Intelのマイクロコードアップデート、Microsoft Updateカタログで提供開始 | スラド セキュリティ
Microsoftは1日、IntelプロセッサーのSpectre/Meltdown脆弱性を修正するマイクロコードアップデートをMicrosoft Updateカタログで提供開始した(Windows Experience Blogの記事、 KB4090007、 Neowinの記事、 The Vergeの記事)。 当初は第6世代Coreプロセッサー Skylake H/Sおよび第6世代Core mプロセッサー Skylake U/Y/Skylake U23eが対象で、CVE-2017-5715(Spectre Variant 2)を修正するマイクロコードアップデートが含まれる。IntelからMicrosoftに提供され次第、追加のマイクロコードアップデートを随時提供する予定だという。現在のところ更新プログラムが対応するWindowsバージョンはWindows 10 バージョン1709(Fall
Windows版Google Chromeユーザーを主なターゲットにしたテクニカルサポート詐欺の手法 | スラド セキュリティ
Webブラウザーに偽の警告画面を表示して電話をかけさせるタイプのテクニカルサポート詐欺では、ユーザーの操作を困難にするためのさまざまな手法が用いられるが、Windows版のGoogle Chromeユーザーが主なターゲットとみられる新たな手法による攻撃をMalwarebytesが報告している(Malwarebytes Labsの記事、 Neowinの記事、 Ars Technicaの記事、 SlashGearの記事)。 この手法では、ウイルスに感染したのでISPがPCをブロックしたといった内容の警告とMicrosoftの偽の電話番号を表示するとともに、大量のファイルダウンロードを実行してCPU使用率を100%まで上昇させ、ウインドウやタブを閉じることができないようにする。ダウンロードするファイルは実体があるわけではなく、Blobオブジェクトを生成し、window.navigator.msS
Office 2019ではセキュリティ更新提供期間が約7年に短縮される | スラド セキュリティ
Microsoft Officeではメインストリームサポート期間5年と延長サポート期間5年で10年セキュリティ更新が提供されてきたが、次のOffice 2019では延長サポートが約2年に短縮され、合計約7年になることが発表された(Windows for IT Prosの記事、 PC Watchの記事)。 Office 2019は2018年後半の出荷予定が発表されており、延長サポートは2025年後半までとなる。この延長サポート期間の短縮は、Office 2016の延長サポート期間が2025年10月14日で終了することに合わせたものだという。 Office 2016と2019がほぼ同時期にセキュリティ更新が終わるということは、もしかしてOffice 2019の次が最後のメジャーバージョンアップとなり、Windows 10のようにローリングリリースモデルに移行するのかもしれない。個人的には会社で
ジョン・マカフィー曰く、2要素認証を有効にしたらTwitterアカウントがハックされた | スラド セキュリティ
自身のTwitterアカウントが2要素認証を有効にしたせいでハックされたと「サイバーセキュリティのレジェンド」ジョン・マカフィー氏が主張している(HackReadの記事、 BetaNewsの記事、 BBC Newsの記事)。 マカフィー氏は12月21日から「Coin of the day」として、あまり知られていない今後が期待される仮想通貨を毎日Twitterで紹介していたが、26日をもっていったん休止し、毎週月曜日の朝(初回は1月1日)に「Coin of the week」として再開すると宣言していた。しかし、27日に偽の「Coin of the day」がマカフィー氏のアカウントで複数投稿されたらしい。 マカフィー氏はアカウントがハックされ、Twitterに通知したとツイートし、偽投稿は既に削除されている。別のツイートではセキュリティのエキスパートであってもTwitterのセキュリティ
インド政府、Windows 10へのアップグレードを格安で提供するようMicrosoftに要請 | スラド セキュリティ
インド政府では旧バージョンのWindowsを主なターゲットにするランサムウェアなどによる攻撃の続発を受け、インドのWindowsユーザー全員にWindows 10へのアップグレードを格安で提供するようMicrosoftに要請しているそうだ(Reutersの記事、 On MSFTの記事、 Softpediaの記事)。 インド政府のサイバーセキュリティーコーディネーターを務めるGulshan Rai氏がReutersに語ったところによると、Microsoftは基本的に合意したという。Rai氏は5月に発生したWannaCryptによる攻撃以降、Microsoftと交渉してきたそうだ。今週はNotPetyaによる攻撃で欧州を中心に大きな被害が発生している。一連の攻撃を受けてMicrosoftはWindows XPなどサポートの終了したOSへのセキュリティ更新プログラムを提供しているが、根本的な問題
英国の交通取締用のカメラがWannaCryに感染、交通違反切符の取り消しを行う事態に | スラド セキュリティ
イギリス・ビクトリア警察当局は6月24日、6月6日以降にスピードカメラの記録を元にして通知された交通違反を取り消すと発表した。原因はスピードカメラにWannaCryウイルスが感染していたこと。280台のカメラのうち55台が感染していたようだ（英Yahoo! News、Slashdot）。 カメラはインターネットには接続されていなかったが、メンテナンス業者がUSBスティックをカメラシステムに接続した結果、感染が起きたとしている この影響で1643枚の違反切符が取り消され、現在システム上で保留中になっている5500枚も取り消される可能性があるという。警察側はカメラが正常であることを確認するまでは違反切符を出さないとしている。ただし280台の固定カメラと赤外線カメラは引き続き稼働を続けており、取り消された違反切符が再発行される可能性もあるとしている。
Windows 10のソースコードが流出、そのサイズは？ | スラド セキュリティ
Windows 10の未公開ビルドやツール、コア部分のソースコードがオンラインに流出したとThe RegisterのChris Williams氏が主張している(The Registerの記事、 The Regisiterのツイート、 The Vergeの記事、 Ars Technicaの記事、 BetaArchiveの声明)。 この件について osdn 曰く、 流出していたのは Shared Source Kit で、ごく一部の開発者にライセンスされているものです。ドライバなど低レベル(つまり高位な権限)で動作する部分のコードも含まれるため、一般には参照できません。データがアップロードされていた BetaArchive からは既に削除されていますが、内部のコードがあればゼロデイ攻撃などが容易になりかねません。実際に2004年の流出は脆弱性の発見に繋がりました。 Williams氏は流出し
パスワード変更不可な米長距離バス会社のWebサービス | スラド セキュリティ
米国の長距離バス会社GreyhoundのWebサイトGreyhound.comでは利用者向けのポイントプログラムを提供しているのだが、登録した会員はパスワードを変更することもできないそうだ(Ars Technicaの記事)。 パスワードの保存に弱いハッシュが使われていた、クレジットカードのセキュリティコードを保存していた、といったWebサイトのバッドプラクティスはたびたび話題になるが、Greyhound.comではパスワードの再発行を依頼すると現在のパスワードがそのまま電子メールで送られてくるという。つまり、パスワードを平文で保存していることになる。また、パスワードは4文字以上(試しにアカウント登録してみたところ1文字でも通ってしまった)であり、パスワード変更機能自体が用意されていないとのこと。 これについてGreyhoundの広報担当者はArs Technicaに対し、指摘された問題は将
WikiLeaksがCIAのハッキング手口を多数公開 | スラド セキュリティ
機密情報暴露サイトWikiLeaksにて、米諜報機関CIAが盗聴や監視などの目的で使っていたハッキングツールやその手口に関する情報が公開され、各所に波紋が広がっている（BBC）。 この情報は「Valut 7」と呼ばれており、公開された情報によるとCIAは様々なハッキングツールを活用していたという。攻撃対象はWindowsやMac OS Xだけでなく、スマートフォンやルーターなどさまざまなものが含まれている。一例として話題になっているのが、SamsungのスマートTV「F8000」シリーズを狙った攻撃だ。攻撃されて悪意のあるプログラムが含まれたスマートTVは、電源をオフにした場合に画面は消えるものの、TV内のプロセッサやマイクなどは活動を続けて音声を録音するという。そして、再びTVの電源がオンになった際にそれらをCIAのサーバーに送信するという。 Androidのゼロデイ脆弱性を使う攻撃では
Cloudflareのバグで別のユーザーのCookieやパスワードが送信される | スラド セキュリティ
CloudflareのHTMLパーサーのバグにより、同社のリバースプロキシを使用するWebサイトにアクセスすると、別のユーザーのCookieや認証トークン、パスワード、APIキーなどを含むデータが送信される状態になっていたそうだ(Cloudflareのブログ記事、 Project Zero — Issue 1139、 The Registerの記事、 The Vergeの記事)。 このバグはバッファー終端のチェックで「>=」ではなく「==」を使用していたため、ポインターがバッファー終端を超えていることを認識できないというものだ。そのため、破損したHTMLタグを含むページを処理するとバッファーオーバーランによるメモリーリークが発生し、別のユーザーのデータが一緒に送信されることになる。バグを発見したGoogleのTavis Ormandy氏は、Heartbleedのようなバグと説明しつつ、「C
SHA-1ハッシュの衝突を現実的な時間で生成する攻撃「Shatterd」 | スラド セキュリティ
オランダ・CWI AmsterdamとGoogleの研究チームは23日、SHA-1ハッシュ値の衝突を現実的な時間で生成する攻撃手法「Shattered (SHAtterd)」を発表した(CWIのニュース記事、 Google Security Blogの記事、 Phoronixの記事、 Ars Technicaの記事、 論文: PDF)。 Shattered攻撃は多数の暗号解析技術を組み合わせたもので、同じSHA-1ハッシュ値を持ち、内容の異なる2つのPDFファイルの生成などが可能だ。高速といっても263回の試行が必要となり、攻撃の第1フェーズは6,500 CPUで1年間、第2フェーズは110 GPUで1年間を要する。それでもブルートフォース攻撃と比較すると10万倍以上高速だという。shatterd.ioではPoCとして、同じSHA-1ハッシュ値で内容の異なる2つのPDFファイル (PDF
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
NSA、Windowsのクラッシュレポートも傍受していた？ | スラド セキュリティ
テレビを乗っ取り身代金を要求するランサムウェアが登場 | スラド セキュリティ