Ostorlab Team

セキュリティ

HackerOneのモバイルアプリで発見された、Pub/Subへの過剰な権限を持つハードコードされたGCPサービスアカウントについて、実践的な詳細分析と実際の悪用を紹介します。認証と権限の列挙から、エンドツーエンドのメッセージ注入・傍受まで、OstorlabのAIペンテストエンジンが一連のサイクルをどのように自動化し、4日以内の修復につなげたかを解説します。

セキュリティ

本技術分析では、パストラバーサル、シンボリックリンクの操作、Android SDKの癖を組み合わせた高度な攻撃チェックが、定評のある暗号化を無傷に保ったままSignal Androidの防御を突破し、機密性の高い内部ファイルを抽出し得る様子を明らかにします。Signalはこれらの脆弱性を数日以内に修正しましたが、今回の発見は、一見ささいなバグがいかに強力なエクスプロイトへと連鎖し得るか、そしてなぜ最良のセキュリティアーキテクチャにも多層の防御が必要なのかについて、重要な教訓を示しています

セキュリティ

本記事では、Report PortalにおけるOOB XXE脆弱性CVE-2021-29620を悪用するための、徹底した実践的分析と概念実証（PoC）を紹介します。OstorlabのAIによるペンテストエンジンが、そのサイクル全体をどのように自動化したのかを詳述します。

製品

OstorlabのAI Monkey Testerは、自然言語プロンプトと生成AIを使ってインテリジェントでコンテキストを認識したテストシナリオを自動生成することでモバイルアプリのセキュリティテストを一変させ、従来のルールベースのテスト手法と比べてアプリケーションのカバレッジを最大10倍に向上させます。

セキュリティ

本記事では、Zulipに存在するストアドXSS脆弱性CVE-2025-52559を悪用するための、徹底的かつ実践的な分析と概念実証（PoC）を紹介します。OstorlabのAIを活用したペンテストエンジンがその全サイクルをどのように自動化したかを詳しく解説します。

製品

今回のリリースでは、AIを活用したUI探索エンジンを大幅に強化し、最新のアプリケーションに対して、よりスマートで適応性の高い動的スキャンを実現しました。SSLスキャナーを全面的に刷新して15以上の重大なSSL/TLS脆弱性をより高い精度で検出できるようにしたほか、テイント解析エンジンを再構築し、より深く信頼性の高い脆弱性検出を可能にしました。また、シークレット検出、モバイルの設定ミス、最新のCVEに対するカバレッジも拡大しました。全体として、プラットフォームのパフォーマンスを改善し、速度、安定性、精度を高めました。

製品

Ostorlabの2025年5月のアップデートでは、21の新しいデータ収集カテゴリと強化された検証ツールにより、包括的なプライバシー分析機能を提供します。今回のリリースでは、セキュリティ評価を最適化するAttack Surface専用のスキャンプロファイルを導入し、脆弱性を正確にマッピングするためのGitHubソースコード連携を追加し、スキャンを制御するQPSレート制限を実装しました。そのほか、モバイルスキャンのURL正規表現による制御、Jira連携の効率化、検出精度を高めるフィンガープリント機能の拡充などの改善も含まれます。

セキュリティ

本研究では、シグネチャベースのマッチング（DalvikFLIRT）とLLMによるコード変換を組み合わせた先駆的な二重のアプローチを紹介します。高度なAndroidアプリの難読化を回避し、これまで解読できなかったコードの自動セキュリティ分析を可能にします。

製品

今回のリリースでは、CNIL標準への対応とSARIFエクスポートを導入し、脆弱性の位置情報と高度な検索によって脆弱性に関する情報を充実させました。Copilotはより強力になり、パフォーマンスは高速化し、アセットと修復のワークフローもよりスムーズになりました。

製品

2月のアップデートでは、Ticket Aggregation V2とOstorlab Copilotを導入し、レポート機能と検出メカニズムも改善しました。これらのアップデートにより、プラットフォーム全体で脆弱性管理、ユーザーエクスペリエンス、セキュリティ分析が強化されます。