Last modified: Thu Apr 25 16:51:21 2024 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 当番の管制官、睡眠時間は２時間 ケンタッキー航空事故 (CNN, 8/31)
》 「ウィキペディア」の不利益情報、楽天証券社内から削除 (asahi.com)。ついにマスメディアにも取りあげられてしまいましたね。 震源地: 楽天証券の中の人がWikipediaから業務改善命令とマーケットスピードの欠点を削除 (ネット証券Blog2, 8/26)。lankyboy さん情報ありがとうございます。
関連: 弊社に関する一部報道について (楽天証券, 8/31)
》 ウィニー：技術資料がネットワーク上に流出 中部電力 (毎日, 8/31)。いまだに Winny ですか。
》 アルカイダ報道：共同通信が敗訴 男性への賠償命令 (毎日, 8/31)
》 イスラエルによる停戦直前クラスター爆弾大量ばらまき話。 イスラエルですから。
本当は何と言ったの?
現地では、そこらじゅうに不発弾が転がっているようですね……
ところで、ガザ方面についてはあいかわらず続いているようです。 イスラエル軍のガザ攻撃続く 銃撃戦で７人死亡 (asahi.com, 8/31)
》 米臨界前核実験：２３回目を実施 ＮＮＳＡが発表 (毎日, 8/31)。USA ですから。
》 香港人記者、スパイ容疑で実刑判決 香港メディアに激震 (asahi.com, 8/31)。中国ですから。
》 本当に非管理者アカウントでは生きていけないんです (うさぎ文学日記, 8/31)。 「取りあえず管理者アカウントで」という思考停止はもうやめよう (@IT, 8/30) のフォロー。現場からの生の声。
》 ちいちゃんさんから、「トレンドマイクロのパターン失敗」というメールが (情報ありがとうございます)
どうやら今日の昼に配られた3.703.00のパターンについてくる server.iniの記述をミスり3.701.00から更新するときに 差分ファイルではなくフルパターンファイルをダウンロードするように して公開してしまったようです。 フルパターンでは圧縮しても１２．７MBもあります。 server.iniはすでに修正されているので今から繋げる場合はいいのですが すでにダウンロードが始まった場合はダイアルアップの人は悲惨でしょう 私はMOD32なので大丈夫ですが 本日中に3.705.00が公開されるそうです でも うちの会社はすでに配布が始まり全国的に悲惨な状況になっています。
アナウンス出ました: ターンファイル 3.701.00 から 3.703.00へのアップデート時における、フルサイズのパターンファイルのアップデートに関して (トレンドマイクロ, 8/31)
》 ヤマト運輸、匿名配送・決済が可能な「オークション宅急便」 (Internet Watch, 8/31)
》 MS、ペアレンタルコントロールソフトのベータ版をリリース (CNET, 8/31)、 Windows Live OneCare Family Safety beta now available! (Windows Live OneCare Team Blog, 8/30)
》 フロンガス規制が効果を発揮——オゾン層が回復中 (ITmedia, 8/31)
》 Blind SQL Injection (WebAppSec Wiki)。WebAppSec Wiki には他にもいろいろ情報がありますね。 星野君のWebアプリほのぼの改造計画（9）隠されていたSQLインジェクション (@IT) も参照。
》 Black Hat Japan 2006 Briefings (NS-Shop)。web ページには領収書しか書いてないけど、 Scan Security Wire 増刊号 (2006/08/31) には「請求書・領収書承ります」と書かれているなあ。
》 家電リサイクル法の見直しに関する意見募集（第２回募集）について (e-gov.go.jp)。 締切 9/15。
》 海外派兵を恒久的に自衛隊の本来任務とする国際平和協力法案 (関組長の東京・永田町ロビー活動日記ｂｌｏｇ版, 8/31)
》 トレンドマイクロがウイルスバスターの新版、マイクロソフト対抗色を鮮明に (日経 IT Pro, 8/30)。復号化って言うのはやめようよ。
》 僕らがマンガになったのだ (日本のセキュリティチームの Blog, 8/31)。 M:I 第1話 セキュリティの脅威と闘う人々 (@IT) の話。 この勢いでぜひ次は、○○○レンジャーのマンガ化を! しかし、「セキュリティの脅威」という日本語は変な気がするぞ。
このコンテンツ、期間限定公開のようなので、各自で保存しておきましょう。
Windows カーネルの脆弱性により、特権が昇格される (920958) (MS06-049) の patch を適用すると、NTFS 圧縮したファイルが壊れるという現象が報告されている。
手元の Windows 2000 SP4 + 920958 + NOD32 2.50.42 な PC 互換機で、 109 と同様のことをやってみた。
やってみると、確かに異なるファイルがみつかった (例: 左が NTFS 圧縮なもの、右が CD のもの。表示に使っているのは HashTab Shell Extension)。これはまずいよね。
MS06-049 patch (920958) をアンインストールすれば欠陥を回避できるが、壊れたファイルは戻らない。
特定の URL にアクセスすると情報漏曳が発生: JVN#31125599 に関する情報:
サイボウズ不具合 (know94spaceの日記, 2006.08.28)。 サイボウズ Office 6 ファイルナビ を使えば誰でも簡単に情報を取得できる模様。
サイボウズが再び「闇改修」をしたので電話で抗議したが無駄骨だった (高木浩光＠自宅の日記, 2006.08.30)
サイボウズ Office 6.6(1.3) における改修内容 (サイボウズ, 2006.08.25)
全般
ディレクトリトラバーサルの脆弱性を改修しました。
特定のURLにアクセスすると、ログイン画面に表示されるユーザー名リストが出力される不具合を改修しました。
サイボウズ的には、前者は「脆弱性」、後者は「不具合」なんですね。
サイボウズ Office 6 ファイルナビ 6.6(0.5) における改修内容 (サイボウズ, 2006.08.25)
基本設定
サイボウズ Office 6 本体のログイン方法の設定が「ログイン名＋パスワード」の場合に、ログイン名を入力する方法に変更しました。
※ 以前のバージョンでは、本体の設定に関わらずプルダウンメニューからユーザー名を選択する方法です。
Webmin <= 1.290, Usermin <= 1.220 に欠陥。 クロスサイトスクリプティングが発生したり、 アクセス制限を回避してファイルを実行したりソースを閲覧したりできる。 patch はまだない? NVD: CVE-2006-4542。CVSS Severity: 7.0 (High)
……開発版 の Webmin 1.296 / Usermin 1.226 では修正されているそうです。山崎さん情報ありがとうございます。
SNS Advisory 出てます:
Security Alerts (webmin.com) にも明記されました。
》 Winnyの技術のいいとこ取りしたコンテンツ配信サービス、秋にも本格展開 (ITmedia, 8/30)。ふぅん。
》 米AT&T、不正侵入によりカード番号を含む顧客情報約19,000件が流出 (Internet Watch, 8/30)。どこでもあるんですね。nodoame さん情報ありがとうございます。
》 VistaはMSDEをサポートせず -- 影響するシステム数は膨大に？ (ITmedia, 8/30)。それはたいへんですね……。そこらじゅうで使われてますから。
》 セキュリティ事故の事後対策、NRIセキュアテクノロジーズがサービス開始 (@IT, 8/:28)
》 Doorman@JUMPERZ.NET (jumperz.net) というツールが公開されています。
》 Live View というフォレンジックツールがあるそうで。 dd イメージや生ディスクを VMWare で使うときに便利なものみたい。
》 Webサービスと連携し、進化するハイブリッド型セキュリティソリューション 「ウイルスバスター(TM)2007 トレンド フレックス セキュリティ(TM)」 9月22日（金）より発売開始 (トレンドマイクロ, 8/30)。nodoame さん情報ありがとうございます。
ライセンス体系および価格に関しても、家庭におけるコンピュータの所有の実情にあわせ、ウイルスバスター2007では1シリアルで3台(※2)のコンピュータまで利用できるようにしました。(中略)
※2 1台にOSが1つの場合。複数台での利用は、同一個人もしくは同一世帯のみに限ります。法人での複数台の利用はできません。
低価格のライバル製品に対抗したのかな。
ルートキットの検出・削除: ルートキット対策共通モジュールによってルートキットの検出・削除が可能になりました。
2006 では難がありますよ、と。
フィッシングチェッカー: (中略) Internet Explorerに加え、Firefoxにも対応しました。
Firefox のシェアが有意なレベルまで上がった証拠ですね。
》 IE7 によるファイルアップロード時のフルパスの送信 (葉っぱ日記, 8/28)
》 米軍などのパソコン5万台にボットを感染させた男，禁固3年の実刑判決 (日経 IT Pro, 8/30)
》 プラッタ移植によるハードディスク蘇生術 (engadget, 2005.11.30)。とんとかいもさん情報ありがとうございます。
》 「取りあえず管理者アカウントで」という思考停止はもうやめよう (@IT, 8/30)
sendmail 8.13.7 以前に欠陥。sendmail/main.c に、長大なヘッダによって DoS が発生し得る欠陥が存在。sendmail 8.13.8 で修正されている。 OpenBSD の patch。 CVE: CVE-2006-4434
》 エチゼンクラゲ、今年も徐々に北上 道内漁協ピリピリ (北海道新聞, 8/28)
》 事故報告をメーカーに義務化、法改正へ (TBS, 8/28)
》 「パロディサイトは言論の自由」とEFFが訴訟 (ITmedia, 8/25)
》 規制強化へ煽る前にやるべきことをやったらどうか (崎山伸夫のBlog, 8/27)
》 露機墜落「死に至るケチ」と露紙…燃料倹約で奨励金 (読売, 8/28)。ケチもほどほどに。
》 警察庁HP閲覧不能に＝3時間以上、サイバー攻撃か (時事 / yahoo, 8/28)。 www.npa.go.jp でしょうか。
》 「ボット駆除ツール作成の公募に関する説明会」の開催について (JPCERT/CC, 8/14) なんてやってたんですね、なつやすみド真ん中に。 (既に終了してます)
》 ビラ配布：「住居侵入」否定し無罪 東京地裁 (毎日, 8/28)、 ビラ配布：無罪判決に「おお」支援者ら喜びの声 (毎日, 8/28)。当然の判決だと思うのだが、警察や検察はそうは思ってないようで。コメントにある「土本武司・白鴎大法科大学院教授（刑事法）」は元検事。
》 ジャパネットたかた、漏えい事件を機に風土改革 (日経 IT Pro, 8/25)
「社員の性善説を信じているのは事件以前と変わらない。でも優しく接するだけでは社員は成長しない。厳しい面もなければ、結果として社員を守ることにならないと思うようになった。そこが事件後に一番自分が変わった部分です」と高田社長は振り返る。
》 「Google Webmaster Central」でGooglebotのテストができる (gigazine, 8/28)
Indiana University Security Advisory: Fuji Xerox Printing Systems (FXPS) print engine vulnerabilities の件ですが、匿名希望さんから情報を頂きました (ありがとうございます):
>ここで挙げられているのは 富士ゼロックスプリンティングシステムズの >DELL 向け OEM 製品のようですが、日本でふつうに売られているものにも >同様の欠陥はあるのかなあ
気になったので関係者に聞いてみたところ、既に修正モジュールがリリース済みだそうです。ファームを最新にすれば治るようです。
http://download.fujixerox.co.jp/whatsnew/whatsnew.html
「このリリースノートのファームウェアがたくさん並んでるところで実は修正されてる」とのことなので、推察されているとおりおそらく8/17登録のものでしょう。
バッテリのリコールまとめ (allabout)
みなさんとっくにご存知でしょうが、IE 6.0 SP1 用の新 patch が 8/25 付で出ています。新しくなったのは IE 6.0 SP1 用だけです。
eEye Advisories: Internet Explorer 圧縮コンテンツURLヒープオーバーフロー脆弱性 (eEye / SCS, 2006.08.24)。報告日は 2006.08.17 です。高橋さん情報ありがとうございます。
NSFOCUS SA2006-08 : Microsoft IE6 urlmon.dll Long URL Buffer Overflow Vulnerability
MS06-042 の再リリース (その２) (日本のセキュリティチームの Blog, 2006.08.25)
今回の MS06-042 (V2) を適用することで、モジュールのバージョンとしては、MS06-042 (V1) + 修正プログラム (Hotfix) 923762 (KB 923762) と同じになります。そのため、Microsoft Update/Auto Update では、Hotfix 923762 を適用している環境には MS06-042 (V2) は配信されません。MS06-042 (V1) のみを適用している環境には、MS06-042 (V2) が配信されます。
なんだ、hotfix でよかったのか……。
あと、延期の原因に関する議論が提起されているようです。
SMS で不具合が出るからといって、SMS を利用していない人までもが patch を待たされた、ということになりますからねえ……。
Mac OS X 10.3.x / 10.4.x に Adobe Creative Suite 2.0、Adobe Illustrator CS2、Adobe Photoshop CS2 のいずれかをインストールすると、ファイルシステムエラーなどが発生する。CS2 に含まれる「Legal」または「法律上の特記事項」フォルダ内の、ベトナム語のエンドユーザライセンス契約に含まれるフォントデータを読み込むと「不正な名前」エラーが発生することがある、のが原因だそうだ。
この欠陥は Mac OS X 10.4.7 で修正されている (332657 参照)。また、CS2 の「Legal」または「法律上の特記事項」フォルダを削除することで回避できる。
複数のサイボウズ製品に複数の欠陥。
ディレクトリトラバーサル: JVN#90420168
対象: サイボウズ Office 6.5(1.2) 以前 / ガルーン 1.5(4.0) 以前 /
メールワイズ 3.0(0.2) 以前 / コラボレックス 1.5(0.5) 以前 /
AG 1.2(1.4) 以前 /
AG ポケット 5.2(0.7) 以前 /
Share360 2.5(0.2) 以前
関連:
特定の URL にアクセスすると情報漏曳が発生: JVN#31125599
対象: サイボウズ Office 6.5(1.2) 以前
SQLインジェクション (JVN なし)
対象: サイボウズ ガルーン 2 / ワークフロー for ガルーン 2
関連:
修正プログラムがあるので適用すればよい。
特定の URL にアクセスすると情報漏曳が発生: JVN#31125599 に関する情報:
サイボウズ不具合 (know94spaceの日記, 2006.08.28)。 サイボウズ Office 6 ファイルナビ を使えば誰でも簡単に情報を取得できる模様。
サイボウズが再び「闇改修」をしたので電話で抗議したが無駄骨だった (高木浩光＠自宅の日記, 2006.08.30)
サイボウズ Office 6.6(1.3) における改修内容 (サイボウズ, 2006.08.25)
全般
ディレクトリトラバーサルの脆弱性を改修しました。
特定のURLにアクセスすると、ログイン画面に表示されるユーザー名リストが出力される不具合を改修しました。
サイボウズ的には、前者は「脆弱性」、後者は「不具合」なんですね。
サイボウズ Office 6 ファイルナビ 6.6(0.5) における改修内容 (サイボウズ, 2006.08.25)
基本設定
サイボウズ Office 6 本体のログイン方法の設定が「ログイン名＋パスワード」の場合に、ログイン名を入力する方法に変更しました。
※ 以前のバージョンでは、本体の設定に関わらずプルダウンメニューからユーザー名を選択する方法です。
サイボウズの Advisory が改訂されています。公式に 3 つになりました。
でも、サイボウズ Office 6.6(1.3) における改修内容 (サイボウズ, 2006.08.25) での扱いは、あいかわず「不具合」のままです。
》 Warning: MFC of security event audit support RELENG_6 in the next 2-3 weeks (freebsd-security ML, 8/16)。もうそろそろですかねえ。
》 TOMOYO Linuxのバージョン1.2が9/3にリリース予定 (hshinjiの日記, 8/18) だそうです。 関連: [tomoyo-users 103] TOMOYO Linux の開発状況
》 ガードレールの強度、車衝突には不足 福岡３児死亡事故 (asahi.com, 8/27)
市によると、ガードレールは国土交通省の「防護柵（さく）の設置基準」で「橋梁（きょうりょう）区間は、通常歩道がある場合、車両の転落を考慮する必要はない」とされており、歩行者、自転車用にしたという。 (中略) 市は「段差と歩道を越え、車が衝突する事態は想定しなかった。全国一律の基準で作っており、予想以上の荷重がかかり、事故を防げなかった」と話している。
つまり、設置基準そのものの見直しが必要、ということか。
》 なぜ人はエイリアンに誘拐されたと思うのか (ハヤカワ文庫) という本があるそうで。
》 ル・モンド・ディプロマティーク日本語版 2006.08:
》 無人爆撃機製造…北が長射程砲打つと同時に発射、破壊 (中央日報, 8/26)
》 使用不能になったハードディスクを復活させる「HDD Regenerator」 (GIGAZINE, 8/11)。どうやってるんだろう。
》 開発者のための正しいCSRF対策 が version 2.1 になっています。
》 日本初！ダイヤル式セキュリティ機能を搭載した新型銀行印。 『ダイヤルバンク印』 −盗難通帳による不正引き出し撲滅に向けて− (三菱鉛筆, 8/2)。kawki さん情報ありがとうございます。
》 [AML 8860] [HIROPRESS]( 東京 9/1) 広河隆一スライド報告会「レバノンで何が起こったのか」
》 会社が“PC音痴”を見捨てる日 (日経 IT Pro, 8/23)
》 電子メールの時刻情報を証明，セイコープレシジョンがアプライアンスを用意 (日経 IT Pro, 8/23)
》 PHP 5.1.6 が出ています。津田さん情報ありがとうございます。 ChangeLog によると、64bit な人と win32 な人には関係ありそう。
関連: CVE-2006-4486
》 レバノンで援助団体の日本人職員が死亡 (asahi.com, 8/27)。谷口さん情報ありがとうございます。
》 「不確実性のマネジメント」ですが、JBOOK で購入できたと田中さんから情報をいただきました (ありがとうございます)。 流通在庫かなあ。残っているところにはまだ残っているようです。 ダイアモンド社の書籍データベースでは「在庫なし」は「絶版」とは区別されているようではありますが、だからと言って簡単に増刷がかかるわけでもないだろうし。
[SA21581] Sun Solaris RBAC Profile Privilege Escalation Vulnerabilities。 patch あります。
Drupal 方面
[SA21570] Java Plugin and Web Start Version Specification Security Issue。 Java Plug-in 5.0 Update 6 / Web Start 5.0 Update 6 で直っているそうです。
TTG0601 - Alt-N WebAdmin Multiple Vulnerabilities。 WebAdmin 3.25 で直っているそうです。 NVD: CVE-2006-4371 CVE-2006-4370
MDaemon POP3 server remote buffer overflow (preauth)。 MDaemon 9.06 で直っているそうです。 NVD: CVE-2006-4364
Symantec Gateway Security 5000 Series 3.0 Security Update 24 (Symantec, 2006.08.21)。 これも日本語版のアドバイザリはまだ出ていないようです。
Symantec Enterprise Security Manager 話
patch があるようです……が、日本語版のアドバイザリはまだ出ていないようです。 CVE: CVE-2006-4314
[SA21615] ImageMagick XCF and Sun Rasterfile Buffer Overflows。6.2.9-1 で修正されている。 NVD: CVE-2006-3743
Mozilla Firefox FTP Request Remote DoS (Exploit)。Firefox 1.5.0.6 以前。
Multiple problems in Wireshark (Ethereal?) versions 0.7.9 to 0.99.2 (Wireshark)。0.99.3 で修正されている。 CVE: CVE-2006-4330 CVE-2006-4331 CVE-2006-4332 CVE-2006-4333
[SA21559] SSH Tectia Management Agent Privilege Escalation 。SSH Tectia Manager 2.1.3 / 2.2.0 で修正されているそうです。 CVE: CVE-2006-4316
CVE-2006-4315 というのも出てますね。
Cisco Security Advisory: Unintentional Password Modification in Cisco Firewall Products。 CVE: CVE-2006-4312
Cisco Security Advisory: Cisco VPN 3000 Concentrator FTP Management Vulnerabilities。 CVE: CVE-2006-4313
Multiple Vulnerabilities in Asterisk 1.2.10 (Fixed in 1.2.11)。 NVD: CVE-2006-4346 CVE-2006-4345
FreeBSD Security Advisory FreeBSD-SA-06:18.ppp [REVISED]。 sppp(4) に buffer overflow する欠陥があるそうで。 CVE: CVE-2006-4304
NetBSD ねた
Advisory 05/2006: Zend Platform Multiple Remote Vulnerabilities。Zend Platform (2.2.1a) で直っているそうです。
Indiana University Security Advisory: Fuji Xerox Printing Systems (FXPS) print engine vulnerabilities。 CVE: CVE-2006-2112 CVE-2006-2113 ここで挙げられているのは 富士ゼロックスプリンティングシステムズの DELL 向け OEM 製品のようですが、日本でふつうに売られているものにも同様の欠陥はあるのかなあ。 たとえば DocuPrint C830 ファームウエア C83F0607.EXE (2006年8月17日登録) の「特定環境のネットワーク接続性を改善しました」 という記述が気になったりするのだけど。
Cisco NAC Appliance Agent Installation Bypass Vulnerability。
Anti-Forensic: Breaking EnCase with FILEo and Winhex (safehack.com)
CGI Script Source Code Disclosure Vulnerability in Apache for Windows (securiteam)。Apache 2.2.2 + Windows XP SP2 話。 Apache2.2.2でCGIスクリプトのソースコードが見えてしまう脆弱性 (うさぎ文学日記) も参照。
Indiana University Security Advisory: Fuji Xerox Printing Systems (FXPS) print engine vulnerabilities の件ですが、匿名希望さんから情報を頂きました (ありがとうございます):
>ここで挙げられているのは 富士ゼロックスプリンティングシステムズの >DELL 向け OEM 製品のようですが、日本でふつうに売られているものにも >同様の欠陥はあるのかなあ
気になったので関係者に聞いてみたところ、既に修正モジュールがリリース済みだそうです。ファームを最新にすれば治るようです。
http://download.fujixerox.co.jp/whatsnew/whatsnew.html
「このリリースノートのファームウェアがたくさん並んでるところで実は修正されてる」とのことなので、推察されているとおりおそらく8/17登録のものでしょう。
》 ブレーキ自動作動、事故防止の最新技術 (TBS, 8/25)。また 1 歩ナイト 2000 に近づいた……のかなあ。
「トヨタ車の品質問題に関しまして、多くの皆さま方に大変ご心配、ご迷惑をおかけ致しておりますことを、改めてお詫び申し上げます」（トヨタ自動車 渡辺捷昭 社長）
トヨタでは先月、「欠陥車を放置して人身事故を招いた」などとして、熊本県警が元社員を書類送検したほか、車体の不具合によるリコール台数も大幅に増えています。
今回、最新の事故防止技術を公開したトヨタ。かつて誇った品質の高さに対する消費者の信頼感を取り戻すことが出来るのでしょうか。
ナイトライダーのサントラ CD が出ていたとは知りませんでした。買えない値段になってますが……(T_T)
》 「クレーン船接触に伴う，275ｋＶ江東線１，２号の設備損傷ならびに江東変電所ほか供給支障事故報告書」ならびに「電気関係事故報告」の提出について (東京電力, 8/24)
》 「危険学のすすめードアプロジェクトに学ぶ」 (失敗学会) という本が出ているんですね。失敗学会も危険学会に「進化」するんだろうか。
》 鳥インフルエンザのデータを共有 ワクチン開発や感染 (asahi.com, 8/24)
》 エレベーター点検の誤動作で検査員挟まれ死亡 東京・江東区 (産経, 8/24)。シンドラーではなく、東芝エレベータ。
マニュアルでは、点検時はボタンが機能しないように切り替え、かごの上に乗る点検員がリモコンでエレベーターを操作することになっており、これに違反していた疑いが強い。
関連: エレベーター点検作業中の事故報告について (東芝エレベータ、8/25)
》 扉開閉モーター 絶縁不良が原因 エレベーター閉じ込め (読売, 8/22)
》 生活用品の事故情報、報告義務化へ シュレッダー事故で (asahi.com, 8/24)
》 太陽系惑星：教科書の記述変更は「０８年度以後に」 (毎日, 8/25)。ローカライズが間にあわないようです。オンラインでいいから hotfix を用意してほしい気がするなあ。
》 シムロック不正改造で初摘発、男ら逮捕 (TBS, 8/25)。「SIMロック」でぐぐると、いろいろ出てきますね。で、出てきたところにアクセスしてみると、閉じたり内容を変更したりしたところがいろいろあるようで。
あと、SIM ロックの解除 (と販売奨励金の廃止) については、たとえば ＩＰ化の進展に対応した競争ルールの 在り方に関する懇談会 の報告書案の第６章 その他の検討すべき政策課題で言及されてますね (8/23 までパブコメ募集してたんですね……)。
》 ブリトニーさんの妊婦ヌード、一転ＯＫ 地下鉄駅広告 (asahi.com, 8/25)
出版するエイチビー・ジャパン社がスペースを契約後、広告案をメトロ社に見せたところ、上半身だけの写真で作り直すよう、指示を受けたという。
メトロ社によると、指示の根拠は「青少年保護の点で適切でなければならない」という内規。下半身に何もまとっておらず、「利用客に刺激的で内規違反」と広告担当者が判断した、という。
芸術性もメッセージも理解せず、機械的にしか判断しない「広告担当者」を雇うとこういうことになる、という見本だなあ。そもそも、「修正後」の方がエロいと思うのだが。こういう人にとっては、ルノアールの裸婦画とかもただのエロなんだろうか……。 いやまあ、ルノアールの場合は、お腹ぽっこりではなくお腹 3 段なんだけど。(^^;)
関連:
》 カンザスでSONYのVAIOが炎上 (slashdot.jp, 8/24)。うーむ……。
関連:
DELL に続き、 Apple でも SONY 製バッテリの無償交換を開始。 対象となるのは、12 インチ iBook G4、12 インチ PowerBook G4、15 インチ PowerBook G4 用のバッテリ。対象バッテリのモデルやシリアル等の詳細については、web ページを参照。
関連: アップルコンピュータ社による同社製ノートブック型コンピュータの電池パック回収に対する弊社の対応について (SONY, 2006.08.25)
》 ロシアNGOがチェチェンで行われている拷問に警鐘 (バイナフ自由通信, 8/24)
》 VSAPI 8.310 リリースノート (トレンドマイクロ) が出てますね。 Morphine 対応ですか……というか、今まで対応していなかったんですね。
》 Sophos Anti-Rootkit (Sophos) 1.0 が無償配布されています。 ……が、掲載されている MD5 が間違っているようです。 上島さん情報ありがとうございます。 手元でも確認してみましたが、確かに変ですね。 英語版ダウンロードページの MD5 が正しいようです。
》 お召し上がりいただける粉砂糖ならあるんですけれども (Lucrezia Borgia の Room Cantarella, 8/23)。 セブンアンドワイ話のつづき。 セブンアンドワイ、あいかわらずいい味出しているようです。
2024.04.25 追記: セブンアンドワイ終了に伴って 7andy.jp が売りに出された結果、 http://www.7andy.jp/ がアレなサイトとなったためリンクを削除。堀越さん情報ありがとうございます。
》 Snort v2.6.0.1 Final and 2.6.1 Beta Now Available (Snort.org, 8/23)
》 大飯原発情報がネット上に流出、三菱重工社員ＰＣから (読売, 8/23)。いまだに Winny ですか。三菱重工業高砂製作所……。
》 シュレッダー事故関連。事故機メーカはアイリスオーヤマとカール事務器。
当社ではシュレッダーのパイオニアとして、創業当初より安全性に十分配慮した設計・開発を行っておりましたが、PL法施行の平成7年7月の約四年前、平成3年10月より、当社独自のより高い安全基準を設け、安全対策を施しております。
》 自衛隊派遣「恒久法」案 海外任務に治安維持も 自民が骨子 (北海道新聞, 8/24)
》 鍵長をどのように選択していくか〜等価安全性と鍵長の関係 (@IT, 8/24)
》 空の事故続発に衝撃 ロシア原因の究明進まず (北海道新聞, 8/24)
》 電池式の蚊取り器、アースも提訴“緊張の夏” (読売, 8/23)
》 米IBM、ISSを13億ドルで買収、管理サービスを強化 (Enterprise Watch, 8/24)。うぉォッ! IBM ですか……。 関連: IBM、インターネット セキュリティ システムズを買収 -セキュリティー・ソリューションのリーダーとしてのIBMの地位を強化- (IBM, 8/24)
Honeyd 1.5b (honeyd.org)。特定の ARP パケットによって crash する欠陥が修正されている。 NVD: CVE-2006-4292。CVSS Severity: 2.3 (Low)
Norton DLL faking via 'SuiteOwners' protection bypass Vulnerability。Norton Personal Firewall 2006 version 9.1.0.33 (以前?) 話。 NVD: CVE-2006-4266。CVSS Severity: 3.3 (Low)
Kaspersky Anti-Hacker personal firewall unstealthy stealth mode。 Kaspersky Anti-Hacker 1.8.180 話。 NVD: CVE-2006-4265。 CVSS Severity: 1.9 (Low)
Firefox 1.5.0.6 クラッシュ話
[SA21515] Linux Kernel UDF Truncation Denial of Service。NVD: CVE-2006-4145。CVSS Severity: 2.3 (Low)。 Linux 2.6.17.10 で修正されている。
[SA21555] Linux Kernel SG Driver Denial of Service Vulnerability。 Linux 2.4.33.1 で直っているそうな。
[SA21563] Linux Kernel Uncleared HID0[31] Denial of Service。 Linux 2.6.17.9 で直っているそうな。
MS06-042 patch にさらなる副作用。 Windows XP SP2 / Server 2003 SP1 において、カスタム pop-up オブジェクトを使用している場合に IE 6 が crash する場合があるそうだ。サポートから hotfix を入手できる。
https://www.dellbatteryprogram.com/Default.aspx?LN=ja-JP ですが、先週はつながらなかったりしたこともあったようですが、今ではセキュリティ警告が出ることもなく接続できるようになったようです。笹部さん情報ありがとうございます。(先週のメールをいまごろ読んでいたりします……)
》 ウイルス検索エンジン VSAPI 8.310(Windows/Linux/Solaris版) 公開のお知らせ (トレンドマイクロ, 8/23)。明日 web 公開だそうです。Let's ヒトバシラー。
》 監査法人はIT統制をきちんと監査できるのだろうか (日経 IT Pro, 8/23)
》 100ドルPCプロジェクトのディスプレイ、どこが画期的なのか？ (ITmedia, 8/22)
》 スズキ・エブリイ（マツダ・スクラム（スズキのOEM））のバックドア不具合に 関するユーザーへの注意喚起 (国土交通省, 8/21)
》 エレベーター、安全装置の二重化を義務化へ 国交省 (asahi.com, 8/22)
社会資本整備審議会 / 建築分科会 / 建築物等事故・災害対策部会 のページには、中間報告は (まだ?) 上がっていないようです。 エレベーターワーキングチームの資料はなかなか興味深いなあ。
桐蔭横浜大学 コンプライアンス研究センター が Compliance Communications というメールマガジンを発行しているんですね。
》 みずほ証券、株誤発注で東証に４０４億円請求 (asahi.com, 8/22)
》 相次いで発覚した北海道の違法伐採 (JANJAN, 8/23)。そこらじゅうでやってるんですかね。
過去５年間で４４件もの違法伐採が行われていたということは、このような違法行為が常態化していたことをうかがわせます。
》 トム・クルーズ、「奇行」で契約打ち切りへ (asahi.com, 8/23)。宗教ですか……。
》 シュレッダーで幼児の指切断 経産省が注意呼びかけ (asahi.com, 8/23)
今年３月、２歳の女児が静岡市の自宅兼事務所でアイリス社製の「ＳＣＡ—４１０Ｄ」の紙投入口に過って両手を入れ、指９本を切断した。投入口にあるセンサーが紙を検知すると作動する仕組みで、センサーが女児の手に反応したという。
うわ……。
同社は事故を経産省に報告し、投入口の幅を約３ミリにする改良をしたという。やはり投入口の幅が広い計５機種約４万５０００台について、部品を無償で交換する。
参照: お知らせとお願い (アイリスオーヤマ, 8/23)
関連: シュレッダー：事故さらに４件 経産省、対策徹底呼び掛け (毎日, 8/23)
》 Windows XP SP1のセキュリティ・パッチは10月が最後，「XP SP2への移行を」 (日経 IT Pro, 8/23)
》 SMS Asset Management Feature Pack のリリース (ウィンドウズ開発統括部, 8/22)
》 「セキュリティポリシー策定企業は多くても、監査までしているのは15％」−ガートナー調査 (Enterprise Watch, 8/22)。個人的に興味深かったのはここ:
日本と米国ではセキュリティ監査の考え方に違いがあるという。米国では情報システム部の部長など特権ユーザーを中心に監査され、一般ユーザーのセキュリティ状況についてはログ分析などのツールを使って担保している。日本では逆に一般ユーザーたる従業員のセキュリティ教育などがメインであり、体制作りを主として行っているとのことである。
》 近い将来に起きるセキュリティ問題を先取りできるBlack Hat-J (MYCOM ジャーナル, 8/21)
》 違法・有害情報の通報窓口「ホットラインセンター」が対応状況を公表 (Internet Watch, 8/22)。2006.06〜07 の 2 か月間の内容。
》 Advisory: Scanning of Stuffit files by the Sophos Anti-Virus engine (Sophos, 8/22)。2006.09 版以降、Stuffit のサポートがなくなるそうです。
》 答えてねっと、「動かないコンピュータ」を受けてか、「状況説明」が公開されています。 Laut さん情報ありがとうございます。
今回の延期の理由は、実環境での 4 台のサーバーの CPU 稼働率が 100% に近い負荷で推移するというものでした。この原因を究明したところ、原因のひとつとしてあるプログラムのロジックにおいてループ処理が行われていることが判明しました。すでにこの問題は解決しており、テスト環境では正常動作することを確認いたしました。この他にも、システムに負荷をかける要因の調査と検証を行い、対応を完了いたしました。
とりあえず目処は立っているようでなにより。
今後は、8 月下旬から 9 月上旬にかけて本番サーバーに近い環境でのテストの実施を予定しています。
つまり、再開にはまだ 3 週間くらいはかかるということですか。
なお、今回の障害は Windows Server 2003、SQL Server 2005、ASP.NET 2.0に起因するものではございません。
とだけ言われても、容易に信じられるものではないですよね。
答えてねっとが安定稼動した際は、システム開発の観点から、今回学んだ内容をパートナー様および開発者の方と共有させていただく予定です。
これが重要になるでしょう。
旧環境での再開につきましては、開発スケジュールの遅れによって、バックアッププランが事実上なくなったためできなくなりました。これは、当社のプロジェクトの進め方の問題でした。この点については、今後に活かしていく反省の１つであります。
これはどう読めばいいんだろう。旧使用機器はレンタル期限切れで返してしまったので再開できなかった、とかいうパターンでしょうか。 「80%? 冗談じゃない、今のままでも新答えてねっとは 100% いけます! 足なんて飾りです」 とか言われたのを信じて返してしまったのかなあ。
関連: 長期ダウンの「答えてねっと」、原因はロジックのミス (日経 IT Pro, 8/22)
……匿名希望さんから (ありがとうございます):
答えてねっとの件ですが、
・本システムは外部パートナーに外注した
・事前のテスト環境では発現しなかった
・判明した原因とその対応策は事後広く公表します
・旧システムは契約が終了しているので旧システムでの早期再開は困難
・実環境に近い形でのパフォーマンステストを8末〜9初旬で行い、その結果元スケジュールを策定、公開します。
開発遅れたにも関わらず、旧システムの延長をしていなかった、ってのがだめっぽいです:(
》 情報漏えい対策 新技術開発へ (NHK, 8/23)
総務省では、情報が本来の所有者らの意思に反してネット上で流通するのを防ぐための新技術の開発に取り組む方針を固めました。具体的には、ネット上での流通を望まないことを示す目印を電子情報の中に埋め込んだうえで、この目印がついた情報は通信事業者らによってネット上から強制的に削除できるようにする技術などの開発をめざします。
要は電子透かし?
》 テスト用ウイルス作成は倫理に反するか？ (日経 IT Pro, 8/22)。テストデータを自分でつくるのは自然な発想だと思うし。
》 マイクロソフト，Windows Vistaのイメージ展開ツールを無償提供 (日経 IT Pro, 8/22)
BDD 2007を構成するツールには，ハードディスクのボリュームやパーティションを単一のイメージ・ファイルとしてコピーする「ImageX」，イメージ・ファイルを編集してアプリケーションやデバイス・ドライバを追加する「System Image Manager」，イメージ・ファイルをコピーする対象マシンをDVD-ROMやネットワーク経由でブートするための簡易版Windows 「Windows PE 2.0」などがある。
PE キターーーーーーーーーーーーーーーーー!!
》 不要になったPCを、あなたは正しく捨てていますか？ 今こそ、“PCライフサイクル管理”の再点検を (CIO)。レンタルやリースなら残らないので、こういう面でも安心ですね (データを消すとか元に戻すとかいう作業は必要でしょうが)。 一方で、単純に廃棄せず、いくばくかは「こんなこともあろうかと」モスボールして残しておくのも、それはそれで意味はあろうかと。 管理されていないのがいちばん問題なわけで。
あと、この項では「PCライフサイクル管理」としているけど、「プリンタ」を見逃しているような気がするなあ。最近のプリンタ、中身は PC だし。
》 922476 - An update is available that adds two links to the All Programs menu in Korean versions of Windows XP (Microsoft)。韓国の独占禁止法違反話への対応の模様。
Intel 製新ドライバに含まれる S24EvMON.exe がメモリリークするらしいです。
Well, over the weekend we noticed that software (S24EvMON.exe) installed with the driver seems to be leaky. It's eating tons of file handles and tons of memory - and it continues to grow!
IE 6 SP1 用の MS06-042 patch の改訂版のリリースは延期されました。 さらに悪いことに、MS06-042 patch + IE 6 SP1 で異常終了する事象は攻略可能であることが明らかにされています。
新 patch のリリースが中止されたこと、SA923762 には KB923762 の hotfix の話は一切記載されていないことを考えると、KB923762 hotfix では攻略可能な欠陥は防げないということかなあ。HTTP/1.1 を無効にする回避策を取ってお茶を濁したほうがよさそうです。
関連:
関連: 米Cloudmarkの迷惑メールフィルターで判定漏れ、BIGLOBEやOCNなどに影響 (Internet Watch, 2006.08.21)
》
“脅迫ウイルス”が増加中，PCのファイルを人質にして金銭を要求
(日経 IT Pro, 8/22)。ラドン Panda もそうだそうだと言っています。
》 地方公共団体情報セキュリティポリシー・ガイドライン（案）意見募集 (武田圭史, 8/22)
》 最近のglibcではatexit関数やjmp_bufを狙った攻撃は効かない (PTR_MANGLE) (memologue, 8/20) (info from 葉っぱ日記)。
》 Mocbotを追え——ボットネット調査が浮き彫りにする攻撃者の狙い (ITmedia, 8/21)。関連:
CWSandbox: Automatic Behaviour Analysis of Malware というサイトがあるのですね。
》 Honeypot Compromises analysis (tessyの日記, 8/22)。事例が 3 つ。
》 SSH サービスに対する攻撃について (@police, 8/17)。brute force ねた。
》 情報セキュリティ試験、初回は「狭き門」に (@IT, 8/22)
関連: セキュリティ問題を修正したPHP 5.1.5/4.4.4公開 (MYCOM ジャーナル, 2006.08.22)。
一太郎 for Linux セキュリティ更新モジュール (ジャストシステム) 出ました。
実は 0-day じゃなかったそうです。
securiteam blog の記事はアップデートされて、Microsoft PowerPoint 0-day Vulnerability FAQ - August 2006, CVE-2006-4274 [UPDATED] (securiteam blog) と、CVE 番号まで取得されていたようなのですが、実は 0-day ではない、ですか。
》 ソープ再処理工場の漏えい事故で 英国原子力グループ（ＢＮＧ）に２００万ポンド（約４億円）の罰金 (美浜の会, 8/21)
》 岩手県にもいっさい知らせることなく頻繁に海洋へ放射能放出 海洋へのトリチウム放出の実態(４〜６月分) (美浜の会, 8/15)。これからもどんどん出ます、多分。
》 ネットで取り引きされる「フィッシング構築キット」や収集した個人情報 (日経 IT Pro, 8/21)
》 答えてねっと、ついに日経コンピュータ名物「動かないコンピュータ」のネタになってしまったのですね。「処理性能に起因する問題」「負荷分散装置やソフトウェア、ネットワークなど、多方面に問題があるようで、原因を特定できていない」ですか……。
それにしても、そこまで深刻な問題になっているのなら、どうして旧システムを再起動しないのだろう。結局のところ、答えてねっとは止めても問題ないサービスということなのだろうか。
》 Internet Explorer 7 ベータ 2 アンインストール ツールキット (Microsoft)
》 Ontrack Now: ATA RAID5 の落し穴 (Ontrack, 5/15)
Unrecoverable Read Error Rate(修復不能リードエラー発生率)
ATA 1014 ビット（１万ＧＢ）のアクセスに付き１回
SCSI 1015 ビット（１０万ＧＢ）のアクセスに付き１回
これは、セクターに与えられているＥＣＣ(Error Correcting Code)のビット数が１ビット異なるためのものですが、これでＡＴＡ ＨＤＤの信頼度は１桁低い事になります。
２５０ＧＢ〜７５０ＧＢといったＳ-ＡＴＡ ＨＤＤでは上記のＥＣＣレートからの単純計算では、１ドライブの全セクタアクセスを行うと４０回に１回〜１３.３回に１回リードエラーが起きる可能性があるという事になります。 これを複数台組み合わせるＲＡＩＤではその台数分率が落ちますね。 ２桁の確率は逆にいつでも障害が起こりえる状態といってもよいでしょう。
うひゃあ、そういうことだったのか……。 (澤田さんのご指摘を受けて修正: ありがとうございます)
半径 5m 以内で動いている EMC なファイルサーバシステムの 1 つは primary = SCSI, backup = ATA な構成なのですが、ATA 側でだけ、ちょくちょく disk がイカれているようです。もちろん EMC なので 24x7 で監視されており、イカれると爆速でメンテされたりするわけですが。
関連: 安価＆大容量ディスクサブシステムに欠かせないデータ保護技術「RAID 6」 (Enterprise Watch, 2005.05.09)
》 ＬＥＤ信号機：ドライブレコーダーに同調 新鋭機器に盲点 (毎日, 8/20)。どう考えても単なる不具合なので、レコーダーメーカーがとっとと直すべき話だと思うけどなあ。インフラ側 (信号機) を変えるというのはあり得ないでしょう。
関連: LED信号機の盲点 (slashdot.jp, 8/19)。どうしてこういうタイトルになるのだろう。「ドライブレコーダーの盲点」でしょうに。
》 脆弱なRFIDタグが電波信号的に複製される件を伝える報道映像がYouTubeに (高木浩光＠自宅の日記, 8/19)
》 第０９回まっちゃ１３９勉強会関連。
64bit 版 Windows Server 2003 SP1 + MS06-040 patch で副作用があり、対応 patch をサポートから入手できるそうです。
この問題は、64 ビット版のオペレーティング システムで、WOW64 環境で実行されている 32 ビットアプリケーションにより大量の連続メモリの割り当てが要求された場合に発生します。ネイティブの 64 ビットアプリケーションは、この問題の影響を受けません。
富士通製 Note PC に対する修正プログラムが公開されています。
また、日立からも案内が公開されています。
関連: JVNVU#824500: Intel 2100 PRO ワイヤレスネットワークドライバにおけるメモリ破損の脆弱性 (JVN)
BIGLOBEの迷惑メールフィルタに障害発生 (slashdot.jp, 2006.08.19) によると、OCN でも同様だった模様 (#1000337, #1000378)。
また、8/20 08:00 の段階で前倒し対応されたそうです。
匿名希望さんから (情報ありがとうございます):
Cloudmarkのフィルタのデータ更新にはカートリッジの更新(3〜6ヶ月おき)と５分おきのマイクロアップデートの２種類がありまして、biglobeさんの不具合への対応の記述を見ると「新しいフィルタを追加した」とか書いてますが、クラウドマーク製品から切り替えたとは書いていないし、どうみてもあわててカートリッジの更新をしただけのように見えます。
カートリッジには判定ヒューリスティックアルゴリズムのセットが入っており、マイクロアップデートのデータはその組み合わせパターンの小さなデータですので、カートリッジが古いままだと判定がコケるのは当たり前です。
ちなみに同じフィルタを使用しているウチのサービスではそんな現象起きてないんですが問い合わせは発生してます。非常に迷惑な話ですが、Sendmail社やCloudmark社には実は何も落ち度はないと思います。
つまり、BIGLOBE も So-net も OCN も、カートリッジの更新をサボっていただけ?! (中の人がいたらこっそりおしえてください)
一太郎の未知の脆弱性を悪用した不正なプログラムの実行危険性について (ジャストシステム) が改訂されていた。
その他の対象となる一太郎シリーズのモジュールにつきましては、本日（8月21日）午後に公開する予定です。
まもなく登場するらしい。……出ました (齋藤さん情報ありがとうございます):
この他に一太郎 for Linux にも欠陥があるが、上記更新モジュールでは対応されていない。8/22 (明日) 対応予定だそうだ。
「ふつー 0-day」時代ってことですかねえ。関連: Microsoft PowerPoint 0-day Vulnerability FAQ - August 2006, CVE-2006-nnnn (securiteam blog)
実は 0-day じゃなかったそうです。
securiteam blog の記事はアップデートされて、Microsoft PowerPoint 0-day Vulnerability FAQ - August 2006, CVE-2006-4274 [UPDATED] (securiteam blog) と、CVE 番号まで取得されていたようなのですが、実は 0-day ではない、ですか。
開いた .zip の中にある「警察庁電子申請・届出システムセットアップ.exe」のアイコンをドラッグしてウィンドウの外に出して起動すると、署名がないとの警告が出ない。
誰でもふつうに行ってしまう操作で ZoneID が消えてしまう (というか、継承されない) のですから、 どっちかというと Explorer の不具合だと思うけど……。 Vista では直っているのかなあ。
ふとぐぐってみると、ZoneID 関係のソフトがいろいろあるのですね。
》 Eyeballing Submarine Magnetic Silencing Facilities (cryptome)
》 プール点検：宮城県教委が虚偽報告 防止金具全校で設置と (毎日, 8/19)
県教委によると、文科省の指示を受けた施設整備課が２日付で調査を通知。吸い込み防止金具について多数の「なし」「不明」の回答があったが、０３年の前回調査では全校で設置されていたことから、同課は「調査精度が低い」と判断し、うその報告をしたという。
ふつうは直近の調査結果の方を優先すると思うのだが……。注目度が高まっている中での調査なのだし。
》 東北大学大学院での情報教育の実態 (崎山伸夫のBlog, 8/19)
》 Windows Vista のセキュリティテスト (ウィンドウズ開発統括部, 8/18)
》 BlackLight Command Line (F-Secure blog, 8/18)。コマンドプロンプトなあなたに。
でもこういうのって、USB メモリ Linux とかから Linux 版の F-Secure AntiVirus を動かした方が早かったりするんだろうか。 (ライセンス的にはどうなんだろう……)
Cloudmark Authority を採用している BIGLOBE の迷惑メールブロックサービスにおいて判定もれが発生。 「既存のパターンに合致しない」spam メールが大量に届いている模様。 Cloudmark Authority は
同社の迷惑メール判定ソフト「SafetyBar」のユーザー120万人(SpamNetコミュニティ)から収集されるサンプルを基に、頻繁に姿を変える迷惑メールでも平均5分での対応・対策を可能にするという。
というのがウリなのだそうだが、今回の件については
(1)現状の判定エンジンでは対応できない、新たなパターンの迷惑メールが大量に発生しており、その判定もれメールに対する申告が判定エンジンに反映されていない
(中略)
(1)に対しては、判定エンジンに新たなフィルタを追加することで対応できる見込みです。現在、フィルタのテストを実施しています。新たなフィルタの提供は、8/21に実施いたします。
と、期待を大きく裏切る結果となっている模様。 ユーザから見たら、「8/21 ってオイオイ、明日もまだこのペースで spam 届くのかよ……」 だしなあ。さらに、
(2)従来まで迷惑メールと判定されたが、迷惑メールと判定されないメールがある
(中略)
(2)に対しては、現在も引き続き原因調査中です。状況がわかり次第、情報を公開いたします。
うーむ……。
BIGLOBE の他、so-net でも同様事例になっている模様。
"業界随一の検出率"と"ゼロタイム・プロテクション"を誇る Cloudmarkのスパム/フィッシング/ウィルス対抗技術の仕組みとベンチマーク結果 (CNET) を見ると、
日本でもNEC Biglobe, NTT OCN, So-net など、業界トップ8社のプロバイダーの内、すでに7社がCloudmark を選択しています。
と書かれているのですが、OCN さんはだいじょうぶなんですかね……。 国内大手ISのスパムフィルタはほぼ二極化 (Internet Week 2005 - 快適なメール環境を維持するためのメールサーバ構築 後半) だそうですが。
で、 一部迷惑メールの判定もれが発生中を見ると、お怒りのユーザ様が多数トラックバックしていらっしゃいますが、サーバサイドにだけ頼るのがそもそも間違ってると思うし。
itochan さん情報ありがとうございます。関連:
BIGLOBEの迷惑メールフィルタに障害発生 (slashdot.jp, 2006.08.19) によると、OCN でも同様だった模様 (#1000337, #1000378)。
また、8/20 08:00 の段階で前倒し対応されたそうです。
匿名希望さんから (情報ありがとうございます):
Cloudmarkのフィルタのデータ更新にはカートリッジの更新(3〜6ヶ月おき)と５分おきのマイクロアップデートの２種類がありまして、biglobeさんの不具合への対応の記述を見ると「新しいフィルタを追加した」とか書いてますが、クラウドマーク製品から切り替えたとは書いていないし、どうみてもあわててカートリッジの更新をしただけのように見えます。
カートリッジには判定ヒューリスティックアルゴリズムのセットが入っており、マイクロアップデートのデータはその組み合わせパターンの小さなデータですので、カートリッジが古いままだと判定がコケるのは当たり前です。
ちなみに同じフィルタを使用しているウチのサービスではそんな現象起きてないんですが問い合わせは発生してます。非常に迷惑な話ですが、Sendmail社やCloudmark社には実は何も落ち度はないと思います。
つまり、BIGLOBE も So-net も OCN も、カートリッジの更新をサボっていただけ?! (中の人がいたらこっそりおしえてください)
関連: 米Cloudmarkの迷惑メールフィルターで判定漏れ、BIGLOBEやOCNなどに影響 (Internet Watch, 2006.08.21)
ジャストシステムにもありました:
BeatJamの[CD情報の取得]、[曲情報をGracenote音楽認識サービスから取得]で利用する Gracenote音楽認識サービスにおけるセキュリティの問題について (ジャストシステム, 2006.06.28)
》 無料のウイルス検出／除去ツール（Windows Live OneCare PC セーフティ）を活用する (@IT, 8/19 更新)
》 急増する不正アクセスが狙うのは「管理の甘いパスワード」——警察庁 (ITmedia, 8/18)
》 マイクロソフト、Windows XP SP2のオーディオ修正パッチ (PC Watch, 8/18)
》 スウェーデンのフォルスマルク１号電源喪失事故（７月25日）について（簡報） (原子力資料情報室, 8/5)。 メルトダウン寸前の重大事故だった模様。
》 昨日このページにうまくつながらなかった件なのですが、
というストーリーだった模様です。_o_
理工学部的には「瀬田学舎にも緊急用の回線は必要です」という話をしていたのですが、見事に実証されてしまいました。というわけで、これでもうちょっと話が進むかなあ。
》 手元で利用していた SocksCap32 の期限が切れそうになってきていたので、 FreeCap 3.18 に乗りかえた。 このへんを見る限りではインストーラ版の方が幸せになれそうだったので、そうした。 とりあえず、つながる事は確認。
》 Assessment of Vista Kernel Mode Security (Symantec)
》 経産省、インターネットショッピングのトラブルを防ぐための教材を公開 (Internet Watch, 8/17)
》 Manage more than one WSUS Servers from one console window. (WSUS Product Team Blog, 8/17)。WSUS 3 ねた。
》 FTP/HTTP アップデートサイトにアップロードされるDAT/Engineの変更について (マカフィー, 8/17 更新)。 5.1.00 エンジンへの移行が延期されているようです。 Cynos さん情報ありがとうございます。 ここまで来て show stopper が出た〜、なんてことじゃなければいいのですが。
》 第０９回まっちゃ１３９勉強会のご案内 。 2006.09.16、京都府京都市、2000円。
》 フィッシング進化論 日本銀行 インターネットバンキングの安全性を巡る現状と課題 (まるちゃんの情報セキュリティ気まぐれ日記, 8/17)
Xsan Filesystem 1.3 (以前?) の Xsan Filesystem driver に欠陥があり、 攻撃者がファイルシステムを crash させたり、任意のコードを実行させたりできる。 CVE: CVE-2006-3506
Xsan Filesystem 1.4 で修正されている。
一太郎 9 以降に未知の欠陥があり、攻略一太郎ファイルを開くと任意のコードが実行される。これを利用した攻撃が既に実行されている。 Trojan.Tarodrop (Symantec) にはこうある:
Exploits an undocumented Vulnerability using a malformed unicode string in the Justsystem Ichitaro Office Suite once the attached document is viewed.
外部から届く一太郎ファイルには注意されたい。 まあ、今どきは何でも注意しないとマズいのですが。
…… ジャストシステムから、今回の欠陥の情報と、一太郎 2005 / 2006 用のアップデートモジュールが公開されました:
一太郎 9 〜 一太郎 2004 についてはまだ更新モジュールがありません。 また、一太郎ビューワには今回の欠陥はないそうだ。
関連:
一太郎の未知の脆弱性を悪用した不正なプログラムの実行危険性について (ジャストシステム) が改訂されていた。
その他の対象となる一太郎シリーズのモジュールにつきましては、本日（8月21日）午後に公開する予定です。
まもなく登場するらしい。……出ました (齋藤さん情報ありがとうございます):
この他に一太郎 for Linux にも欠陥があるが、上記更新モジュールでは対応されていない。8/22 (明日) 対応予定だそうだ。
一太郎 for Linux セキュリティ更新モジュール (ジャストシステム) 出ました。
ColdFusion MX 7.0.1 / 7.0.2 に欠陥。 AdminAPI の利用には認証が必要だが、それを回避する方法がある模様。 CVE: CVE-2006-3979
patch があるので適用すればよい。
APPLE-SA-2006-08-09 Security Update 2006-004 for Mac Pro。 新製品 Mac Pro 用だそうです。
Multimedia Archives に大量のドキュメントが……。
関連:
IBM / Lenovo のワークステーションや Note PC に付属する eGatherer ActiveXコントロールに欠陥。buffer overflow する欠陥があり、攻略 web ページから任意のコードを実行可能。高橋さん情報ありがとうございます。
eGatherer ActiveX control (3.20.0284.0) で修正されている……というが、日本語 OS 上で動作させていいのかとかはいまいち不明。
すずきさんから (情報ありがとうございます)
元々プリロードされていたもの ( C:\WINDOWS\system32\IbmEgath.dll ) のプロパティ表示にある言語が「英語 (米国)」だったので、まんま上書きしてしまいました。
2週間たちますが今のところ問題は出てないです。
》 ユーザー企業はベンダーの胸底に気付いている (日経 IT Pro, 8/9)
》 MMORPG「ローズオンライン」、不正アクセスで会員情報が流出した可能性 (Internet Watch, 8/8)
》 パロマ事故で募る危機感、「ガス離れ」の引き金に (日経 BP, 8/9)
》 Ａ級戦犯問題を「論理思考」で考察する (日経 BP, 8/9)
》 第７回 セキュリティもみじ セミナー。 2006.08.26、広島県広島市、一般2500円。
》 緊急警報信号／緊急警報放送 (日経 IT Pro, 8/9)
》 「首都大地震 見過ごされてきた危険」（仮） (NHK スペシャル)。9/1 放送予定。
》 AOL、ユーザーの検索データ“公開”で非難の的に (ITmedia, 8/8)
》 Feed Injection in Web 2.0: Hacking RSS and Atom Feed Implementations (SPI Labs)
CVE-2006-4124: The libXm library in LessTif 0.95.0 and earlier allows local users to gain privileges via the DEBUG_FILE environment variable.
Official Statement from Red Hat (8/16/2006)
LessTif is shipped with Red Hat Enterprise Linux 2.1 but not 3 or 4. On Enterprise Linux 2.1 we build LessTif with debugging disabled, so the DEBUG_FILE environment variable is ignored and this issue cannot be exploited.
関連: [SA21428] LessTif "DEBUG_FILE" Privilege Escalation Vulnerability
SYM06-014: Symantec Backup Exec for Windows Server ： RPC インターフェース・ヒープ・オーバーフローによりアクセス権を持つユーザに特権昇格の可能性 (シマンテック)。HotFix があるので適用すればよい。 CVE: CVE-2006-4128
04WebServer 関連:
v1.84 で修正されています。
Security Update for 0.91 (Owl Intranet Knowledgebase)
MITKRB-SA-2006-001: multiple local privilege escalation vulnerabilities 。 CVE: CVE-2006-3083 CVE-2006-3084。 MIT krb5-1.5.1 / krb5-1.4.4 で修正されている。 また 1.5 / 1.4.3 用の patch が用意されている。
Drupal 方面
[SA21411] Novell GroupWise WebAccess Cross-Site Scripting Vulnerabilities
[ GLSA 200608-12 ] x11vnc: Authentication bypass in included LibVNCServer code。 CVE: CVE-2006-2450
[SA21393] x11vnc Authentication Bypass Vulnerability。0.8.2 で直っているそうです。
eTrust Antivirus WebScan 方面
PHP: Zend_Hash_Del_Key_Or_Index Vulnerability (hardened-php.net)。深いところに欠陥があるようで。
We strongly recommend that everyone upgrades to the latest PHP versions 4.4.3 and 5.1.4 to be protected against this vulnerability. Additionally as usual we recommend to use our PHP Hardening-Patch, because it automatically protects against a lot of unknown vulnerabilities.
php local buffer underflow could lead to arbitary code execution、 [SA21403] PHP "sscanf()" Code Execution Safe Mode Bypass。 CVE: CVE-2006-4020
windows meta file (WMF) denial of service exploit
[SA21369] Linux Kernel Ext3 Invalid Inode Number Denial of Service。 CVE: CVE-2006-3468
Rails 1.1.6 で直っている模様。 patch もあるそうです。
関連: セキュリティ問題を修正したPHP 5.1.5/4.4.4公開 (MYCOM ジャーナル, 2006.08.22)。
PHP 5.1.5 ねた CVE: CVE-2006-4481 CVE-2006-4482 CVE-2006-4483 CVE-2006-4484 CVE-2006-4485
SYM06-014: Symantec Backup Exec for Windows Server ： RPC インターフェース・ヒープ・オーバーフローによりアクセス権を持つユーザに特権昇格の可能性 (シマンテック) 関連:
SONY VAIO に付属する、VAIO Media Platform Ver.1.0〜Ver.2.5 / VAIO Media Integrated Server Ver.2.6〜Ver.5.0 に欠陥。 buffer overflow やディレクトリトラバーサルといった欠陥がある。
修正 patch があるので適用すればよい。
SONY SonicStage Mastering Studio Ver.1.0 〜 Ver.2.2 に欠陥。 攻略プロジェクトファイルによって buffer overflow が発生、任意のコードを実行可能。
修正 patch が用意されているので適用すればよい。関連:
Webブラウザは穴だらけ？ (日経 IT Pro, 8/9)
詳細が公開されました:
IE 6 SP1 用の MS06-042 patch の改訂版が 8/23 (日本時間) に公開されるそうです。
》 Announcing the release of WSUS 3.0 beta 2 public beta (WSUS Product Team Blog, 8/14)
》 高まるOpenOfficeのセキュリティ・リスク (Open Tech Press, 8/15)。過度な期待はよせ、というだけの話のような気がするのだけど……。
関連: Analyse du risque viral sous OpenOffice.org 2.0.x Les virus OOv_x (sstic.org)
》 サイトの危険度を赤・黄・青で示すツールバー「SiteAdvisor」が日本語対応 (Internet Watch, 8/10)
》 PC のウイルス駆除とチューンアップを行う Windows Live(TM) OneCare PC セーフティを無料で提供開始 (Microsoft, 8/15)
》 SELinuxの最新動向 (6) 新しく追加されたMulti Category Security (@IT, 8/15)
》 消費者金融：１０社借り手に生命保険 死亡時受け取り人に (毎日, 8/15)。債務者を自殺させるとトクなわけですか。
一方、消費者金融の生保加入は、本人が契約自体をほとんど知らないことに加え、保険金が遺族を素通りして業者に支払われる。死因が十分審査されない場合もある。しかも利息制限法を超えて本来は支払わなくていい「債務」が含まれていても、業者の「言い値」で保険金が下りる。消費者金融側は「債務者の遺族に負担をかけないための保険」と主張するが、命の「対価」に本人や遺族がかかわらない仕組みは正常とは言い難い。
この保険は契約から１年経てば自殺の場合も支払い請求できる。過酷な債権回収ノルマがあるとされる業界で、保険を「最後のとりで」として厳しい取り立てを誘発するという指摘もあるが、保険の支払い件数や金額、自殺者の割合は公表されていない。
サイバーな「反応」が予想されるので、気をつけませう。
先頃発生した 2 件の発火事例 (その1、 その2) への対応でしょうか。対象機種は以下のとおり:
- Latitude: D410、D500、D505、D510、D520、D600、D610、D620、D800、D810
- Inspiron: 500M、510M、600M、700M、710M、6000、6400、8500、8600、9100、9200、9300、9400、E1505、E1705
- Precision: M20、M60、M70、M90
- XPS: XPS、XPS Gen2、XPS M170、XPS M1710
DELL 製 note PC を利用している場合は、 バッテリの自主回収を参照して、 バッテリーが回収対象か否かを確認しましょう。……しかしこのページ、 web サーバの設定が悪いのか、手元の Windows 2000 SP4 + IE 6 SP1 / Firefox 1.5.0.6 からアクセスするとセキュリティ警告が出ますね。 Opera 9.0.1 は警告が出ません。Firefox の場合は、事前に https://certificates.starfieldtech.com/repository とかにアクセスしておくと、セキュリティ警告は出なくなります。
この自主回収のウェブサイトに関してご不明な点等がある場合は、1-866-342-0011 までお問い合わせください。
日本には問いあわせ先がないのか? US だと、トップページの下の方のメニューのいちばん左に「Battery Recall」 にあるけど、日本の DELL にはないしなあ。
……ノートブックPC用バッテリの自主回収について (DELL) が出てました。0120-198-437 に電話できるようです (笹部さん情報ありがとうございます)。 セキュリティ警告の件について電話してみるかなあ。 日本の DELL のメニューにも 「バッテリの自主回収」がつきました。
関連: 電池供給のソニーにダメージも デルＰＣのリコール (asahi.com, 2006.08.15)
充電池の製造元であるソニーも同日、不具合を認めた。同社によると、微小な金属片が製造過程で電池内に混入し、パソコン側の充電システムにつなげると、ごくまれに電池内でショートした状況になり、過熱・発火する場合があるという。
(中略)
問題の充電池は、小型ながら高い電圧が得られるリチウムイオン電池。ソニーはこの電池を子会社ソニーエナジー・デバイス（福島県郡山市）で製造している。国内２カ所、中国１カ所の工場は工程の大半を自動化。「出荷前の電池の動作テストでは異常がなかった。事故を受け、金属片の除去工程を増やした」（同社）という。
こうした見方に対し、国内電池メーカーで構成する社団法人電池工業会（本部・東京）は「異物混入は最も避けねばならず、ゆゆしき問題だ。品質管理は二重三重にやるのが普通だ」とソニーの検査態勢に首をかしげる。近く同社に直接事情を聴く方針だ。
関連:
関連:
https://www.dellbatteryprogram.com/Default.aspx?LN=ja-JP ですが、先週はつながらなかったりしたこともあったようですが、今ではセキュリティ警告が出ることもなく接続できるようになったようです。笹部さん情報ありがとうございます。(先週のメールをいまごろ読んでいたりします……)
関連:
バッテリのリコールまとめ (allabout)
つづき: SONY 製バッテリ方面
》 【Watcherが薦めるこの一冊】Rootkits: Subverting the Windows Kernel (日経 IT Pro, 8/14)。
Windows Kernel Rootkitに関する最新テクニックのすべてが詰め込まれた一冊です。OS技術に関する基礎知識と、C言語およびアセンブリ言語に関する知識があれば読み進められます。
うぅ、そのハードル越えられないし…… orz
電力中央研究所の谷口治人・システム技術研究所長によると、変電所で２７万５０００ボルトに電圧を落とした後は、「放射状運用」という、川の上流から下流に枝分かれしながら電力が流れる一方通行のシステムになっている。この段階で今回のような事故が起きれば、事故地点より下流はすべて、いったん停電するしかないという。「テロのように意図的に切ろうとすれば、同様のことが起こりえる」と指摘する。
これらのケースは、自家発電設備の容量が不十分だったことなどが原因だ。電力中央研究所は、「製造業は最近、燃料の重油高騰で自家発電から電力会社の電力に比重を移す傾向もある」としており、自家発電のコストと危機管理をどう調和させるかも課題といえそうだ。
MS06-042 patch (918899) の適用後、Windows 2000 SP4/XP SP1 の IE 6 SP1 において、HTTP 1.1 を使用し、かつ圧縮を使用するサイトを閲覧すると、IE が落ちるという話があるそうです。
具体的には、たとえば YouTube の検索やベクターからのダウンロードにおいて発生するようです。 手元の IE 6 SP1 でも発生しました。
KB923762 には
と記載されていますが、この他に、
ようです (情報源: Microsoft Updateしたときにageるスレ 25 (2ch.net))。QFE 版修正プログラムのインストール方法については、897225 - Internet Explorer 6 Service Pack 1 用の累積的なセキュリティ更新プログラムに含まれる修正プログラムをインストールする方法 (Microsoft) を参照。手元の Windows 2000 SP4 において QFE 版修正プログラムを試したところ、 ベクターからのダウンロードで crash しないことを確認しました。 なお、GDR 版と QFE 版の違いについては、 同じセキュリティ・パッチを適用したのに修正ファイルのバージョンが違う (日経 IT Pro) を参照してください。
MS06-040 の PoC コードが公開された他、MS06-040 を突く bot も登場しているそうです。
また、eEye から MS06-040 用の無償スキャンツールが公開されています。 高橋さん情報ありがとうございます。
SquirrelMail 1.4.0 〜 1.4.7 に欠陥。compose.php に欠陥があり、 login したユーザが、他のユーザの preferences や添付ファイルを読み書きできてしまう。CVE: CVE-2006-4019
SquirrelMail 1.4.8 で修正されている。また patch が用意されている。
》 Windows XP/2003のTCP同時接続数制限とその回避 (日経 IT Pro, 8/12)。eEye 鵜飼さんによる、接続制限回避ツール BIOT の紹介。高橋さん情報ありがとうございます。
思い出したシェルスクリプト:
adb -w -k /vmunix /dev/mem << EOF udp_cksum?W1 udp_cksum/W1 EOF
MS06-040 〜 MS06-051 の 12 個。
patch があるので適用すればよい……のですが、うわー DNS ねた (MS06-041) ですか……。
MS06-042 patch (918899) の適用後、Windows 2000 SP4/XP SP1 の IE 6 SP1 において、HTTP 1.1 を使用し、かつ圧縮を使用するサイトを閲覧すると、IE が落ちるという話があるそうです。
具体的には、たとえば YouTube の検索やベクターからのダウンロードにおいて発生するようです。 手元の IE 6 SP1 でも発生しました。
KB923762 には
と記載されていますが、この他に、
ようです (情報源: Microsoft Updateしたときにageるスレ 25 (2ch.net))。QFE 版修正プログラムのインストール方法については、897225 - Internet Explorer 6 Service Pack 1 用の累積的なセキュリティ更新プログラムに含まれる修正プログラムをインストールする方法 (Microsoft) を参照。手元の Windows 2000 SP4 において QFE 版修正プログラムを試したところ、 ベクターからのダウンロードで crash しないことを確認しました。 なお、GDR 版と QFE 版の違いについては、 同じセキュリティ・パッチを適用したのに修正ファイルのバージョンが違う (日経 IT Pro) を参照してください。
MS06-040 の PoC コードが公開された他、MS06-040 を突く bot も登場しているそうです。
また、eEye から MS06-040 用の無償スキャンツールが公開されています。 高橋さん情報ありがとうございます。
IE 6 SP1 用の MS06-042 patch の改訂版が 8/23 (日本時間) に公開されるそうです。
64bit 版 Windows Server 2003 SP1 + MS06-040 patch で副作用があり、対応 patch をサポートから入手できるそうです。
この問題は、64 ビット版のオペレーティング システムで、WOW64 環境で実行されている 32 ビットアプリケーションにより大量の連続メモリの割り当てが要求された場合に発生します。ネイティブの 64 ビットアプリケーションは、この問題の影響を受けません。
IE 6 SP1 用の MS06-042 patch の改訂版のリリースは延期されました。 さらに悪いことに、MS06-042 patch + IE 6 SP1 で異常終了する事象は攻略可能であることが明らかにされています。
新 patch のリリースが中止されたこと、SA923762 には KB923762 の hotfix の話は一切記載されていないことを考えると、KB923762 hotfix では攻略可能な欠陥は防げないということかなあ。HTTP/1.1 を無効にする回避策を取ってお茶を濁したほうがよさそうです。
MS06-042 patch にさらなる副作用。 Windows XP SP2 / Server 2003 SP1 において、カスタム pop-up オブジェクトを使用している場合に IE 6 が crash する場合があるそうだ。サポートから hotfix を入手できる。
みなさんとっくにご存知でしょうが、IE 6.0 SP1 用の新 patch が 8/25 付で出ています。新しくなったのは IE 6.0 SP1 用だけです。
eEye Advisories: Internet Explorer 圧縮コンテンツURLヒープオーバーフロー脆弱性 (eEye / SCS, 2006.08.24)。報告日は 2006.08.17 です。高橋さん情報ありがとうございます。
NSFOCUS SA2006-08 : Microsoft IE6 urlmon.dll Long URL Buffer Overflow Vulnerability
MS06-042 の再リリース (その２) (日本のセキュリティチームの Blog, 2006.08.25)
今回の MS06-042 (V2) を適用することで、モジュールのバージョンとしては、MS06-042 (V1) + 修正プログラム (Hotfix) 923762 (KB 923762) と同じになります。そのため、Microsoft Update/Auto Update では、Hotfix 923762 を適用している環境には MS06-042 (V2) は配信されません。MS06-042 (V1) のみを適用している環境には、MS06-042 (V2) が配信されます。
なんだ、hotfix でよかったのか……。
あと、延期の原因に関する議論が提起されているようです。
SMS で不具合が出るからといって、SMS を利用していない人までもが patch を待たされた、ということになりますからねえ……。
Windows カーネルの脆弱性により、特権が昇格される (920958) (MS06-049) の patch を適用すると、NTFS 圧縮したファイルが壊れるという現象が報告されている。
手元の Windows 2000 SP4 + 920958 + NOD32 2.50.42 な PC 互換機で、 109 と同様のことをやってみた。
やってみると、確かに異なるファイルがみつかった (例: 左が NTFS 圧縮なもの、右が CD のもの。表示に使っているのは HashTab Shell Extension)。これはまずいよね。
MS06-049 patch (920958) をアンインストールすれば欠陥を回避できるが、壊れたファイルは戻らない。
MS06-051 patch (917422) についても、複数の不具合事例があるようだ。
あと、MS06-049 話については こちらにまとめておいた。
MS06-049 副作用話、ようやく official 情報が出ました。いまのところは、情報告知だけです。
まとめページも更新しておきました。
MS06-042 patch が再び改訂されました。
Internet Explorer 用の累積的なセキュリティ更新プログラム (918899) (MS06-042)
2006 年 9 月 13 日、「長い URL のバッファ オーバーフロー」- CVE-2006-3873 で説明されている脆弱性を解決するために、このセキュリティ情報および Internet Explorer 6 Service Pack 1、Internet Explorer 5.01 Service Pack 4 および Windows Server 2003 用 の Internet Explorer 6 のセキュリティ更新プログラムを更新しました。Internet Explorer のこれらのバージョンをご使用のお客様は、新しい更新プログラムを直ちに適用してください。
CVE-2006-3873 より引用:
Heap-based buffer overflow in URLMON.DLL in Microsoft Internet Explorer 6 SP1 on Windows 2000 and XP SP1, with versions the MS06-042 patch before 20060912, allows remote attackers to cause a denial of service (crash) or execute arbitrary code via a long URL on a website that uses HTTP 1.1 compression, due to an incomplete fix for CVE-2006-3869.
CVE-2006-3869 の修正が不完全だったのですね。
MS06-040 patch が改訂されました。
Server サービスの脆弱性により、リモートでコードが実行される (921883) (MS06-040)
2006/09/13: このセキュリティ情報ページを更新し、サポート技術情報 924054 に記述されている Microsoft Windows Server 2003 Service Pack 1 および Microsoft Windows XP Professional x64 Edition に影響を及ぼす問題を解決するための改訂版のセキュリティ更新プログラムをリリースしたことをお知らせしました。
MS06-049 話、サポートから Hotfix を入手できるようになった模様です。
925308 には
Therefore, if you are not severely affected by this problem, we recommend that you wait for the next version of security update 920958 that contains this hotfix.
とありますので、もうしばらくすると 920958 の新版も登場するはずです。 関連: Known Issue Documented for MS06-049 (MSRC blog, 2006.9.15)
MS06-049 patch の hotfix が、一般にダウンロードできるようになっています。 フロートさん情報ありがとうございます。
加えて、923996 - カスタムポップアップオブジェクトを使用する Web ページにアクセスすると、Internet Explorer 6 が突然終了する (Microsoft) の hotfix も一般にダウンロードできるようになっています。 フロートさん情報ありがとうございます。
MS06-049 話だが、 ■□NTFSですな？いまだにFATですか？□■ (2ch.net) がすごいことになっている。 なんと、「壊れた」ファイルを読み出す方法がみつかったそうなのだ。 さらに、それを元にしてバグの原因を解析してしまっている。 hyou さん情報ありがとうございます。
すげぇ。まとめると、以下の方法で壊れたファイルを修復できるらしい:
MS06-049 修正プログラムの改訂版、出ました。
でも、壊れたファイルを所有している場合は、適用前に、FreeBSD とかから読んでバックアップしておいた方がいいと思うし。
WINDOWS スタック防御の失敗：WIN 2k3 SP0上のMS06-040 (zone-h.jp, 2006.09.27)
MS06-051 副作用話、サポートから patch を入手できるようになった模様です。
MS06-042 patch に不具合があるそうです。
Windows XP / Server 2003 + IE 6 な環境でしか発生しないそうです。 このプラットホームでは今後は IE7 推奨なのでしょうから、 Microsoft にありがちな「移行推進バグ」なのかもしれませんね。
》 「Webのヒーロー」は誰だ？ (ITmedia, 8/8)。日本だと、ジャックはカロリーメイトを食べているイメージの方が強いかも。
》 「VistaはWindows史上最強のセキュリティ」、MSがテクニカルセミナーを開催 (Internet Watch, 8/7)。そのこと自体は否定しないけど、
「Windows Vistaはセキュリティの向上により、運用コストを下げられる」として、企業のVistaへの移行を促進していきたいとした。
運用コストが下がるかどうかはまた別の話のような気も。
》 Weekly SOC Report (ISSKK)。Information on Proof of Concept posting about hlink.dll ねた。
弊社製品では、「CompoundFile_Excel_HLink_BO」というシグネチャで攻撃を確認する事が出来ます。 (中略) SOCでの検知状況を確認したところ、現時点でこの攻撃は検知されておりません。不用意にExcelファイルのリンクをクリックしないようご注意下さい。
》 レスポンス・タイムによるボット検知手法（その2） (日経 IT Pro, 8/8)
》 参拝是非から「あり方」論へ 「靖国」新展開 (asahi.com, 8/8)
》 フランスの新著作権法がついに施行──業界に失望の声 (Open Tech Press, 8/7)
》 AOL，無償のアンチウイルス・ソフトを発表 (日経 IT Pro, 8/8)。Kaspersky エンジンだそうです。 個人向け、1 台限り。
》 米空港利用者、盗難にご用心！預け入れ荷物から貴重品 (読売, 8/8)。さすがに悲しすぎるので、 TSA LOCK を使いましょう。というか、そういうフォローしとかナイト意味のない記事じゃん > 読売。
》 台風７号、紀伊半島〜東海地方に接近・上陸の恐れ (読売, 8/8)
……7号の暴風域は消滅したようですね。愛知・静岡方面に針路を取っているようで。
》 [DNSOPS dnsops 103] 障害報告： APNIC 逆引きネームサーバの障害について より:
本日(8月8日) 8:00頃より、JPNIC管理下でAPNICが逆引きを管理するIPv4 アドレス空間の一部(203.90.19.0/24)について、逆引きが委譲されない障害が発生しています。
また APNIC ですか……。[DNSOPS dnsops 104] によると、11:15 に復旧したそうです。
ClamAV 0.88.1〜0.88.3 に欠陥。UPX 圧縮された PE ファイルの処理 pefromupx() において heap overflow が発生、攻略ファイルによって任意のコードを実行可能。
ClamAV 0.88.4 で修正されている。0.88.3 との diff。
プールの管理を委託されていた「太陽管財」（さいたま市）が、契約書で定められていた日本赤十字社などの救命講習の修了証をふじみ野市側に提出していなかったことが、関係者の話で分かった。市側は再三、求めたが、提出されなかった。このため同社は、今年度の指名競争入札から外される可能性があったにもかかわらず、市職員が必要な手続きを取らなかったため、業務を受注していた。
》 パロマ重大事故、電源プラグ外れ１３件 排気連動せず (asahi.com, 8/7)
》 沖縄マスコミは「超理想主義」「大衆頼み」？ (JANJAN, 8/7)
》 やられたままで黙ってはいないサウンドデモ＠アキバ (JANJAN, 8/7)。逮捕こそしなかったものの、警察はあいかわらず威圧的だったようですね。
》 消されゆくチェチェン難民 (JANJAN, 8/7)
》 マカフィー VirusScan Enterprise の 5100 エンジン ですが、ダウンロードページの「ウイルス定義ファイル」のリンクの先に存在します。 shutaro さん情報ありがとうございます。
現時点では engine only SuperDAT が配布されており、8/17 になると自動更新に含まれるそうです。
》 HJ9月号発売間近！ (Hacker Japan Blog, 7/29)。8/8 発売……明日ですね。
》 「攻撃は15分で完了する」---不正侵入，その実際の手口 (日経 IT Pro, 8/7)
》 Google，不正プログラムを配布するWebサイト警告機能を追加 (日経 IT Pro, 8/7)
》 ルワンダ：ジェノサイド被害者に正義は訪れるか (JANJAN, 8/4)
ホテル・ルワンダの DVD が 8/25 に発売されるようです。やまざきさん情報ありがとうございます。
》 スリランカ 事実上の内戦再突入 (JANJAN, 8/4)
Lhaz 1.31 (以前?) に欠陥。 lzh 書庫の処理において buffer overflow する欠陥があり、攻略 lzh 書庫によって任意のコードを実行可能。 Lhaz 1.32 で修正されている。フロートさん情報ありがとうございます。
関連:
追加:
》 Poderosa 4.0 β版 (poderosa.org)。.NET Framework 2.0 が必要。 現在β13になっています。
》 化粧直しされたMSの運用管理ソフト「MOM」 (ITmedia, 8/3)。一瞬「SECOM」かと思ったが、SCOM (System Center Operations Manager) だった。
MOM 2005から同製品へのアップグレードパスは用意されていないことに注意したい。
》 ジュリアーニ元ニューヨーク市長のセキュリティ企業が日本法人を設立 (Enterprise Watch, 8/2)。ジュリアーニ氏について何か語るまえに、 まずは「9.11 生死を分けた102分」を読んでおくべきだと思うし。
》 「ダイ・ハード」４、サイバーテロに挑む 来夏公開 (asahi.com, 8/4)。ダイ・ハードとサイバーはどうにもつながらないように思うのだが、だいじょうぶなのだろうか。
》 「クリック詐欺の撲滅へ」---GoogleやMS，Yahoo!などが“共闘” (日経 IT Pro, 8/4)
》 「キッズケータイで運航に支障の恐れ」、JALとANAが注意喚起 (日経 IT Pro, 8/3)。最近「電源 OFF」では OFF にならないものが多いのですが、 OFF ではないモードは「待機」とか呼んでほしいなあ。
》 お蕎麦なら干乾びてしまいそうよ？ (Lucrezia Borgia の Room Cantarella, 8/3) の件について、大川さんから (ありがとうございます)
私は同じセブンイレブン系のセブンドリームを利用した事がありまして気になったので、 セブンドリームの会員情報変更のページに入ってみたところセブンアンドワイの件と同 じで、 hidden項目にて入力情報を保持しているようです。
私もWebシステム開発の経験がありますが、HTMLソースを見たときに愕然としました。 なんといいますか、一言で言うと汚いソースでした。
》 JavaScript Port Scanner (gnucitizen.org)
》 Internet SagiWall（インターネット・サギウォール） (セキュアブレイン)。7/7 に発売開始されていたんですね。 IE 7 でも問題なく使えるのかなあ。
そう言うのは簡単なのですが、2006.08.09 になったら Microsoft の patch が 10 個出ることが明らかなんですよね……。おまけに、次の日には Zero-day がさっそく登場なんて話にもなりかねないのだし……。
あーあ。
au のケータイ W42CA, W42H のメールソフトに format バグがあり、%n または %S を含むメールを表示させると、ケータイが再起動してしまう模様。攻略可能かどうかは未知数。
対応するには、ショップにおいて「預かり修理」してもらう必要があるそうだ。
Black Hat USA 2006、いろいろ楽しい話題が登場しているようで……
MacBookを無線LAN経由でハッキングする方法が公開──米国セキュリティ研究者がデモ：Black Hat USA 2006リポート (Open Tech Press)。関連:
「NACソリューションの安全性に疑問あり」──セキュリティ専門家が警告：Black Hat USA 2006リポート (Open Tech Press)
FBI、サイバー犯罪対策で民間企業との連携を強化：Black Hat USA 2006リポート (Open Tech Press)
Black Hat USA 2006 - BriefingsにMSが参加、基調講演はFBIのサイバー犯罪対策トップ (MYCOM ジャーナル)
「たのしい Black Hat、愉快な Black Hat、 Black Hat、 Black Hat」 というフレーズが頭に浮かんだのだけど、節が合わないし……。
追加:
Multimedia Archives に大量のドキュメントが……。
セキュリティ・カンファレンス「Black Hat」でのWindows関連ニュース (日経 IT Pro, 2006.08.24)
Apple Wi-Fiの脆弱性を公表したJohnny Cache、ついに口を開く (Open Tech Press, 9/7)
先月開催されたBlack HatとDEFCONで、Apple Wi-Fiが抱える脆弱性が「半公表」された。しかし、当のJohnny CacheことJon EllchとDave Maynorの2人がそれ以来沈黙したため、指摘された脆弱性の真偽に疑問の声が広がっていた。そうした中、Ellchが、先週末、Daily Daveセキュリティ・メーリングリストにメールを送り沈黙を破った。そして、一つのことが明らかになった。彼ら2人は沈黙を強いられていたのだ。
Apple ですから。
[SA21309] WordPress Unspecified Vulnerabilities。 WordPress 2.0.4 で修正されている。
This release contains several important security fixes, so it's highly recommended for all users.
Barracuda 方面
VMware ESX Server 方面
[SECURITY] [DSA 1133-1] New mantis packages fix execution of arbitrary web
script code。
mantis 1.0.2 までで修正されている問題の修正。
最新は 1.0.5。1.0.3 で [security] Port: Login with disabled account possible
という問題が修正されている。
libtiff 3.x に、任意のコードの実行が可能な欠陥があるそうで。 CVE: CVE-2006-3459 CVE-2006-3460 CVE-2006-3461 CVE-2006-3462 CVE-2006-3463 CVE-2006-3464 CVE-2006-3465
》 ウイルスバスター2006 ファイアウォールモジュール ビルド1098のアップデートが繰り返し実行される (トレンドマイクロ)
一部の環境で、2006年8月1日 14：00ごろ公開されたウイルスバスター2006 インターネットセキュリティ ファイアウォールモジュールビルド1098のアップデートを実行後、アップデートが繰り返し実行され、再起動を促すメッセージが繰り返し表示されます。
再起動メッセージが表示され、その都度コンピュータの再起動を行なっているのにアップデートが繰り返し実行される場合は、お手数ですが、以下のリンクから最新版のウイルスバスター2006のプログラムをダウンロードし、再インストールを実施してください。
》 社保庁：不祥事の連鎖に信頼は完全に地に落ちた (毎日, 8/3)
》 見直しが必要な対アフリカ食糧支援 (JANJAN, 8/1)
》 ネパール：民主化に伴い変貌する毛沢東派共産主義ゲリラ (JANJAN, 8/1)
》 ブラジル：アファーマティブ・アクションは正しいか？ (JANJAN, 8/2)
》 石油生産で干上がり変容する景観 (JANJAN, 8/2)。オイルサンドからの石油の抽出には大量の水が必要となるため、これによる環境破壊が深刻化している模様。
》 米軍、イラク内戦に傍観的姿勢 (JANJAN, 8/2)
》 USBメモリを認証キーにするには（テキストログイン編） (@IT, 8/3)、 USBメモリを認証キーにするには（グラフィカルログイン編） (@IT, 8/3)。pam_usb というものがあるのだそうで。
》 MSの狙われた第2火曜日--ゼロデイ攻撃に注意 (CNET, 8/2)。Zero-day Wednesday ですか……。 しかし、これはなあ。
ハッカー犯罪者たちはこうしたメールをターゲット企業だけに送りつけているため、Melissaウイルスが流行したときと違って、オフィス間でやり取りされるWord文書は一般に安全なはずだ。ウイルス対策ソフトウェアのベンダーには、世界中の顧客のデスクトップから報告が入るので、今回のような特定企業を狙った産業スパイ型トロイの木馬も検出される。そうしたウイルス対策ソフトウェアを最新版にアップデートしてさえいれば、新しいゼロデイ攻撃の脅威が発生しても、数時間か数日のうちに保護されるようになるはずだ。ただし、攻撃のターゲットとなった企業は、添付ファイルには十分注意して、 Microsoftからこの最新のPowerPointの脆弱性に対するパッチが公開されるのを待つしかない。
「攻撃のターゲットとなっ」たことがわかった頃にはもう遅いかもしれないし、そもそもわかるかどうかという問題が……。スピア型攻撃なのだから、「世界中の顧客のデスクトップから報告が入る」とは限らないし。
》 「ファンムービーは削除するな」 -- LucasfilmがYouTubeに要請 (日経 IT Pro, 8/3)
》 KDDIが顧客情報流出の再発防止策、入退室ログや監視カメラ映像を永年保存 (Internet Watch, 8/2)。世の中、「ログは永久保存」という方向なのかなあ。
》 「Opera 9.01」リリース、安定性向上とバグ修正 (Internet Watch, 8/3)
》 公務員研修で体験させておくべき演習 「蛍光ペンで墨塗り」の巻 (高木浩光＠自宅の日記, 8/2)。そんな機能があるんだ……。
》 VirusScan4.5.1SP1への5.1.00エンジン適用に関するQ&A (マカフィー, 8/2)。もうすぐ 5.1.00 エンジンというものが登場するってことなんですかねえ。
》 トヨタ：リコールで改善策盛った防止策 国交省に提出 (毎日, 8/3)
》 ウイルスバスター2006 インターネット セキュリティ プログラムバージョン14.11 公開のお知らせ (トレンドマイクロ, 8/2)。 公開は 8/9 (Windows Update の日)。
》 Metasploit Framework 3.0 Beta 1 (Metasploit, 8/2)
》 ワンクリック詐欺の「確認画面」コレクション (日経 IT Pro, 8/3)
》 Update for Exchange 2003 SP2 923432 is now live on MU/AU/WSUS (WSUS Product Team Blog, 8/3)
》 ノートPCから“情報漏えいしない”と言える方法は (日経 IT Pro, 8/3)
》 お蕎麦なら干乾びてしまいそうよ？ (Lucrezia Borgia の Room Cantarella, 8/3)。す、すげーっす。 セブンアンドワイ、だいじょうぶか。
2024.04.25 追記: セブンアンドワイ終了に伴って 7andy.jp が売りに出された結果、 http://www.7andy.jp/ がアレなサイトとなったためリンクを削除。堀越さん情報ありがとうございます。
》 マスタリングIPsec 第2版 (オライリージャパン)。こ、これはァッ!! 8/22 発売だそうです。
》 Wi-Fi Hacking on Stage in Las Vegas (F-Secure blog, 8/3)
》 ウィニー利用者特定、高岡の流出情報削除を要請 (読売, 8/3)
》 セキュリティ情報サイト「zone-h.jp」が公開されました (izumino.jp, 8/3)。おおかわさん情報ありがとうございます。
Zone-Hが日本語版をスタート (slashdot.jp, 8/3) によってなのかどうかわからないけど重くなっているようなので、忘れたころにアクセスするとよいかもしれません。
》 Firefox 1.5.0.6 リリースノート (mozilla-japan.org)。 「Windows Media コンテンツの再生不具合の修正」が修正されています。 ダウンロード。金子さん情報ありがとうございます。
GnuPG 1.4.5 登場。iida さん情報ありがとうございます。
Fixed 2 more possible memory allocation attacks. They are similar to the problem we fixed with 1.4.4. This bug can easily be be exploted for a DoS; remote code execution is not entirely impossible.
だそうです。 CVE-2006-3746 の件だと思うのだけど、いまいち不明。
Symantec On-Demand Agent (SODA) 2.5 MR2 以前 (Build 2156 以前) 、 Symantec On-Demand Protection (SODP) 2.6 以前 (build 2253 以前) に欠陥。暗号化方式に欠陥があり、 第三者が復号できてしまう。 SODA Build 2157 / SODP Build 2232 で修正されている。 また、バーチャルデスクトップを利用していない場合には、この欠陥は回避される。
Mac OS X 10.3.9 / 10.4.7 用のセキュリティ修正パッケージ。
AFP サーバ - CVE-2006-1472 CVE-2006-1473 CVE-2006-3495 CVE-2006-3496
Bluetooth - 自動生成されるパスキーの長さが 6 文字から 8 文字に変更された
DHCP - CVE-2006-3498
dyld - CVE-2006-3499 CVE-2006-3500
fetchmail -
CVE-2005-2335
CVE-2005-3088
CVE-2005-4348
CVE-2006-0321
DMA[2006-0801a] - 'Apple OSX fetchmail buffer overflow'
gunzip - CVE-2005-0988 CVE-2005-1228
Canon RAW 画像 - CVE-2006-0392
ImageIO - CVE-2006-3501 CVE-2006-3502 CVE-2006-3503
LaunchServices - CVE-2006-3504
OpenSSH - CVE-2006-0393
telnet - CVE-2005-0488
WebKit - CVE-2006-3505
AppKit、ImageIO - CVE-2006-3459 CVE-2006-3461 CVE-2006-3462 CVE-2006-3465
BOM、DHCP、dyld、fetchmail、WebKit、画像系の欠陥は、任意のコードの実行が可能な模様。LaunchServices は任意の JavaScript の実行が可能な模様。
APPLE-SA-2006-08-09 Security Update 2006-004 for Mac Pro。 新製品 Mac Pro 用だそうです。
》 メールアドレス誤送信のご報告とお詫びについて (日本財団公益コミュニティサイト CANPAN, 7/26)。やまざきさん情報ありがとうございます。
》 不明の大韓航空機、ミャンマー沖で発見か (JANJAN, 8/2)
》 ウイルスバスター コーポレートエディション 7.0 Patch 4 公開のお知らせ (トレンドマイクロ)。8/9 公開予定。
》 916247 - Windows Genuine Advantage does not validate a copy of Windows XP (Microsoft)
》
英ＭＩ５、テロ警戒レベルをＨＰで公開
(TBS, 8/2)。
THREAT TO THE UK FROM INTERNATIONAL TERRORISM
(MI5) でいいのかな。The current threat level is assessed as SEVERE
だそうで。
根拠不明だけど。
What are threat levels?
(MI5) によると、レベルの種類は Low / Moderate / Substantial / Severe / Critical だそうで。
マカフィー SecurityCenter 4.3 〜 6.0.22 に欠陥。 詳細が公開されていないため何に欠陥があるのかよくわからないが、 攻略 web ページを閲覧すると任意のコードを実行される。 ActiveX かなあ。
最新版 SecurityCenter 7.0 で修正されている。また SecurityCenter 6.x (以前?) 用の patch も準備中のようだが、まだリリースされていないみたい。 なお、マカフィー セキュリティセンターでダウンロードできるものは、今のところ 6.x のようです。
CVE: CVE-2006-3961
詳細が公開されました:
》 米司法省：「裁判の継続は、国家の安全を危機にさらす」--NSA監視プログラム訴訟で主張 (CNET, 8/1)
》 米軍レーダーで捜索が一時中断、２人海難事故 青森 (asahi.com, 8/1)
》 事例で学ぶセキュリティ運用技術・インシデント対応技術 (ASCII)。 実は NTT-CERT 誕生物語だったりするのだろうか。
関連かも: NTTグループの情報セキュリティ体制を担う「ガーディアン構想」とは (Internet Watch, 3/23)。これに対抗して KDDI が「コロッサス構想」を開始すると、コロッサスとガーディアンは勝手に対話をはじめ…… (つづきは地球爆破作戦を参照)
》 レスポンス・タイムによるボット検知手法（その1） (日経 IT Pro, 7/31)
》 Linux生みの親のトーバルズ氏、GPLv3のドラフト第2版にも「ノー」 (Open Tech Press, 8/1)。「GNU GPL v2 でいいじゃん」 と思う人は、それでいいと思うし。
》 Winny可視化プログラム「OpenWinny」 (slashdot.jp, 8/1)。オープンソース、オープン Winny。
》 Changes to IDN in IE7 to now allow mixing of scripts (IEblog, 7/31)。script は JavaScript とかじゃなくて、言語のこと。 しかし、こんな実装でいいんですかね。
》 緊急地震速報の提供、鉄道などで始まる (TBS, 8/1)
》 情報漏れ：「黒塗り」保護ホームページから 千葉市教委 (毎日, 8/1)
この流水プールはポンプ３台で水を吸い、それを吐き出して流れをつくる構造で、ポンプは１台当たり毎分１０トンの水を吸い込むという。
このプールは、管理・運営がさいたま市にある会社に委託されていますが、ＪＮＮでは、この会社の危機管理マニュアルを入手しました。
マニュアルには、「災害発生時にはスイッチやバルブを停止して」、「被災者救出」を行うと記されています。
ふじみの市などによりますと、３１日、会社側が吸水口のフタが外れたことを認識したのは、午後１時半頃でしたが、その際、会社側は、すぐに水を流すポンプを停止する措置はとらず、注意を呼びかけるなどしただけでした。会社側がポンプを停止したのは、結果的に、瑛梨香さんが吸水口に吸い込まれた後でした。
また、心肺蘇生法などが書かれた安全管理マニュアルの存在も明らかにしたが、「下請け業者のアルバイト全員には行き渡っていない。口頭で説明していた」と話した。関連: 遊泳用プールの衛生基準 (厚生労働省健康局長, 2001.07.24)
市は１日、太陽管財から「丸投げ」の報告を受けた。委託約款に「市の承諾を得ない限り、再委託してはならない」とあり、契約違反になるという。島田行雄市長は「ゆゆしき問題。契約不履行により、処分を検討したい」と話した。
(中略)
厚生労働省は１日、プールでの安全管理の徹底を求める通知を各都道府県や政令指定市に出した。同省は０１年７月に通知した「遊泳用プールの衛生基準」で、吸水口に金網や鉄ぶたを設置し、ネジやボルトによる固定や点検法について定めており、改めてその徹底を求めた。
排水口及び循環水の取入れ口には、堅固な格子鉄蓋や金網を設けてネジ、ボルト等で固定させる (蓋の重量のみによる固定は不可) とともに、遊泳者等の吸い込みを防止するための金具等を設置すること。また、蓋等を固定する場合には、触診、打診等により、蓋等の欠損・変形、ボルト等の固定部品の欠落・変形等がないかを確認し、必要に応じて交換する等の処置を講ずること。
また、旧上福岡市と旧大井町が合併してふじみ野市になった今シーズンから、このプールの自治体職員による点検が、昨年までの毎日から、２日に１度に減っていたことが分かった。
排水口にふたと格子金具による二重の事故防止策を設けるよう文科省が通知で指導していたのに、市教委は通知の内容を誤って解釈し、ふたしか設置していなかったことも判明した。
外れたふたについて新たな事実がわかりました。本来、このふたは四隅がボルトでとめられているのですが、外れた方のふたははりがねで固定されていたことがわかりました。はぁ?! 毎分 10t x 3 を針金で?!
果たして、プールの管理に問題はなかったのでしょうか。事故があった大井プールの３１日の管理日誌です。１３時までは水温などの記録が残っていますが、事故が起きた、午後２時以降は「事故により中止」という記述に変わっています。
この中のチェック事項をを見ると、「ろか機」「滅菌機」「起流ポンプ」などといった項目はあり、これらには「異常なし」を表す○印がついています。しかし、「吸水口」に関するチェック項目はないのです。吸水口に関して、定期的なチェックは行われていなかったのでしょうか。
午後３時、プールの管理を委託されていた太陽管財が会見を行いこのように述べました。
「（Ｑ．給水口のフタを針金で固定・補修していたのか？）針金で留めていたことは事実だとしてあったようなんですけども。（Ｑ．以前外れたことはあったのか？）それはなかったと聞いています。（フタが）外れることを想定できていなかったので、マニュアルに対応の仕方はなかったです。（Ｑ．緊急事態について利用者への知らせ方については？）放送する設備があるので放送することは、勿論しますし、各監視員が笛を持っているので、そちらで、その笛で警告することができます」（太陽管財・斉藤俊雄社長）
よくもまあ、次から次へとこれだけむちゃくちゃな状況が出てきますね……。
》 靖国神社：元軍人らの遺族、合祀取り消し求め初提訴へ (毎日, 8/1)
イスラエル軍は４８時間の空爆停止を決定した数時間後の３１日早朝、シリアとの国境近くのレバノン東部を空爆しました。さらに地上部隊を援護するためだとして、レバノン南部のティールやタイベなどにも空爆を加えました。イスラエル軍人は常人とは時間感覚が違うらしい。 「指定時間の前後 44 時間の幅を取る、イスラエル軍時間を知らんのか!」 とかいう話だろうか。
国連の緊急援助調整官室のジャン・イゲランド事務次長は、ベイルート南部の廃墟と化した地域を視察し「砲撃による被害は想像以上に大規模であり、身の毛もよだつ。これは国際人道法違反である」と述べた。
》 「インターネットの法と慣習」を読んだ (崎山伸夫のBlog, 8/1)
正直、もとになったHotWiredの連載の内容をちょっと直したぐらいで出てきたら、内容に不満は無くても読み捨てる感じだなぁ、と思っていたのだけど、意外にも、感動的な出来映えと言えるぐらいの名著だった。
おぉ、そうなのか……。買っておくべきかしらん。
》 「いや，日本の機器メーカーの商慣習だってヒドイよ」 (日経 Tech On, 8/1)
》 セキュリティ・ベンダーが「Microsoftは競争を妨げている」と主張 (日経 IT Pro, 7/31)
サード・パーティのセキュリティ製品は，過去の経験から判断するとMicrosoft製品よりも安定性が高く，より強固な保護機能を提供してきた傾向が強い。
3rd party のセキュリティ製品の安定性については、信頼できる筋から全く異なる見解を聞いた事があるけどなあ。
ラップトップパソコンが爆発炎上。あなたは大丈夫？ にひきつづき、DELL 製 Note PC の炎上事故が発生した模様。
確かに燃えてます。巨大な穴が開いてます。いゃぁ、怖いですねぇ、恐しいですねぇ。
Symantec Brightmail AntiSpam (SBAS) 6.0.4 より前の全バージョンに欠陥。 ディレクトリ・トラバーサル欠陥 (.. バグ) が存在する。 対応するには、Symantec Mail Security (SMS) for SMTP 5.0 に移行するか、 SBAS 6.0.4 にアップデートする。
Concluding the Month of Browser Bugs (Browser Fun)。MoBB は終了しました。
出たもの:
悪用される可能性があれば必ず悪用される (マーフィーの法則の変形) という感じなのかな。
うひゃあ。bleedingsnort.com を使いましょう、だそうです。
![[セキュリティホール memo]](/%7Ekjm/security/memo/sechole-memo.gif){kind=small}
私について
