Last modified: Wed Jan 23 19:55:36 2008 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 海賊版対策の強化に向け、著作権法における「親告罪」の見直しを 政府の知的創造サイクル専門調査会が提言案 (Internet Watch, 2/28)。きてますねえ。
》 信頼性で選ばれるメーカーになろう (日経 Tech On, 2/26)。電池話。
実際，あるノート・パソコンのメーカーでは，今回問題を起したセルを評価したところ自社基準に適合しなかったため，採用していないとのこと。
どこだろう。 HP は設計変更を要求した上で採用したそうだけど。
》 セキュリティ面での細かな拡張 : SQL Server 2005 SP2 (河端善博の .TEXT でウェブログ, 2/21)
》 液体の機内持ち込み制限、全国際線に拡大 ３月から (asahi.com, 2/26)。明日からです。関連:
》 タミフル：転落死との因果は未解明 では、どう付き合えば (毎日, 2/28)
インフルエンザ患者が異常な言動を見せる例はタミフル発売前から知られており、転落死などの異常行動がインフルエンザによるのか、タミフルによるのかは解明されていない。 (中略) 厚労省研究班長の横田教授は「異常行動がタミフルの影響かインフルエンザ脳症のためかは調査中だが、どちらにしても異常行動が出るのは熱が出てから１、２日目がほとんどだ。飲んでも飲まなくても、２日程度は家族が患者を注意深く見守ってほしい」と話す。
》 東京地検 ニコン元社員を起訴猶予 (毎日, 2/23)。ロシアですか。
》 ディック顧客情報 流出先は貸金業者 (毎日, 2/23)
》 オープンソースカンファレンス 2007 Tokyo/Spring にセキュア OS ねたがあるそうです。
》 Description of Windows Desktop Search 3.01 and the Multilingual User Interface Pack for Windows Desktop Search 3.01 (Microsoft)
》 OpenSSL 0.9.7m / 0.9.8e が出ています。iida さん情報ありがとうございます。 セキュリティ欠陥の修正はないようです。 参照:
》 袴田巌さんの無実を元裁判官が証言 (保坂展人のどこどこ日記, 2/26)
40年間、冤罪無実を訴えながら獄中にいる袴田巌さんの一審判決(1968年静岡地裁)で、死刑を言い渡した裁判官だった熊本元裁判官(69歳)が、当時から無罪を確信していたと告白したのだ。
不正アクセスによってインサイダー情報を収集し、これに基づいて株式売買ですか……。そういう時代になったのですねえ。元ねたによると、やられた企業は:
AllianceBernstein Holding L.P., Allscripts Healthcare Solutions Inc., Achillion Pharmaceuticals Inc., BJ's Wholesale Club Inc., Brady Corporation, CACI International, Inc., Hornbeck Offshore Services, Inc., LeCroy Corporation, Millipore Corporation, Odyssey Healthcare Inc., Symantec Corporation, and RealNetworks, Inc.
シマンテック……。
》 子どもたちのインターネット事件 KIDS 版 (東京書籍)
この資料は，東京書籍発行の「子どもたちのインターネット事件−親子で学ぶ情報モラル−」に掲載されている事例から12事例を選び，小学校高学年向けに書き直したものです。
》 Rootkit Profiler というツールがあるそうで。現在は Linux 版 (Rootkit Profiler LX) が用意されており、Mac OS X 版も準備中だそうです。
》 番組ねつ造：日本テレワークに発注停止 テレビ朝日 (毎日, 2/27)。個人的にはテレワークよりも、スーパーモーニングにおける鳥越俊太郎氏の存在の方がよっぽど気になるけどなぁ。
》 ネットに「血の海に」の書き込みで、講演中止 男を逮捕 (asahi.com, 2/27)
》 誰もが「セキュリティの当事者である」という意識を: マイクロソフトのチーフセキュリティアドバイザー高橋正和氏 (Internet Watch, 2/26)
高橋氏：セキュリティの関係者として従来から思っていたのが、ある種の「届かない感」と言いますか、こちらとしてはセキュリティの重要性を訴えているのですが、それに反応してくださるのは既にセキュリティに対する意識が高い人がほとんどという状況がありまして、さらにその外側の人たちにどうやったらリーチできるのかというのがテーマでした。
セキュリティ会議: ブログマーケティングを考えるコミュニティ にも似たような話が出てきてますね。 企業ブログをトレンドマイクロの実例で考える「セキュリティ会議」 (Internet Watch, 2/27) も参照。
しかしなあ。マーケどうこう言う以前に、ウイルスバスター 2007 はさんざん重いだの遅いだの言われてきているわけで、まずは「何が悪かったのか」「どこは直したのか」「まだ残っている課題」あたりからきちんと述べてほしいよね。 そういうこともしないままマーケマーケ言われてもねえ。
》 WSUS clients may receive invalid responses from a Windows Server 2003 SP1-based computer that is running WSUS, and the clients cannot connect to the WSUS server (Microsoft)。 FIX: IIS 6.0 may send an "HTTP 100 Continue" response in the middle of the response stream when you send a POST request (Microsoft) が原因なのだそうです。 日本語版を含め、patch が公開されています。
》 日経エレクトロニクス2007年2月26日号: 燃えない電池 (日経 Tech On)。♪萌えあがれ〜
》 Unicodeとサニタイジング回避テクニック ver1.3 (dip.jp, 2/20)
》 検証・耐震偽装 悪いのは誰か？何か？（７）歯止め効かぬ国交省グループ焼け太り (JANJAN, 2/23)
》 過労の果て——ドライバー残酷物語 (JANJAN, 2/23)
》 平野日出木さん、「物語力」って一体何の事ですか？ (JANJAN, 2/26)。オーマイニュース話。 鳥越俊太郎と盗聴法、共謀罪、『オーマイニュース』 (THE INCIDENTS 共謀罪反対) は、あいかわらず爆進中ですね。
》 ドイツマスコミスキャン〜連邦の木馬（下） (JANJAN, 2/26)。前記事: ドイツマスコミスキャン〜連邦の木馬（上） (JANJAN, 2/19)
》 シマンテック、オールインワン型のセキュリティ製品「Norton 360」を発売 (CNET, 2/27)
》 「ゲーム業界とセキュリティ業界が協力してマルウェア対策を」 ウェブルートの野々下幸治氏が講演 (Internet Watch, 2/26)
》 「ニコニコ動画」いったんサービス終了、YouTubeが一部アクセス遮断 (Internet Watch, 2/26)
》 Prepared Statements and SQL injections (SANS ISC, 2/24)
》 F-22搭載コンピューターにバグ (slashdot.jp, 2/26)。想定されていた作戦域の外で活動してみたらバグが表面化した、ってことかなあ。
》 花粉症対策食品で一時意識不明、厚労省が因果関係調査 (読売, 2/27)。うわぁ。 パピラですか……。
》 丸善・丸の内本店 のコンピュータ書籍コーナーに昨日立ち寄ってみたのだが、「グーグル八分とは何か」が大量に平積みされていたのが印象的だった。
丸善には「北朝鮮特殊部隊 白頭山３号作戦」 (講談社) も並んでいたので手に取り、目次を見ると C 言語がどういうという記述が目に止まり、その部分の中身を読んでみると……なんだかトンデモな雰囲気を発散していたので棚に戻した。やっぱり書店で中身を確認するのは重要だ。
というわけで、ワールド・インテリジェンスの Vol.3 〜 5 を購入してお茶を濁した。
Dropbear SSH 0.49 登場。0.48 以前にはホスト鍵が一致しない場合に十分に警告を発しない欠陥 CVE-2007-1099 があり、0.49 で修正されています。
IE7 で onunload と document.write() を組みあわせると DoS が、 Firefox で onunload と document.write() を組みあわせるとメモリ破壊が発生する、という指摘。CVE-2007-1094 (IE7)、 CVE-2007-1092 (Firefox)。
Firefox 1.5.0.10 / 2.0.0.2 では修正されているようだ。 MFSA 2007-08: onUnload と document.write() の組み合わせによって生じるメモリ破壊 (mozilla-japan.org)
Secunia Research: Internet Explorer 7 "onunload" Event Spoofing Vulnerability に類似した状況が Firefox でも発生するという指摘。 Firefox 2.0.0.2 も該当する。Bug 371360: scripts can tailgate departing users with onUnload も参照。 CVE-2007-1095
IE7 に欠陥。onunload イベントを利用することでアドレスバーを偽装できる。 CVE-2007-1091
関連: [Full-disclosure] MSIE7 browser entrapment vulnerability (probably Firefox, too)。デモページが用意されている。
》 Hello Screen Saver, Sayonara Files (Symantec blog, 2/23)。Trojan.Pirlames ですか。あいかわらずなんですね……
関連:
》 予算委員会、最高裁調査報告を求める (保坂展人のどこどこ日記, 2/23)
》 安倍政権、「改革」の旗はもう使えない (保坂展人のどこどこ日記, 2/24)
》 システム部門はJ-SOX『ITへの対応』にどう取り組むべきか (日経 IT Pro, 2/20)
》 防犯電子地図 ホシ追え！連続犯罪捜査、初動に活用へ 警察庁 (毎日, 2/19)
》 Googleを怒らせたMITによる中国の衛星破壊実験の解析画像 (technobahn, 2/24)。 テクノバーンの記事自体の元ねたは In bow to Beijing, Google censors anti-satellite test graphic (World Tribune.com, 2/15) かしら。 詳細は Science, Technology and Global Security Working Group (MIT) を参照。
》 著作権整備へ、ＪＡＳＲＡＣなどが「検索サイト」構築 (読売, 2/24)。これからつくるという話。稼働予定は 2 年後だそうで。
》 Advisory: Sophos Anti-Virus for Windows - retirement of version 4.1x (Sophos, 2/21)
》 「究極のインサイダー取引」を阻止せよ (日経 BP, 2/19)。MBO（経営陣による企業買収) の話。
》 ロビー活動とは何か？ (関組長の東京・永田町ロビー活動日記ｂｌｏｇ版, 2/23)
》 「共謀罪」の対象犯罪削減、日弁連が修正原案を評価 (読売, 2/20) は誤報だ、という話が [AML 12140] に。共謀罪 LOVE な人達はまだまだ諦めてはいないようで。
関連: 3・20 共謀罪の新設に反対する市民と表現者の院内集会 (ESPIO)。2007.03.20、東京都千代田区、多分無料
》 鹿児島選挙違反事件判決についての会長声明 (日弁連, 2/23)、 鹿児島選挙違反事件 (西日本新聞 WordBOX)。 警察は、自分達の自衛のためにも「取り調べの可視化」に取り組んだ方がいいと思うけどね。他人には「ログを保存しろ」とか言うくせに、自分達はやってませんではねえ。
》 ITセキュリティのアライ出し 第21回: ウイルス分析合宿中につき…「世界のホシザワにしごかれるの巻」 (MYCOM ジャーナル, 2/21)。 BGM は「巨人の星」か、はたまた「その名もタクマ 宇宙パイロット」か。 (「アタック No.1」ではない……と思う)
ちなみに同社は「マリシャスコード解析技術者養成」という教育サービスを提供しており、受講者はウイルス分析のスキルを養成可能である。
虎の穴?
Trend Micro ServerProtect for Windows / EMC 5.58、for NetApp 5.6[12] ねた。
2/27/2007 ServerProtect for Windows 5.58 (Traditional Chinese)日本語版用 patch のリリース時期は未定だそうです。 ……ServerProtect for Windows/NetWare 5.58 版 Security Patch 2(Build_1185) が出ています。
3/05/2007 ServerProtect for Windows 5.58 (Simplified Chinese)
3/19/2007 ServerProtect for EMC 5.58 (English)
3/29/2007 ServerProtect for Network Appliance Filer 5.61 (English)
[SA24215] Linux Kernel NFSACL "ACCESS" Denial of Service。 2.6.20.1 で直っているそうです。
Firefox 2.0.0.2 released (SANS ISC, 2007.02.23)
Bugs fixed appear to include CVE-2007-1004, CVE-2007-0995, CVE-2007-0981, CVE-2007-0800, CVE-2007-0780, CVE-2007-0779, CVE-2007-0778, CVE-2007-0777, CVE-2007-0776, CVE-2007-0775, CVE-2007-0008, and CVE-2007-0009, among others. This also fixed the issue with the password manager that was exploited late last year, CVE-2006-6077. The bookmarklet vulnerability CVE-2007-1084 does NOT appear to have been addressed.
EEYEB-20070216 (eEye)。Publisher 2007 に欠陥がある模様。
SupportSoft Active X fixed (SANS ISC, 2007.02.24)。CVE-2006-6490
NEC 方面で対応ドライバが配布されているようです。上西さん情報ありがとうございます。
》 セキュリティ対策は「風邪予防」から「防犯」へ (日経 IT Pro, 2/22)
》 釘を打ち込んでHDDを破壊−−オリエント測器コンピュータが製品を発表 (日経 IT Pro, 2/22)。 オリエント測器コンピュータの web ページにはまだ載ってないみたい。
》 被害者情報５００点以上、ウィニー流出…山梨県警 (読売, 2/24)、 山梨県警の情報流出、婦女暴行被害者の氏名・住所も (読売, 2/24)
県警によると、この巡査は２０歳代で (中略) 「学生時代からウィニーを使っていた」と話している。
》 グーグル、中国の「酒泉ロケット発射基地」付近の地図を自己検閲 (technobahn, 2/23)。Powered by グーグル八分。
》 これでJASRACも安心、GoogleがYouTubeに著作権管理システムを導入へ (technobahn, 2/22)。Powered by グーグル八分?
》 通信傍受法第２９条に基づく平成１８年における通信傍受等に関する国会への報告について (警察庁, 2/16)
》 ニコニコ動画にDDoS攻撃、サービス一時停止 (ITmedia, 2/23)
》 RMTは本当にダメなのか (ITmedia, 2/23)
》 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況 (総務省, 2/22)。この元ねたの報道ぶりが各社各様で興味深い。
個人的に興味深かった点:
認知件数の 90% は国内からのアクセス
認知の端緒が 2005 年と 2006 年とではずいぶん違う。 2005 年では利用権者からの届出が 505 件 (85%) であったのに、 2006 年では 358 件 (38%) しかない。代わりに増えたのは警察活動で、 2005 年では 33 件 (6%) しかないのに、2006 年では 535 件 (57%) を占めている。
これはつまり、「別件で調べていたら不正アクセスにも関わっていた」ということか。不正アクセス行為後の行為の大半は「インターネット・オークションの不正操作」 「オンラインゲームの不正操作」なので、これらを調べていたら……ということなのだろう。
では手口はというと、「フィッシングサイトにより入手したもの」「スパイウェア等のプログラムを使用して識別符合を入手したもの」をあわせて 417 件 (60%)。こういうのがふつうなんですね。
こんなのも出ている。
Firefox + popup blocker + XMLHttpRequest + srand() = oops (CVE-2007-0800) は Firefox 1.5.0.10 / 2.0.0.2 で修正されました。
Firefox 1.5.0.10 / 2.0.0.2 出ました。 一時「Target Release Date: Tuesday 2/27 (Firefox), Thursday 3/1?」 になってましたが、結局「Friday 2/23 (Firefox), Tuesday 2/27? (Thunderbird)」になったようで。
アイヴァーンさん、おおやまさん、高橋さん、椎野さん情報ありがとうございます。
Seamonkey 1.0.8 も出てました。
》 セキュリティは特許より優先するか？ (武田圭史, 2/15)。そういえば、 あなたの特許申請は国家安全保障上、認められません (technobahn, 2006.12.08) という話がありましたね。
米連邦政府は1951年に発明機密法という連邦法を制定。特許申請されたものが、国家の安全保障に関わる重要な技術と認定された場合には特許申請そのものを無効にすることができる権限をもっている。(中略) 2006年だけで4942件の特許申請が、特許機密法により特許申請を却下されている。
関連: Invention Secrecy (fas.org)。 International Agreements on Defense-Related Patents, Classified Patent Applications and Invention Secrecy (courtesy of Michael Ravnitzky) の項には US-Japan (1956) なんてのもありますね。
》 【書籍】ユビキタス時代の著作権管理技術〜DRMとコンテンツ流通 (武田圭史, 2/21) という書籍があるそうです。 なんだか、ツンドクな本がどんどん増えてるんですけど…… orz
》 ブルースクリーンが発生しました (マカフィー, 2/23 更新)。 64bit + VSE 8.0i patch 13 話。patch 14 では直っているそうな。
》 北朝鮮特殊部隊 白頭山３号作戦 (講談社) という本が出たのですか。実際、ノドンだのテポドンだのよりは、特殊コマンドの方がよっぽど現実的な脅威だしなあ。
講談社方面では、蹴る群れという本も出たそうで。 木村元彦氏の諸作は、サッカーの本なのに国際政治バリバリ。
》 糸川議員取材記録：毎日記者が協力者に渡す ネット掲載 (毎日, 2/23)。関連: 糸川正晃証言メモ入手 南青山３丁目地上げ問題 (阿修羅, 1/16)
》 「ライフライン確保」なしにBCPは語れない (日経 BP)。危機管理産業展 2006 なんてのがあったんですね。
丸谷：(中略) 重要なのは、発生後に自社の被害とライフラインの回復見込みを把握し、それに合ったBCPのレベルを数時間以内のタイミングで判断することだ。そのために、BCPの中に、被害のレベルに応じた複数の選択肢を用意しておく必要がある。
》 悪天候で予約便が欠航！めげずに英語でこう乗り切る (日経 IT Pro, 2/23)
「乗り継ぎ便の変更手配はもうしてもらっているのでしょうか？」とまで言うのがアメリカ的発想。これが言えたら旅の達人です。遅延に対する苦情を言っても仕方がない。それよりも目的にちゃんと到着できることを優先するという合理的かつ建設的な思考が働いている表現です。
》 日本版SOX法対策のためERPをフルカスタマイズする不条理 (日経 IT Pro, 2/21)
》 泉州銀の顧客情報流出 行員ＰＣからウィニー通じて (産経, 2/21)。Benjamin さん情報ありがとうございます。
行員は本部の課長で、平成１２年ごろから顧客情報を持ち帰り、自宅で仕事をしていた。ウィニーは昨年１２月から使い、パソコンが最近、ウイルスに感染したらしい。
泉州銀は昨年３月、全行員に対し、自宅パソコンに保存した顧客情報の削除を指示したが、課長は削除していなかった。
課長……。
シマンテック Automated Support Assistant, Norton AntiVirus 2006, Norton Internet Security 2006, Norton System Works 2006 に欠陥。 これらに含まれる SupportSoft 社製の ActiveX コントロール tgctlsi.dll と tgctlsr.dll に欠陥があり、「システム・リソースへの不正アクセスや、ブラウザの許可を得た悪質なコードの実行を許してしまう危険があ」るそうな。
LiveUpdate していれば、2006 年 11 月段階で ActiveX は無効化されているそうだ。また欠陥の修正されたものに更新できる、Automated Support Assistant 修復ツールが用意されているそうだ。
SupportSoft Active X fixed (SANS ISC, 2007.02.24)。CVE-2006-6490
Firefox 1.5.0.10 / 2.0.0.2 のリリース予定が 2/27 に延期されています。 cadz さん情報ありがとうございます。
》 Kernel Malware (F-Secure blog, 2/22)
》 泉州銀行、顧客情報5万835件がWinny流出 (Internet Watch, 2/22)
》 ソフトウェア等におけるセキュリティ上の弱点の深刻度評価の試行について (IPA, 2/22)。 CVSS Base Score に基く指標。まだ試行段階なので注意。 CVSS の算出式は 共通脆弱性評価システムCVSS概説 (IPA) を参照。
深刻度が低くても、対策をしなくてよいということではありません。本ソフトウェアの利用者は必ず脆弱性対策を実施して下さい。
空自宅急便と海自ガソリンスタンドはいまだに営業中の模様。
》 顧客信用情報：消費者金融「ディック」から流出 (毎日, 2/22)
》 人工衛星の破壊実験を禁止 国連委、中国含め全会一致 (asahi.com, 2/22)
》 Vine Linux 4.1 が出たそうです。
》 政権の命取りになるか 安倍首相の健康問題 (日経 BP, 2/21)
テレビがフル・ハイビジョンであれば、安倍首相の顔面の皮膚にあらわれた異常（老化現象プラスステロイド剤副作用）がすぐわかる。
ハイビジョン時代になると女優はたいへんだ、という話はあったけど、こういうところにも出てくるとは。
》 北海道電力、２０類型で改ざん…大気汚染防止法抵触も (読売, 2/22)
》 番組ねつ造：総務省が放送法改正案の概要提示 自民小委に (毎日, 2/21)
安倍晋三首相は官邸で記者団に対して「ねつ造はひどい。それに対して対応があるのは当たり前だ」と述べた。
安倍内閣の閣僚もずいぶんひどいので、そちらも対応してください。
》 人工衛星破壊：国連小委が禁止ガイドライン採択へ (毎日, 2/21)
》 偽装請負への思い、国会で訴えへ キヤノン工場の男性 (asahi.com, 2/21)。偽装も make it possible with canon ?
関連: キヤノン、派遣・請負の正社員化後回し 新卒採用を優先 (asahi.com, 2/18)
》 慎太郎にダメ出し…三宅島公道でオートバイレース構想 (ZAKZAK, 2/21)。死者が出ても「仕方ないね」で済まされそうな気がするなあ。
PHP 4.4.5 が出ていたようです。 PHP 4.4.5 の ChangeLog 和訳 (t_komuraの日記, 2007.02.18)
……が、PHP 4.4.5 には致命的な欠陥があるそうで、4.4.6RC1 が出ています。植田さん情報ありがとうございます。
》 日大医学部構内で爆発・脅迫状、医学部５年生を逮捕 (読売, 2/21)
》 テレ東、映像捏造 「血流改善」写真は別人 (asahi.com, 2/21)、 テレビ東京：番組ねつ造で社長謝罪、担当者ら処分 (毎日, 2/21)、 不適切な映像の使用について (テレビ東京, 2/20)
》 第10回まっちゃ１３９勉強会レポート (まっちゃ１３９ Hiki)
》 フランス「死刑廃止」を憲法に書き込み、日本では確定死刑囚１００人に (保坂展人のどこどこ日記, 2/20)
》 裁判所広報費追及第2弾 2月19日予算委員会(仮記録) (保坂展人のどこどこ日記, 2/21)
》 WindowsにおけるRootkitの現状と将来 - VistaのRootkit対策とは (1) Windowsへと対象を広げるRootkit (MYCOM ジャーナル, 2/6)。タイトル長すぎ……。
》 誰がリスクを判断するのだ？リモートアクセスツールとキーロガーの検出漏れ (Semplice, 2/16)。 このあたりは、なかなか難しい問題なんだよなあ。
》 新しいネット安全団体「FOSI」発足 (ITmedia, 2/15)。 ICRA (Internet Content Rating Association) → FOSI (Family Online Safety Institute) なのだそうだ。
》 「アラブの声に耳傾けて」 東京でジャーナリスト会議 (JANJAN, 2/12)
》 Encrypted malware and code reusability (SANS ISC, 2/12)
》 「適用時期は延期しない」——日本版SOX法の基準と実施基準が正式公開へ (日経 BP, 2/15)
》 Windows Live MessengerでWinfixerの広告が出回る (日経 IT Pro, 2/21)
》 DARPA主催のロボットカーレース、今年は市街地で開催 (ITmedia, 2/20)
》 噂は信じるな！Windows Vista10の誤解 (ZDNet, 2/20)
》 「2007年度トレンドマイクロ戦略発表会」レポート (トレンドマイクロ, 2/20)
》 想像以上？！ お隣韓国のセキュアOS事情（前） (@IT, 2/19)。その普及の度合はセキュリティにきちんと貢献しているのだろうか。
》 Windows XPの自動更新に不正ライセンス通知ツールが追加 (PC Watch, 2/20)。画面例が紹介されている。 関連: 『Windows Genuine Advantage Notifications（正規 Windows 推奨プログラムの通知機能/サービス）』を開始 (Microsoft, 2/20)
》 「Winnyは既に必要な技術ではなく、危険性を認識すべき」高木氏講演 (Internet Watch, 2/19)。このあたりが関連かしら:
》 ジャックス、カード情報15万件流出 667万円不正利用 (ITmedia, 2/21)
》 TrueCryptを使った混成環境におけるファイルシステムの暗号化 (Open Tech Press, 2/20)
TrueCryptを使い始める前に、いくつか注意すべき点がある。
* Windowsの場合はRAM内ではなくページファイル内の開かれたキャッシュファイルに書き込むことがあるため、データや鍵がさらされてしまう可能性がある。
原文はこうなっている。
Before you get started, consider some precautions you need to be aware of:
* There is a chance that Windows will write the opened cache file in a page file, rather than in RAM, thus exposing your data or key.
》 A mapped network drive appears to be disconnected after you install or upgrade to Symantec AntiVirus 10.0 or to Symantec Client Security 3.0 on a Windows Server 2003-based computer or on a Windows XP-based computer (Microsoft)。いろいろあるんですね。
》 Dell Optiplex 745 に Symantec AntiVirus 10.1 か Symantec Client Security 3.1 をインストールすると正常に起動しないという事例があるようです。やまねさん情報ありがとうございます。
Solution:
To fix the problem, start the computer in Safe mode. Then, update to Symevent version 12.1.3.11 or later and restart the computer in Normal mode
》 シマンテック方面で誤検出する事例があったようです。 やまねさん情報ありがとうございます。
2007年2月19日付け (rev. 20) のウイルス定義ファイルで、いくつかの Office ファイルが Bloodhound.Exploit.128 に感染していると誤検出されることが確認されています。
この問題は、2007年2月19日付け (rev. 53) 以降のウイルス定義ファイルで修正されています。
Drive-By Pharming: How Clicking on a Link Can Cost You Dearly (Symantec, 2007.02.15) の話。 とりあえず Flash な説明を見るのがよいでしょう。 ブロードバンドルータの設定を変更することで DNS query の行き先を制御し、 ファーミングを実行する話のようです。
Best practices for defense:
The simplest thing you can do to protect yourself is change the default password on your home wireless router.
パスワードは変更しませう。関連:
関連: Drive-By Pharming Follow Up (Symantec blog, 2007.03.27)
いよいよ現実化した模様。
[SA24193] Trend Micro OfficeScan Client Unspecified ActiveX Buffer Overflow。 Trend Micro OfficeScan Corporate Edition 7.0 / 7.3 の ActiveX コントロール (Trend Micro OfficeScan server web deployment modules) に buffer overflow する欠陥があり、攻略 web ページで任意のコードを実行可能。 patch が出ている模様。 中身は tmlisten.exe だけなんですかね。
[SECURITY] [DSA 1260-1] New imagemagick package fix arbitrary code execution。 coders/palm.c の ReadPALMImage 関数に欠陥。 CVE-2007-0770。 CVE-2006-5456 への対応が不十分だった模様。
GLSA 200702-05 - Fail2ban: Denial of Service。 Fail2ban の 0.6.1 以前には CVE-2006-6302 という DoS 穴があるという話。0.6.2 以降で修正されている。 最新は 0.7.7。
[SA24193] Trend Micro OfficeScan Client Unspecified ActiveX Buffer Overflow の件。
ウイルスバスター コーポレートエディション 5.58 / 6.5 / 7.0 / 7.3、 Trend Micro ウイルスバスター ビジネスセキュリティ 3.0、 Trend Micro Client/Server Security 2.0 が該当。 ウイルスバスター コーポレートエディション用の patch は公開されたが、残りはまだみたい。
2/1 時点で自動的に修正されたようです。
》 Lotus Domino Webmail Password Hash Dumper (Exploit) (SecuriTeam)
》 三井住友銀行：法人向け為替決済システムに障害 (毎日, 2/20)
》 セキュリティはなぜやぶられたのか (日経 BP) という本が出たそうです。シュナイアーなのでまともな本でしょう。
ぐぐっていたら、ギターのある生活という blog をみつけた。
》 YouTubeの違法動画対策にメディア企業が不満 (ITmedia, 2/19)
》 トロイの木馬もGoogle Mapsを活用、「Tokyo」所在の感染マシンが一目瞭然 (ITmedia, 2/20)
》 ヤザワコーポレーションの「クリップライト」で電球破裂の恐れ (家電 Watch, 2/20)
》 吉井電気のハロゲンヒーター、ランプ破裂のおそれで回収・返金 (家電 Watch, 2/20)
》 「Virtual PC 2007」正式版が無償公開、Vistaに対応 (Internet Watch, 2/20)
》 Windows XPの海賊版判定プログラム、自動更新時にも適用 (Internet Watch, 2/20)。明日から。
マイクロソフトによれば、WGAを開始した2005年7月以来、世界で5億台以上のPCがWindowsのライセンス認証を行ない、このうち認証が失敗したのは22％だったという。日本における認証の失敗率は7％と、世界の平均からすると低いが「無視はできない数字」（篠田氏）。特に日本では、企業向けのボリュームライセンスキーが流出して違法に使われたり、悪意のあるユーザーが独自にボリュームライセンスキーを作る事例などが多いとしている。
》 情報技術分野の標準化動向とINSTAC の取組み (日本規格協会)。2007.03.08、東京都港区、無料。 「暗号モジュール」話あり。
》 「メルアド」知られない 匿名通信手法、電通大が開発 (FujiSankei Business i., 2/20)。Benjamin さん情報ありがとうございます。 2007年 暗号と情報セキュリティシンポジウム (SCIS2007) プログラム にある「送信者IDを秘匿したまま返信可能な匿名通信方式の提案」のことかなあ。
》 湯沸かし器大手３社、ＣＯ充満速度実験せず (読売, 2/20)。大手３社 = リンナイ、パロマ、ハーマンプロ。
》 ドイツマスコミスキャン〜連邦の木馬（上） (JANJAN, 2/19)。ドイツでは、トロイの木馬を使った「捜査」は「法的根拠が欠けている」のでだめなのだそうです。
》 パロマ工業事故・第三者報告書を読む（１） (JANJAN, 2/19)
「この第三者委員会というのは何者なのかと。これははっきり言って、パロマの代弁者ですね、私に言わせてもらえば。だって、これはパロマから給料を出しているんでしょう、第三者委員会に対して」（与党委員）
第165回国会 経済産業委員会 第4号 平成18年11月7日（火曜日） (衆議院) における、公明党の赤羽一嘉委員の発言のようですね。
》 フィッシングの始まりは「パスワード破り」 (日経 IT Pro, 2/19)
》 【CRYPTO-GRAM日本語版】無線発信器が仕込まれたカナダのコイン (日経 IT Pro, 2/20)
》 日本製列車が“爆発炎上” これが中国の「新幹線」で起こったら… (日経 BP, 2/20)
Webshield SMTP 4.5MR2 および 4.5MR1a 以前に欠陥。詳細は不明だが、remote から任意のコードを実行できる模様。 Webshield SMTP 4.5MR2 用の patch が用意されている。
snort 2.6.1 〜 2.6.1.2 / 2.7.0 beta 1 に欠陥。DCE/RPC プリプロセッサに欠陥があり buffer overflow が発生、remote から任意のコードを実行可能。 CVE-2006-5276
snort 2.6.1.3 / 2.7.0 beta 2 で修正される。また DCE/RPC プリプロセッサを無効にすることで回避できる。 snort 2.6.1.3 は既にリリースされているが、2.7.0 beta 2 はまだ。関連:
》 最悪の事故が起こるまで人は何をしていたのか (草思社)。 この書評によると、欠点はいろいろあるが興味深い本らしい。
》 ClamAV のセキュリティ穴をふさぐために手元の ClamAV を 0.90 にアップグレードした。
ClamAV 0.90 では daily.cvd の差分転送が実装されている。 手元では ClamAVウィルスデータベースのローカルミラーの作り方 に従ってローカルミラーを運用しているのだが、差分転送が有効の場合 (デフォルトで有効)、 daily.cvd がつくられなくなる場合があるために、ローカルミラーがうまく動かなくなることがあるようだ。 freshclam.conf で ScriptedUpdates no に設定すると、 差分転送ではなく daily.cvd まるごと転送が行われるようなので、とりあえずこれを設定して回避した。
ScriptedUpdates yes な時代のローカルミラーはどうやってつくればいいんだろう。
》 ボッシュの乾燥機と食器洗い機、リコール後も火災事故で改修の呼びかけ (家電 Watch, 2/19)
》 YouTube、バイアコムによる動画削除要請から広がる議論 (CNET, 2/19)
》 トレンドマイクロ、リージョナルトレンドラボ設立を発表 - 2007年事業戦略 (MYCOM ジャーナル, 2/19)、 トレンドマイクロ2007年戦略、日本独自のサービスを提供するラボ開設 (Internet Watch, 2/19)
》 Googleが大量に使用しているHDDの故障率の分析 (slashdot.jp, 2/18)。結局のところ、「運が悪けりゃ死ぬだけさ〜死ぬだけさ〜」 (男達のメロディー: 俺たちは天使だ! 主題歌) ということなんですかね。 メーカ別とか型式別とかロット別とかのデータも本当はあるんだろうなあ。
》 【防衛監察本部？】予算委員会で質問する議員を探している (関組長の東京・永田町ロビー活動日記ｂｌｏｇ版, 2/15)
》 暖冬の影響で欧州有数のスキーリゾート地が悲鳴 (JANJAN, 2/17)
》 バルカン：コソボ独立提示仲介案に、セルビア反発 (JANJAN, 2/17)。現在進行形。
》 ありがとうワタダ中尉：イラクへの従軍を拒否 (JANJAN, 2/17)
》 MalwareWipedはクローン製品 - 不審ソフトのスキャンが数秒で終わる理由 (Semplice, 2/17)
》 TRUSTe、信頼できるソフトウェアの「ホワイトリスト」公開 (ITmedia, 2/17)
》 IAEA が新しい「放射性物質」シンボルマークを作成 (slashdot.jp, 2/17)。 IAEA の線源のカテゴリー分類 1 〜 3 に対応するマークで、ふつうに見える場所には貼られない (分解しようとすると現れる)ものなのだそうです。 関連:
》 How to use the new language locales in Windows Server 2003 Service Pack 2 (SP2) (Microsoft)。
》 A mapped network drive appears to be disconnected after you install or upgrade to Symantec AntiVirus 10.0 or to Symantec Client Security 3.0 on a Windows Server 2003-based computer or on a Windows XP-based computer (Microsoft)。原因はシマンテック側にあるそうです。
ClamAV 0.90 では 2 つの欠陥が修正されているそうです。
アップグレードしましょう。ただし、設定ファイルの書式がちょっと変わってるし、 ClamAV ウィルスデータベースのローカルミラーを作成している場合には 注意が必要です。
ベリサイン マネージド PKI サービスに欠陥。 利用している ActiveX コントロールに buffer overflow する欠陥があり、攻略 web ページから任意のコードを実行できる。
修正 patch はまだないらしい。当該 ActiveX コントロールを削除すれば回避できる。
SpamAssassin 3.1.8 登場。 長大な URL によって DoS 攻撃を受ける欠陥が修正されているそうだ。 CVE-2007-0451
Firefox 2.0.0.1 以前に欠陥。NULL 文字 (\x00) が含まれる場合の location.hostname DOM プロパティの扱いに欠陥があり、攻略 web ページが他ドメインの cookie を設定することなどが可能となる。
2007.02.22 リリース予定の Firefox 1.5.0.10 / 2.0.0.2 で修正される。 お急ぎの方は RC 版をどうぞ。
また、JavaScript を無効にしたり、about:config から capability.policy.default.Location.hostname.set を noAccess に設定することで回避できる。
Firefox 1.5.0.10 / 2.0.0.2 のリリース予定が 2/27 に延期されています。 cadz さん情報ありがとうございます。
Firefox 1.5.0.10 / 2.0.0.2 出ました。 一時「Target Release Date: Tuesday 2/27 (Firefox), Thursday 3/1?」 になってましたが、結局「Friday 2/23 (Firefox), Tuesday 2/27? (Thunderbird)」になったようで。
アイヴァーンさん、おおやまさん、高橋さん、椎野さん情報ありがとうございます。
Seamonkey 1.0.8 も出てました。
》 個人情報を含む取材情報の外部流出について (NHK, 2/16)。Winny だそうで。
第２世代抗ヒスタミン薬は作用と副作用がきっちり比例してます。 作用が強ければ眠気も強いです。
↓のグラフが参考になるかと。(画像の羅列でダメなページだけど)
ttp://www.page.sannet.ne.jp/ojasasa/tablets.html
おぉ……参考になるなあ。
》 国際チェチェンデー集会「相次ぐ暗殺事件とチェチェンの今」 (バイナフ自由通信)。 2007.02.24、東京都文京区、500 円。
》 フィルタリングサービス 有害サイトでの非行ストップ 青森県警が７社に普及の協力要請 (毎日, 2/15)
》 残虐ゲーム レーティング厳格化の法案 米議会 (毎日, 2/15)
》 データ改ざん 東電と関電がプログラム操作 (毎日, 2/14)。改ざんされた数値しか残ってないようで……。 東電・関電、さすがです。
》 レアメタルが禁輸になる日 中国商務部ウェブサイトが掲載した“本音” (日経 BP, 2/14)、 金属資源：中国などの消費続けば５０年までに枯渇 (毎日, 2/16)
》 疾病イラク退役軍人 体むしばむ劣化ウラン (中国新聞「ヒロシマ記者 超大国を行く」, 2/11)
》 【デジタル社会推進シンポジウム2007】 〜重要インフラ・テロの動向と対策及び国際協調〜。 2007.04.12、東京都渋谷区、無料。
》 総務省など、ユニバーサルサービス料の振り込め詐欺で注意喚起 (Internet Watch, 2/15)
》 FreeBSD 6.0/6.1のNFSに不具合 - 特定の操作でシステムパニックを誘発 (MYCOM ジャーナル, 2/15)。Benjamin さん情報ありがとうございます。 えぇ、FreeBSD 6.[01] の NFS まわりには苦労させていただきました。
What is the difference between the OpenSolaris project and the Solaris Operating System? (OpenSolaris.org)。中治さん情報ありがとうございます。
Cisco Security Advisory: Multiple IOS IPS Vulnerabilities (Cisco)。Cisco IOS の IPS 機能に欠陥があり、フラグメントされた IP パケットがシグネチャによる検査を回避できたり、TCP シグネチャエンジンに対する DoS 攻撃を実施できたりする模様。関連: Cisco Applied Intelligence Response: Identifying and Mitigating Exploitation of Multiple IOS IPS Vulnerabilities (Cisco)
Cisco Security Advisory:Multiple Vulnerabilities in Firewall Services Module (Cisco)。 Cisco Firewall Services Module (FWSM) に複数の欠陥。攻撃を受けるとデバイスが再起動される。verbose logging が有効な場合にのみ発現するようだ。関連: Cisco Applied Intelligence Response: Identifying and Mitigating Exploitation of Multiple Vulnerabilities in Cisco ASA/PIX/FWSM Firewalls (Cisco)
Cisco Security Advisory: Multiple Vulnerabilities in Cisco PIX and ASA Appliances (Cisco)。 Cisco PIX 500 / ASA 5500 シリーズに欠陥。DoS や権限上昇が可能なようだ。 関連: Cisco Applied Intelligence Response: Identifying and Mitigating Exploitation of Multiple Vulnerabilities in Cisco ASA/PIX/FWSM Firewalls (Cisco)
いずれも patch が用意されている。
Mac OS X Finder、iChat、UserNotificationCenter の欠陥の修正。いずれも MoAB ねた。
patch があるので適用すればよい。
》 VistaをXPの字体に戻すというjp90タグの罠 (日経 IT Pro, 2/13)。世の中キビシイ。
》 VSE8.5i をインストール後、Lotus Notes で「操作を実行する権限がありません」エラーが発生する (マカフィー)。修正プログラムが登場したようです。
》 OZmallにシステム不具合、別会員の個人情報を表示 (Internet Watch, 2/14)
》 ITセキュリティのアライ出し: Windowsにおけるバッファオーバーフロー(5) (MYCOM ジャーナル, 2/14)
》 内部統制の評価と監査の基準及び実施基準が確定したようですね・・・ (まるちゃんの情報セキュリティ気まぐれ日記, 2/15)
》 千葉銀行の顧客情報が流出、Winny削除したつもりが残留 (Internet Watch, 2/15)。「削除手順に誤りがあったため」……。どうやって失敗したんだろう。
》 東京都千代田区などで早くもスギ花粉 (日経 BP, 2/15)
関東地方では2月10日前後と予測されていたスギ花粉の飛散開始が、1月31日から東京都内の3カ所で確認され、いよいよ花粉症のシーズンが始まりました。
という話を 2/15 にしてどうするんだ日経 BP……。わけわからん。
このまえの話の後、塩酸フェキソフェナジンを入手して試してみた。確かに副作用は劇的に少ない。医者からは「効き目は塩酸オロパタジンよりも明らかに悪いよ」と警告されていたのだが、こちらも確かにそのとおりである。 塩酸オロパタジンに戻るのはできれば避けたいと思っているので、もうちょっといろいろ試してみる必要がありそうだ。
》 情報セキュリティ対策技術と特許の微妙な関係 (武田圭史, 2/15)
例えばあるウィルスを検知・駆除するための技術について特許出願が行われ、他の企業がそのウィルスを検知・駆除するために特許使用料を支払わなければならないというような事態が起こるのだろうか？(あるいは実際に起こっている？)
特許については、ちょっとぐぐってみただけでも、たとえばこんなのがみつかります。
「特定の検知・駆除手法に対して特許が取得されている場合の話やけど、ライセンス料を払ってその手法を使うのか、それとも、別の手法を新たに開発するのかは、自由だーー」というだけのような。もちろん、その特許の妥当性はどうなのか、とか、別の手法は本当に別の手法になっているのか、とかいった話は別にあるわけですが。 アンチウイルス is freedom 〜♪
……武田さんの記事が改訂されてますが、特定のウイルスを防ぐための特定の技術 (代替技術なし) の場合であっても話は同じだと思います。リアルウイルスと戦うための技術 (薬) の世界では何年も前から問題になってますよね。その特許を override でき得るような法体系になっていれば別ですが。
》 ＥＵ：ＣＩＡの不当拘束を「違法行為」とする報告書採択 (毎日, 2/15)、 EU endorses damning report on CIA (BBC, 2/15)
》 ロボットスーツ(外骨格型)実用化へ踏み出す (slashdot.jp, 2/15)。HAL がいよいよ量産・一般販売されるのだそうです。 「おもしろくなってきやがった」(声: 次元大介)
毎日新聞が入手した米陸軍第３歩兵師団の会議資料（０３年）によると、同師団はクラスター爆弾を１０１４発使用。また米空軍の調査（同）を分析すると、クラスター爆弾などを約１５００発使用したこともわかった。これら計約２５００発について国防総省が０４年に米議会に提出した報告書をもとに調べた結果、いずれも子爆弾の不発率が４〜１６％と極めて高いことが判明。これだけでもイラクに不発弾４万〜１２万個が残された計算になる。陸軍の……というのは、MLRS とかから撃った奴のことかなあ。
》 ClamAV 0.90 finally out, over 90.000 signatures in the database (clamav.net)。戸井さん情報ありがとうございます。
》 Sourcefire VRT Tool Update (snort.org, 2/13)。OfficeCat ツールが MS07-01[45] に対応したそうです。
》 PuTTY 0.59 が出ています。 変更点は PuTTY Change Log を参照。 PuTTY 0.59 ごった煮版 2007年2月6日版 (ゑBLOG) も出ています。 koricoli さん情報ありがとうございます。
Windows 2000 / XP / Server 2003 に欠陥。IE 5.01 / 6 / 7 に複数の欠陥があり、 任意のコードの実行などが可能。 Vista 上の IE7 にはこの欠陥はない。
修正プログラムを適用すればよい。なお、GDR 版ではなく QFE 版をインストールしたい場合は、以下の KB を参照されたい。
Office 2000 / 2002 / 2003、Project 2000 / 2002 に複数の欠陥。
攻略 PowerPoint / Excel ファイルによって任意のコードが実行される。
修正プログラムを適用すればよい。
Office 2000 / 2002 / 2003、Works Suite 2004 〜 2006 に複数の欠陥。
攻略 Word ファイルによって任意のコードが実行される。
修正プログラムを適用すればよい。
Windows 2000 / XP / Server 2003、Office 2000 / 2002 / 2003、Office 2004 for Mac、Office ラーニング エッセンシャル 1.0 / 1.1 / 1.5 に欠陥。 リッチ エディットのコンポーネント riched20.dll などに欠陥があり、RTF ファイル内に埋め込まれた OLE オブジェクトの解析においてメモリ破損が発生、攻略 RTF ファイルにより任意のコードを実行できる。 CVE-2006-1311
修正プログラムを適用すればよい。
Windows 2000 / XP / Server 2003、VisualStudio .NET 2002 / 2003 に欠陥。 MFC コンポーネント mfc40u.dll / mfc42u.dll に欠陥があり、RTF ファイル内に埋め込まれた OLE オブジェクトの解析においてメモリ破損が発生、攻略 RTF ファイルにより任意のコードを実行できる。 CVE-2007-0025
修正プログラムを適用すればよい。ただし、 FIX: The MFC source file Oleui2.cpp is not updated when you install security update MS07-012 とか The version number of the Mfc42u.dll file is not updated when you apply security update MS07-012 なんてのも出ているので注意。
Windows 2000 / XP / Server 2003 に欠陥。OLE ダイアログのコンポーネント oledlg.dll に欠陥があり、RTF ファイル内に埋め込まれた OLE オブジェクトの解析においてメモリ破損が発生、攻略 RTF ファイルにより任意のコードを実行できる。 CVE-2007-0026
修正プログラムを適用すればよい。
Windows Defender や Windows Live OneCare、Microsoft Antigen、Microsoft Forefront に含まれる Microsoft Malware Protection Engine に欠陥。PDF ファイルの処理に欠陥があり、 攻略 PDF ファイルにより任意のコードを実行できる。 CVE-2006-5270
上記ソフトの自動更新機能によって修正プログラムが自動的にインストールされる。
Windows 2000 / XP / Server 2003 に欠陥。 MDAC 2.5 SP3 / 2.7 SP1 / 2.8 gold / 2.8 SP1 に含まれる ADODB.Connection の ActiveX コントロールに欠陥があり、攻略 web ページにより任意のコードを実行できる。 CVE-2006-5559
修正プログラムを適用すればよい。また {BD96C556-65A3-11D0-983A-00C04FC29E36} に kill bit を設定する、あるいは regsvr32 -u "%CommonProgramFiles%\System\ado\msado15.dll を実行することで回避できる。
Windows 2000 / XP / Server 2003 に欠陥。HTML ヘルプの ActiveX コントロール (hhctrl.ocx, CLSID: {52a2aaae-085d-4187-97ea-8c30db990436} ) に欠陥があり、攻略 web ページにより任意のコードを実行できる。 CVE-2007-0214
修正プログラムを適用すればよい。また {52a2aaae-085d-4187-97ea-8c30db990436} に kill bit を設定することで回避できる。
Windows XP に欠陥。Window Image Acquisition サービスがアプリケーションを起動する方法に欠陥があり、local user が管理者権限を取得できる。 CVE-2007-0210
修正プログラムを適用すればよい。また Windows Image Acquisition サービスを無効にすることで回避できる。
Windows XP / Server 2003 に欠陥。新しいハードウェアの検出・登録処理に欠陥があり、local user が管理者権限を取得できる。 CVE-2007-0211
修正プログラムを適用すればよい。また Shell Hardware Detection サービスを無効にすることで回避できる。
Windows 2000 / XP / Server 2003 に欠陥。「ステップ バイ ステップの対話型トレーニング」(lrun32.exe / mrun32.exe / orun32.exe) に欠陥があり、攻略ブックマークリンクファイルによって任意のコードを実行可能。 CVE-2006-3448
修正プログラムを適用すればよい。また、ステップバイステップの対話型トレーニングファイル (.cbo, .cbl, .cbm) に対するハンドラを削除することで回避できる。
Virex 7.7 に欠陥。いまいちよくわからないが、local user が root 権限でコマンドを実行できるようになるのかな。Virex 7.7 Patch 1 で修正されているそうだ。
詳細情報: http://www.netragard.com/pdfs/research/NETRAGARD-20070220.txt
Word 2000 / XP (2002) に未修正の欠陥。攻略 Word ファイルによってメモリ破壊が発生、任意のコードを実行可能。
CVE 番号は CVE-2007-0870。この欠陥は当初 MS06-027 関連で Word 2000 かつ DoS に限定されるとされていたようなのですが、
ことが判明した模様。関連:
ようやく修正されました: Microsoft Word の脆弱性により、リモートでコードが実行される (934232) (MS07-024)
MoAB総括 (slashdot.jp)
3proxy 0.5 〜 0.5.2 話。
3proxy 0.5.3 で修正されている。
》 警察政策フォーラムの開催について 「犯罪予防の法理」 (警察庁)。2007.03.07、東京都千代田区、無料。 こちらには例によってパネルディスカッションが付くようです。
》 社会安全セミナーの開催について 「犯罪予防の法理」 (警察庁)。2007.03.08、京都大学 (京都府京都市)、無料。
ドイツ及びアメリカから犯罪予防法制に詳しい研究者・専門家を招いて両国における法制度について講演をいただき、今後の我が国における一般的犯罪予防措置を定める実定法の在り方を探ります。
》 犯罪による収益の移転防止に関する法律案 (警察庁)。 条文、新旧対照条文
》 TOMOYO Linux 1.3.2 が公開されました (熊猫さくらのブログ, 2/14) だそうです。 熊猫さくらさん情報ありがとうございます。
ポリシーエディタが大きく進化しました。カーネルは 1.3.1 を使い続ける予定でも 1.3.2 のポリシーエディタを使う価値があると思います。
》 ＴＢＳ：柳沢厚労相発言で不適切編集、謝罪 情報番組 (毎日, 2/14)
》 番組ねつ造：知りつつも通報せず 関西テレビの孫請け会社 (毎日, 2/14)
関連: 番組ねつ造：孫請け制作会社の担当ディレクターが関与 (毎日, 2/14)
》 山谷剛史のマンスリー・チャイナネット事件簿 2007年1月 (Internet Watch, 2/13)。『反「悪意のあるソフト」連盟、米国をも視野』『セキュリティソフトメーカー、台湾地震で海外企業が弱ったところに大攻勢』など。
1月20日に発表された中国のオンラインリサーチメディアの中関村在線のセキュリティソフトベンダー人気ランキングによると、1位が中国ベンダーの瑞星科技（27.5％）、以下シマンテック（27.5％）、カスペルスキー（16.5％）と続いた。日本にも進出しているキングソフト（3.5％）は6番人気となった。
カスペルスキーが 3 位なんだ……へぇ。
》 ［WSJ］ 「Googleが違法サイト支援」——メディア企業が非難 (ITmedia, 2/13)
》 健康食品：摂取で中毒！？ アガリクスで肝機能障害／キトサンで肺炎… 被害例出版 (毎日, 2/14)
》 FTP経由でHDDのバックアップとリストアができるフリーソフト「Ghost4Linux」 (gigazine, 2/13)。g4l の利用レポート。
》 行政の保身と罪−耐震偽装隠蔽事件 その１ (JANJAN, 2/14)
》 「２０行・５０００万円裁判」第１回弁論〜名誉毀損か言論の自由への威嚇か〜 (JANJAN, 2/13)
》 フリーメールの盲点 (日経 IT Pro, 2/14)。フリーメールじゃなくても、社内メールとか物理メールとかでも同様なのでは……。
ISPが提供する有料のメール・サービスは，ユーザーが退会したらそのメール・アドレスは永久欠番としているところが大半である。永久欠番ならば，同じメール・アドレスをほかのユーザーが使うことがない。
ふぅん……。
》 マイクロソフトのオフィス製品が狙われる---ラックがレポート公表 (日経 IT Pro, 2/14)。先日 NHK が妙に騒いでいたのは、これが元ねた? ラックの西本さん出てたし。
》 パチンコ業界の闇が暴かれる〜２月１４日、外国人記者クラブで鹿砦社社長会見「すべて答える」 (情報流通促進計画 by ヤメ記者弁護士, 2/13)。どんなんだったんだろう。
》 台湾南方沖地震で被災した海底ケーブルが復旧，KDDIが発表 (日経 IT Pro, 2/13)
今回の地震で被災したのは，「APCN」「APCN2」「C2C」「China-US」「EAC」「FLAG」「FNAL」「RNAL」「Sea-Me-We3」の9ケーブル・システムの19区間。このうちEACの修理は調整中としているが，KDDIの主要ルートであるChina-US，Sea-Me-We3，APCN，APCN2，FLAGの各ケーブル・システムの修理が完了したことから，復旧を宣言した。
》 「DVDレコーダの出荷から修理まで」、ビックカメラがICタグの実験を公開 (日経 IT Pro, 2/13)
》 フジテレビ：「トリビア」でやらせ？ 犬の能力検証、飼い主は別人 (毎日, 2/14)
コーナーでは「飼い主が突然倒れ、苦しみ出したら犬はどうするか？」を、１００匹の犬を対象に調査した。そのうち１匹は実際の女性の飼い主でなく、犬の所属する動物プロダクションの男性社長が出演した。また、倒れた男性社長の上に乗った犬をうまく撮影できなかったため、社長の衣服の中にドッグフードを入れて撮影したという。
これがやらせでなかったら何なのだろう。
フジテレビ広報部は、「社長を『飼い主に準じる方』と判断した。『やらせ』『ねつ造』とはまったく違うと考えている。しかし、反省すべき点は反省したい」とコメントしている。
反省すべき点は反省したいが、『やらせ』『ねつ造』とはまったく違うので反省すべき点はない、という主張?
》 アパホテル、大阪市内でも耐震強度不足 (asahi.com, 2/14)。アパホテル天王寺駅前。
強度不足が見つかったのは同ホテル２階にある鉄骨コンクリート製の大型の梁（はり）２本。市が再計算したところ、震度５強程度の中規模地震で損傷しないことを定めた建築基準法に照らして必要な強度の６６％しかなかったことが判明した。 (中略) 水落建築士が関与した同市内のアパグループのマンションは調査の結果、「問題なし」と判断した。
》 鹿児島のフェリーが衝突か 宮崎・マグロ船転覆 (asahi.com, 2/14)、フェリー側「当て逃げとは残念な表現」 宮崎の漁船転覆 (asahi.com, 2/14)。 マルエーフェリーのフェリーたかちほ?
副作用:
》 「Googleの新聞記事転載は著作権侵害」，ベルギー裁判所が一審判決を支持 (日経 IT Pro, 2/14)
》 W32/Dref-AB というのがいっぱい来てるなぁ……
Adobe JRun 4.0, ColdFusion MX 6.1 Enterprise, ColdFusion MX 7.0 Enterprise Edition にクロスサイトスクリプティング欠陥。 patch が用意されている。
JVN#28356427: ColdFusion におけるクロスサイトスクリプティングの脆弱性
ColdFusion MX 7.x で発生。ただし、 ColdFusion MX Administrator の [設定] ページの [Enable Global Script Protection] オプションを ON にすることで回避できる。
JVN#48566866: ColdFusion のエラー画面におけるクロスサイトスクリプティングの脆弱性
ColdFusion MX 6.x / 7.x で発生。回避方法はない模様。
いずれについても patch が用意されている。
SANS ISC の表では Powerpoint CVE-2007-0913 というのが Critical となっているが、 PowerPoint Version of (just patched) Office Zero-Day Spotted (McAfee AVERT Labs blog, 2007.02.13) によるとこれは CVE-2007-0671 と同じもの (= MS07-015 で修正されている) だそうです。
Microsoft Office の脆弱性により、リモートでコードが実行される (932554) (MS07-015) で修正されました。
Microsoft Word の脆弱性により、リモートでコードが実行される (929434) (MS07-014) で全て修正されました。
予定どおり出ました。
》 OpenSSLが再認定されるまでの苦難の道 (Open Tech Press, 2/13)
》 ファイルのセキュリティを強化する各種の暗号化ツール (Open Tech Press, 2/13)。 Bcrypt, Ncrypt, Pad, GnuPG の紹介。
今回の点検対象品は上記の商品になりますが、ご希望によりその他の開放式小型湯沸器につきましても点検させていただきます。
拡大対象は型番が「ＲＵＳ—」「ＲＵ—」で始まる製品。室内の空気を取り込んで燃焼させ、排気を再び室内に出す「開放式」を意味しており、５件の事故を起こした２機種「ＲＵＳ—５ＲＸ」「ＲＵＳ—５１ＢＴ」も含まれる。点検は無料だが、同社は事故機器を含めて「製品に問題はなかった」としており修理や交換は有料という。
ハーマン（大阪市）製の開放式小型湯沸かし器で１９９６年と９９年に北海道と兵庫県で２件のＣＯ中毒事故が起きていたことが１３日、分かった。 (中略) ガス会社がメーカー側に製品改良を働き掛けるきっかけとなった重大事故だったが、ハーマンはこの事故を公表しておらず、消費者の安全確保の観点から企業姿勢が問われそうだ。
同社の事故より前の９６年７月、札幌市でハーマン（本社・大阪市此花区）製の湯沸かし器で一酸化炭素中毒事故が起きていたことがわかった。この事故を受け、東京ガスなどガス事業者が９９年２月に、事故原因とみられる不完全燃焼状態でも再び点火できる危険性をリンナイ、パロマなどメーカーに指摘。リンナイは安全装置を改良し、同年１２月に新型機を発売したが、ガス事業者も、旧型機の危険性について消費者に周知はしていなかった。業界ぐるみで利用者無視ですか……
》 資金洗浄対策：新法案を閣議決定、今国会提出へ (毎日, 2/13)、不動産など５業種も 資金洗浄疑い届け出義務 (中日, 2/13)
新法案は、資金洗浄対策などのために先進国などでつくる金融活動作業部会の勧告を受けた措置。弁護士などの除外で勧告を満たせなくなり、警察庁は弁護士などの取り扱いについて「引き続き検討する」としている。
関連: 資金情報機関（ＦＩＵ） (西日本新聞 WordBOX)
》 日立：通称「日立の樹」の独占的撮影権を取得 (毎日, 2/13)。木が Corporate Identity 話になっちゃうんだよね。
》 Microsoft Windows 悪意のあるソフトウェアの削除ツール (KB890830) が、一足お先に更新されているようです。
》 ドキドキ・ヒヤリで子どもは育つ 〜遊具プロジェクトの挑戦〜 (NHK スペシャル, 2/18 放送予定)。「“がらんどう公園”の衝撃 〜子どもは“遊び”で危険を学ぶ〜(仮）」のあたらしい題名。
》 男性に深刻なセキュリティホール─人生乗っ取られる恐れ (bogusnews, 2/8)。ざぶとん 3 枚! その先にあるのはきょうさい組合ですね……。
》 International Mailto URIs in IE7 (IEBlog, 2/12)。そんな機能があるとは。
》 Winny情報漏洩に拡散防止サービス (slashdot.jp, 2/13)。 Winnyファイル拡散防止サービス (NetAgent) だそうです。
》 「お祈りパンダ」のブリーダー、中国で逮捕 (ITmedia, 2/13)。Fujacks 話。
》 Security Sun Alert Feed (Sun Security Coordination Team) という blog があるのですね。
ウイルス検索エンジンのUPXファイル検索処理における脆弱性に関するご報告 (トレンドマイクロ)
Sun Alert ID: 102802 - Security Vulnerability in the in.telnetd(1M) Daemon May Allow Unauthorized Remote Users to Gain Access to a Solaris Host (Sun)。SunOS 5.11 というのは、現状では OpenSolaris を意味すると理解していいのかしらん。
》 【RSA Conference 2007】スパマーを追跡---インドから正体不明の薬が届くまで (日経 IT Pro, 2/10)
》 「地球最後の日」のための倉庫、ノルウェイ政府が完成予想図を公開 (technobahn, 2/9)。そんなのがあるんだ。へぇ。関連:
SunOS 5.10 / 5.11 (Solaris 10 / 11) の in.telnetd に remote から無認証で login できる欠陥がある、という指摘。
Sun Alert ID: 102802 - Security Vulnerability in the in.telnetd(1M) Daemon May Allow Unauthorized Remote Users to Gain Access to a Solaris Host (Sun)。SunOS 5.11 というのは、現状では OpenSolaris を意味すると理解していいのかしらん。
What is the difference between the OpenSolaris project and the Solaris Operating System? (OpenSolaris.org)。中治さん情報ありがとうございます。
ワームが出たそうで。 Sun Solaris in.telnetd の脆弱性を使用するワームに関する注意喚起 を参照。
Skype for Windows 3.0 の新機能、エクストffラギャラリーの実装には EasyBits software が作成した DRM framework が使われているのだが、この framework が BIOS からマザーボードのシリアル番号を読み出している、という話。
この仕様は Skype for Windows 3.0.0.216 からは削除されているそうだ。 Skype for Windows な人は更新されたい。ダウンロード。
関連:
Cisco Security Advisory: SIP Packet Reloads IOS Devices Not Configured for SIP、Revision 2.1 になってます。
Any Cisco device which runs a vulnerable version of IOS and supports SIP processing could be vulnerable. This includes IOS versions 12.3(4)XH, 12.3(4)XQ, 12.3(7)XR, 12.3(7)XS, 12.3(8)JA, 12.3(8)T, 12.3(8)XU, 12.3(8)XW, 12.3(8)XX, 12.3(8)XY, 12.3(8)YA, 12.3(8)YG, 12.3(8)YH, 12.3(8)YI, 12.3(8)ZA, 12.4 Mainline and 12.4T onward.
関連:
日本原子力研究開発機構は１０日、廃炉準備中の新型転換炉「ふげん」（福井県敦賀市）の原子炉補助建屋のコンクリート強度が、壁面６か所から抜き取った３４サンプルのうち、５か所２５サンプルで設計基準を下回っていた、と発表した。 (中略) 最も低いものは１平方ミリあたりの耐力が１０・６ニュートン（Ｎ）で、設計基準２２・０６Ｎの半分以下だったという。
他の原発はだいじょうぶなんですかね。
対象型式
* ＲＵＳ−５ＲＸ
* ＲＵＳ−５１ＢＴ
* ＲＮ−４０５ＳＤ（東京ガス型式）
リンナイ側は「非常にまれな使い方をした場合に起こる」として、使用法に問題があったとの見方を強調した。今回の機種は、強制排気型ではないタイプ。台所で使用者が換気扇を回したり、窓を開けたりして短時間使用することが前提という。
最初の中毒事故が発生した００年１月以前の９９年に、同社は事故機種の不完全燃焼防止装置が作動しないケースがあることを把握していたことが１０日、分かった。問題を解決した新型機種を９９年１２月に発売したが、「新型機種が普及すれば、同じ問題は起きない」と判断したため、事故の公表や事故機種の点検・回収は行わなかったという。
パロマのように「不正改造で安全装置をバイパス」という話ではない。
》 「共謀罪」改め「テロ・組織犯罪謀議罪」とは? (保坂展人のどこどこ日記, 2/8)
》 インディカーのエタノール燃料に2000万円の酒税 (slashdot.jp, 2/10)。なんじゃそれー。
》 Storm-Worm Gang Attacking the Warezov Gang (F-secure blog, 2/9)
》 これだけは覚えたい！エンジニアのためのビジネス英会話 (日経 IT Pro, 2/9)
》 Norman antivirus engine to be used by eEye Digital Security (Norman, 1/31)。Blink Professional 3.0 ですか。
When eEye began scouting potential antivirus vendors for inclusion in the new Blink , we had a large kind of honey pot that we had set up with about 20 or so antivirus vendors, and consistently the one company that kept detecting viruses ahead of time, before everybody else, was Norman," said Marc Maiffret, Founder/CTO.
Norman Virus Control は 4000 円ほどだそうです。
http://www.nanog.org/mtg-0702/lightning.html の Dave Knight - This weeks DDoS against the root and TLDs に F ルートサーバの状況が解説されています。
これのことですかね: ウイルスバスター2007 トレンド フレックス セキュリティ ルートキット対策ドライバ1.6 ビルド1052 公開のお知らせ (トレンドマイクロ, 2007.02.02)
関連:
この欠陥は CCC クリーナーにも影響するのだそうで。
「CCCクリーナー」の脆弱性に関する注意喚起 (JPCERT/CC, 2007.02.10)
サイバークリーンセンターにおいて提供された「CCCクリーナー」の脆弱性についてのお知らせ (JPCERT/CC, 2007.02.10)。 2007.01.25 〜 2007.02.09 に配布されていたもの (lpt$vpn.185 を含むもの) にこの欠陥があり、 2007.02.09 19:32 以降に配布されているもの (lpt$vpn.253 を含むもの) にはこの欠陥はないそうです。
2007年2月のセキュリティリリース予定 (日本のセキュリティチームの Blog, 2007.02.09)
・・・なんと申し上げていいのか・・・一度に多くのリリースを行った場合に、管理者の方々等には大きな負担を掛けることは重々承知しているつもりです。とはいえ、数量調整を行って更新の提供を遅らせる訳にもいかず非常に悩ましいです。
PostgreSQL 7.3 〜 8.2 に複数の欠陥。
CVE-2007-0555。SQL 関数の引数に対する型チェックを回避する方法が存在する。 これを利用すると、remote の認証ユーザが DoS 攻撃を行ったりデータベースの内容にアクセスできたりする。
CVE-2007-0556。 query planner に欠陥があり、remote の認証ユーザが DoS 攻撃を行ったりデータベースの内容にアクセスできたりする。 この欠陥が影響するのは PostgreSQL 8.0 以降のみ。
PostgreSQL 7.3.18, 7.4.16, 8.0.12, 8.1.8, 8.2.3 で修正されている。 8.0.11, 8.1.7, 8.2.2 には バグがあるようなのでご注意。8.0.12, 8.1.8, 8.2.3 をお使いください。
関連: PostgreSQLセキュリティ修正版を公開 - ユーザは迅速なアップデートを (MYCOM ジャーナル, 2007.02.07)
「ふつ〜 WinDBG」ということでしょうか……。世の中厳しい。
》 花粉症：治療薬、副作用に注意 ドライバーや受験生、適切な服用を (毎日, 2/9)。
大久保助教授は「第２世代」と呼ばれる眠気の出にくい新薬を勧める。
花粉症の診療指針 (読売) より:
第２世代の薬は、効果では差はないが、眠くなりにくいのが特徴だ。服用回数も、第１世代の１日２〜３回に比べ、１〜２回と少ない。この薬には、ロラタジン、塩酸フェキソフェナジン、塩酸セチリジン（いずれも成分名）がある。(中略) ただ、第２世代の薬は、１日あたりの薬剤費が高いもので約１５０円と、第１世代の１０〜６０円程度に比べ高価だ。薬で眠気の起きにくい人などの場合、安価な第１世代の薬を使う方法もある。
俺が今飲んでるのは塩酸オロパタジンで「第２世代抗ヒスタミン薬」ということになっているのだが、眠いぞ……うぅ。 ロラタジンは「従来の抗ヒスタミン薬に多くみられる眠気の副作用も軽減されています」、 塩酸フェキソフェナジンは「従来の抗ヒスタミン薬に比べ、眠くなることがほとんどありません」と書かれているなあ。 試してみるか……。
》 インドネシア、ＷＨＯに鳥インフルエンザの検体提供中止 (asahi.com, 2/9)
》 Windows Vista セキュリティ ガイド (Microsoft)
》 フィリピンで臓器売買合法化の動き (slashdot.jp, 2/9)。ラリー・ニーヴンもびっくり?
》 seminar/symposiumの文書 (TOMOYO Linux)。 YLUG 第72回カーネル読書会の資料が公開されています。
》 【RSA Conference 2007】「専業セキュリティ・ベンダーは無くなる」，RSA社長が語る (日経 IT Pro, 2/7)
「RSAは，完璧なセキュリティを目指す会社だったが，世界が変わってしまった」とCoviello氏は語る。「今は，ビジネス・リスクという観点で，セキュリティを把握する必要がある。(中略) 完璧なセキュリティは，時間とコストの無駄」というのだ。(中略) 「完璧なセキュリティは不可能」と力説した。
》 ２０行のコメントに“５０００万の損害賠償”の理由 (JANJAN, 2/8)。ジャニーズねたになっている……
》 マイクロソフト、セキュリティ研究部隊を増強へ (CNET, 2/8)
Microsoftのセキュリティ研究およびセキュリティ対策担当ゼネラルマネージャーであるVincent Gullotto氏は、(中略) 「明らかにグローバル組織を設置する必要がある。顧客を守り、われわれが開発するさまざまなセキュリティ製品を使用するユーザーを全世界でサポートするため、南北アメリカ地域、EMEA（欧州・中東・アフリカ）、およびアジアをカバーする拠点を複数設ける」と語っている。
今はそうはなってない、と。
》 マイクロソフト、Windows XP対応のJIS2004互換フォント (PC Watch, 2/8)
》 【速報】エステティックTBCの顧客情報漏洩、一人当たり3万5000円の賠償金 (日経 IT Pro, 2/8)。4 年もかかったという点がなあ。
「この程度の額では、企業による情報流出の歯止めにはならないだろう。情報流出を許さないような社会的コンセンサスが必要だ」（紀藤氏）
やっぱりノーガードが一番! ってことですかねえ。関連:
原告側弁護士は、「過去の裁判例では個人情報流出に対する賠償額は１人当たり５０００円〜１万円が一般的で、エステの内容などデリケートな情報を重く受け止めた画期的な判決」と評価している。えぇっ?!
》 原発の廃炉費用、想定より３千億円増 電事連が試算 (asahi.com, 2/8)。まだ試算ですから。実際にやってみると、もっと増えたりするかもね。
PHP 5.2.1 登場。大量のセキュリティ修正がなされているようです。
The majority of the security vulnerabilities discovered and resolved can in most cases be only abused by local users and cannot be triggered remotely. However, some of the above issues can be triggered remotely in certain situations, or exploited by malicious local users on shared hosting setups utilizing PHP as an Apache module. Therefore, we strongly advise all users of PHP, regardless of the version to upgrade to 5.2.1 release as soon as possible. PHP 4.4.5 with equivalent security corrections will be available shortly.
いくつかの欠陥は remote からも利用できるようです。 PHP 5 系を利用している場合は PHP 5.2.1 へ移行しましょう。 PHP 4 系については、まもなく登場する予定の PHP 4.4.5 に移行するのがよいようです。
PHP 4.4.5 が出ていたようです。 PHP 4.4.5 の ChangeLog 和訳 (t_komuraの日記, 2007.02.18)
……が、PHP 4.4.5 には致命的な欠陥があるそうで、4.4.6RC1 が出ています。植田さん情報ありがとうございます。
PHP 4.4.6 が出ています。PHP 4.4.6 Release Announcement (php.net)
関連:
2007年2月4日をもって公開停止しました 長らくのご愛用ありがとうございました
JVN では
2007/02/09 現在、Sage++ の公開およびアップデートは停止されています。Sage++ ユーザは Sage の最新版を利用することを推奨します
となっているが、 [重要] Sage++ (Higmmer's Edition) 1.3.10a 最終リリース (ひぐまのひまグ) などによると、Sage 1.3.10 には (複数の?) 欠陥が残っているようです。 ご注意を。
2 月分の予告出ました:
合計 12 件。タフな作業が予想されます。orz
セキュリティ以外の優先度の高い更新プログラムはこうなってます。
これまたタフな作業が予想されます。o...rz
2007年2月のセキュリティリリース予定 (日本のセキュリティチームの Blog, 2007.02.09)
・・・なんと申し上げていいのか・・・一度に多くのリリースを行った場合に、管理者の方々等には大きな負担を掛けることは重々承知しているつもりです。とはいえ、数量調整を行って更新の提供を遅らせる訳にもいかず非常に悩ましいです。
予定どおり出ました。
》 セキュリティ研究者が「EV証明書」の欠陥を指摘 (日経 IT Pro, 1/30)。 Extended Validation SSL証明書の話。
この報告書をまとめた研究者たちは「EV（High Assurance）などで証明書の所有者を確実に認証しようとするよりも，Webブラウザ開発者がPIP攻撃とホモグラフ攻撃に対抗しうるインターフェースを作るべき」と結論付けた。
》 【RSA Conference 2007】Kaspersky氏が語る「クライムウエア」の現状 (日経 IT Pro, 2/8)
》 オリコンを反訴 雑誌にコメントした烏賀陽氏 「司法悪用した脅迫」と１１００万円求める １３日に第１回口頭弁論 (オーマイニュース, 2/8)
》 デパ地下で女性とすれ違っただけで、痴漢にされた！ “痴漢えん罪”事件の被告が実名で告発 (オーマイニュース, 2/8)。勘違い女と無能警官の組みあわせで、あなたもタイーホ。これに無能裁判官が加わって、あなたも前科者。
》 NovellがLinuxを失う——いえ、誤報です (Open Tech Press, 2/8)。Novellに「新版Linux販売禁止令」の可能性 (ITmedia, 2/5) の話。
》 経済産業省のシステム管理基準 追補版（財務報告に係るIT統制ガイダンス）（案）について (まるちゃんの情報セキュリティ気まぐれ日記, 2/7)
》 企業・団体が共同で情報セキュリティ強化キャンペーン: みんなで「情報セキュリティ」強化宣言！2007 (Internet Watch, 2/6)
》 柳沢大臣の辞任要求を貫く (保坂展人のどこどこ日記, 2/5) で、少子化対策は「戦略」じゃないよ！ (先見日記, 1/30) が紹介されていた。フランスでの状況が解説されている。
子どもが産みやすい社会をつくるには (保坂展人のどこどこ日記, 2/7) より:
子どもがつくりにくい社会とは、低賃金・不安定雇用が常態化している社会である。とりわけ、非正規雇用における女性の低賃金は不況期にいっそうひどくなってしまった。子どもが生れて働こうとしても、安心して預けられる保育所が見つからない。保育所が見つかったとしても月収の半分以上を支払わなければならないという状況だ。この社会構造を改善していく職責が厚生労働大臣にあるのである。
「少子化対策」を社会的な環境整備でなくて「個人のやる気」にすり替えることは許されない。
柳沢大臣がこれを実現できれば、逆転満塁ホームランなのでしょうけどね。
耐震偽装関連:
》 そこが知りたい Windows Server Update Services（第5回） 残ったままの「ダウンストリーム サーバー」を削除したい (@IT, 2/8)
》 第 2 回 Admintech.jp 勉強会 の資料が公開されています。
「Windows Terminal Serviceを安全に使うには？」の資料に、 SSH ポートフォワーディング経由で TWS を使うと Session Directory が使えない、という話が出てきます。この問題、 ふつうのポートフォワーディングではなく動的ポートフォワーディングを使って、Freecap とかと組みあわせて使えば回避できるような気がしますが、どうなんでしょう。
Freecap、売りに出されていたんですね……。
》 Error message and events are logged in the System log when you try to compress a large file on an NTFS volume in Windows XP, in Windows 2000, or in Windows Server 2003: "Delayed Write Failed" (Microsoft)
On this computer, you have a very large file on an NTFS file system volume. You try to compress the file by using NTFS File Compression, or you try to copy the file to an NTFS compressed folder. In this scenario, you may receive the following error message:
Delayed Write Failed
(中略)
Note This problem occurs when the compressed file that results is 69 gigabytes (GB) or larger, depending on various factors.
patch はまだない。
》 VirusScan Enterprise 8.5iインストールガイドの正誤訂正 (マカフィー)
誤 メモリ- 32MB RAM最小
正 メモリ- 96MB RAM最小
赤いパッケージだけのことはあるな……。
》 ファイルサーバクラッシュ体験記 (日経 IT Pro, 2/7)。RAID5 はバックアップじゃない、という事例。
》 VirusTotal Online Scanner (F-Secure blog, 2/7)。Virustotal に F-Secure が追加されたそうです。 Kaspersky では見つからないけど F-Secure では見つかる例が紹介されています。
》 ジャストシステム、「JUST Suite 2007」の発売を延期 〜インストーラに不具合、個別商品は予定通り発売 (PC Watch, 2/8)。最悪 OS が起動せず、ですか。1 か月遅らすそうです。 「JUST Suite 2007」発売日変更のお知らせ (ジャストシステム) も参照。
４．当社の対応について
「JUST Suite 2007」の出荷分については速やかに回収します。
2/9 (明日) 発売だから、流通には既に流れちゃってるはずだものねえ。
》 性差別でウォルマートを訴え、集団訴訟と認める 米高裁 (CNN, 2/7)。原告 200 万人って……。
》 米白人至上主義集団の活動が活発化と、移民問題に乗じ (CNN, 2/7)。KKK 話。
》 英国：交通関連施設に手紙爆弾 ３日連続で (毎日, 2/8)
》 ＴＢＳ、「頭の良くなる音」でおわび 表現に行き過ぎ (asahi.com, 2/8)、ＴＢＳ：週刊誌の「ねつ造番組」記事に反論 (毎日, 2/7)。「人間！これでいいのだ」ですか……。
》 Month of PHP bugs (PHP Security Blog, 2006.11.11)。 2007 年前半と予告されていた Month of PHP bugs ですが、 PHP Security From The Inside: page 3 (SecurityFocus, 2/5) によると 2007.03 だそうです。
》 「Vistaを守れなかったMSアンチウイルスソフト」：Virus Bulletin調査 (CNET, 2/7)。VB100 話。
松武氏は (中略) 「ご存知のように、私はYMOに参加していた。(YMOが再結成し)先日からCMが放送されている。YouTubeには既にそれもアップロードされている」と松武氏。こうしたケースは「誰が被害を受けているのかわからない」としながらも、「違法なかたちで掲載されているのは事実。そのモラルを問いたい」と続ける。誰が被害を受けているのかわからない状態でモラルを問いますか。 そうですか。
》 大規模掃討作戦に着手 米軍とイラク治安部隊 バグダッド北東部 (中日, 2/7)、 イラク：最大規模の掃討作戦を展開 駐留米軍明らかに (毎日, 2/7)
イラク：スリランカ人だまされ…１７人救出、帰国 (毎日, 2/7) なんて話もあるそうで。
》 Microsoft SQL Server 2005 Service Pack 2 日本語版を 2 月 13 日より提供開始 (Microsoft)
ウイルスバスター 2007 などに欠陥。 Anti-Rootkit Common Module に欠陥があり、\\.\TmComm デバイスに誰でも書き込めてしまう。また \\.\TmComm デバイスの IOCTL ハンドラにも欠陥があるため、任意のメモリを上書きしたり任意のコードを kernel 権限で実行したりできる。 これを利用すると local user による権限上昇が可能。 関連:
Anti-Rootkit Common Module 1.600-1052 で修正されている。
これのことですかね: ウイルスバスター2007 トレンド フレックス セキュリティ ルートキット対策ドライバ1.6 ビルド1052 公開のお知らせ (トレンドマイクロ, 2007.02.02)
[SA24061] pam_ssh "allow_blank_passphrase" Bypass Security Issue。 pam_ssh 1.91 (以前?) に欠陥があり、allow_blank_passphrase を無効に設定しても、ランダムな値を入力するだけで回避できてしまう模様。pam_ssh 1.92 で修正されているそうだ。File Release Notes and Changelog。 CVE-2007-0844
iDefense Security Advisory 02.07.07: RARLabs Unrar Password Prompt Buffer Overflow Vulnerability。WinRAR 3.70 beta で直っているそうです。 CVE-2007-0855
Firefox 2.0.0.1 and Opera 9.10 Anty Fraud/Phishing Protection bypass。どなたにもできる簡単な作業です。
[SA24068] avast! Server Edition Password Setting Security Issue。4.7.726 で修正されているそうです。
[SA24039] MediaWiki Sortable Tables Script Insertion Vulnerability。 1.9.2 で修正されているそうです。
[SA23858] Linux-PAM Login Bypass Security Vulnerability。 CVE-2007-0003。 0.99.7.1 で修正されているそうです。
Firefox + popup blocker + XMLHttpRequest + srand() = oops。 CVE-2007-0800
Firefox + popup blocker + XMLHttpRequest + srand() = oops (CVE-2007-0800) は Firefox 1.5.0.10 / 2.0.0.2 で修正されました。
ソニー製電池の富士通ノート、12月末に海外で発煙・発火事故 (日経 IT Pro, 2007.01.30)
JANOG 19 の「これでいいのか TTL - 短いDNS TTLのリスクを考える」 (JANOG) の資料が公開されていました。Internet Week 2006 のものよりも充実しています。
Microsoft Word 2000 Unspecified Code Execution Vulnerability Exploit (0-day) (milw0rm)
トレンドマイクロのウイルス検索エンジン VSAPI 8.000 以降に欠陥。 UPX 圧縮したファイルの処理に欠陥があり、buffer overflow が発生。OS がブルー画面になったリ、任意のコードを実行されたりする原因となり得る。 CVE-2007-0851
パターンファイル 4.245.00 以降において対応された。 UPX 圧縮したファイルの処理を改善し、 攻略 UPX ファイルを検出するようになっている。 根本的な対応は VSAPI 8.5 でなされる予定。
関連: [Vulnerability Confirmation] Antivirus UPX Parsing Kernel Buffer Overflow Vulnerability (trendmicro.com)
関連:
この欠陥は CCC クリーナーにも影響するのだそうで。
「CCCクリーナー」の脆弱性に関する注意喚起 (JPCERT/CC, 2007.02.10)
サイバークリーンセンターにおいて提供された「CCCクリーナー」の脆弱性についてのお知らせ (JPCERT/CC, 2007.02.10)。 2007.01.25 〜 2007.02.09 に配布されていたもの (lpt$vpn.185 を含むもの) にこの欠陥があり、 2007.02.09 19:32 以降に配布されているもの (lpt$vpn.253 を含むもの) にはこの欠陥はないそうです。
関連:
ウイルス検索エンジンのUPXファイル検索処理における脆弱性に関するご報告 (トレンドマイクロ)
》 海の向こうの“セキュリティ” 第5回：アンチフィッシングツールの検知能力、米大学が比較実験 ほか (Internet Watch, 2/6)
》 関西テレビ「捏造番組」と視聴率競争（編集委員時評） (JANJAN, 2/6)
ところでこの人気番組は、関西テレビから２人、元受会社日本テレワーク（フジテレビと昔から関係が深い）から４人のプロデューサーが参加していたが、実際は、AJITO、SSSystem、オン・エアー、JUMP、D：COMPLEX、D組プロジェクト、トスプランニング、NET WEB、NON PRODUCTIONという９つの孫受けプロダクションが制作をしており、この中の某プロダクションの制作スタッフが捏造を行った。
》 “がらんどう公園”の衝撃 〜子どもは“遊び”で危険を学ぶ〜(仮） (NHK スペシャル, 2/18 放送予定)
》 総務省 パブコメ 放送受信者等の個人情報の保護に関する指針の一部改正案 (まるちゃんの情報セキュリティ気まぐれ日記, 2/6)
》 ウイルスバスター2006 インターネット セキュリティ プログラムバージョン14.12 公開のお知らせ (トレンドマイクロ, 2/6)。2/14 公開予定。IE7 への対応など。 Benjamin さん情報ありがとうございます。
》 ウイルスパターンファイル 4.249.00における誤警告情報 (トレンドマイクロ, 2/7)。4.251.00 で対応されているそうです。 Benjamin さん情報ありがとうございます。
》 ＜市場研究＞ 碧天舎破産後の自費出版業界の行方——新風舎 (リタイアメント・ビジネス・ジャーナル)
新風舎の内実はともかくとして、みんなそもそも出版に幻想を持ちすぎなんじゃないの? まっとうな出版社から出るまっとうな本だって初版 3000 部がフツーなんだぜ (実は最近はもっと少ないという話も……)。 よほどのことがない限り、自費出版なんて売れるわけねーじゃん。 (月に響く笛 耐震偽装は売れてほしいけど、どんな状況なんだろう……)
関連: 文芸社・新風舎の盛衰と自費出版（１２）次々商法の落とし穴 (JANJAN, 2/6)
》 エレベーター事故：死亡男子の両親が手記 徹底究明を訴え (毎日, 2/7)
シティハイツ竹芝エレベーター事故について (港区) の改訂は 2006.08.15 が最後のようです。
短い TTL を検出する話が Snort-users-jp ML で出ていました。
root DNS サーバに対する (DoS?) 攻撃が行われているようです。 DNSMON (RIPE) を見る限りでは、G と L が特にひどい状態のようです (後学のためのページ保存)。root-servers.org によると、G は U.S. DoD、L は ICANN が管理している root サーバだそうです。
DNSMON (RIPE) の下の方に爆撃図みたいなのが出ていますが、G と L は見事に縦線が出てますね。 F や M も一部赤くなってますが、[DNSOPS dnsops 185] によると
G、Lの2つのルートサーバが数時間にわたり大きな影響を受け、 F、I、Mの3つのルートサーバのAnycastノードの一部も、一時的に影響を受けました。攻撃そのものは現在も継続しているという情報を得ていますが、パケットフィルタリング等の対策により、サービスへの影響は回避できているとのことです。
だそうです。
http://www.nanog.org/mtg-0702/lightning.html の Dave Knight - This weeks DDoS against the root and TLDs に F ルートサーバの状況が解説されています。
DNS Attack Factsheet (ICANN, 2007.03.08)
samba に 3 つの欠陥。
[SAMBA-SECURITY] CVE-2007-0452: Potential DoS against smbd in Samba 3.0.6 - 3.0.23d 。smbd で無限ループが発生する場合あり。
[SAMBA-SECURITY] CVE-2007-0453: Buffer overrun in nss_winbind.so.1 on Solaris。 Solaris で winbind を使って名前解決する場合にのみ欠陥が発生。
[SAMBA-SECURITY] CVE-2007-0454: Format string bug in afsacl.so VFS plugin 。AFS ACL 用の VFS プラグイン afsacl.so に format バグがある。
いずれにも samba 3.0.23d 用の patch が添付されている。 また samba 3.0.24 で修正されている。
》 More on dealing with image spam (SANS ISC, 2/5)。 Phishing and Scam Signatures for ClamAV (SaneSecurity) というサイトがあるんですね。
》 重要 お詫びとお知らせ: 京セラ 自然循環式太陽熱温水器 「H-220」 の点検・修理について (京セラ, 2/5)
》 Windows Vista開発史——目次—— (日経 IT Pro)。2003年：Longhornへの期待が頂点に達した「PDC 2003」 より:
Microsoftは2003年1月に，セキュリティ企業が自社の製品をこれまでよりも簡単にWindowsと統合できるようにするために，低レベルのアンチウイルス（AV）APIをLonghornに追加すると発表した（これは実現しなかった）。
そうだったのですか……。複数のアンチウイルスソフトを動かすのは、あいかわらず厳禁なのですね。
2003年：Longhornへの期待が頂点に達した「PDC 2003」p.2 より:
2003年7月にMicrosoftキャンパスで開催された説明会で，筆者は同社がMicrosoft Update（最終的にWindows Updateに取って代わるもので，サード・パーティにも開放される予定だった）を計画していることを知った。サード・パーティへの開放はまだ実現されていない。
言われてみれば、そんな話もあったような……。
その一方で，MicrosoftはWindows Vistaから機能を削除し続けた。Longhornの開発の初期段階で，同社はいわゆる「Palladium」と呼ばれるセキュリティ機能のことを，大げさに宣伝していた。この機能は後に「Next Generation Secure Computing Base（NGSCB）」と改名され，その後，ほぼ完全に削除されることになる。2005年8月下旬の時点で，MicrosoftがWindows Vistaに搭載したPalladiumの機能は，「Secure Startup」と「Bitlocker」だけになっていた。これは，機能の削除が実際に歓迎すべきことだったという稀な事例の1つである。なぜなら， MicrosoftはPalladiumを使って，非常に全体主義的な方法で，PCに鍵をかけようとしていたからだ。
ふぅん……。
》 [harden-mac:0768] GnuPG-2.0.2 が出たそうです。
》 Novellに「新版Linux販売禁止令」の可能性 (ITmedia, 2/5)
》 パロディー 試される文化の奥深さ (ITmedia / 産経, 2/5)。元ねた側の懐の深さ (or 底の浅さ) もまた試されるわけで。
だが東京メトロは、アルファベットの「M」をアレンジした同社の商標が無断で、上下逆さまに描かれていることが、著作権法や商標法に抵触する可能性があるとして、削除要請などの対応を検討中だ。
東京メトロ方面では、 ブリトニー妊婦ヌード、東京メトロは修正 (ニッカンスポーツ, 2006.08.24)、 東京メトロ「降伏」 ブリトニーのヌードそのまま掲載 (JCAST、2006.08.24) なんて話もあったけど、本質は何も変わってないってことかな。
関連: Web Trend Map 2007 (informationarchitects.jp)。 「これが足りない」「俺ならこうする」という意見はたくさんあるだろうけど、それが喚起されるのは、このパロディ作品があるからこそ。
》 Office X for Mac って、サポート終ってたんですね。 どうりで マイクロソフト セキュリティ アドバイザリ (932553) に記述がないわけだ……。
で、Office 2004 アップグレード版50％キャッシュバックキャンペーン実施中 (Microsoft) なのだそうですが、 Office 2004 for Mac にアップグレードしても、 あと 2 年半しか保たないというのがねえ。Office 2008 for Mac が出るまでは OpenOffice.org とか NeoOffice とかで凌いだ方がいいのかも (NeoOffice はベースバージョンが古いみたいですが……)。 出た後も、そのまま使いつづけてもいいでしょうし。
》 RootkitRevealerによるHKLM\Security\Policy\Secrets\SACとSAI検出 (Semplice, 2/4)
》 裁判制度に“異議申し立て”〜周防正行監督会見 (JANJAN, 2/4)
》 「Vista移行はiTunes次版リリースまでお待ちください」，Appleが勧告 (日経 IT Pro, 2/5)。まぁそんなもん。
》 「やめられない事情もある」 大手ゼネコン談合のキーマンが激白 (日経 BP, 2/5)
談合をやめたら2つの問題が起きてきた。1つは品質問題。最近はダンピングがものすごい。安値受注をした大手ゼネコンは下請けにしわ寄せする。ひ孫請けとかが工事で手を抜くことも十分考えられる。30〜40年と経った時、平成18〜20（2006〜08）年築の建物はやばいということになって社会不安を巻き起こすだろう。
もう1つは、職人、技能労務者がいなくなること。現場の職人の給料は驚くほど安い。「ワーキングプア」やな。とても普通の生活が成り立たない。だから働き盛りの職人が外食産業などに転職する。それでええんか。
だからって談合 Viva Viva ってわけにはいかんやろ……
》 高信頼性組織の条件 —不測の事態を防ぐマネジメント— (社会経済生産性本部)
》 世界に無神経さを示した中国の衛星破壊 (日経 BP, 2/2)。中国 = リスクですから。
関連: 中国の衛星破壊で米国は大ショック (日経 BP, 2/2)
実際に宇宙の軌道を飛んでいる人工衛星をいくら老朽化した気象衛星とはいえ、ミサイルを発射して、撃破するという破壊行動は人類の宇宙開発の歴史でも初めてである。
》 TrendLabs Anti-Malware Blog というものがあるんですね。
》 JPNIC・JPCERT/CC セキュリティセミナー 2007【知っておくべき不正アクセス対策 〜総集編〜】。 2007.03.13、東京都千代田区、一般 10,000円。
やっぱり半年は寝かせた方が……
》 日常化するNHKの捏造棒グラフ (高木浩光＠自宅の日記, 1/28)。でも、Excel とかって、そういうグラフをあっけらかんと作成してくれたりするんですよね……。
》 報道とは何かを問う「バイト・サクラ」の事実 (保坂展人のどこどこ日記, 2/3)
各地方新聞社も報道機関として、「不適切だった」と謝罪しているが、認識が甘い。これは、「虚偽報道」の中でも質の悪い「自作自演の捏造報道」で「納豆」より始末が悪いということだ。
》 CP（障害対策）と COP（異常時運用手順）のすすめ (日経 IT Pro, 2/2)
》 Vista Bulletin (F-Secure blog, 2/2)。VB100 ねた。
》 OWASP JBroFuzz 0.4 が出たそうです。
》 リチウムイオン電池 安全な新型が登場 HPが採用へ (毎日, 1/31)。 望まれる安全なノートPC用バッテリ--需要が生み出す新規参入 (CNET, 2006.12.20) の話でしょうか。
》 TOMOYO Linux Night（開発者が語るTOMOYO Linux）。 2007.02.08、東京都江東区、無料?
》 「不都合な真実」 アメリカ元副大統領が告発する「地球瀕死の症例」 (日経 BP, 1/26)。 松浦晋也氏による書評。
》 Panda Software ユーザーカンファレンス開催のお知らせ＜スペイン大使館協賛＞。 2007.02.07、東京都港区 (スペイン大使館)、無料。
Panda も 1 ライセンスで 3 台使えるんですね。
》 VirusScanEnterpriseやAlertManager等Windows インストーラサービスを利用している製品が正常にアンインストールできない場合の対処方法 (マカフィー)
MS07-002 EXCEL Malformed Palette Record Vulnerability DOS POC (milw0rm)
関連:
Sample 'Attack Request'
http://192.168.0.3:1158/em/dynamicImage/emSDK/chart/EmChartBean?beanId=\..\..\..\..\..\..\..\..\..\..\..\..\test.txt
BrightStor ARCserve Backup 話関連:
[SA24016] Wireshark Multiple Denial of Service Vulnerabilities。 Wireshark 0.99.5 で修正されているそうです。 wnpa-sec-2007-01。 CVE-2007-0456 CVE-2007-0457 CVE-2007-0458 CVE-2007-0459
from Debian:
[SA23955] Linux Kernel "listxattr" Memory Corruption Vulnerability。 CVE-2006-5753。 Linux 2.6.20-rc4 で修正されている。
[SA23945] Apple Mac OS X iChat Bonjour Denial of Service 。 MoAB #29
[SA23982] Sun Solaris ICMP Denial of Service Vulnerability。 Solaris 10 ねた。 patch があるそうです。
Office 2000 / 2002 (XP) / 2003, Office 2004 for Mac に欠陥。Office ファイルの処理に欠陥があり、攻略 Office ファイルによって任意のコードを実行できる。 CVE-2007-0671
patch はもちろんまだない。
Microsoft Office の脆弱性により、リモートでコードが実行される (932554) (MS07-015) で修正されました。
》 ネット上の違法・有害情報、1日あたり130件の通報 (Internet Watch, 2/2)、 インターネット・ホットラインセンターの運用状況等について (インターネット・ホットラインセンター, 1/30)
２．今後の課題
(中略) 現在の体制では、インターネット利用者から寄せられる多くの通報に迅速かつ的確に対応していくことが困難であると考えられるため、ホットラインセンターの体制の強化を図っていく必要があります。(中略)
現在、海外に所在するウェブサーバに蔵置された違法情報や公序良俗に反する情報については、一部のものを除き、ホットラインセンターでは特段の対応をとっていない状況にあります。 (中略) 今後は、インターネット上の違法情報や公序良俗に反する情報については、国際的な連携の下で対処していく必要があると考えています。そのため、ホットラインセンターでは、同様の機能を持つ各国の団体から成る国際機関INHOPE （International Association of Internet Hotlines）のメンバーとなるべく、所要の手続を進めています。
》 いかにもあやしげなメールが gateway にひっかかっていた。
---*-*-*-*-*-*-*-*-Boundary_1170349371_1994
Content-Type: text/plain; charset="ISO-2022-JP"
受信したウィルスメールをPCで削除できるツールをお送りしますので、インス
トールしてください。
---*-*-*-*-*-*-*-*-Boundary_1170349371_1994
Content-Type: application/octet-stream; name="SecurityUpdate.exe"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="SecurityUpdate.exe"
Virustotal にかけてみたら、Panda だけは Suspicious file と言った。他のアンチウイルスはみな無反応。
》 資金洗浄：警察庁が収益移転防止法案 今国会成立目指す (毎日, 2/2)
法案は金融機関のほか不動産業者、宝石、貴金属商などを新たに対象に加え、顧客の本人確認と取引記録の保存、職務で知り得たマネーロンダリングの疑いのある取引の同庁への届け出を求める。弁護士、公認会計士、司法書士などの業種は顧客への守秘義務に配慮し、疑わしい取引の届け出は求めない。
同法案をめぐっては、弁護士を対象に加え、疑惑取引の届け出を求めるとした同庁の当初の方針に日本弁護士連合会（日弁連）が反発したため、日弁連側に大幅に譲歩した形になった。
関連: 日弁連が取り組む重要課題: 弁護士から警察への依頼者密告制度に反対 (日弁連)
テレワークが制作した情報番組では過去にも捏造が発覚したことがある。テレビ東京系「教えて！ウルトラ実験隊」で０５年、花粉症の対処法を「２週間実験して効果があった」と紹介したが、実際は全く実験をしていなかった。なにそれ……
番組は打ち切りになり、責任を取ってテレワークの社長は辞任した。だが、その後再就任しており、今回の「あるある」の捏造問題で同じ社長が再び引責辞任した。
》 Frequently asked questions about the Windows Genuine Advantage Kit (Microsoft)
》 規格等の日本語訳【CC V3.1, CEM V3.1】 (IPA ISEC, 1/31)
》 情報処理技術と刑事事件に関する共同シンポジウム 「ＩＴ技術と刑事事件を考える−Winny事件判決を契機として−」 (情報ネットワーク法学会 SRT 研究会)。 2007.02.17、大阪府大阪市、無料 (申込不要)。10:00 から。何人入れるのかな。 速報！一水会連続シンポジウム第４回 が 161 人でこの状況なので、倍くらいは問題なく入れそう?
第１０回まっちゃ１３９勉強会とおもいっきりかぶってますね……。
》 Simon says: download backdoor.exe (or using Vista Speech Command for fun and profit) (SANS ISC, 2/1)。 Vistaの音声機能で悪質コマンド実行の恐れ の話。確かに、シェルコマンドなんか実行しなくても、どこかの URL からマルウェアをダウンロードして実行するだけで十分だなあ。
Cisco Security Advisory: SIP Packet Reloads IOS Devices Not Configured for SIP (cisco, 2007.01.31)
IOS releases that include voice support after 12.3(14)T, 12.3(8)YC1, 12.3(8)YG and all of 12.4 are affected.
修正版を適用すればよい。また、SIP の処理を行わないこと、あるいは port 5060 宛のパケット (SIP パケット) を叩き落とすことによって回避できる。
IPAセミナー受付フォームにおけるクロスサイト・スクリプティングのぜい弱性について (IPA, 2007.02.01)
Cisco Security Advisory: SIP Packet Reloads IOS Devices Not Configured for SIP、Revision 2.1 になってます。
Any Cisco device which runs a vulnerable version of IOS and supports SIP processing could be vulnerable. This includes IOS versions 12.3(4)XH, 12.3(4)XQ, 12.3(7)XR, 12.3(7)XS, 12.3(8)JA, 12.3(8)T, 12.3(8)XU, 12.3(8)XW, 12.3(8)XX, 12.3(8)XY, 12.3(8)YA, 12.3(8)YG, 12.3(8)YH, 12.3(8)YI, 12.3(8)ZA, 12.4 Mainline and 12.4T onward.
》 MSN Messenger v7.5 Password Decrypter for Windows XP / 2003 (securiteam)、 Windows Live Messenger v8 Password Finder (securiteam)
》 金正日総書記の長男、マカオに居住と 香港紙報道 (CNN, 2/1)。金太マカオに着く (C) つボイノリオ (「ジョーズ・ヘタ」の CD が出ていたとは……)
》 衛星破壊破片：国際宇宙ステーションの軌道と交差 (毎日, 2/1)、 中国の衛星破壊実験の破片、軌道にびっしり (slashdot.jp, 2/1)
》 カプコンが景品ペンダント３０万個回収 けがのおそれ (asahi.com, 2/1)、 【重要なお知らせ】ニンテンドーＤＳ向け「流星のロックマン」の先着購入特典「流星のペンダント」回収に関するお知らせ (カプコン, 2/1)
後日、別の特典をご送付させていただきます。
(中略)
※ 代替品の製造の都合上、発送まで時間がかかります。 代替品の内容、発送時期につきましては、確定次第、 弊社ホームページ（http://www.capcom.co.jp/）にて改めてご案内させていただきます。
》 差別的言葉は撤廃、日本産魚類３２種類の和名を改名 (読売, 2/1)、 差別的語を含む標準和名の改名とお願い (日本魚類学会, 2/1)
アホウドリもなんとかしてあげてください > 日本鳥学会? アホウドリに関するＱ＆Ａ (アホウドリ情報館) も参照。
》 日興コーディアルグループが、粉飾決算に関連する「特別調査委員会の調査結果」を公表していますね (まるちゃんの情報セキュリティ気まぐれ日記, 1/31)
監査委員会が会計士の判断について疑念を抱いた場合、セカンドオピニオンを会計士協会や他の会計士に求めようとしたところ、断られたようです。。。
セカンドオピニオンを認めると、会計士の奪い合いになるので認められないと。。。
なんじゃそりゃーーシンジラレナーイ
》 春暁ガス田：供給開始と香港紙が報道 日本は事実確認へ (毎日, 2/1)
》 耐震偽装：アパホテル２棟の筋交い 震度５で損傷可能性 (毎日, 2/1)
》 「新型インフルエンザ対策ガイドライン（フェーズ４以降）（案）」への意見募集について (厚生労働省, 2/1)
》 覚せい剤：北朝鮮からの密輸ルート壊滅で価格高騰 警察庁 (毎日, 2/1)
》 日本版SOX法「実施基準」修正版が公開、正式決定へ (@IT, 1/31)
》 TeraStationPRO 「TS-HTGL/R5」シリーズ不具合のご案内 (BUFFALO, 1/31)。ファームウェアアップデートが必要だそうです。
》 グーグル、ヤフー、マイクロソフトが海外での検閲対応で米政府に支援を要請 (CNET, 1/31)
米国の法律でさえ、米連邦捜査局（FBI）やその他の捜査機関がユーザー情報の提供を求めた場合、要求の正当性について企業が道義的に判断することを求めてはいない。したがって、国際レベルにおいても企業にそういう判断を求めるべきではない、とYahooの副顧問弁護士Michael Samway氏は示唆する。「だからこそ、政府の助けが必要なのだ」とSamway氏は述べた。
》 How many bot infected machines are on the Internet ? (avertlabs blog, 1/29)。100 〜 150 million ですか。話半分としても…… orz
》 ラベルベースのアクセス制御機能を備えた新Solaris 10 (@IT, 1/31)。
もともと米国防総省の要望に応える形でリリースされた別製品の「Trusted Solaris 8」で実装していた機能だが、今リリースではアドオンコンポーネントとして無償で提供される。
今さら Solaris を使うことは、手元的にはないだろうけどなぁ……
》 1つのライセンスで複数のVMインスタンス稼動をOKとするケース〜Vistaでは、VL+SAのUltimateとEnterpriseで許諾される〜 (wakatonoの戯れメモ, 2/1)
》 Vistaの音声機能で悪質コマンド実行の恐れ (ITmedia, 2/1)。Windows Vista の 音声認識 機能を使ってインターネットゾーンから任意のシェルコマンドを実行させることができるかも、という話。しかし Issue regarding Windows Vista Speech Recognition (MSRC blog, 1/31) によると
The UAC prompt cannot be manipulated by voice commands by default.
だそうなので、実際には難しそう。
》 SCS 3.1 メディアパック不具合に関するお詫びとお願い (シマンテック, 1/19)
不具合の内容
SCS 3.1 メディアパック（CD-ROM） に Symantec Antivirus Business Pack が収録されています。
》 日立ソフトが情報漏洩防止ソリューション「秘文」の Windows Vista対応を表明 (日立ソフト, 2/1)。 表明しただけ。5 月に提供予定。
Wordの新たな脆弱性を悪用する「Mdropper.X」、Symantecが警告 (Internet Watch, 2007.02.01) でも触れられている Multiple Organizations Targeted by Zero-Day Exploit (Symantec, 2007.01.30) では「We believe this is a new vulnerability, making it the fifth currently unpatched Office file format vulnerability」とされているが、SANS ISC によればそれは間違いで、 CVE-2006-6456 と同じものだという。
直ってない Word 穴リスト:
次の patch tuesday でいくつ直るかは不明。
Microsoft Word の脆弱性により、リモートでコードが実行される (929434) (MS07-014) で全て修正されました。
トレンドマイクロ、「Windows Mobile」の脆弱性を警告--MSは調査中 (CNET, 2007.02.01)。DoS 穴。
![[セキュリティホール memo]](/~kjm/security/memo/sechole-memo.gif){kind=small}
私について
