セキュリティ SaaS を「プログラマブル」に再設計した話 ― Shisho Cloud の正式リリースによせて

技術サービス紹介 Shisho Cloud

はじめに CTO の米内です。Flatt Security は、本日 2023 年 8 月 23 日、テック組織がクラウドのセキュリティを考える際の一歩目を支える SaaS 「Shisho Cloud」（シショウクラウド）をリリースしました。 Shisho Cloud は、大雑把に言えば「AWS/Google …

2023-07-31

GitHubの内部ネットワークにアクセス可能な脆弱性(SSRF)を報告した話

技術セキュリティ診断 Web

今回解説する脆弱性は、当時プライベートベータ中だったGitHub Enterprise Importerと呼ばれる機能に存在しました。この機能は以下の環境からGitHub Enterprise Cloudに対して、リポジトリデータだけでなくプルリクエストやそのコメントなど、様々なデータ…

2023-07-24

GitLabで1クリックアカウント乗っ取りが可能だった脆弱性から学ぶ、OpenID Connect実装の注意点

技術 Web セキュリティ診断

はじめにこんにちは。株式会社Flatt Securityセキュリティエンジニアの森(@ei01241)です。最近は認証や認可に際してOpenID Connectを使うWebサービスが増えていると思います。「Googleアカウント/Twitter/Facebookでログイン」などのUIはあらゆるサービス…

2023-07-07

Flatt Securityの脆弱性診断において「ソースコード診断を無料付帯する」方針の解説

サービス紹介セキュリティ診断

こんにちは。執行役員兼プロフェッショナルサービス事業 CTOの志賀です。この度、通常のWebアプリケーション診断の料金でホワイトボックス診断のメリットの多くを享受できるようにサービスを大幅に改良します!! 具体的には、ソースコードをご提供いただける…

2023-06-20

Firebase利用時に発生しやすい脆弱性とその対策10選

Firebase セキュリティ診断技術

はじめにこんにちは。株式会社Flatt Securityセキュリティエンジニアの梅内(@Sz4rny)です。本稿では、弊社がこれまでに実施してきたFirebase診断の事例や筆者独自の調査をもとに、Firebaseを活用して開発されたサービスにおいて発生しやすい脆弱性の概要や…

2023-05-24

「BtoB SaaSに多く発見された脆弱性Top10」を集計しました

技術 Web

弊社では本当にありがたいことに多くのお客様から様々なWebサービスの脆弱性診断をご依頼頂いています。本稿では、特にご依頼いただくことが多いBtoB SaaSという領域において実際にどのような種類の脆弱性が見つかっているのか(我々が発見できているのか)を…

2023-05-08

RubyKaigi 2023にPlatinum Sponsorとして初出展します！

お知らせ技術セキュリティクイズ KENRO

こんにちは、Flatt Securityの @toyojuni です。弊社Flatt Securityは今週開催の RubyKaigi 2023 にPlatinum Sponsorとして協賛させていただきます！弊社がRubyKaigiに協賛するのは初めてですが、開発者の皆様に向けたセキュリティサービスを提供している身…

2023-04-19

VS Codeで任意コード実行が可能だった脆弱性から学ぶ、Electron開発の注意点(CVE-2021-43908)

技術言語/フレームワーク Web

Electronの開発では、ライブラリとしてのElectronの実装と、その上にユーザーが構築するデスクトップアプリケーションの2つのコードが存在します。デスクトップアプリケーションの実装においても、メインプロセスとレンダラープロセス、サブフレームなど、考…

2023-03-22

React Hooksに潜む罠／一緒にプレイするだけで乗っ取り！？【Security․Tokyo #1】

Security․Tokyo Web 技術

株式会社Flatt SecurityとTokyo HackerOne Clubが共催した脆弱性勉強会「Security․Tokyo #1」より、今回は、LT5「React Hooksに潜む罠」とLT6「一緒にプレイするだけで乗っ取り！？～任天堂のバッファオーバーフロー脆弱性～」の発表内容をお届けします。 …

2023-03-15

決済代行サービスの実装における検証不備を悪用／Pwning Old WebKit for Fun and Profit【Security․Tokyo #1】

技術 Web Security․Tokyo

株式会社Flatt SecurityとTokyo HackerOne Clubが共催した脆弱性勉強会「Security․Tokyo #1」より、今回は、LT3「決済代行サービスの実装における検証不備を悪用」とLT4「Pwning Old WebKit for Fun and Profit」の発表内容をお届けします。＜注意事項＞本…

2023-03-13

Cookie vs Local Storage マルウェア耐性等に差はあるか？Google Chromeによる保存時の暗号化を検証する

こんにちは。セキュリティエンジニアの@okazu_dmです。皆さんはブラウザにおいてLocal StorageやCookieに格納されている値が暗号化されているかどうかを考えたことはあるでしょうか。これらWebサービスの認証・認可において使われるデータが、XSSのようなア…

2023-03-08

Deep in 国際化ドメイン名／Credential GuardをバイパスするPass-the-Challengeについて【Security․Tokyo #1】

Security․Tokyo Web 技術

株式会社Flatt SecurityとTokyo HackerOne Clubが共催した脆弱性勉強会「Security․Tokyo #1」。満員の会場ではテーマの異なる6つのLTが発表され、盛況のうちに終わりました。今回は、LT1「Deep in 国際化ドメイン名」とLT2「Credential Guardをバイパスする…

2023-02-21

Flatt Security Developers' Quiz #5 解説

セキュリティクイズ

はじめに下記のTweetで出題させていただいた、Flatt Security Developers' Quiz #5にご参加いただきありがとうございました！ Flatt Security Developers' Quiz #5 開催！オリジナルチョコ獲得を目指して頑張ってください！デモ環境: https://t.co/DUM6Nj…