Java SEに存在する36件の脆弱性のうち、34件はリモートで認証を経ずに悪用される恐れがあり、危険度最大値の極めて深刻な脆弱性も5件ある。 米Oracleは1月14日（米国時間）、四半期に1度の「クリティカルパッチアップデート」（CPU）を公開し、Javaやデータベースなど幅広い製品に存在する計144件の脆弱性を修正した。特にJavaは脆弱性を突く攻撃が頻発していることから、できるだけ早く最新版に更新する必要がある。 Java SEについては計36件の脆弱性が修正された。このうち34件はリモートで認証を経ずに悪用される恐れがあり、危険度が共通指標のCVSSベーススコアで最大値の「10.0」と定義された極めて深刻な脆弱性も5件ある。これら脆弱性は、最新版の「Java SE 7 Update 51」（1.7.0_51）で修正された。 Javaのほかにもデータベース、Fusion Middl

Javaの既知の脆弱性を突く攻撃がまた新たに発生した。Java 7の最新版に更新すれば問題は解決されるが、Java 6の場合、修正パッチは存在しない。 日本を含む世界40カ国あまりで政府機関や民間企業、学術機関などのコンピュータに感染を広げたマルウェア「NetTraveler」に、Javaの既知の脆弱性を突く亜種が出現したという。ロシアのセキュリティ企業Kaspersky Labが9月3日のブログで伝えた。 それによると、最近ウイグル人活動家に届いたスピアフィッシングメールの中に、正規のWebサイトへのリンクに見せかけて、NetTraveler関連サイトに誘導するリンクが記載されているのが見つかった。 誘導先サイトに仕込まれた「new.jar」という名称のJavaアプレットは、Oracleが6月の定例パッチで修正したJavaの脆弱性（CVE-2013-2465）を悪用する仕掛けになっていた

セキュリティ専門家は「JRE6のパッチは存在しない。アンインストールするか、JRE7 Update 25に更新を」と呼び掛けた。 さまざまな脆弱性の悪用を狙った攻撃ツールの「Neutrino」に、Javaの既知の脆弱性を悪用する機能が加わった。Java 6ではこの脆弱性が修正されていないことから、セキュリティ各社は改めて、最新版のJava 7にアップグレードするよう促している。 セキュリティ企業F-Secureの研究者は8月26日、TwitterでJavaの脆弱性（CVE-2013-2463）を突くコンセプト実証コードが公開され、Neutrinoにこの脆弱性を突くコードが実装されたと報告した。「JRE6のパッチは存在しない。アンインストールするか、JRE7 Update 25に更新を」と呼び掛けた。 CVE-2013-2463は、Oracleが6月の定例パッチで修正した脆弱性で、危険度は極

セキュリティ企業によれば、Java SE7で導入されたReflection APIには、10年以上前から知られていた攻撃を防ぐ対策が施されていなかったという。 ポーランドのセキュリティ企業Security Explorationsは7月18日、Java SE7に新たな脆弱性が見つかったとして、セキュリティメーリングリストのFull Disclosureに概略を掲載した。Oracleにも同日、コンセプト実証（PoC）コードを添えて報告したという。 Security Explorationsによると、脆弱性はJava SE7で導入された「Reflection API」に存在し、Java仮想マシン（VM）に対する攻撃に利用される恐れがある。 この攻撃手法そのものは10年以上前から知られていたにもかかわらず、Java SE7で導入されたReflection APIには、この攻撃を防ぐための適切な対

この問題は、4月16日に公開されたJava最新版の「Java 7 Update 21」（1.7.0_21）も影響を受けるという。 ポーランドのセキュリティ企業Security Explorationsは4月22日、米OracleのJava SEにまた新たなセキュリティ問題が見つかったとして、セキュリティメーリングリストの「Full Disclosure」で概略を公表した。 Security Explorationsによれば、新たに見つかった脆弱性はJavaのリフレクションAPIに関連するもので、4月16日に公開されたJava最新版の「Java 7 Update 21」（1.7.0_21）も影響を受けるという。この問題を悪用すれば、Javaのセキュリティ対策であるサンドボックスを完全に迂回することが可能だとしている。 この問題はJREプラグインやJDKソフトウェアだけでなく、最近発表されたサ

過去に何度もJavaの脆弱性を発見してきたセキュリティ企業が、新たに2件の脆弱性に関する情報をOracleに提供したことを明らかにした。 ポーランドのセキュリティ企業Security Explorationsは2月25日、2件の脆弱性に関する情報とコンセプト実証コードをOracleに提供したことを明らかにした。Oracleは提供された情報について調査した上で返答すると伝えてきたという。 Security Explorationsは、過去に何度もJavaの脆弱性を発見してきたセキュリティ企業。メディア各社はこの脆弱性について、Oracleが2月19日に公開したばかりのJava最新版「Java 7 Update 15」が影響を受けると伝えている。 JavaはOSを問わないマルチプラットフォーム対応の特性を利用して、WindowsとMacの両方を狙った攻撃に利用されるケースが急増している。最近で

米Oracleが脆弱性を修正したばかりの「Java 7 Update 11」に、新たな2件の脆弱性が報告された。 米Oracleが脆弱性を修正したばかりのJava最新バージョンで新たな脆弱性を確認したとして、ポーランドのセキュリティ企業Security Explorationsがセキュリティメーリングリストの「Full Disclosure」に概略を投稿した。 それによると、同社は「Java 7 Update 11」（JRE 1.7.0_11-b21）に新たな2件の脆弱性を発見し、コンセプト実証（PoC）コードを添えて1月18日にOracleに報告したという。この脆弱性を利用すれば、Javaに実装されたセキュリティ機能のサンドボックスを完全に迂回できることが確認できたとしている。 Javaは未解決の脆弱性を突く攻撃が横行したことを受け、Oracleが1月13日にJava 7 Update

Webブラウザのプラグインを狙った攻撃が多発している現状を踏まえ、今年は主要ブラウザに加えてAdobeのFlashやOracleのJavaも対象とする。 米Hewlett－Packard（HP）傘下のセキュリティ企業のTippingPointは、ハッキングコンペ「Pwn2Own」を3月6日から8日にかけてカナダのバンクーバーで開くと発表した。Webブラウザのプラグインを狙った攻撃が多発している現状を踏まえ、今年は主要ブラウザに加えてAdobeのFlashやOracleのJavaも対象とする。 大会はカテゴリ別に実施され、ブラウザ部門はGoogle Chrome、Microsoft Internet Explorer（IE）、Mozilla Firefox、Apple Safariの各主要ブラウザがターゲット。プラグイン部門はAdobe Reader XIとFlash、Javaがターゲットと

どうしてもJavaを実行する必要がない限りは無効にするようUS-CERTは助言する。今回修正されたのは、攻撃に利用されていた2件の脆弱性のうちの1件にすぎないとの指摘もある。 Javaの未解決の脆弱性を突く攻撃が横行したことを受け、セキュリティ業界では今後も同様の攻撃が続くと予想、Javaを無効にするよう呼び掛ける動きが広がっている。 米Oracleは1月13日に「Java 7 Update 11」を臨時公開し、攻撃に利用されていた脆弱性も含めて2件の脆弱性に対処した。1月上旬の時点でこの脆弱性を突く攻撃が横行し、悪名高い攻撃用ツールキットにもこの脆弱性を悪用するコードが実装されていた。 米US-CERTはOracleのアップデート公開を受けて、14日付でセキュリティ情報を改訂。解決策として、Java 7 Update 11へのアップデートを促した。同時に、「Java 7 Update 1

この脆弱性を悪用されると、リモートでシステムを制御される恐れがあるという。売り手は「いずれ修正されないとは保証できない。早めの利用を」と呼び掛けている。 セキュリティ情報サイトのKrebsOnSecurityは11月27日、Javaの最新版に存在する未解決の脆弱性情報が、アンダーグラウンドで売りに出されていることが分かったと伝えた。この脆弱性を悪用されると、リモートでシステムを制御される恐れがあるという。 KrebsOnSecurityによると、この脆弱性はJava最新版の「Java JRE 7 Update 9」に存在するとされ、現在、招待制のアンダーグラウンドフォーラムで売り出されている。 売り手が掲載した情報では、音声の入出力を処理する「MidiDevice.Info」というコンポーネントに脆弱性があり、極めて安定したコードを実行できると主張。Windows 7上のFirefoxとI

The Polaris Dawn crew is back on Earth after a historic mission

ロシアのセキュリティ企業によると、マルウェア「Flashback」は55万台以上のMacに感染し、強力なMacボットネットを形成しているという。 ロシアのウイルス対策ソフトメーカーDoctor Webは4月4日、Mac OS Xを狙ったマルウェア「Flashback」が55万台以上のマシンに感染し、強力なMacボットネットを形成していることが分かったと発表した。 Flashbackは新たな手口を実装した亜種が次々に出現し、Macに感染を広げているとしてセキュリティ各社が注意を促していた。Doctor Webによれば、中でも「Flashback.39」という亜種は、悪質なWebサイトにユーザーをリダイレクトしてJavaの脆弱性を突いた不正なアプレットを読み込ませる手口で感染を拡大。問題のコードを仕込んだWebサイトも大量に見つかっており、Google検索では3月末の時点で改ざんされたWebペ

Macを狙ったマルウェア「Flashback」の亜種が悪用したJavaの脆弱性は、Windows版では修正されたが、Mac版のアップデートはまだ公開されていなかった。 セキュリティ企業のF-Secureは4月2日、Macを狙ったマルウェアの「Flashback」に、Macではまだ未解決のJavaの脆弱性を突いた亜種が出現したと伝えた。 同社ブログによると、Flashbackの新たな亜種で悪用されているのは、Oracleが2月の定例セキュリティ情報で公開したJavaの脆弱性14件のうちの1件。この時点でWindows版は脆弱性を修正するためのアップデートが公開されたが、AppleはまだMac版のアップデートを公開していなかった。 また、これ以外にもMacで未解決の別のJavaの脆弱性が悪用されているとの未確認情報もあるといい、F-Secureでは被害を防ぐためにMacでJavaを無効にするよ

米Appleは10月20日（現地時間）、Javaの脆弱性に対処するセキュリティアップデートをMac OS X 10.6と10.5向けにリリースした。 同社のセキュリティ情報によると、「Java for Mac OS X 10.6 Update 3」「Java for Mac OS X 10.5 Update 8」では、Mac OS Xに組み込まれているJavaを最新版の「1.6.0_22」に更新した。従来バージョンの1.6.0_20には多数の脆弱性が存在し、最も深刻なものでは信頼できないJavaアプレットによってJavaサンドボックスの外で任意のコードを実行されてしまう恐れがあった。 これとは別に、Mac OS Xにのみ影響するJavaの脆弱性2件にも対処した。いずれも任意のコード実行に利用される恐れがあるとしている。 また、Mac OS X 10.5向けのアップデートではJava 1.5

Javaの脆弱性を悪用しようとする攻撃が今年に入って急増し、PDF攻撃の件数を上回るようになったという。 米Microsoftは10月18日のMalware Protection Centerブログで、Javaの脆弱性を突いた攻撃が激増していると報告した。 ソフトウェアの脆弱性を突く攻撃をめぐっては、2009年までAdobe製品の脆弱性を突いたPDF攻撃の増加が注目されていたが、Microsoftによれば、今年に入ってJavaの脆弱性を悪用しようとする攻撃が、PDF攻撃の件数を上回るようになったという。 特に第3四半期にはJava攻撃が激増したが、これは3件の脆弱性を突いた攻撃が突出したことによるものだという。しかも3件とも、Oracleがセキュリティアップデートで対処済みの脆弱性だった。 その背景には、JavaがAdobe Acrobatと同様、広く普及しているにもかかわらずユーザーが更

米Appleは9月3日、Mac OS X 10.5に同梱されたJavaの脆弱性を解決するアップデートを公開した。 Appleの情報によると、「Java for Mac OS X 10.5 Update 5」はMac OS X 10.5.8を対象とするセキュリティアップデート。同梱されているJava 1.6.0／1.5.0／1.4.2とJava Web Startを、それぞれ脆弱性を解決した新しいバージョンに更新した。 なお、いずれの問題も、Mac OS X 10.6「Snow Leopard」は影響を受けないとしている。 Mac OS XのアップデートはAppleメニューの「ソフトウェア・アップデート」経由で入手できる。 過去のセキュリティニュース一覧はこちら