「Winnyのセキュリティ・ホールは危険」，発見者が警告
米eEye Digital Security（以下，eEye）は現地時間4月21日，ファイル共有ソフト「Winny（ウィニー）」に見つかったセキュリティ・ホールの概要を公表した。同社によると，細工が施されたデータを送信されるだけで悪質なプログラム（ウイルスやボットなど）を実行される恐れがある，危険なセキュリティ・ホールであるという。 Winnyにバッファ・オーバーフローのセキュリティ・ホールが見つかったことは，JVN（Japan Vendor Status Notes）や情報処理推進機構（IPA）から4月21日に発表されている（関連記事）。だたしJVNの情報では，「Winnyが異常終了する可能性がある」としているものの，任意のプログラムが実行される危険性については明記していない（4月22日8時現在）。IPAでも「一般的に，バッファ・オーバーフローの脆弱性は，任意の命令を実行される可能性があ
ぜい弱性情報の売買が増加--シマンテックの脅威レポート
シマンテックは3月15日、2005年7月1日から12月31日までのインターネット上における脅威データの動向をまとめた「インターネットセキュリティ脅威レポート Vol.9」に関する説明会を開催した。その中で、同社コンサルティングサービス部 ディレクターの山内正氏は、「2002年ごろから、ぜい弱性情報を売買するブラックマーケットが形成されつつある」と述べた。 ぜい弱性情報の売買とは、ぜい弱性を見つけた者が、情報をすぐにオープンにせず、第三者やベンダーなどに売るといった行為だ。どのような方法で取り引きが行われているのか詳細はわからないとしながらも、「このような売買が確実に増えている」と山内氏は言う。 同社の調査によると、今回の調査期間中に売買されたぜい弱性情報は54種で、前回の調査時の68種より減少したものの、「取引金額などの市場規模は確実に大きくなっている」としている。 こうした市場取引が行わ
iPodで情報漏洩--「ポッドスラーピング」の脅威に警鐘
米国のあるセキュリティ専門家が、業務上非常に重要なデータを数分でiPodに格納できるアプリケーションを考案したが、この人物が企業各社に対して、データ盗難の脅威に対策を講じるよう呼びかけている。 セキュリティ業界で10年のキャリアを持つAbe Usherがつくり出したこのアプリケーションは、iPodの上で動作し、企業ネットワークを検索して非常に重要なデータが含まれる可能性の高いファイルを探し出せるという。このアプリケーションを使えば、2分間に約100Mバイトというスピードで、ファイルをスキャンし、それをiPodにダウンロードすることが可能だ。 この「ポッドスラーピング（"pod slurping"）」という手口で、だれかがデータを盗んでいても、一見したところでは自分の席に座ってiPodで音楽を聴いているようにしか見えない。キーボードを使う必要もなく、動作中のマシンのUSBポートに接続するだけ
Javaのセキュリティ・ホールを突くWebサイトが出現，悪質なプログラムを実行される
米US-CERTは現地時間1月12日，米Sun MicrosystemsのJava実行環境「Java Runtime Environment（JRE）」のセキュリティ・ホールを悪用するWebサイトが確認されたとして注意を呼びかけた。それらのサイトへアクセスすると，悪質なプログラムを勝手に実行される恐れがある。US-CERTでは，「セキュリティ・ホールを修正したバージョンにアップグレードする」「ブラウザのJava機能を無効にする」といった対策を施すよう強く勧めている。 今回悪用されているセキュリティ・ホールは，11月末に明らかにされたもの（関連記事）。JREの「Reflection API」に関するセキュリティ・ホールである。悪用されると，Javaのセキュリティ機構（サンドボックス）を回避される。具体的には，細工を施したWebサイトにアクセスするだけで，パソコン中のファイルを読み書きされたり
Ajaxに潜むセキュリティとパフォーマンスリスク
Webを動的でリッチなものへと変化させるAjax。その魅力の裏に実は、セキュリティ問題が潜んでいるという。その指摘とは？ Webサービスとサービス指向アーキテクチャを対象としたセキュリティソフトウェアのプロバイダーであるForum Systemsは1月30日、Ajaxに関連したセキュリティ上の脅威とパフォーマンス問題について警告を発した。 Ajax（Asynchronous JavaScript and XML）は、応答性に優れたインタラクティブなWebサービスを可能にする。しかしForumによると、リクエストとレスポンスのペイロードのコンテンツタイプとしてXMLを使用しているため、アプリケーションがWebサービスの脆弱性に影響される恐れがあるという。 ユタ州サンディに本社を置くForum Systemsによると、Ajaxはネットワーク上で送信されるXMLトラフィック量を飛躍的に増加させ、
IE 7ベータ版に多数のバグ--ユーザーからの報告続出
Internet Explorer 7（IE 7）の最新プレビュー版が公開された直後から、同ブラウザのバグを見つけたという報告が相次いでいる。 MicrosoftがIE 7のテスト版バージョンを公開してからわずか1日しか経過していないが、インターネットのニュースグループやブログには、同ブラウザのバグに関する報告が続々と出始めている。また、あるセキュリティ研究者は、同ブラウザにセキュリティの脆弱性が見つかったと主張している。 複数の報告があるのは、McAfee製セキュリティソフトウェアとの互換性の問題や、不特定のスパイウェア／ウイルス対策ツールに起因する同ブラウザのインストール問題など。また、特定の機能を利用したり、特定のウェブサイトをブラウズしたところ、IE 7がハングもしくはクラッシュしたとの報告もある。 Microsoftは米国時間1月31日に、IE 7ベータ2のプレビューバージョンを
「Windows Meta File」に脆弱性--画像表示で攻撃を受ける可能性
セキュリティ専門家らは米国時間3日、Microsoftの「Windows Meta File（WMF）」で先週発見された脆弱性が、すでに多数の攻撃を引き起こしていると警告した。 専門家によると、攻撃の形態は多岐にわたっており、「MSN Messenger」ワームや、悪質なウェブサイトへユーザーを誘導しようとするスパムなどがあるという。 この脆弱性は、SP（Service Pack）1および2を適用した「Windows XP」や「Windows Server 2003」で悪用が容易になっていると、専門家は述べている。F-Secureの最高研究責任者（CRO）Mikko Hypponenによると、「Windows 2000」や「Windows ME」などの古いバージョンのオペレーティングシステム（OS）では、影響が及ぶおそれがあるものの、脆弱性の悪用は比較的難しいという。 「状況は現在でもよく
Windowsの脆弱性をめぐって異例の事態に--専門家が非公式パッチを推奨
セキュリティ専門家らが企業に対し、WindowsのMeta File（WMF）に存在する脆弱性対策として、非公式のパッチを利用するように呼びかけている。 Microsoftからはこの問題を修正する正式なパッチがまだ出ていないことから、ウイルス対策ベンダーのF-Secureと、セキュリティ関連のボランティア組織であるInternet Storm Centerはそれぞれ、企業に対して非公式なパッチを利用するように米国時間3日に促した。 WMFの欠陥が悪用されると、悪質なスパムやMSN Messengerを通じて感染するワームなど、さまざまな攻撃を受けることになる。だが、Microsoftは自前のパッチを10日まで出す予定がないにもかかわらず、サードパーティー製のパッチは使用しないようにとしている。 セキュリティ専門家の話では、WMFの脆弱性は、Windows XP Service Pack 1
MS、月例パッチでWMF脆弱性に対応へ--専門家は進展の遅さに懸念を表明
Windowsの深刻な脆弱性を悪用した攻撃が増加している。しかし、Microsoftは、来週まで修正パッチをリリースする計画はないと述べている。 セキュリティ専門家らは、これに対し、来週のパッチリリースでは遅いと述べている。問題の脆弱性は、同社製オペレーティングシステムにおけるWindows Meta File（WMF）イメージのレンダリング処理に存在するもので、これが悪用されると、ユーザーPCは悪質な画像を含んだウェブページを開いただけでマルウェアに感染してしまう。個人や企業のユーザーは同脆弱性が修正されるまで、深刻なリスクに直面することになると、専門家らは述べる。 セキュリティベンダーComputer Associates Internationalでバイスプレジデントを務めるSam Curryは「ハッカーの間で、この脆弱性は広く知られるようになってきている。また、この脆弱性は簡単に悪
【レポート】Black Hat Japan 2005 - Unicode制御文字によるDirectory Traversal攻撃 (1) 文字コードでフォレンジックに関係しそうな領域はそれほど広くないはずだが…… - 伊原氏 (MYCOM PC WEB)
BlackHat Japan Briefings(以下BlackHat)では、セキュリティ関連の様々な話題に関するセッションが開かれたが、中には「よくもまあこんな方法を考えた」というようなものも数多い。本稿ではそんなセッションの中からいくつかをピックアップしてご紹介する。 見えない文字の混入によるフォレンジック回避策 最初にご紹介するのは、ネットエージェントの伊原秀明氏による「国内のフォレンジック」。一般に英語圏では文字コードというとほとんどASCIIコードのみを意識していればいいのに対し、日本語ではJIS(ISO-2022-JP)やEUC-JP、シフトJISなど多様な文字コードを意識しなければならない上、最近ではUnicodeに対応したソフトもかなり増えてきており、それを利用してフォレンジックを回避するような方法も開発されてきているという。そこで伊原氏はそれらのフォレンジック回避手法と、
セキュリティの大御所が集まり、代替暗号法を話し合う - SourceForge.JP Magazine
今週、ワシントンDCで開かれた暗号ハッシュワークショップでは、暗号分野の巨人たちが一堂に会し、崩壊寸前のハッシュアルゴリズムをどうすべきか話し合った。オンラインバンキングとデジタル署名システムを保護するアルゴリズムの安全性がいまや崩壊しつつある。なのに、この問題にどう対処したらよいか、いまだ誰も明快な答えを打ち出せずにいる。 ワークショップは、中国山東大学の王小云（Wang Xiaoyun）博士の発表から始まった。王博士の研究チームがMD5ハッシュアルゴリズムにコリジョンを発見し、それをきっかけとしてさまざまなクラッキング法が続々と登場してきたのは周知のことである。ハッシュアルゴリズムの本格的セキュリティ実装など、いまやお笑い種になったと言ってよい。今年前半、王チームがSHA1の弱点を発見し、それによって保護レベルが2^80から2^63に低下したと発表したとき、暗号界は上を下への大騒動にな
ソニーBMG、「rootkit」CDのリコール発表--別のセキュリティ問題も発覚 - CNET Japan
ソニーBMG（以下、ソニー）は米国時間15日、数百万枚のCDをリコールすることを明らかにした。これらのCDをPCで再生すると、そのコンピュータに深刻なセキュリティリスクが生じる可能性がある。 ソニーによると、Van ZantやNeil Diamondの最新アルバムをはじめとする18以上のタイトルについて、同社は販売済みCDの交換に応じるという。同社はまた、CD交換プログラムの詳細を「まもなく」公表することも明らかにした。 ソニーが明らかにしたところによると、同社は「XCP」と呼ばれるコピー防止技術を組み込んだCDを過去8カ月間に470万枚以上出荷しており、そのうちの210万枚以上が販売済みだという。 同社は「XCPコンテンツ保護ソフトウェアが組み込まれたCDに対する消費者のみなさまのご心配は十分理解しています。消費者のみなさまには、対策として交換プログラムをご用意し、同ソフトウェアが組み込
アップルの「iTunes」に深刻な脆弱性--マシン乗っ取りのおそれ
[2005/11/20 15時35分 修正] Appleの音楽管理ソフト「iTunes」の一部のバージョンに深刻な脆弱性が見つかった。この脆弱性を悪用し、攻撃者がユーザーのコンピュータをリモートから乗っ取る可能性があると、あるセキュリティ調査会社が米国時間17日に注意を呼びかけた。 Appleは先ごろ「iTunes 6 for Windows」用のセキュリティアップデートを公開していたが、今回の脆弱性はそのわずか数日後に見つかったことになる。 この脆弱性は、iTunes for Windowsの以前のバージョンに存在していたもので、最新のセキュリティアップデートでは修正されていなかった、とセキュリティ対策企業のeEye Digital Securityは警告のなかで述べている。 同社は当初、このiTunesの脆弱性が「すべてのオペレーティングシステム」に影響をあたえるとする告知をウェブサイ
IEの脆弱性を悪用するエクスプロイトコード--リモート攻撃のおそれ
Internet Explorer（IE）で新たに見つかった脆弱性を悪用するエクスプロイトコードが登場した。このエクスプロイトコードが使われると、システムがリモートからの攻撃を受ける可能性があるとして、複数のセキュリティ専門家が米国時間21日に注意を呼びかけた。 セキュリティ調査会社のSecuniaは、21日に明らかになったエクスプロイトコードについて、Windows XP Service Pack 2（SP2）上で動作するIE 5.5およびIE 6、ならびにWindows 2000 SP4で動作するIE 6の各バージョンに存在する「極めて重大な」脆弱性を狙うものだと、勧告のなかで述べている。 このエクスプロイトコードは、PCユーザーがだまされて悪質なウェブサイトにアクセスするだけで、何の操作をしなくても、自動的に起動されるおそれがある。 SecuniaのCTO（最高技術責任者）Thoma
パッチ未公開のIE脆弱性を突くマルウェアが出現--MSが警告
Microsoftは米国時間11月29日、ウェブブラウザ「Internet Explorer（IE）」に存在する脆弱性を突くマルウェアが出現したと、警告を発した。なお、この脆弱性を修正するパッチは公開されていない。 Microsoftによると、IEに存在するセキュリティ脆弱性を突き、PCにトロイの木馬をダウンロードする悪質なソフトウェアが、インターネット上に見つかったという。この「TrojanDownloader:Win32/Delf.DH」を検知／削除する機能は、同社が先頃発表したオンラインスキャンサービス「Windows Live Safety Center」に組み込まれている。 Microsoftはこの件について、セキュリティ勧告を公開し、「Windows Live Safety Centerにアクセスし、『Complete Scan』オプションを使用して、この悪質なソフトウェアおよ
IEにまた脆弱性報告、Google Desktopの情報が盗まれる恐れ
IEの脆弱性が原因で、攻撃者がGoogle DesktopユーザーのHDDをスキャンして重要な情報を盗み出すことができてしまうとイスラエルのハッカーが指摘した。（IDG） MicrosoftのInternet Explorer（IE）でフィッシングの手口を使い、Google DesktopユーザーのHDDをスキャンすることができてしまうと、イスラエルのハッカーが指摘した。IEがWebページを処理する方法に脆弱性が存在するため、悪質なWebサイトを攻撃に使ってこのサイトを訪れたユーザーのクレジットカード番号やパスワードといった重要情報を盗むことが可能だという。 「IEを使っているGoogle Desktopユーザーは現在、完全な無防備状態にある」。ハッカーのマタン・ギロン氏は電子メールの取材に応えてこう語った。「経験を積んだ攻撃者なら、ユーザーのHDDからパスワードやクレジットカード番号など
ITmedia エンタープライズ：Perlに脆弱性？ 懸念高まる
Dyad Securityは、オープンソースのスクリプト言語「Perl」に深刻な脆弱性が存在する可能性があるとするアドバイザリを公開した。（IDG） Dyad Securityは11月30日、オープンソースのスクリプト言語「Perl」に深刻な脆弱性が存在する可能性があるとするアドバイザリを投稿した。一方で複数のセキュリティ専門家は、この脆弱性の存在に疑問を投げかけている。 Dyadの警告によると、この脆弱性を悪用されるとDoS攻撃が引き起こされる恐れがある。Dyadはさらに、攻撃者にサーバへのアクセスを可能にし、悪意あるアプリケーションを立ち上げることも可能だとしている。 複数の他のセキュリティ企業の研究者がこの脆弱性についてテストを行ったが、確認できたのはDoS攻撃の可能性だけだった。 SecuniaのCTOを務めるトーマス・クリステンセン氏と彼のチームは、さまざまなバージョンのPerl
RSSを占拠するポッドキャスト・ハイジャッカー
初期のころのインターネットを思わせる攻撃だ。ポッドキャスターのエリック・マーカス氏は最近、自分のRSSフィードがどういうわけかリダイレクトされていたことに気付いた。 同氏によると、サイバースクワッターは全面的に協力してこの状況に対処するのでなく、金を払うか恒久的な契約を結ぶよう要求しているという。同氏は、この新しい形のゆすりに対して法的手段を模索している。 同氏はVegan.comというWebサイトを公開し、「Erik's Diner」というポッドキャストを配信している。 この1年、マーカス氏は番組当たり100人から最大1500人のリスナーを獲得した。同氏はここ数週間の間に、Yahoo!がpodcasts.yahoo.comのβ版に同氏の番組のページを作ったことに気付いた。 しかしそのページには、Vegan.comではなく、Podkeyword.comというサイトへのRSSフィードが置いて
RealPlayerに深刻な脆弱性報告
eEyeのアドバイザリーによれば、RealPlayerに深刻な脆弱性が存在し、ユーザーがログインした状態で任意のコードを実行される恐れがある。 セキュリティ企業のeEye Digital Securityは、RealNetworksのメディア再生ソフトRealPlayerに深刻な脆弱性が発見されたとして、概要を公開した。 脆弱性は11月16日と30日に報告された2件。いずれもリモートから悪用でき、ユーザーがログインした状態で任意のコードを実行される恐れがあるという。OSはWindowsが影響を受ける。 eEyeではこのほか、AppleのQuickTimeとiTunesについても危険度「高」の脆弱性を報告している。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Malware Knocks Virtual World Offline | Netcraft