulnerabilities BellSoft Hardened Containers 214 View BellSoft Hardened Containers vulnerabilities Bitnami 5930 View Bitnami vulnerabilities Chainguard 30828 View Chainguard vulnerabilities crates.io 1768 View crates.io vulnerabilities Debian
Whitebox Fuzzingはある入力に対してプログラムを実行した際、実行されたコードフロー上の全てのロジックを記録し、他の新たなフローを生成するための条件をSMTソルバで導く事で次の入力を生成する。いわゆるSymbolic Executionがこれに分類される。 Greybox Fuzzingの部分的な情報というのはかなり曖昧な定義だが、多くはプログラムを実行した際のカバレッジ情報が使用される。これを特にCoverage based (Greybox) Fuzzingと呼ぶ。 例えばAFLはある入力を実行した際に通ったエッジカバレッジを観測し、今まで見たことの無いエッジを通るとその入力を優先的に保持するようになっている。 FCS(Fuzzing Configuration Schedule) さてでは本題のシードスケジューリング問題について説明する。 VALENTIN J.M1によれ
マイクロソフト、AIでソフトウェアのバグや脆弱性を探る「Microsoft Security Risk Detection」を発表 バグや脆弱性を発見する有名な手法のひとつに「Fuzzing Test」があります。Fuzzing Testとは、検査対象のソフトウェアに問題を引き起こしそうなデータ（これが「Fuzz」と呼ばれる）を大量に送り込み、その応答や挙動を監視する、というものです。 これまでFuzzing Testは一般にセキュリティテストの専門家などがテストデータを作成し、実行し、その挙動を監視する作業を行ってきました。また、すでに一部のリスク検出サービスではこうした作業にAIの利用も始まっているとのこと。 Microsoft Security Risk Detectionは、AIを使ってこうした作業を自動化し、クラウドによって大量に実行すると、マイクロソフトリサーチのDavid M
Fuzzing is a powerful strategy to find bugs in software. The idea is quite simple: Generate a large number of randomly malformed inputs for a software to parse and see what happens. If the program crashes then something is likely wrong. While fuzzing is a well-known strategy, it is surprisingly easy to find bugs, often with security implications, in widely used software. Memory access errors are t
Pentest as a Service Programmatic, On-demand Pentests
概要 Webアプリケーションの開発や保守をしていると、いろいろなバグに遭遇します。メモリリーク、デッドロック、リダイレクトループ、JVMクラッシュ等々、バグは様々です。こういったバグは、実際にコードを書いて、実行・再現させてツールで解析してみると理解が深まります。 ということで、いろいろなバグを実装したWebアプリケーションをつくってみました。現時点では、以下を簡単に再現できます。 メモリリーク (Javaヒープ領域) メモリリーク (Permanent領域) メモリリーク (Cヒープ領域) デッドロック (Java) デッドロック (SQL) 完了しないプロセスの待機 無限ループ リダイレクトループ JVMクラッシュ ネットワークソケットリーク データベースコネクションリーク ファイルディスクリプタリーク XSS SQLインジェクション ExceptionInInitializerErr
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
