Google Chromeに早くも複数の脆弱性
Google Chromeに悪質ファイルをダウンロードしてしまう脆弱性や、すべてのタブがクラッシュしてしまう脆弱性が見つかった。 米Googleがβ版をリリースしたばかりの新ブラウザ「Google Chrome」に、早くも脆弱性の報告が相次いでいる。US-CERTは9月3日、Google Chromeはデフォルトで、ユーザーに警告することなくファイルをダウンロードしてしまう脆弱性があると報告。また、すべてのタブがクラッシュしてしまう別の脆弱性も見つかっている。 US-CERTによると、Google Chromeではダウンロードしたファイルをワンクリックで開くことができるため、ユーザーがうっかり悪質なファイルを開いてしまう恐れがある。この脆弱性を発見したセキュリティ研究者のアビブ・ラフ氏によれば、原因はGoogle Chromeが古いバージョンのWebKit 525.13を使っていることにあ
Twitterにセキュリティ懸念--トロイの木馬へのリンクや、自動追跡の脆弱性
「Twitter」の時代がついにやってきた。 かつてはWeb 2.0世代のデジタルエリートの遊び場だったマイクロブログサービスのTwitterは、今やオンライン犯罪の標的になるほど主流になっている。 Kaspersky Labは、一般ユーザーのコンピュータに感染することを唯一の目的として作成された、偽のTwitterプロフィールを発見した。 Kaspersky Labのブログ「Viruslist.com」によると、「かわいいウサギ」を意味するポルトガル語の偽名で作成されたこのプロフィールは、ポルノビデオを思わせるリンクを掲載しているが、このリンク先の正体は、MP3ファイルを装ってマシンからデータを盗むトロイの木馬ソフトウェアだという。 「リンクをクリックすると、ビデオを視聴するのに必要であるとして、『新バージョンのAdobe Flash』と称するものの自動ダウンロードの進捗を示すウィンドウ
Gmailアドレスから氏名を明らかに、スパムへ悪用の恐れも
Googleアカウントを利用して、他人のGmailアドレスからそのユーザーの氏名を割り出せてしまう方法があることが分かり、セキュリティ専門家がSecuriteamのブログで紹介した。 それによると、自分のGoogleアカウントでカレンダーの共有機能を使い、他人のGmailアドレスを入力すると、そのアドレスの持ち主が登録している氏名が表示される。 Securiteamブログでは、GmailシステムがGoogleカレンダーなどのサービスと密接に結び付いていることに起因する「脆弱性」としてこの問題を紹介。このやり方で、「admin@gmail.com」のアドレスの持ち主の氏名を表示させたスクリーンショットを公開している。 この「機能」を利用すれば、スパム送信者がGmailユーザーの氏名を割り出し、名指しでスパムメールを送ってくる可能性もあるとブログでは指摘している。 過去のセキュリティニュース一
実はぜい弱なVoIP/SIPシステム
2002年頃から本格的に広がり始めたIP電話サービスは，2008年3月末時点の統計では0AB～J番号と050番号のサービスを併せて1700万加入を越えた。IP電話の普及と並行して，使われるようになったのが呼制御プロトコルのSIP（session inititation protocol）である。企業内のIP電話でもSIPは活用されており，今やメジャーなサービス基盤になっている。 VoIPの普及によって，懸念されるのがセキュリティ・リスクである。実際，ここ数年で次のような動きが出始めている。 ・2005年2月にVoIPセキュリティに関する業界団体（VoIPSA）が設立。 ・2007年12月に情報処理推進機構（IPA）が「SIPに係る既知のぜい弱性に関する調査報告書」をまとめる。 ・2008年1月に総務省の情報通信審議会が，「ネットワークのIP化に対応した安全・信頼性基準」を答申。この中で情報
DNS脆弱性の修正パッチ、複数ベンダーから同時リリース
セキュリティ研究者が、Domain Name System（DNS）に存在する重大な脆弱性を明らかにしていた。DNSはインターネット上で使用されるホスト名とIPアドレスを対応させるためのシステム。 IO Activeの侵入テストサービス担当ディレクターであるDan Kaminsky氏は、2008年に入ってからこの脆弱性を発見した。Kaminsky氏は、一部の研究者のように脆弱性の情報を売るのではなく、まず影響を受ける企業や団体を集めて、その脆弱性について議論することにした。 Kaminsky氏は、詳細が明らかになってしまうとの理由で同脆弱性の名前は伏せた。 Kaminsky氏は、16人の研究者が3月31日にMicrosoftに集まり、彼らが現在の状況を把握しているか否か、どのような修正であれば世界中のなるべく多くの人々に影響を与えられるか、そしてこの修正をいつ発表するかを確認したと語った。
Adobe AcrobatおよびAdobe Readerに任意のコードが実行される脆弱性
有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）は6月24日、Adobe Systemsが提供するPDFファイル作成変換ソフトウェア「Adobe Acrobat」およびPDFファイル閲覧ソフトウェア「Adobe Reader」に脆弱性が発見されたと発表した。 具体的には、PDFドキュメント中のJavascriptの処理に脆弱性が存在する。この脆弱性を悪用して細工されたPDFファイルを開くと、ソフトウェアが不正終了したり、任意のコードが実行されたりする可能性がある。 Adobeでは、この脆弱性を狙った攻撃をすでに確認しているという。この脆弱性が存在するのは、Adobe ReaderおよびAdobe Acrobat Professional、3D、Standardの8.0から8.1.2、7.0.9およびそれ以前のバージョン。なお、Adobe Reader 7.1.0
Adobe Acrobatに新たな脆弱性、手動での更新を〜JPCERT/CCが注意喚起 | RBB TODAY
有限責任中間法人JPCERT コーディネーションセンター（JPCERT/CC）は24日に、「Adobe Acrobat および Adobe Reader の脆弱性に関する注意喚起」と題する文章を公表した。 それによると、PDFファイルの作成・変換ソフト「Adobe Acrobat」および閲覧ソフト「Adobe Reader」にドキュメント中のJavascriptの処理に関する脆弱性が存在するとのこと。遠隔の第三者が細工したPDFファイル等をユーザに開かせることで、Adobe AcrobatやAdobe Readerを不正終了させたり、任意のコードを実行させたりする可能性があるという。 Adobeによると、すでに本脆弱性を狙った攻撃が確認されているとのことだが、現在、Adobe Readerのソフトウェア自動更新機能を使っても、対策済みソフトは適用されないため、ユーザが手動でアップデートソフ
「Mac OS X 10.4/10.5」を乗っ取るトロイの木馬が出現，セキュリティ・ベンダーの警告
Macintosh向けセキュリティ製品を手がける米SecureMacと米Integoはそれぞれ米国時間2008年6月20日，Mac OS Xに感染するトロイの木馬が出回っていると警告した。SecureMacは「AppleScript.THT」，Integoは「OSX.Trojan.PokerStealer」と命名し，注意を呼びかけている。 SecureMacによると，このトロイの木馬は最近見つかった「Apple Remote Desktop Agent」に存在するセキュリティ・ホールを悪用してMac OS X 10.4/10.5に感染し，管理者権限で作動するという。Macintoshを遠隔操作されたり，パスワードを盗まれたりする恐れがある。 Mac OS X用スクリプト言語AppleScriptで記述されたコンパイル済みファイル「ASthtv05」（ファイル・サイズは60Kバイト）またはア
「Firefox 3」、正式リリース後5時間で初の脆弱性が見つかる
米国時間6月17日に正式リリースされた「Firefox 3」だが、それから24時間も経たないうちに脆弱性が発見された。 Tipping Pointの「Zero Day Initiative」によると、今回発見された脆弱性は危険度が高く、正式リリース後5時間以内に報告されたという。 「この脆弱性はTippingPointのDVLabsで確認され、研究者から情報を入手した時点で、直ちにMozillaのセキュリティ担当チームに報告された」と、関係者は述べている。 ベンダーが対策を取るまでZero Day Initiativeチームは脆弱性の詳細を明らかにしない。だが、ブログへの投稿によると、今回の脆弱性は「Firefox 2」にも影響し、ユーザーの操作を必要とするもので、悪用されると攻撃者に任意のコードを実行される恐れがあるという。 Mozillaは現在、修正版の作成に取り組んでいると報じられて
「Firefox 3」、正式リリース後5時間で初の脆弱性が見つかる - builder by ZDNet Japan
特集：セキュリティトレンド-秋- つながる世界で問われる対応 サプライチェーンセキュリティを考える サーバースペシャリストへの道 PCサポートとサーバ管理の共通項 ひとり情シスのためのスキル向上のコツ オラクルスペシャリストが語る！ 多くの企業で利用されるオラクルDBの課題 アセスメントの重要性とコスト最適化 デジタル時代のITインフラ構築術 仮想化統合、クラウドを経て今「マルチ」へ ITインフラの最適化と継続的進化への道筋 高まるゼロトラストの気運 妥協のない安全のために適材適所で組合せ トップ4社によるゼロトラストセキュリティ 身近な改善の第一歩！ ニューノーマルな働き方を前提にした これからの時代のWi-Fi環境構築のポイント さあ、その想いをカタチにしよう。 Google Cloud が企業の未来に向けた生産性 向上とコラボレーション実現のヒントを解説 アプリケーションモダナイズ
Firefox 3に早くもゼロデイの脆弱性、任意のコード実行の恐れ
リリースされたばかりのMozillaブラウザの最新版Firefox 3に、早くも深刻な脆弱性が見つかった。 TippingPointは6月17日付で、Firefoxのゼロデイの脆弱性に関するアドバイザリー予告をサイトに掲載した。深刻度は「高」となっている。パッチ公開まで脆弱性の詳しい内容は公開しない方針。 TippingPointはFirefox 3.0の正式リリースから約5時間後に、この脆弱性に関する情報を研究者から入手し、確認したという。 脆弱性はFirefox 3.0と2.0.xに存在する。悪用された場合、ユーザーがメールに記載されたリンクをクリックしたり、悪質なWebページを閲覧したりすると、攻撃者が任意のコードを実行できるようになる。 Mozillaには既に通報済みで、現在対応に当たっているという。 過去のセキュリティニュース一覧はこちら
OpenOffice.orgに深刻な脆弱性、アップデートで対処
オープンソースのオフィスソフト「OpenOffice.org」に深刻な脆弱性が見つかり、修正のためのアップデートが公開された。 OpenOffice.orgやセキュリティ企業Secuniaのアラートによると、脆弱性はカスタムメモリ機能（rtl_allocateMemory()）に存在し、ヒープオーバーフロー誘発につながる可能性がある。 悪用されるとリモートの攻撃者が細工を施したOpenOffice.org文書をユーザーに開かせ、システム上で任意のコマンドを実行できてしまう恐れがある。この問題を実際に悪用したエクスプロイトは現時点では報告されていないという。 影響を受けるのはOpenOffice.org 2.0～2.4。バージョン2.4.1で問題が修正された。 過去のセキュリティニュース一覧はこちら
IPA、X.Org製サーバについてセキュリティ上の注意喚起〜フォントファイルで任意コード実行 | RBB TODAY
独立行政法人 情報処理推進機構（略称：IPA、理事長：西垣浩司）は10日、「X.Org Foundation 製 X サーバ 」におけるセキュリティ上の弱点（脆弱性）について公表した。 Xサーバは、X Window Systemをオープンソースで実装したもの。PCF形式のフォントファイルの取扱いに問題があるため、細工されたフォントファイルを読みこんだ場合に、バッファオーバーフローにより、任意のコードが実行される。 悪用されると、コンピュータ上でユーザの意図しないプログラムの実行やファイルの削除、ボットツールがインストールされるなど、コンピュータが悪意ある第三者によって制御される可能性がある。 そのためIPAでは、製品開発者や各OS提供元が提供する最新バージョンにアップデートすることを呼びかけている。 なお本脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき、2006年10月16
JVNVU#878044: SNMPv3 実装の不適切な HMAC 処理による認証回避の脆弱性
SNMP (Simple Network Management Protocol) は、ネットワークデバイスの監視や管理のために広く使用されているプロトコルです。SNMPv3 は、認証やプライバシコントロールといったセキュリティ機能をサポートしています。SNMPv3 の認証では、HMAC (keyed-Hash Message Authentication Code) が使用されています。このコードは、秘密鍵と暗号ハッシュ機能を組み合わせてを生成されています。 SNMPv3 の実装によっては、認証処理に脆弱性があるため細工されたパケットを処理することで認証が回避されてしまう可能性が存在します。
JVNTA08-162A: SNMPv3 における認証回避の脆弱性
Net-SNMP 5.4.1, 5.3.2, 5.2.4, 5.1.4, 5.0.11 UCD-SNMP 4.2.7 また、Net-SNMP や UCD-SNMP を使用している製品も影響を受ける可能性があります。 SNMP (Simple Network Management Protocol) は、ネットワークデバイスの監視や管理のために広く使用されているプロトコルです。SNMPv3 は、認証やプライバシコントロールといったセキュリティ機能をサポートしています。 SNMPv3 の実装によっては、認証処理に脆弱性があるため細工されたパケットを処理することで認証が回避されてしまう可能性が存在します。
IT news, careers, business technology, reviews
Heads on: Apple’s Vision Pro delivers a glimpse of the future
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
News from the Lab Archive : January 2004 to September 2015
大手セキュリティ企業サイトにもXSSの脆弱性、未修復のケースも
Japan Vulnerablity Notes／TRnotes: Status Tracking Notes
https://www.jpcert.or.jp/at/2008/at080011.txt