hamayanhamayan retweetledi
【ソフトウェアサプライチェーン・やるべきことスレ】おすすめの文献・設定があれば、メンションでぶら下げてくれませんか。リンクペタっとでOKです。
僕も axios の件のガイダンス＆対応を終えたら参加します＆まとまったガイド文書を出そうと思います。
Trivy事案、LiteLLM事案も含め、ソフトウェア業界全体が不安定なタイミングです。何卒！
日本語
hamayanhamayan
2.1K posts
hamayanhamayan retweetledi
【注意/TeamPCP】Trivy/LiteLLM 侵害と同じアクターによる、telnyx の PyPI パッケージ侵害が確認されています。対象 4.87.1 / 4.87.2 です。
公開数時間でテイクダウンされていて、Takumi Guard ユーザーには公開後３日の検疫期間内なので侵害影響ありません。利用されてない方、影響調査ください。
Rami McCarthy@ramimacisabird
😼New TeamPCP: PyPI package "telnyx" versions 4.87.1 and 4.87.2 contain malware. These versions were uploaded directly to PyPI (no matching GitHub tags/releases). Downgrade to 4.87.0 or earlier immediately. Windows payload appears broken in 4.87.1.
日本語
hamayanhamayan retweetledi
【続き】Trivy の件に続いて発生した TeamPCP の CanisterWorm（npm マルウェア）、Flatt でもリサーチしていて、Takumi Guard で対応済です。ちょっとでも Blast radius 小さくしたいので、是非この手の自衛や、minimumReleaseAge 系の自衛をされてください🙇
YONEUCHI, Takashi@lmt_swallow
【要注意】Trivy 配布の GitHub Action への侵害がこの木曜〜金曜にかけてありました。自分にも影響がありえた＆少し影響範囲が広かった為、日本語で個人的にまとめています。ユーザーのみなさま、自組織の状況をご確認ください：diary.shift-js.info/trivy-compromi…
日本語
hamayanhamayan retweetledi
マルウェアパッケージのインストールをブロックする、Takumiの「Guard」機能がPyPIに対応しました。
【簡単】1行のコマンドで設定(画像参照)
【推奨】メールアドレス登録 → ブロックをすり抜けたパッケージに関して、事後的に通知を受信可能
▼メールアドレス登録はこちら
flatt.tech/takumi/feature…
日本語
hamayanhamayan retweetledi
【要注意】Trivy 配布の GitHub Action への侵害がこの木曜〜金曜にかけてありました。自分にも影響がありえた＆少し影響範囲が広かった為、日本語で個人的にまとめています。ユーザーのみなさま、自組織の状況をご確認ください：diary.shift-js.info/trivy-compromi…
日本語
blog.hamayanhamayan.com/entry/2026/03/…
tkbctf5 Writeups
面白かったです！今年初めてCTFに出てブログ書いたけど、半分解説、半分ポエムになってしまった。
日本語
hamayanhamayan retweetledi
🌻サマーインターンシップ募集開始
昨年190名超の応募があった大人気プログラム🔥
世界の最先端を行くAI駆動のセキュリティの現場で課題に向き合い、自ら手を動かして脆弱性の発見・検証およびその自動化の開発に取り組む5日間です。
報酬は10万円。交通費・宿泊費全額補助。
ぜひご参加ください！
日本語
hamayanhamayan retweetledi
セキュリティエンジニア松井 @ryotaromosao とChungの技術ブログを公開しました！
SDKに存在する脆弱性や、アプリケーション開発者のミスにより引き起こされる、署名付きURLにおけるパストラバーサルのリスクと対策について解説しています。
ぜひご覧ください！
blog.flatt.tech/entry/signed_u…
日本語
hamayanhamayan retweetledi
近況ですが、マルウェアブロックしてくれる npm レジストリ君（Takumi Guard）をリリースしました。無料で使えます☺️
昨年は Shai-Hulud 含め悪性パッケージの波が悲しかったし、今年はこういうこと減らしたいので、一念発起しました。npm config コマンド一つで使えます。
日本語
hamayanhamayan retweetledi
SECCON CTF 14国内決勝大会の参加記(writeup) - st98 の日記帳 - コピー nanimokangaeteinai.hateblo.jp/entry/2026/03/… 書きました! 最近のCTFについて自分の気持ちを言語化したかったのもあり、LLMが大暴れしていたことについての感想も書いています #SECCON
日本語
hamayanhamayan retweetledi
セキュリティエンジニア 森 @ei01241 の技術ブログを公開しました！
パストラバーサルと言えばサーバーサイドの脆弱性と認識されることが多い一方、本記事ではSPAにおける「クライアントサイドパストラバーサル」にフォーカスしてそのリスクと対策について解説しています。
blog.flatt.tech/entry/client_s…
日本語
hamayanhamayan retweetledi
hamayanhamayan retweetledi
間違いあったら、気軽にご指摘お願いします！
そして、無事Daliy Crypto CTF Advent Calendar無事完走しました！完走した感想としましては、CryptoのWriteup書くの大変すぎ。
qiita.com/advent-calenda…
日本語
