2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるliblzma(API)を含むXZ Utils。CVE-2024-3094が採番されており、Red Hatによって評価されたCVSS基本値はフルスコアの10。影響を受けたライブラリをリンクしているssh

Red HatやDebianを含むLinuxディストリビューションで広く使用されている圧縮ツール「xz」の最新版に悪意のあるバックドアが含まれていた事がわかりました(Ars Technica)。 発見した開発者のAndres Freund氏は、xz version 5.6.0と5.6.1に悪意のあるコードが含まれていることが分かったと指摘しています。幸い、このバージョンは主要なLinuxディストリビューションの製品リリースでは使用されていませんが、Fedora 40やFedora Rawhide、Debian testing/unstable/experimentalなどのベータ版リリースには含まれていたそうです。 macOSのHomebrewでは、複数のアプリがxz 5.6.1に依存している事が判明し、現在xz 5.4.6へのロールバックが行われています。 悪意のある変更は難読化され、バ

データを暗号化して金銭を要求するランサムウエア（身代金要求型ウイルス）の一種に対し、警察庁が新たな対抗策に乗り出した。ウイルスの暗号を強制解除し、国内企業3社でデータの復元に成功。従来の予防と摘発で被害の拡大を防げないなか、身代金支払いの未然防止につなげた。日本のサイバー当局の技術力の高さを示したといえ、欧州の複数の捜査当局とも連携し、国際的な包囲網の形成を急ぐ。ランサムウエアの対抗策は従来、

2022年2月に開催される北京オリンピックで、参加者全員に対してインストールが義務づけられている健康管理アプリ「MY2022」に、機密情報へのハッキングが容易に可能になるようなセキュリティー上の欠陥があることが、カナダのセキュリティ研究者の分析により判明しました。MY2022には、暗号化の不具合だけでなく政治的なキーワードの検閲に関連するデータも搭載されていたとのことです。 Cross-country Exposure: Analysis of the MY2022 Olympics app - The Citizen Lab https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/ China's app for Olympic athletes has security flaw

米Facebookは3月21日（現地時間）、Facebook、Instagram、Facebook Liteの数億人分のパスワードが可読な状態で社内に保存されていることに1月に気づき、修正したと発表した。該当するユーザーには予防策として、これから通知するとしている。 Facebookがこれを発表したのは、米セキュリティ情報サイトKrebs on SecurityがFacebookの匿名の幹部からの情報として2億～6億人のパスワードが既読状態で保存されていたことを報じた直後だった。 Krebs on Securityによると、パスワードのプレーンテキストでの保存は2012年から始まっており、2万人以上の従業員が検索できたという。アクセスログでは約2000人がプレーンテキストのパスワードを含むデータに、約900万回のクエリを実行していた。 FacebookはKrebsに対し、1月にセキュリティ

モデルの押切もえさんなど芸能人の女性ら４人のスマートフォンに不正にアクセスし、メールなどをのぞき見したとして、警視庁は３０日、日本経済新聞社のデジタル部門に所属する寺井淳容疑者（２９）＝東京都多摩市聖ケ丘１丁目＝を私電磁的記録不正作出・同供用と不正アクセス禁止法違反の疑いで逮捕し、発表した。「パスワードを突破できることに喜びを感じた」と容疑を認めているという。 サイバー犯罪対策課によると、逮捕容疑は２０１４年１２月、押切もえさんのスマートフォンについて、メールを設定するサイトに不正アクセスし、パスワードを勝手に変更。データ共有サービス「ｉＣｌｏｕｄ」（アイクラウド）やメールなどを勝手に見たというもの。また１５年１０月～今年４月、元ＮＭＢ４８の渡辺美優紀さんら３人のｉＣｌｏｕｄものぞき見した疑いがある。 押切さんのスマートフォンはソフトバンクと契約しているもので、メールの設定には「Ｍｙ　Ｓｏ

2016年8月22日頃から、日本の複数サイトで接続し難い、あるいは出来ないといった事象が確認されています。ここでは関連情報をまとめます。 サーバー(Webサイト)への接続等で障害発生しているサービス、サイト 各サイトのTwitter等での発表をまとめると次の通り。 障害発生元 発生原因(運営元発表抜粋) さくらインターネット DoS攻撃、あるいは攻撃と思われる 技術評論社 サーバへのDoS攻撃が検知されたことを受け，サービスが提供できない状態 スラド DDoS攻撃の影響 はてな さくらインターネットDNSサーバー障害に起因 したらば掲示板 ネットワーク障害 ふたば★ちゃんねる サーバ会社よりDoS攻撃との報告 小説家になろう 上位回線の管理会社よりDos攻撃を受けているとの連絡 OSDN DDoS 攻撃の影響 Feeder 全サーバがDDoS攻撃を受けており、サービスをご提供できない状態

By Ian Lamont クラウドストレージサービスのDropboxが、なんと6800万件分ものアカウント情報をハッカーに盗まれていたことが明らかになりました。 Hackers Stole Account Details for Over 60 Million Dropbox Users | Motherboard http://motherboard.vice.com/read/hackers-stole-over-60-million-dropbox-accounts Dropbox hackers stole e-mail addresses, hashed passwords from 68M accounts | Ars Technica UK http://arstechnica.co.uk/security/2016/08/dropbox-hackers-stole-ema

中国のバイドゥ（百度）が提供するAndroid用アプリに重大なセキュリティ上の問題が発覚。その影響範囲の広さから衝撃が走っている。この問題への対処は可能だが、感染経路などを考えると、今後の影響は広範囲に及ぶ可能性がある。 問題が見つかったのはバイドゥが提供しているAndroidアプリ開発キット（アプリ開発を容易にする部品集）の「Moplus」だ。Moplusは、特に中国で開発されているAndroid用アプリに多数採用されている。影響範囲が広い理由の一つは、開発キット自身がセキュリティ問題を抱えているため、それを使って作成されたアプリにも同様の問題が存在している可能性を否定できないためだ。 バイドゥには前科 バイドゥがセキュリティ問題を引き起こしたのは今回が初めてではない。日本語かな漢字変換ソフト「BaiduIME」に、入力した文字列をバイドゥのサーバーにアップロードする機能が備わっているこ

弊社ホームページにおいて、2014年12月6日11時～14時のあいだ、第三者からの不正アクセスによりサイトが改ざんされていた事が判明いたしました。ご利用頂いておりますユーザの皆さまにおかれましてはご迷惑をお掛けいたしまして、深くお詫び申し上げます。 なお、現在は被害を受けたサーバは復旧作業を実施済みです。ご利用ユーザーの皆さまの個人情報流出等は、現在のところ確認されておりません。 被害対象サイト／コンテンツ URL：http://gihyo.jp 改ざん内容とその影響 サーバの中身を入れ替えられ、外部のサイトにリダイレクトされるように設定されていた。 リダイレクトされていたサイト（アクセスしないようご注意ください⁠）⁠ www.koushin-lawfirm.net live.livelistingreport.com 現在把握している改ざんされていた可能性がある期間 2014年12月6日

2014年12月5日11時頃から、技術評論社のWebサイトを閲覧すると別のサイトに転送される事象が発生しました。ここではその関連情報をまとめます。 公式発表 12/6 サーバ障害のお詫び 12/8 弊社ホームページ改ざんに関するお詫びとご報告 技術評論社Twitterアカウントのアナウンス（一部） 【本日11時ころより発生してる状況について】本日11時ころ，サーバ管理ツールに侵入されサーバそのものを入れ替えることにより，外部サイトにリダイレクトされるように設定されました。危険なサイトである可能性があるため，現状アクセスしないでください。— gihyo.jp (@gihyojp) 2014, 12月 6 サーバOSそのものへの侵入ではなく，OSの入れ替えが行われたため，情報漏洩等は確認されておりません。詳細は後日改めてご報告いたします。 ご報告が遅れておりますことをお詫びいたします。— gi

中国の利用者向けの「中継サーバー」がインターネットの不正接続に悪用された事件で、警視庁に摘発されたサーバー運営会社２社が使用した他人名義のＩＤやパスワードの大半が、パソコン周辺機器メーカー大手の無線ルーターから流出したものだったことが、同庁幹部への取材でわかった。 同庁と京都、鹿児島など１９道府県警の合同捜査本部は１９日、サーバー運営会社の中国人ら１１人を不正アクセス禁止法違反容疑などで逮捕したと発表。ＩＤなどの入手経路を追及する。 警視庁はこのうち、中継サーバー運営会社の「大光」（東京都台東区）、「ＳＵＮテクノ」（豊島区）の２社の関係先１２か所を捜索。大光社長の張徳育容疑者（３０）（北区）ら男６人を、いずれも不正アクセス禁止法違反容疑で逮捕した。６人は「わかりません」などと容疑を否認している。 警視庁幹部によると、２社は大手プロバイダー（ネット接続業者）のサーバーに接続するため、約１５０

CCC MK HOLDINGSは「個人のライフスタイル」と、それを取り巻く「社会」をつなぎ、テクノロジーとアイデアで価値ある「情報」を社会に届けるグループです。

Finbourne, founded out of London’s financial center, has built a platform to help financial companies organize and use more of their data in AI and other models. Even as quick commerce startups are retreating, consolidating or shutting down in many parts of the world, the model is showing encouraging signs in India. Consumers in urban cities are embracing the convenience of having groceries delive

Welcome back to TechCrunch’s Week in Review — TechCrunch’s newsletter recapping the week’s biggest news. Want it in your inbox every Saturday? Sign up here. Over the past eight years,…

ミクシィは2月28日、同社が運営するSNS「mixi」において、外部からの不正ログインが行われたことを公表した。 不正ログインが確認されたのは同日の2時45分から14時まで。件数は28日17時時点で1万6972件。内容は身に覚えのないつぶやき（mixiボイス）の投稿としている。 同社では、不正なつぶやきの削除するとともに、不正ログインの対象となるユーザーへパスワード変更の依頼、不正利用者のアクセス制限の実施するなどの対策を行うとともに、mixiの全ユーザーに対して注意喚起を行ったとしている。 今回の不正ログインについて、同社ではサーバーアクセスによるユーザーアカウント情報の流出ではなく、他社サービスから流出または不正取得されたアカウント情報を流用の可能性が高いとの見解を示している。