マイクロソフト、4月の月例パッチを公開: Excel、ワードパッドの脆弱性を修正
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-04-15 06:33 Microsoftの4月のセキュリティパッチが公開されている（訳注：日本での月例パッチの公開は4月15日午後に予定されている）。今回は、少なくとも20件の明文化された脆弱性を対象とした、8件のセキュリティ情報が公開された。 これらのセキュリティホールの中でもっとも深刻なものは、悪意のあるハッカーに脆弱性を持つマシンを完全に乗っ取られてしまう、リモートからのコード実行攻撃につながる可能性がある。4月の月例パッチには、現在すでに盛んに悪用されている、複数のコード実行バグ（Microsoft ExcelおよびMicrosoftワードパッド）に対する修正と、少なくとも1年前から公に知られていた2つの問題（トークンキッドナッピングの問題と、SafariとInternet
Confickerの感染を調べる方法と感染地図
予想通り、4月1日のConfickerワームの活動日は大した騒動もなく過ぎたが、Microsoftやその他の組織が説明しているとおり、このワームと結びついているボットネットは今でも生きており、潜在的に危険な状態にある。 「（この脅威は）依然として管理可能な心配の種であり、4月1日以降もなくなりはしない」とMicrosoftのChristopher Budd氏は述べている。このマルウェアは極めて多くのWindowsマシン上で現在も生きており、指示を得ようとして、いつ本拠地に連絡を取り始めてもおかしくない。 ようやく騒動は収まったにせよ、エンドユーザーに対して、マシンにConfickerワームが存在するかどうかを調べる方法、そしてもし見つかった場合には、対処する方法に関する信頼できる情報を、マルウェアにブロックされていないウェブサイトから届けることは重要だ。 Confickerワームがアンチマ
MozillaがPwn2OwnのFirefoxに関するバグを修正
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-03-30 15:59 Mozillaは2009年のCanSecWest Pwn2Ownハッカーコンテストで利用された、コードを実行される可能性があるセキュリティホールを修正することについて、ブラウザメーカーの間での競争に勝利し、1番に問題を修正した。 オープンソースグループであるMozilla Foundationは、米国時間3月27日、2つの異なる脆弱性を修正したFirefox 3.0.8をリリースした。今回修正された脆弱性には、「Nils」というコードネームのハッカーがPwn2Ownに勝利した際に利用した自動ダウンロードの問題も含まれている。今回のアップデートでは、3月第4週に攻撃コードを公開しているサイトで明らかにされたゼロデイ脆弱性の問題も修正している。どちらの問題も、重要度
Windows 7リリース候補は5月に登場？MSがうっかり漏らす
Microsoftは「Windows 7 Release Candidate（RC）」のダウンロードページを早まって掲載したが――驚いたことに――それには2009年5月の日付が入っていたのだ。 Windowsチームは主要ビルドを提供する前にはいつも具体的な日程については明かさないように最善を尽くしてきた。（日程を公にしないということは、遅れていると咎めることは、誰にもできないということだろう。） これまでの報道では、Microsoftの唯一無二のRCは4月に登場すると見込まれていた。 ArsTechnicaはWin 7 RCダウンロードページのスクリーンショットを示している。Arsの指摘によると、RCのダウンロード期間は2009年6月まで継続し、そのRCは2010年6月までに失効することになっているという。ArsはまたWindows 7 RCに対して予期されるハードウェア要件を推測している
4月にサポート終了へ：Windows XP、Office 2003、その他
文：Mary Jo Foley（Special to ZDNet.com） 翻訳校正：菊地千枝子 2009-03-26 12:16 来月はMicrosoftのいくつかの旧WindowsやOffice製品のサポートが期限を迎える月である。なかには無償サポートもあれば、有償サポートもある。 Microsoftは米国時間2009年4月14日に「Windows XP Home」と「Professional」のほか、「Office 2003」スイートについても主流の（無償）サポートを終了させる。同社はまた「Windows Server 2003 Service Pack 1（SP1）」を「引退させる」予定である。この4年前のリリースへのサポートをもはや提供しないという意味である。 Microsoftは2014年4月8日まで、有償の延長サポートを（Software Assuranceライセンス契約も有
Pwn2Ownのハッカー、Charlie Miller氏へのインタビュー
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-03-21 22:44 バンクーバー発 -- CanSecWestセキュリティカンファレンスで、私はCharlie Miller氏と話をする機会を得ることができた。同氏はSafariのコード実行脆弱性を利用して、完全にパッチを適用したMacBookに侵入した。 われわれはウェブブラウザのセキュリティの現状、脆弱性市場、現代のオペレーティングシステムでの耐攻撃措置の必要性について議論した。 --今回の脆弱性について、話せることはありますか。 Charlie Miller氏：あまりありません。コンテストのルールの一部として、私は技術的な詳細に関する守秘義務契約に縛られています。あのコンピュータ（MacBook Air）には、完全にパッチが適用されていたということは言ってもいいでしょう。使っ
Pwn2Ownで三冠：IE8、Firefox、Safariが陥落
バンクーバー発 -- 時間は少し長くかかったが、MicrosoftのInterenet Explorer 8も、2009年のCanSecWestで開催されたPwn2Ownコンテストでのハッカーの猛攻には耐えられなかった。 （参照：Pwn2Own 2009：Safari/MacBookが秒殺） 「Nils」と名乗るセキュリティ研究者（同氏は名前を公開することを拒んだ）は、世界でもっとも広く使われているブラウザに対し、巧みな自動ダウンロード攻撃をしかけ、Windows 7を搭載したソニーのVaioを制御下に置いた。 同氏は賞金と使われたハードウェアを獲得した。コンテストのスポンサーであるTippingPoint ZDIが「見事なIE8のバグ」と呼んだこの脆弱性の詳細については、明らかにされていない。 Microsoftのセキュリティ対応チームのメンバーも、何人かがこの攻撃が成功するのを目撃した
IE vs Firefox：パッチまでにかかる時間ではFirefoxが勝利 -- Secunia調査
Secuniaの新しい調査結果が、Internet ExplorerとMozilla Firefoxのセキュリティに関する議論に新たな火種を持ち込んでいる。 セキュリティ企業Secuniaは、この2つのベンダーによって公に報告された（そして修正された）セキュリティホールに関する統計を収集して分析し、Firefoxは報告された脆弱性の数ではほぼ4倍近くになるにも関わらず、パッチまでにかかる時間の面ではずっと優っていることが明らかになった。 （上の表は、2008年にIEとFirefoxに関して公に情報開示された脆弱性が無防備の状態に置かれた期間を示している。パッチが適用されていない状態の日数の部分が赤くなっているのは、2008年12月1日時点で該当する脆弱性がまだ未パッチであったことを示す） Secuniaの2008年のレポートによれば、MozillaはFirefoxの115件の報告されている
月例パッチ：マイクロソフトがWindowsカーネル、WINSの脆弱性を修正
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-03-11 11:55 Microsoftは米国時間3月10日、3件のセキュリティ情報を公開し、多くのWindowsユーザーに影響を及ぼす少なくとも8件の文書化された脆弱性に対する修正を施した。 3月の月例パッチの対象の中でもっとも深刻なものは、最大深刻度が「緊急」にレーティングされており、Windowsユーザがブービートラップの仕掛けられた画像ファイルを閲覧するだけで、リモート実行攻撃を受けてしまう可能性があるというものだ。 2009年3月の月例パッチの概要は次の通りだ。 MS09-006（最大深刻度：緊急）：これは新たに発見され、非公開で報告された、Windowsに存在する3件の脆弱性を修正するものだ。この問題の影響のあるシステムで、ユーザーが特別に作成されたEMFあるいはWMF画
Firefox 3.0.7が公開：8件の脆弱性を修正
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-03-05 15:03 Mozillaは米国時間3月4日、Firefox 3.0.7をリリースした。このバージョンでは少なくとも8件のセキュリティホールを修正しており、その一部は重要度が最高にレーティングされている。 Mozillaは一連のセキュリティアドバイザリで、今回修正された脆弱性の中でもっとも深刻なものは、通常のブラウジングの範囲を超えるユーザの操作を必要とせずに、攻撃者がコードを実行したり、ソフトウェアをインストールすることが可能なものだと警告している。 以下に、今回Firefoxに施された修正の概要を示す。 （参照：Talking Firefox security with Mozilla’s Window Snyder） MFSA 2009-11（重要度：低）特定の不可視
Operaにセキュリティパッチ：ALSR、DEPのサポートを追加
Opera Softwareは同社のWebブラウザに対する優先度の高いセキュリティパッチを公開した。このパッチでは、Windowsユーザーをコード実行攻撃とクロスドメインスクリプティング攻撃にさらす、少なくとも3件の脆弱性を修正している。 また、Opera 9.64へのアップグレードでは、DEP（Deta Execution Prevention）とASLR（Address Space Layout Randomization）を新たにサポートした。これら2つの防御メカニズムは、Windowsプラットフォーム上でマルウェアによる攻撃からのダメージを限定的なものにするのに役立つものだ。 Operaは今回修正した3件の脆弱性のうち、1件のみについてしか詳細な情報を提供していない。その1件は、GoogleのTavis Ormandy氏が発見し、報告したものだ。 特別に作成されたJPEG画像ファイ
ハッシュアルゴリズムの次世代標準候補の中にセキュリティ関係のコーディングの不備
ミスをしない人間などいない。ハッシュアルゴリズムの次世代標準の候補となっているアルゴリズムのうち2つが、バッファオーバーフローの問題を抱えていることが明らかになった。 標準暗号アルゴリズムを指定する責任を負う政府組織である、米国の国立標準技術研究所（NIST）は、次世代の標準ハッシュ関数を選択する提案競争を実施している。その資料となるリファレンス実装をFortifyのコード分析ツールで検証したところ、提出された実装のうち2つがバッファオーバーフローの問題を抱えていることが明らかになった。 これらの問題は、そのアルゴリズムの暗号学的な正しさに影響を与えるものではなく、アルゴリズムの大きさが比較的小さいため、これらの問題は選定プロセスが進むに従って速やかに発見された可能性が高い。ともあれ、この事例は、セキュリティ専門家でさえセキュリティ上のミスを犯すことがあることを証明する事例として機能するだ
マイクロソフトがExcelのゼロデイ脆弱性を認める -- 影響を受けるシステムのリストは広がる
Microsoftは米国時間2月23日に報じられたExcelに存在するコード実行の脆弱性について認め、脆弱性を持つシステムのリストを広げた。 MicrosoftはこのSymantecが発見したコード実行脆弱性は存在していると発言した。現在ではこの脆弱性に2009-0238というCVE番号が割り当てられている。同社はまた脆弱性を持つバージョンを、完全にパッチされたExcelの2000以降のバージョンすべてに拡大した。 Microsoftはまた、パッチが提供されるまでの間、この脆弱性を突かれるのを避ける手法に関する情報を提供した。これには、悪意のある文書を無効化するためにMOICEを使用することと、Office 2003以前のExcelファイルを開かないことが含まれている。 Macユーザーも安心はできない。Mac用のOffice 2004およびOffice 2008にも脆弱性が存在しており、M
Excelに新たなゼロデイ攻撃
SymantecはMicrosoft Excel 2007にリモートから悪用可能な脆弱性が発見され、この脆弱性を悪用する攻撃が行われていることが確認されたと報じている。 詳細については分かっていないが、SymantecはExcel 2007およびExcel 2007 SP1にコードが実行される脆弱性を発見したようだ。他のバージョンにも影響がある可能性があるという。この問題は現在、トロイの木馬Mdropperの亜種によって実際に悪用されている。 この脆弱性に対するパッチはまだ提供されていない。パッチが公開されるまでは、完全に信頼でき、検証可能な発信元から入手したものではないExcel文書は開くべきではない。
冗長な英文を避けるための10+の方法--上級者編
文：Calvin Sun（Special to TechRepublic） 翻訳校正：村上雅章・野崎裕子 2009-02-24 08:00 文章を簡素化することで、伝えたい内容をより明確かつ説得力のあるものにすることができる。本記事では、回りくどい表現を避けることで、文章をすっきりとさせ、読み手により強く訴えかけられるようにする方法を、実例を交えて紹介する。 あなたの書く文章は冗長なものとなってはいないだろうか？もしそうであれば、あなたは自らの時間と、読み手の時間を無駄にしてしまっていることになる。また、自らの文章を説得力に欠けた、印象の薄いものにしてしまっていることにもなる。以下に、冗長な文章と、その改善例を挙げているので、参考にしてほしい。 ＃1："There are/is ［名詞］［関係代名詞］［動詞］ …" "There are/is"と［関係代名詞］を取り去ると、この文章は、［名
マイクロソフト、Windows 7の「テストアップデート」の提供へ
Microsoftが「Windows 7」テスターに対して明かしているのは何で、明かしていないのは何かと言えば、米国時間2月24日より、同社は「Beta 1」ユーザーのためにテストアップデートを提供し始める予定である。 Microsoft Update Product Teamのブログで説明されているとおり、これらのアップデートは単に、Windowsのサービシングインフラをテストするために設計されている。Windows 7のために新しい特色やフィックスまたは機能を提供する予定は全くないのだ。 2月19日付けのMicrosoft Updateブログの記事によると： 「われわれは通常、Beta期間中にアップデートのシナリオを検証する。そしてテストアップデートをリリースすることは、本当のアップデートをリリースしなければならないときに、そのプロセスが円滑に進むことを確保するのを助ける。せいぜい5回
IE7のセキュリティホールを悪用する標的型攻撃が見つかる
文：Dancho Danchev（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-02-18 15:39 TrendMicroの研究者は、先週修正されたInternet Explorer 7に存在する緊急の脆弱性MS09-002を悪用した、マルウェアによる標的型攻撃を発見した。スパムによって送られたMicrosoft Office文書を開くと、脆弱性を持つユーザーは自動的に中国の攻撃サイトに送られる。このサイトは現在でも稼働している。 この攻撃はMcAfeeとISCも確認しており、サイバー犯罪者はこの攻撃のために、Microsoftのパッチに対しリバースエンジニアを行ったようだと述べている。 TrendMicroの情報では、次のように説明されている。 この脅威は、XML_DLOADR.Aとして検知される、スパムとして送られた悪意のある.DOCファイルから始まる。
マイクロソフトが2月の月例パッチを公表 -- IEに深刻度が緊急の脆弱性
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-02-11 20:59 Microsoftは米国時間2月10日、4件のセキュリティ情報と、少なくとも8件のWindowsユーザーに影響のある明文化された脆弱性を修正するパッチを公開した。また、同社はInternet Explorerを通じて攻撃を行う「安定した悪用コードを容易に作成できる」可能性があると警告している。 今回の月例パッチで修正された脆弱性には、2件のIEに存在するコードを実行される可能性のあるセキュリティホール、Microsoft Exchange Serverの2件のバグ、Microsoft SQL Serverに存在する1件のリモートからコードを実行される可能性のあるセキュリティホール、Microsoft Office Visioのユーザーに影響のある3件の個別の欠陥
Windows 7で改善される10個のセキュリティ機能
Windows 7では、ユーザーインターフェースに対する多くの改善に注目が集まっているものの、セキュリティに対しても数多くの新機能が導入されるとともに、機能強化が図られているのである。そこで本記事では、セキュリティについての重要な改善点を10個紹介する。 Microsoftの次世代OSであるWindows 7のパブリックベータ版がリリースされている。巷ではそのユーザーインタフェース、すなわちタスクバーの刷新や、サイドバーの廃止、Windowsエクスプローラーの新たな外観といったものに注目が集まっている。とは言うものの、外見以外の部分にも変更は加えられており、セキュリティに対しても新機能の導入とともに、機能強化が図られているのである。そこで以下に、Windows 7において変更や追加が行われたセキュリティ機能を10個紹介する。 ＃1：Action Center Windows Vistaでは
TCP 445番ポートへの攻撃が急増、JPCERT/CCが注意喚起
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）は2月5日、TCP 445番ポートへのスキャンが2008年12月下旬より増加し続けているとして注意喚起した。TCP 445番ポートへのスキャンはインターネット定点観測システムで確認されており、2008年に公開された「Microsoft Windows製品のServer サービスの脆弱性（MS08-067）」を狙うワームの感染が広がっている可能性があるという。 このワームはスキャンや、USBメモリなどのリムーバブルストレージなどを通じて感染する。「ここ数日、日本国内からのスキャンが増加している」として、国内での感染が拡大している可能性が高まっているとしている。 T
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
