CyberFix Note
セキュアコーディング
OWASP MASVSで組み立てるモバイルアプリのセキュリティ設計。端末内の保存から通信とプラットフォーム連携まで
iOSとAndroidのアプリは実行環境が利用者の端末にあり、バイナリも通信も解析されます。OWASP MASVSの8カテゴリとMASTGを軸に、保存と通信と認証とプラットフォーム連携の設計を、開発者が着手順に使える形で整理します。
記事一覧（4ページ目）
防御・ハードニング
マイナンバーカードと社員証で使うICカードリーダライタの選び方
確定申告やマイナポータルで使う公的個人認証と、業務PCのスマートカードログオンでは、選ぶICカードリーダライタの条件が違います。接触式と非接触式の違い、公的個人認証サービスの公式一覧の読み方、スマートフォンで代替できる範囲、PC/SCとCCIDの確認点、電波法上の扱いまでを一次情報で整理します。
脆弱性・CVE解説
macOS画面共有のCVE-2026-65400。資格情報なしで認証が通る状態管理の不備
macOSのScreen Sharing(screensharingd)の認証不備CVE-2026-65400を一次情報で整理します。Appleの修正版はmacOS Tahoe 26.6.1とSequoia 15.7.9とSonoma 14.8.9、CISAは2026年8月18日にKEVへ収録しました。5900/tcpの露出確認、画面共有の停止、MDMでの一括管理、ログでの侵害確認までを実務手順としてまとめます。
セキュアコーディング
Webhook受信エンドポイントのセキュリティ設計。署名検証とリプレイ対策から送信側のSSRFまで
Webhookはセッションも認証情報も持たない公開URLに、外部から状態変更の通知が届く仕組みです。HMAC署名の検証、生ボディの扱い、タイムスタンプによるリプレイ対策、テナント認可、冪等性、鍵のローテーション、送信側のSSRF対策を一次情報で整理します。
セキュアコーディング
コード署名の仕組みと署名鍵の管理。誰が作ったかを証明する仕掛けと、鍵が漏れた後に起きること
コード署名が保証するのは配布元の身元と改ざんの有無だけで、中身の安全性ではありません。ハッシュと証明書とタイムスタンプの機構、CA/Browser Forumが求める鍵保護要件、HSMやマネージド署名への移行、鍵漏えい時の失効と再配布の手順を一次情報で整理します。
脆弱性・CVE解説
JFrog ArtifactoryのCVE-2026-82329。既定構成のまま未認証で管理者権限を渡す認証不備
JFrog Artifactoryの認証不備CVE-2026-82329を一次情報で整理します。既定構成では未認証の攻撃者が管理者権限を得られる可能性があり、CVSSは9.8、CISAのKEVにも収録されました。修正版の版番号の読み方、暫定策、トークン失効、監査ログで侵害を確かめる手順をまとめます。
防御・ハードニング
誰がいつ入ったかを残すオフィス入退室管理システムの選び方
小規模オフィスやサーバー室の出入口を、IC認証と記録付きの電気錠で守るための選び方を整理します。認証方式とカードの中身の違い、停電時の挙動、避難との両立、記録の保存件数と保存期間、共連れの限界までを公的資料とメーカー公式で確認します。
防御・ハードニング
24時間書き続ける前提で見る監視用HDDの選び方
防犯カメラの録画に使うHDDは、24時間365日の連続書き込みという用途に合わせて選びます。ワークロードレートの読み方、保存日数からの容量の逆算、CMRとSMRの確認、RAIDとエラー回復制御、S.M.A.R.T.による予兆監視、保存期間と個人情報保護法の関係を、各社の公式データシートと公的資料で整理します。
セキュアコーディング
パスワード再設定フローの安全な設計。トークンと応答と復旧経路の要件を一次情報で整理
ログインを多要素認証で固めても、パスワード再設定と復旧の経路が弱ければアカウントはそちらから奪われます。OWASPのForgot Password Cheat SheetとNIST SP 800-63B-4(2025年7月)、ASVS 5.0.0、CWE-640、IPA「安全なウェブサイトの作り方」をもとに、トークンの生成と保管、ユーザー列挙を防ぐ応答、再設定後のセッション処理、復旧経路の選び方、ヘルプデスク経由の統制、実装とテストまで整理します。
脆弱性・CVE解説
StarletteのHostヘッダ検証不備CVE-2026-48710。request.url.pathとルーティングのずれが認可を迂回する
Starletteの通称BadHost(CVE-2026-48710)を一次情報で整理します。Hostヘッダを検証せずにURLを再構築していたため、request.url.pathがルーティングの実パスと食い違い、パス前方一致の認可ミドルウェアが迂回されます。KEV追加の事実、影響範囲、1.0.1の修正内容、暫定回避策、ログの見方をまとめます。
防御・ハードニング
入社から退職までアカウントを人事イベントに同期させる運用の作り方
アカウントは作る作業だけが催促され、権限を変える作業と止める作業は誰にも急かされません。IPAの内部不正防止ガイドラインと個人情報保護委員会のガイドライン、NIST SP 800-53とCIS Controls v8.1をもとに、入社と異動と退職にIDの状態を同期させる設計、退職時の順序、棚卸しの回し方、人ではないIDと委託先IDの扱いまで整理します。
脆弱性・CVE解説
印刷管理サーバPaperCutの認証欠落と安全でないクラスロードが連鎖する事前認証RCE(CVE-2026-81578、CVE-2026-82078)
PaperCut NG/MFで悪用が確認された2件のゼロデイを一次情報で整理します。認証検証の完了前にバックエンド処理が走るCVE-2026-81578と、ドライバ名を検証せずクラスを読み込むCVE-2026-82078が連鎖して事前認証RCEに至る機構、緊急パッチが3回出た経緯、侵害調査で見る痕跡までまとめます。