【日報】巷のセキュリティ 2022年9月30日

BookStack におけるクロスサイトスクリプティングの脆弱性

PHP Laravel 製のOSSwiki ソフトウェアである「BookStack」（v22.09 より前のバージョン） には、クロスサイトスクリプティングの脆弱性が存在します。

対処方法

• 開発者が提供する情報をもとに、最新版にアップデート する
• BookStack のコンテンツを API 経由で使用する場合は、CSPルールを適応させる。

一次情報

報告者：三井物産セキュアディレクション株式会社 奥野 健一 氏

ベンダー情報

備考

APIを外部に公開している場合に影響を受ける。

バージョンアップしてコンテンツセキュリティポリシーで防ぐ。

ロシアハッカー集団 休業のお知らせ

「日本人は心配しなくていい」親ロシア派ハッカー攻撃停止　資金難で

９月上旬に日本にサイバー攻撃を仕掛けた親ロシア派ハッカー集団「キルネット」が資金難により、攻撃活動を事実上停止していることが３０日、キルネットへの取材で分かった。広報担当者は「新たなスポンサーが見つからない限り攻撃できない。日本人はもう心配しなくてもいい」と明かした。

一次情報

備考

東京メトロや省庁のサイトが狙われてたよね。

別のハッカー集団からこっそり攻撃されている可能性はありそうだけど。。

常に狙われているって考えたほうがいいと思う。