Hayashi Yoshinori [林 義徳]

職歴

1. LINEヤフー株式会社

   2023年10月1日 – 現在 セキュリティエンジニア

   • プロダクトのセキュリティと品質の確保を支援
   • 社内向けのセキュリティ診断（実装・設計）・その他
   • DevSecOpsツール・診断効率化ツールの開発
   • LINE Security Bug Bounty Programの運営支援Program paused since Dec 3, 2025
   • LINE CTFの運営・Webの作問
   • LY Corporation

2. LINE株式会社

   2021年4月1日 – 2023年9月30日 アプリケーションセキュリティエンジニア

   • プロダクトのセキュリティと品質の確保を支援
   • LINE Security Bug Bounty Programの運営支援
   • LINE CTFの運営・Webの作問
   • LINE Corporation

3. 三井物産セキュアディレクション株式会社

   2019年7月2日 – 2020年3月31日 セキュリティエンジニア（アルバイト）

   Webアプリケーションの脆弱性診断

4. サイボウズ株式会社

   2018年4月11日 – 2019年5月23日 セキュリティエンジニア（アルバイト）

   • 社内向けの脆弱性診断
   • サイボウズ脆弱性報奨金制度の運営

学歴

1. 情報科学専門学校

   2017年4月1日 – 2021年3月31日 情報セキュリティ学科 神奈川

   高度専門士（工業専門課程）を取得

   • 情報科学専門学校
   • Advanced Diploma (Japan)

受賞・実績

1. SECCON CTF 14 国内決勝

   2026年2月28日 – 2026年3月1日 9位

   チームWS8Zで出場

   • CTFtime
   • WS8Z (CTFtime)

2. 2019 GitLab Bug Bounty Program

   2020年1月1日 6位

   GitLab Bug Bounty ProgramのHall of Fameで6位

   • https://hackerone.com/gitlab/thanks/2019?type=team

3. 第45回技能五輪国際大会（ロシア連邦・カザン）

   2019年8月27日 6位

   • 日本代表チームとして6位
   • 敢闘賞（Medallion for Excellence）受賞
   • https://results.worldskills.org/results?offset=0&base_skill=546&member=14

4. 2018 GitLab Bug Bounty Program

   2019年1月1日 7位

   GitLab Bug Bounty ProgramのHall of Fameで7位

   • https://hackerone.com/gitlab/thanks/2018?type=team

5. MBSD Cybersecurity Challenges 2018

   2018年12月12日 1位

   チームIPFactoryとして優勝

   • https://setten.sgec.or.jp/cooperation/065.html
   • https://caya8.hatenablog.com/entry/2018/12/17/091908
   • https://scan.netsecurity.ne.jp/article/2019/01/16/41841.html

6. MBSD Cybersecurity Challenges 2017

   2017年12月13日 1位

   チームIPFactoryとして優勝

   • https://setten.sgec.or.jp/cooperation/054.html
   • https://caya8.hatenablog.com/entry/2017/12/24/173349
   • https://scan.netsecurity.ne.jp/article/2018/01/18/40514_2.html

活動

1. LINE CTF 2024

   2024年3月23日 – 2024年3月24日

   • LINE CTF 2024の運営
   • Webの作問（Boom Boom Hell*）
   • https://ctftime.org/event/2119/
   • CTFtime — Boom Boom Hell*

2. LINE CTF 2023

   2023年3月25日 – 2023年3月26日

   • LINE CTF 2023の運営
   • Webの作問（Old Pal）
   • Press Release (en)
   • Press Release (ja)
   • https://ctftime.org/event/1716
   • LINE CTF 2023 [Web] Old Pal - Author's writeup - もしくはこれ
   • LINE CTF 2023 [Web] Old Pal - Author's writeup [English] - もしくはこれ

3. LINE CTF 2022

   2022年3月26日 – 2022年3月27日

   • LINE CTF 2022の運営
   • Webの作問（Haribote Secure Note）
   • Press Release (en)
   • Press Release (ja)
   • https://ctftime.org/event/1472/

4. ISCCTF 2020

   2020年10月24日

   • ISCCTF 2020の運営
   • Webの作問（Greetinjs、mark damn it）
   • https://caya8.hatenablog.com/entry/2020/10/28/080123

5. Burp Suite Japan User Group

   2019年1月1日 – 現在

   • イベントの企画・運営とグループ運営を支援
   • ローカルプロキシツール「Burp Suite」のユーザーグループ

脆弱性報告

1. [Spring Security] CVE-2022-22978

   2022年5月16日

   Spring SecurityのRegexRequestMatcherを使う認可処理で、設定によって認可バイパスが可能だった。 原因特定に貢献し、クレジットされた。I’m not the discoverer

   • cve.mitre.org
   • CVE-2022-22978 | Security | VMware Tanzu

2. [GitLab] DoS

   $1,000

   2019年11月22日CVE-2019-15593

   GitLabのIssueコメント処理におけるクライアントサイド・サーバサイドDoS。細工したコメントにより、他の利用者のコメント閲覧を妨げるほか、サーバ側の処理でCPU資源を枯渇させることもできた。

   • cve.mitre.org
   • HackerOne Report #557154
   • GitLab Issue #61974

3. [GitLab] DoS

   $1,000

   2019年7月3日CVE-2019-13010

   GitLabの色コード検証におけるサーバサイドのRegular Expression Denial of Service（ReDoS）。特定の入力でサーバのCPU資源を枯渇させ、他の利用者のアクセスを妨げることができた。

   • cve.mitre.org
   • GitLab Security Release: 12.0.3, 11.11.5, and 11.10.8
   • HackerOne Report #511381

4. [GitLab] DoS

   $3,000

   2019年3月4日CVE-2019-9220

   GitLabのMarkdownに細工したMermaidの図を埋め込み、レンダリング時に閲覧者のブラウザーを応答不能にすることができた（クライアントサイドDoS）。

   • cve.mitre.org
   • GitLab Security Release: 11.8.1, 11.7.6, and 11.6.10
   • HackerOne Report #470067

5. [GitLab] DoS

   $3,500

   2019年1月31日CVE-2019-6785

   GitLabのMarkdownレンダリングに長い入力を与えることで、処理負荷を高め、他の利用者のアクセスを妨げることができた（サーバサイドDoS）。

   • cve.mitre.org
   • GitLab Security Release: 11.7.3, 11.6.8, 11.5.10
   • HackerOne Report #415988

6. [GitLab] 情報露出

   2018年10月29日CVE-2018-18640

   GitLabのブラウザーキャッシュを介した情報露出の問題

   • cve.mitre.org
   • GitLab Security Release: 11.4.3, 11.3.8, and 11.2.7
   • HackerOne Report #407763

7. [GitLab] Stored XSS

   2018年10月1日CVE-2018-17454

   GitLabのIssue詳細画面におけるStored XSS

   • GitLab Security Release: 11.3.1, 11.2.4, and 11.1.7
   • HackerOne Report #384255

8. [GROWI] Stored XSS

   2018年8月3日CVE-2018-0652

   GROWIのユーザーグループ管理画面のStored XSS

   • cve.mitre.org

9. [GROWI] Stored XSS

   2018年8月3日CVE-2018-0653

   GROWIのWikiページ閲覧画面におけるStored XSS

   • cve.mitre.org

1. [GitLab] DoS

   $250

   2018年9月25日

   GitLabで長いタイトルのWikiページを追加することで、他の利用者によるWikiのcloneを妨げることができた（クライアントサイドDoS）。クライアント側から当該ページを削除することもできなくなった。

   • GitLab Issue #24415

2. [GitLab] DoS

   $1,000

   2018年9月23日

   GitLabのリポジトリに長い名前のファイルを追加することで、他の利用者によるcloneを妨げることができた（クライアントサイドDoS）。GitLab上のリポジトリ内の既存ファイルの削除も発生した。

   • GitLab Issue #24405

3. [GitLab] Stored XSS

   2018年9月13日

   GitLabのMerge RequestページにおけるStored XSS

   • HackerOne
   • GitLab Issue #51527

1. [Chatwork] (未公開)

   ¥3,000

   2020年11月9日

   • BugBounty.jp — Bounty Reward History

2. [GitLab] (未公開)

   $2,000 × 4

   2018年9月29日

   • HackerOne — Hacktivity

3. [U.S. Department of Defense] (未公開)

   2018年8月11日

   • HackerOne — Hacktivity

執筆・寄稿

1. 細かすぎるけど伝わってほしい脆弱性診断手法ドキュメント

   2023年4月12日

   • 診断が難しい脆弱性や、特有の確認方法を要する脆弱性の診断手法
   • ISOG-J WG1のメンバーとの共同執筆
   • https://webapppentestguidelines.github.io/newtechtestdoc
   • https://news.yahoo.co.jp/articles/eadff573fdd6bad1d1d5f04cbbb2cf48d4cdfb4b
   • https://scan.netsecurity.ne.jp/article/2023/04/19/49227.html
   • ISOG-J WG1について

2. Webアプリケーション脆弱性診断ガイドライン 第1.2版

   2022年3月1日

   • Webアプリケーションの脆弱性診断ガイドライン
   • ISOG-J WG1のメンバーとの共同執筆
   • https://github.com/WebAppPentestGuidelines/WebAppPentestGuidelines
   • ISOG-J WG1について

3. GraphQL診断ガイドライン

   2021年12月24日

   • GraphQLの脆弱性診断ガイドライン
   • ISOG-J WG1のメンバーとの共同執筆
   • https://github.com/WebAppPentestGuidelines/graphQLGuideLine
   • ISOG-J WG1について

4. 技能五輪国際大会（WorldSkills Kazan 2019）出場レポート

   2019年10月28日

   HISYS Journal Vol.35に第45回技能五輪国際大会（ロシア連邦・カザン）の出場レポートを寄稿

   • HISYS Journal Vol.35

5. DEFCON 27 OpenCTF 2019 参戦レポート

   2019年10月3日

   HISYS Journal Vol.34にDEFCON 27 OpenCTF 2019の参戦レポートを寄稿

   • HISYS Journal Vol.34

発表

1. Free Bugs Campaign

   2019年3月11日

   Burp Suite Japan LT Carnivalでの発表資料

   • Speaker Deck

2. MBSD Cybersecurity Challenges 2018 最終審査会 発表スライド

   2018年12月12日

   MBSD Cybersecurity Challenges 2018 最終審査会での発表資料

   • Speaker Deck

3. MBSD Cybersecurity Challenges 2017 最終審査会 発表スライド

   2017年12月13日

   MBSD Cybersecurity Challenges 2017 最終審査会での発表資料

   • Speaker Deck