Last modified: Wed Jan 10 15:10:21 2024 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 雑誌「冤罪File」2月1日創刊 (薔薇、または陽だまりの猫, 1/12)。 amazon。
》 続・ドメイン名のカルマ -某国証券取引所の古いドメインが風説の流布等に使える状態だった件について (インターネット崩壊論者の日記, 1/29)。 この話、まだ続いていたのですね……orz。 匿名希望さん情報ありがとうございます。
》 性犯罪者のSNS利用制限法案、ニューヨーク州司法長官が議会に提出 (computerworld, 1/30)
》 「つなぎ法案」一転、取り下げで合意 衆院議長あっせん (asahi.com, 1/30)
与野党が合意したあっせん案は、(1)総予算及び歳入法案の審査にあたっては、公聴会や参考人質疑を含む徹底した審議を行ったうえで年度内に一定の結論を得るものとする(2)国会審議を通し、税法について各党間で合意が得られたものは立法府で修正する(3)両院議長の下で、(1)と(2)について、与野党間で明確な同意が得られた場合、つなぎ法案は取り下げる——との内容。
》 サブプラ損失「底なし沼」 米国、バブル崩壊後の日本に酷似 (産経 MSN, 1/30)
》 千葉と兵庫で計10人薬物中毒 中国産冷凍ギョーザで (中国新聞, 1/30)
兵庫県警によると、有機リン系薬物が検出された冷凍ギョーザは、東京都品川区のジェイティフーズが輸入した「手包みひとくち餃子」。(中略)
千葉県によると、重い食中毒を引き起こしたのは、コープ冷凍食品の「手作り餃子」。
うわ、「またコープか」……。
回収がはじまっている模様。
JTが自主回収するのは、食中毒を引き起こしたギョーザ二種のほか、同じ工場で製造、市販されたロールキャベツなど六種、業務用のヒレカツなど十五種の計二十三商品。
JT ホームページには何もないなあ (17:39)。ジェイティフーズは 403 だし。 ……出た:
回収品については、自主回収する中国製商品リスト 中毒問題 (asahi.com, 1/30) が詳しい。 加ト吉も当該中国企業品を買っていたそうで、同様に自主回収になっている。
関連:
市川市では二女(5)が一時意識不明の重体、他の4人も重症となったが、いずれも回復した。市川保健所の調査で、ぎょうざの中から基準値を大幅に超える有機リン系殺虫剤「メタミドホス」が検出され、県警捜査1課は30日、殺人未遂容疑も視野に捜査を始めた。
女性は昨年12月にちばコープ市川(同市鬼高)で、中国産ぎょうざ「手作り餃子」(40個入り、計560グラム)を購入し、1月22日の夕食として家族で食べたという。
化学物質をチェックすることは通常やっておりませんでした
生協側「生協には(昨年)12月末に申告があった。においがおかしいということで申告された。そのあと 1 か月もの間、何をしていたんだろう。
報道陣「兵庫、千葉で食べられた該当商品は? それらはどの工場でいつ作られたのか?」
JT側「兵庫は『中華deごちそうひとくち餃子』千葉は『COOP手作り餃子』。作られたのは兵庫が2007(平成19)年10月1日、千葉が07年10月20日。工場は中国の委託先の天洋食品」
報道陣「最初の1、2件目を公表していれば3件目は防げたのでは」
JT側「そういう意味では、どういうことが起こっているか洞察が足りなかった。私どもの検査の状況を言うと、該当商品は平成14年の年末に発売している。これまで添加物の検査などをやってきた。商品の改善を積み重ねてきた。ほぼ毎年、同様の検査をしている。該当の農薬も調査の範疇(はんちゅう)で異常はなかった。においのクレームでは一時対応したが、そこでの農薬検査はやっていなかった。現物の回収が十分にできず反省している」
また、製造元とみられる中国河北省石家荘の「河北省食品輸出入集団天洋食品工場」の女性職員は同日、共同通信の電話取材に「なぜわれわれの製品だと証明できるのか」などと述べ、詳細について説明を拒んだ。なんとすばらしい対応……。
女性職員は「誰が言っているのか。証拠があるのか」などとまくし立て、「日本側の報道を見てからでないと答えられない」と一方的に電話を切った。
》 VirusScan Enterpriseで自動アップデートタスク・Mirrorタスクが失敗した時に確認すべき項目は? (マカフィー, 1/29)
》 Name (mDNS) Poisoning Attacks inside the LAN (gnucitizen, 1/23)。Multicast DNS の話。
》 Google Hacking for Penetration Testers Second Edition (gnucitizen, 1/3) という本が出ているそうで。
》 Harada Writers Busted for Copyright Violations (trendmicro blog, 1/28)。 「原田ウイルス」について (トレンドマイクロ セキュリティ blog, 1/25) の増補英訳版かな。
》 Tomcatはどこまで“安全”にできるのか?(4) Tomcatのセキュリティとリスクの基本 分かってる? (@IT, 1/28)
》 「サイゾー」2月号にて、オリコン+朝日新聞社の“偽装”にメス! (SLAPP WATCH, 1/30)
》 「つなぎ法案」の綱渡り、与野党攻防の中で年金質疑 (保坂展人のどこどこ日記, 1/29)
》 Flash Player 9.0.115.0 for Solaris now availalbe (Emmy Huang、 1/29)
》 ウイルスバスターの更新ができない! (Moto's Page - Diary, 1/29)。1/18 以降、更新に失敗していた話。 ウイルスバスター 2008 では既知の問題だった模様: アップデート実行時に「アップデートできませんでした。ネットワーク接続状態を確認し、再度実行してください。」メッセージが表示される (トレンドマイクロ)。 patch あり。この patch は最新の 16.05 版にも含まれているそうで。
》 元特捜検事の田中森一さんが語る〜「調書はいかにして作成されるか」(JANJAN, 1/30) (JANJAN, 1/30)
》 新しい公共と市民自治−「限界集落」と持続不可能な社会を超えて (JANJAN, 1/30)
》 女性自衛官のわいせつ被害 氷山の一角か (JANJAN, 1/30)
》 池田信夫氏による名誉毀損になるかもしれない実例証拠保全 (悪徳商法?マニアックス ココログ支店, 1/29)
》 豪CSIROと古河電池の『ウルトラバッテリー』、実車テストで好成績 (WIRED VISION, 1/30)
》 欧州裁判所、民事訴訟の場合 楽曲の違法交換者の氏名を開示する義務はない (technobahn, 1/30)
》 [WSJ] ブッシュ政権、サイバー攻撃対策に60億ドル? 来月提出予定の予算案で、米国の通信網を守るためのシステム構築に推定6 (ITmedia, 1/29)
》 最大のP2PネットワークはThePrivateBay (yohgaki's blog, 1/27)
》 Latest findings about the Random JavaScript Rootkit (servertune.com, 1/26)
The cPanel Security Team has recognized that the vast majority of affected systems are initially accessed vai shell (SSH) with no indications of brute force or exploitation of the underlying service. Despite non-trivial passwords, intermediary users and nonstandard ports, the attacker is able to gain access to the affected servers with no password failures. The cPanel security team also recognized that the vast majority of affected servers come from a single undisclosed data-center. All affected systems have password based authentication enabled. Based upon these findings, the cPanel security team believes that the attacker has gained access to a database of root login credentials for a large group of Linux servers. Once the hacker, manually, gains access to a system they can then perform various tasks. The hacker can download, compile, and execute a log cleaning script in order to hide their tracks. They also can download a customized Rootkit based off of Boxer version 0.99 beta 3. Finally, the hacker searches for files containing credit card related phrases such as CVC, CVV, and/or Authorize.
データセンターの管理用のアカウントデータベースをハクられたのではないか、ということですか。そこから正規の管理アカウントを入手してデータセンター内のマシンを片っ端からハクり、Boxer 0.99 beta 3 (パスワード) ベースの rootkit を仕掛けたりしたと。
》 11S + TOMOYO(R) Linuxサポートで安心・快適なサーバー運用環境を実現 ディストリビュータとセキュアOS開発元による「ターボサポートfor Secure Web Server」を発表 (Turbolinux, 1/29)
》 携帯フィルタリング、総務省が“過剰規制”に「待った」 (産経 / ITmedia, 1/29)
携帯キャリアが進めているフィルタリングは健全なサイトもシャットアウトしてしまう“過剰規制”であり、問題だ──と、フィルタリングを要請した当の総務省が待ったをかけようとしている。
関連: 「オン・オフだけのフィルタリングは無益」施策の再検討を求める声も 総務省の検討会でヤフー、楽天、ミクシィが意見 (Internet Watch, 1/30)
》 管理職のみなさん、本当に「管理職」ですか? (slashdot.jp, 1/29)。 今日から君は管理職だ には笑った。(ルーツを見ていないとわからないギャグだけど……) (もしかしたらギャグじゃないのかも)
》 謎の海洋民族モーケン(仮) (NHK スペシャル, 2/17 放送予定)。ウォーターワールド を地で行くような人達なのか? 「モーケン」でぐぐる。
》 利用率7割のWEPは「1分」で破られる (日経 IT Pro, 1/26)。バニシング IN 60" ということで。
インド・バングラデシュ方面話
バングラデシュ当局は28日、鳥インフルエンザが同国国土の半分にまで拡大している状況を「憂慮すべき事態」とし、さらなる拡大を防ぐ新たな取り組みとし、農家などに対する戸別調査を行うと発表した。(中略)
バングラデシュでは前年2月に初めて鳥インフルエンザが確認されたが、前週末には新たに3県で発生が報告されるなど、現在では、64県のうち29県で発生が確認されている。また、被害は野鳥にも及んでいるという。
インド・バングラデシュの周辺話
インドネシア方面話
タミフル耐性話
世界で最も大量かつ継続的にタミフルを消費しているはずの我が国では「タミフル耐性」を聞かないのはなぜだろう。
政府・与党のすばらしい人達話
新型インフルエンザは、高病原性インフルエンザ(H5N1型)が変異して発生することが懸念されており、政府は最悪の場合、国内で約64万人が死亡すると推定している。64万という数字がもともと危機感なさすぎなんですけどね。 桁が 2 つ違うんじゃないのか。
とりあえず、とっととプレパンデミックワクチンを全国民分用意しなさい。自国で生産できないのであれば、外部から買いなさい。 お金が足りないのであれば、それこそ「ガソリン 25 円分」を使えばよろしかろう。
その他
紅茶を通常の飲用の5倍ほどに薄め,体温程度にあたためてうがいをすると,カテキンがウイルスの赤血球凝集素に結合して,のどの細胞の鍵穴と結合しなくしてしまいます。要するにワクチンと同じ働きです。 (中略) 紅茶を飲むのではだめで,ミルクティーも効き目がないそうです。
ちなみに、「外部から流入しようとする輩は全員問答無用で 5 日間閉じこめ、何ら発症しない場合にのみ受け入れる」のような方式が正しい検疫です。空港で体温モニタ? 無意味。
》 Linux/Apacheを狙った攻撃 - 確認方法はmkdir 1 (yohgaki's blog, 1/28)
》 <橋下徹がODAと庇った「大阪の建設会社」の正体> (ESPIO, 1/28)
》 Wikipedia ∩ Winny で何が判るか (高木浩光@自宅の日記, 1/27)。興味深い。
》 Vista SP1 RCの“リフレッシュ”第2版がリリース 異例の改訂版配布はMicrosoftの慎重さの表れ? (computerworld, 1/28)
》 中国発のレポートで見えた闇市場 犯罪者の組織化でWebからの脅威がさらに深刻に (日経 IT Pro, 1/29)
》 米国政府のぜい弱性対策に関する取り組み〜CCE〜 (日経 IT Pro, 1/22)、 米国政府のぜい弱性対策に関する取り組み〜CCE(その2)〜 (日経 IT Pro, 1/29)
》 明日、予算委員会で「年金倉庫」の再調査要求へ (保坂展人のどこどこ日記, 1/28)。昨日の予算委員会でなされたはずなのだな……。
》 そもそも表現とは社会的評価をめぐる何か (流対協セミナー報告) (SLAPP WATCH, 1/29)
》 アップルによるSLAPP (SLAPP WATCH, 1/28)
》 私はウイルスを作ったことがある (hoshikuzu | star_dust dairy, 1/29)。 hoshikuzu さんは全てわかった上で行動されたのでしょうが、 善玉ウイルス方式は危険性が極めて高い方法なので、一般にはおすすめできません。
》 Linuxデスクトップをセキュアにするための方法をセレブに聞いてみた (Open Tech Press, 1/29)。カーネルハッカーに聞くのは間違ってるような気が。
》 Microsoft、Office 2003 SP3の自動更新を2月27日より開始 「30日前告知は公約どおり」と同社 (computerworld, 1/29)
日本語版:
FreeBSD-SA-08:02.libc - inet_network() buffer overflow と同じ話は bind にもあったそうで。
Christos Zoulas committed a change to src/lib/libc/inet/inet_network.c in current on 18/01/2008 at 16:20:57
Fix off-by-one buffer overflow. VU#203611, CVE-2008-0122
Official Statement from Red Hat (1/21/2008)【6】libbind、libc、GNU libc の inet_network 関数にバッファオーバーフローの脆弱性 (JPCERT/CC) によると、GNU libc 2.1 以降にはこの問題はないようで。
This issue did not affect the versions of GNU libc as shipped with Red Hat Enterprise Linux 2.1, 3, 4, or 5.
This issue affects the versions of libbind as shipped with Red Hat Enterprise Linux 2.1, 3, 4, and 5, however the vulnerable function is not used by any shipped applications. The Red Hat Security Response Team has therefore rated this issue as having low security impact, a future update may address this flaw. https://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=CVE-2008-0122
》 銃調査、大あわて 「使用の証し」で射撃場大入り (asahi.com, 1/29)
》 多様な意見を認めない人が、「インターネット先進ユーザー」のはずが無い (悪徳商法?マニアックス ココログ支店, 1/29)
》 ホロコースト犠牲者追悼国際デーに向けたイベント実施へ (国連情報誌SUNブログ対応版, 1/29)。 1/27 は「ホロコースト犠牲者追悼国際デー」だったのだそうで。
》 複数の組込み機器の組み合わせに関するセキュリティ調査報告書: 情報家電、カーナビ、携帯電話の連係時に潜む脅威と対策 (IPA, 1/29)
》 Browser DOM Checker: Browser security policy validation tool (Google Code)
》 プレスリリース (セキュア VM プロジェクト)。『未定(延期): セキュアVMを実現するソフトウェア「BitVisor」α版を公開 』ですか……。
》 Spyware Removal Site Delivers Malware (trendmicro blog, 1/28)
》 オンラインゲームポータルに不正アクセス、個人情報14,362件流出 (Internet Watch, 1/29)。MK-STYLE。
》 Kaspersky、他社製品と併用できるウイルス対策製品を法人向けに発売 (Internet Watch, 1/29)。Kaspersky Anti-Virus Second Opinion Solution 6.0。オンデマンドスキャン専用。
》 東京大学とトレンドマイクロが情報セキュリティ分野の共同研究で連携〜1200万以上38カテゴリに渡る大規模Webページデータの「Webリンク構造の解析」成果を発表〜 (トレンドマイクロ, 1/28)
》 制御不能の米スパイ衛星、米国家偵察局のNROL-21との見方が浮上 (technobahn, 1/28)。あら、KH-12 じゃなかったのですか。 いずれにせよ USA の偵察衛星なのですが。
》 米軍の強化装甲車両「MRAP」、爆発物を用いた攻撃でイラクで初の死傷 (technobahn, 1/29)
米軍の報道官によると今月19日、イラクのバグダッドで走行中の米軍のMRAP車両に対して爆発物を使った攻撃があり、車体上部の銃座に居た兵士1名が死亡、車内に居た兵士3名が負傷したとしている。
写真を見る限りでは、強化されているとは言え、開放型の銃座のようですから……
》 ドイツマスコミスキャン〜ガソリン・リッター5円の衝撃(下) (JANJAN, 1/28)
》 「補聴器の電池足りない」ガザのろう学校の悲鳴 (JANJAN, 1/28)
》 It's Not a Wonderful Second Life (Symantec blog, 1/28)。 仮想銀行に預金者詰めかけ騒動 22日からセカンドライフ内仮想銀行(ATM)業務停止! (セカンドライフマガジン, 1/10) の話みたい。 It's a Wonderful Life は名作の誉れ高い 「素晴らしき哉、人生!」 のこと。ベタ誉めする人多数存在。例。
》 Studying Malware Analysis (F-Secure blog, 1/28)。 フィンランドはヘルシンキ工科大学の Department of Computer Science and Engineering に Malware Analysis and Antivirus Technologies というコースが用意されたそうです。F-Secure の中の人バリバリ協力。 教科書は、世界のホシザワも推奨する、 The Art of Computer Virus Research and Defense だそうです (中の人)。
》 「時間雨量900ミリ超」 アメダス115地点で異常 (中日, 1/29)
問題のあった115地点はいずれも、昨年12月から導入が進められている、最大瞬間風速などが観測できる次世代タイプ。(中略) 同庁によると、28日午後5時半の時点から、コンピューターのシステム障害で観測不能になったため、バックアップシステムを稼働したところ、今度は降水量などに異常値が示され、自治体や防災機関、気象情報会社などに配信された。トラブルは、午後6時までに復旧した。
このへんにも表示されていたと思うのだけど、だれか保存してないかな。
》 Malware in the Movies: The Good, The Bad, and The Ugly (trendmicro blog, 1/27)。コンピュータウイルスやらハッキングやらを正しく描いた映画「UNTRACEABLE」 (主演: ダイアン・レイン) が米国で公開中だそうだ。サイコ・スリラーみたい。
MS08-001 関連:
》 64ビット版Vistaのインストール時に発生する問題 (日経 IT Pro, 1/29)
》 【改正建築士法】改正建築士法などがはらむ混乱の火種(1)設備設計一級建築士の不足に懸念の声 (日経 KEN-Plats, 1/17)、 改正建築士法などがはらむ混乱の火種(2)設備設計技術者から悲痛な叫び声 (日経 KEN-Plats, 1/18)
》 日本円の偽札、まん延の危機迫る (日経 BP, 1/18)
》 チェチェンイベント情報 2008.01.19 (チェチェンニュース, 1/19)。 アレクサンドル・コピロフ記者の強制送還に反対の声を (バイナフ自由通信, 1/18) (署名募集中)、暗殺 リトビネンコ事件 など。
》 2007 年 10の最も報じられなかった人道的危機 (国境なき医師団)
》 プレスリリース ハッサン・バイエフ医師再招聘について (ハッサン・バイエフを呼ぶ会)。 2008.01.31、東京都文京区で記者会見。
》 「ウイルス作成罪」はこうしてほしい / 国会提出刑法改正案の趣旨 (高木浩光@自宅の日記, 1/26)
じゃあ、誰のせいで法案は店晒しになっているのだろう。
共謀罪をくっつけた輩のせいでしょう。関連: クローズアップ2008:ウイルス作成罪 刑法改正、見通し立たず (毎日, 1/25) (匿名希望さん情報ありがとうございます)
法務省幹部は「サイバー犯罪を共謀罪と切り離せ、という外部の声は聞くが、提出の経緯からして法務省から切り離すと言うのは考えられない。今更、いいとこ取りもできない」と話す。
国益無視の役人のプライドなんて犬に食われろ。
》 雇用と年金、『生命防衛』の戦いをはじめよう (保坂展人のどこどこ日記, 1/25)
》 ヘッジファンドによる巨額請求訴訟 (SLAPP WATCH, 1/28)
》 横浜市長・中田宏vs講談社・週刊現代 (SLAPP WATCH, 1/28)
》 Ruby on Rials - Session Fixation脆弱性の攻撃方法 (yohgaki's blog, 1/25)
》 Many Facets of AV Testing (McAfee blog, 1/25)
》 シップバックされる「中古品」という名のアナログテレビ (JANJAN, 1/27)
》 Linux/Apache系Webサイトを狙った正体不明の攻撃についての現状報告 (Open Tech Press, 1/28)。よくわからない模様。
》 カーナビの進化を支える通信機能は諸刃の剣? (@IT, 1/25)
》 凧を利用した「ハイブリッド貨物船」、初航海でベネズエラへ (WIRED VISION, 1/28)。CG じゃないみたい。
》 携帯業界に衝撃、米国企業が多機能携帯の基本特許を取得 (technobahn, 1/26)
》 動画レポート:「完全自律走行」レース優勝車に、記者が試乗 (WIRED VISION, 1/25)。2007 Urban Challenge の優勝車に試乗。
》 中国地方政府の住民弾圧事件、ネットの抗議運動拡大で中央政府が異例の摘発 (technobahn, 1/25)
》 昨年4月のエストニアへのサイバー攻撃、エストニアの大学生が逮捕 (technobahn, 1/25)。あら、ロシアじゃなかったの? 「ガクシュケビッチ容疑者は最大1万7500クローン(約18万円)の罰金刑が下される見通し」だそうです。18 万円でいいよ。
》 ロシア版GPS「Glonass」衛星に欠陥、測位精度が設計値を大幅に下回る (technobahn, 1/26)
》 作り手を“やる気”にさせる著作権とは−—島本和彦氏など語る (1/3) (ITmedia, 1/28)。デジタル・ソサエティ研究所シンポジウム「コンテンツ振興のための次世代制度を考える」 の話。
》 FSMT移行ツールでファイル・サーバを移行する(基本編) (@IT, 1/25)、ファイル サーバー移行ツールキット (Microsoft)。 File Server Migration Toolkit。
》 SFCコマンドでシステム・ファイルの不整合や破損を修復する (@IT, 1/25)。関連: Windows XP および Windows Server 2003 のシステム ファイル チェッカー (Sfc.exe) について (Microsoft KB310747)
》 「Office 2003 SP3」の自動更新による適用、1月30日の開始予定を延期 (Internet Watch, 1/25)。1/30 開始から一転、開始時期未定だそうで。早めたり中止したり、あっちにフラフラこっちにフラフラですねえ。
》 角川がYouTubeで新規事業を展開、日本のアニメを世界に (Internet Watch, 1/25)、 YouTubeの投稿動画に角川が“認証マーク”、削除せず広告に活用も (Internet Watch, 1/25)
》 マック店長の管理職扱いは違法、残業代など支払い命令 (読売, 1/28)。マクドの話。
日本マクドナルドの直営店長の権限について、<1>アルバイトの採用や勤務シフトの決定など店舗内に限られ、本社の打ち出した営業時間に従うことを余儀なくされている<2>独自のメニューを開発したり、商品価格を設定したりできない——などの理由から、「管理職といえるような重要な職務と権限を与えられているとは認められない」と判断。さらに、自ら勤務シフトに入って残業を余儀なくされるなど労働時間の自由裁量がないという勤務実態や、賃金の面でも十分な待遇を受けているといえないことを踏まえ、「店長は管理職ではない」と結論づけた。
同業他社の「店長」も同様なんだろうなあ。関連: マクドナルド訴訟:東京地裁判決 外食業界に大きな波紋 (毎日, 1/28)
各社とも「裁判の行方を見守りながら今後の対応を検討する」(ロッテリア)との姿勢だが、すかいらーくは「店長には職務に相応する手当を付けている」としており、「店長の給与水準が極めて低いマクドナルドの事例は極端」(大手ファストフード)との見方もある。
そんなに安いの? > マクド。いくらなの?
》 赤福の改善を最終確認へ 三重県が立ち入り検査 (中日, 1/28)
》 警察捜査における取調べの適正化について (警察庁, 1/25)
》 初音ミクの権利の多重性について (栗原潔のテクノロジー時評Ver2, 1/27)
初音ミクには「ソフトとしての初音ミク」、「絵としての初音ミク」、「キャラクターとしての初音ミク」という権利があり、それぞれ違う形で保護されていますので、一般的ソフトとはちょっと性質が違うということです。
》 トレンドマイクロ ダメージクリーンナップサービス 3.1をご利用のお客様へ重要なお知らせ (トレンドマイクロ, 1/28)
DCS 3.1のサポート終了は、2010年6月28日を予定しておりましたが、DCS 3.1で使用されているスパイウェアクリーンナップテンプレートのリリースが2008年3月31日で終了するため、急きょDCS 3.1のサポート終了も2008年3月31日に変更させて頂きます。
口あんぐり……。今まで気がつかなかったのね。
》 ハッカー集団が、新興宗教団体サイエントロジーにDDoS攻撃 Tom Cruise氏が同宗教を称賛しているビデオの流出から大騒動に (computerworld, 1/28)
》 After you reapply Internet Explorer Maintenance Group Policy settings on a computer that has Internet Explorer 7 installed, a pop-up blocker exception site that you manually added is missing (Microsoft KB944520)。patch があるようです。
》 Hibernate and resume times may increase after you install a hotfix that includes an Ntoskrnl.exe file on a computer that is running Windows XP (Microsoft KB944092)。 5.1.2600.2773 < Ntoskrnl.exe < 5.1.2600.3239、かつ RAM が少ない (例: 128MB しかない) 場合に問題になる模様。patch があるようです。
》 Support guidelines for migrating roaming user profiles data to Windows Vista or to Windows Server 2008 (Microsoft KB947025)
》 Some Secure Digital (SD) cards do not work correctly on Windows XP-based computers (Microsoft KB946629)。大容量 SD メモリカード (> 4GB) において不具合が発生、patch があるようです。
》 A new version of the Windows Update Agent is available (Microsoft KB946928)。Windows Update Agent 3.0 のようで。
》 Unable to uninstall Internet Explorer 7 if Service Pack 2 is installed later on Windows Server 2003 (Microsoft KB948093)。Windows Server 2003 SP1 以前に IE7 をインストールし、その後で SP2 を適用すると、IE7 をアンインストールできなくなる話。 この場合、SP2 をアンインストールするしかないそうで。
》 The printer spooler may crash randomly on a Windows Server 2003-based computer that has an HP printer that is installed (Microsoft KB947477)。HP Master Monitor を無効にすると回避できるそうです。
》 Windows Server 2003 does not set the value of the icmp6_cksum field in the icmp6_hdr structure for ICMPv6 packets (Microsoft KB947369)。↓と同じ patch。
》 The recvfrom function stops responding when you use the sendto function in the IPv6 raw socket to send an ICMP packet and then use the recvfrom function to receive ICMP responses on a Windows Server 2003-based computer (Microsoft KB944135)。patch があるそうです。
》 Windows XP-based computer, you receive errors about the debug symbols, and you cannot debug the application correctly (Microsoft KB942801)。patch があるそうです。
》 An update is available that lets the Chkdsk.exe tool compact the NTFS security descriptor stream in Windows Server 2003 Service Pack 2 (Microsoft KB919241)。 これを使うと、chkdsk /f で NTFS security descriptor stream を縮小できるそうな。Windows Server 2003 付属の chkdsk ではできない。
》 第5回ばりかた勉強会のお知らせ。 2008.02.23、福岡県福岡市、1000円。花田さん情報ありがとうございます。
》 <佐藤優現象>批判 (金光翔, 1/27)。『インパクション』第160号(2007年11月10日発行)に掲載された話題の論文の全文。
》 HTTP応答パケットを悪用するARPスプーフィング・ウイルス (日経 IT Pro, 1/28)
》 「つなぎ法案」という奇策で冒頭から暴風雨圏か (保坂展人のどこどこ日記, 1/27)
》 防衛省:なぜ「都心でミサイル発射調査」? (毎日, 1/27)
》 制御不能の米偵察衛星が地上落下の恐れ、有毒物質の飛散も (読売, 1/27)、 米国の超大型スパイ衛星が制御不能、近く再突入の見通し (technobahn, 1/27)。 KH-12 IMPROVED CRYSTAL だそうです。成果物例
》 マスメディアに大人気の原田ウイルス、本来はニュースバリューが無いような話まで報道されているような。
昨年末にも、男性は、●●容疑者に誘われて一緒に就職活動に出かけた際、着ていたスーツ姿を隠し撮りされ、ウイルスとしてばらまかれていたという。原田ウイルス00 のことか?
容疑の対象になったウイルスは作動すると新たなウイルスに感染する連鎖型だったことが26日、京都府警の調べでわかった。
》 中国:動画サイト“国有化”規定発表 月末に大量閉鎖? (毎日, 1/27)
》 労働者から腎臓「強制摘出」 違法移植500件 インド (asahi.com, 1/27)
GE Fanuc 方面
JVN#88575577 複数のヤマハルーター製品におけるクロスサイトリクエストフォージェリの脆弱性 (JVN, 2008.01.28)、 WWWブラウザによる設定におけるクロスサイト・リクエスト・フォージェリの脆弱性について (Yamaha, 2008.01.28)。対応ファームが順次リリースされる模様。 CVE-2008-0524
JVN#01162446 複数の Hal Networks 製ショッピングカート製品におけるクロスサイトスクリプティングの脆弱性 (JVN, 2008.01.28)。最新版で修正されている模様。
Netnote の対応モジュールが用意された。
Symantec AntiVirus Corporate Edition 8.0 / 9.0 / 10.0 または Symantec Client Security 3.0 を Windows NT / 2000 / XP / Server 2003 にインストールして再起動すると、kernel stack を使い切ってブルー画面になることがある模様。 詳細と回避方法: Blue screen with "STOP 0x0000007f" error on Windows 2003/XP/2000/NT (Symantec)。Windows 2000 Server + ターミナルサービスの環境でありがちらしい。
彼らが記した論文は「ネイチャー・バイオテクノロジー」の1月6日号に掲載される。Glycan topology determines human adaptation of avian H5N1 virus hemagglutinin (Nature Biotechnology 26, 107 - 113 (2007) Published online: 6 January 2008) のことみたい。
アルファ2−6グリカン・レセプターには二つの形がある。傘のような形と錐のような形である。MITのチームが発見したのは、鳥インフルエンザ・ウイルスが人に感染するためには、傘型のアルファ2−6レセプターにバインドしなければならないという事実である。
かくして、Sasisekharanとそのチームは、インフルエンザ・ウイルスを宿すレセプター及びH5N1が人に感染できる基準を再定義したのである。致死的なインフルエンザ・ウイルスが人に感染するように適応することを決定する鍵は、結合の型ではなくて、糖鎖の形状である。
もうすぐ「心理諜報戦」も発売されるわけですが……。 いのちの食べかたですか。その他:
新型インフルエンザ対策は「ミサイル防衛」なんてものよりもはるかに優先度が高いはずなのだがなあ。政府・与党の人は国防を何だと思っているのだろう。
「京都府警提供」などとして新聞紙面等に掲載されているこの画像には著作権があります。(中略) 京都府警自身がこれらの著作物を複製して配布するのは、京都府警自身に報道の目的があるとは解しがたいことから、著作権者に複製物の配布について許可を得ているものと考えられます。 (中略) 京都府警は、被害にあったCLANNADの著作権者のみならず、Windowsの壁紙の著作権を有していると思われるマイクロソフト社、さらにはウィルス作成者自身から、著作物の複製の頒布について極めて短期間で許可を得たと推測されます。なお、万が一これらの許可を得ることなく報道機関に複製を頒布していたとすれば、それは著作権法違反であり、罰せられるべきものであることは言うまでもありません。
》 NHK のリハビリテーション特集「闘うリハビリ」。これはすごいかも。
リハビリは、これまで、身体の運動機能を回復させるものだと捉えられてきたが、実は、リハビリが、損傷した脳内の回路を再構築したり、脳に再学習を促していることが解明されたのだ。さらに、アメリカでは、昨年11月、国立衛生研究所(NIH)が主導した大規模なリハビリの研究結果が発表された。脳をターゲットとした新しいリハビリ法によって、これまで難しいとされていた、発症から時間がたった患者でも回復できることが明らかになってきている。
長野県松本市の相澤病院では、手術直後から、リハビリ医が治療に参加する。これまでは、治療終了後、病状が安定してから行なうのがリハビリの常識だったが、ここでは脳卒中で患者が救急病棟に運び込まれた直後から、腕や足を動かすリハビリが開始される。点滴も可能な限り早くはずし、自分の力で食べさせる。従来は絶対だった「安静」が、逆に身体の機能を著しく落とすことが判明したからだ。
》 インド:環境を悪化させる「世界で最も安い」車 (JANJAN, 1/24)
》 米国:ホルムズ海峡での米艦艇威嚇『でっち上げ』までの経緯 (JANJAN, 1/24)。USA のでっち上げは前科多数ですからね。
》 グアンタナモ基地豪収容者、釈放後も自由な生活は得られず(全訳記事) (JANJAN, 1/26)
》 八田先生説 「ダイレクト・レポーティングとは、抜き打ち検査、あるいは不正摘発型の視点に則った監査だといえる」 (まるちゃんの情報セキュリティ気まぐれ日記, 1/26)
》 Security Power Tools (てっしーの丸出し, 1/26)。なにしろぶ厚い本なので、売上数 - 翻訳負荷比が低くて日本語版は出そうにありません。興味深い情報も含まれているんですけど。
一言で言うと、 情報セキュリティ早期警戒パートナーシップ は機能していないどころか害にすらなっている、ということですな。
そもそも「信頼できない機能拡張はインストールしてはいけません」という話はあるわけですが、だからと言ってうれしい話でもないわけで。 NoScript をインストールしてあれば防止できるようです。 また Firefox 2.0.0.12 で修正されるようです。
つづき。
Firefox 2.0.0.12 で修正される予定なのは同じ。
》 ミクシィ、mixi運営事務局を騙るメールや類似サイトに注意喚起 (Internet Watch, 1/25)
》 経済産業省 確定 「SaaS向けSLAガイドライン」 (まるちゃんの情報セキュリティ気まぐれ日記, 1/25)
》 マイクロソフト、Windows Server 2008の価格を発表 Hyper-VやNAPの搭載でWindows Server 2003よりも割高に (computerworld, 1/25)
同時にこのトロイは、「P2P-Destroyer Pro」と呼ばれるハックツールを用いて制作されたことも判明したという。P2P-DESTROYER Pro ですか。
府警は当初、ウイルス感染でパソコンが作動できなくなる点に着目し、器物損壊罪の適用を検討した。だが「インストールし直せば使える」として断念するなど、難航。刑法ではなく特別法を俎上(そじょう)に載せ、ようやく立件に向けて動き出した。捜査員の間には「ウイルス罪があればこんな苦労をしなくて済む」との声が強い。本当にそう思うのなら、刑法等改正案を、共謀罪ねたを全部削除して提出しましょう。
逮捕されたのは、大阪電気通信大大学院生、●●●●容疑者(24)=大阪府泉佐野市中庄。「最初に原田ウイルスを作ったのは僕です」と容疑を認めているという。(中略)
また、府警は「機動戦士ガンダムOO(ダブルオー)」などアニメ映像を配信したとして、堺市東区野尻町、会社員、堺省治(39)と兵庫県尼崎市長洲中通2、無職、池間勝久(35)の両容疑者を著作権法違反容疑で逮捕した。共に容疑を認めている。
2人は人気の映像を配信するとネット上では評判で、●●容疑者は2人のファイルに見せかけてウイルスを作成、配布していた。
原田ウイルス作者逮捕の方が注目されているけど、京都府警のもともとのターゲットは堺・池間両容疑者だったんじゃないかという気もしてきた。Winny 上のガンダム00を追っていたら原田ウィルス00に遭遇して、……なのかも。
さきほど「ウイルスの作者が逮捕された事例って他にあるのですか?」と聞かれたので、ちょっと調べてみた。
関連:
》 怪気炎をあげる原田武夫氏 (ESPIO, 1/24)。ファイヤー
Apache 1.3.x / 2.0.x / 2.2.x の mod_negotiation における 300 応答と 406 応答には XSS / Http Response Splitting 欠陥があるという話。 CVE-2008-0455 CVE-2008-0456
例えばSecuniaのApache httpd 2.2の脆弱性ページをみると先日リリースされた2.2.8で修正された脆弱性のセキュリティリスクは低く評価されています。
http://secunia.com/advisories/28046/
ここにはmod_negotiation脆弱性の記述がありません。
記述がないのは、直っていないからなのでは。 Minded Security Labs: Advisory #MSA01150108 - Apache mod_negotiation Xss and Http Response Splitting には「Apache 1.3.41 / 2.0.63 / 2.2.8 で修正されている」とは一言も書かれていませんし、手元の Apache 2.0.63 (FreeBSD 6.2) で試した限りでは、直っていないように見えます。
とりあえず、Options MultiViews が設定されている場合は、それを外せば回避できるのかなあ。mod_negotiation を無効にできればその方が確実でしょうが。
CVE-2008-0455 CVE-2008-0456 の Vendor Statements で、Red Hat はこう言っています:
Official Statement from Red Hat (1/25/2008)
We do not consider this issue to be security sensitive. Untrusted users should not be permitted to upload files to the directories from where they can be directly served by the web server without prior careful sanitation of both contents and filename.
KB 出ました: Windows Vista でスタンバイ、休止状態から復帰後にコンピュータの電源を切ると、特定の機能をサポートしているハード ディスクが認識されなくなる (Microsoft KB948023)。修正 patch はまだありませんが、
注 : この問題は、Power-Up In Standby 機能 (電源投入時にスタンバイ モードに移行する機能) をサポートしているハード ディスクを使用した場合に発生します。
条件の 1 つが確定されました。
》 あのコピーフリーの地デジチューナー「フリーオ」が本日より再販開始 (gigazine, 1/24)。帰ってきたらしい。PM09:00 からだそうで。
》 匿名であるということ (蔵出しセキュリティ, 1/24)。1/24 は「正月早々」じゃないと思うし。
男子生徒は (中略) 同社の元社員のID・パスワードを入手し、不正アクセス。(中略) 不正アクセスの具体的方法は裏サイトで調べたという。自分で調べたんじゃないのか。おまけに元社員って……。消すべきアカウントを消してませんでしたネタですか。
「ネクソンジャパン」(東京都中央区)のサーバーから、ネット上に公開されているゲームの裏プログラムを使って取得した元社員ら10人分のIDとパスワードを悪用。攻略プログラムまで他人製か。
少年は、同社のサーバーから仮想通貨の購入に必要な約100人分のIDを盗んだうえ、パスワードを自分で解析しており、「高度なパソコンの知識が必要で、普通の高校生ではできない」とハイテク犯罪専門の捜査員も驚くほどだったという。ほんとに「高度」なの?
この事件の発覚後、弊社では迅速に安全対策を見直し、セキュリティシステム及び24時間の監視体制を一段と強化致しました。対策実施以降、同様の被害は出ておりません。
ウイルスは「原田ウイルス」と呼ばれるものの亜種とみられ、原田ウィルスの亜種というと、 ハルヒとかケンシロウとかのアレですか。
調べによると、大学院生は昨年10〜11月、作成したコンピューターウイルスを、著作権のあるアニメ画像に付着させたうえ、ファイル交換ソフト「Winny(ウィニー)」を通じてばらまき、不特定多数のパソコンに表示させて、著作権を侵害した疑い。「著作権のあるアニメ画像」を「著作権法違反」にからめている模様。
Cisco Security Advisory: Default Passwords in the Application Velocity System (Cisco, 2008.01.23)。 複数のシステムアカウント (root 権限を持つものを含む) に関して、デフォルトパスワードからの変更が促されないため、そのまま残ってしまう。 AVS 5.1.0 で直っている。 CVE-2008-0029
Cisco Security Advisory: Cisco PIX and ASA Time-to-Live Vulnerability (Cisco, 2008.01.23)。 攻略 IP パケットによって reload が発生。 TTL decrement feature を有効にしている場合にのみ影響 (デフォルト: 無効)。 CVE-2008-0028
Cisco Security Advisory: Cisco Unified Communications Manager CTL Provider Heap Overflow (Cisco, 2008.01.16)、 TPTI-08-02: Cisco Call Manager CTLProvider Heap Overflow Vulnerability。 CVE-2008-0027
CVE-2008-0324。 Cisco VPN Client IPSec Driver (CVPNDRVA.sys) 5.0.02.0090 に、local user が DoS 攻撃を実施できる欠陥。 CVE-2008-0324
CVE-2008-0352。Linux kernel 2.6.20 〜 2.6.21.1 の話。 remote から DoS 攻撃を実施できる。 2.6.21.2 で直っている。
MS Visual Basic Enterprise Ed. 6 SP6 ".dsr" File Handling Buffer Overflow (milw0rm, 2008.01.18)。 CVE-2008-0392
SocksCap Stack Overflow (<= 2.40-051231)。 ホスト名長を検証していないため、692 バイトを越えると buffer overflow する、という指摘。 このへんにある奴なら ok とかいう話なんですかねえ。でもこれってクラック版か何かだと思うのだけど。 CVE-2008-0378
[SA27865] Winamp Ultravox Streaming Metadata Parsing Buffer Overflows。 Winamp 5.51 以前に欠陥。in_mp3.dll に欠陥があり、メタデータの処理において buffer overflow する。 Winamp 5.52 で修正されている。フロートさん情報ありがとうございます。 CVE-2008-0065
Yet another Dialog Spoofing Vulnerability - Firefox Basic Authentication (Aviv Raff On .NET, 2008.01.02)。 Firefox 2.0.0.11 で Basic 認証ダイアログを詐称できるとする話。 CVE-2008-0367
VideoLAN VLC 0.8.6d 話。
Cross site scripting (XSS) in Moodle 1.8.3。 1.8.4 で修正されている。
CVE-2008-0237。Microsoft Rich Textbox ActiveX Control (RICHTX32.OCX) 6.1.97.82 話。 PoC あり。
CVE-2008-0236。 Microsoft Visual FoxPro (vfp6r.dll 6.0.8862.0) の ActiveX コントロール話。 PoC あり。
CVE-2008-0235。 Microsoft VFP_OLE_Server の ActiveX コントロール話。
Firefoxに情報漏洩の脆弱性——MozillaのCSOが認める 「危険度は低いが、注意は必要」とセキュリティ研究者らが警告 (computerworld, 1/24)
》 ITセキュリティのアライ出し 27: マルウェア作成キットの歴史~過去から現在へ(中) - Agobotが現れた! (マイコミジャーナル, 1/23)
》 「WinnyとShareは世界中で使われている」、ネットエージェントが調査 (日経 IT Pro, 1/23)
》 Rock Phishに対する心構え (日経 IT Pro, 1/23)
》 司法を動かす原動力は、世論の力 ─袴田事件の再審を求めるボクシング界─ (JANJAN, 1/23)
》 New Symbian Worm in the Wild (F-Secure blog, 1/22)
》 内閣官房 パブコメ 「第2次情報セキュリティ基本計画」(仮称)の策定に向けた、情報セキュリティ政策 (まるちゃんの情報セキュリティ気まぐれ日記, 1/23)
》 お知らせ 国政報告と岩国で起きていること (保坂展人のどこどこ日記, 1/22)
》 ワクチンと抗ウイルス薬には限界あり(GAO報告書) (ESPIO, 1/23)。そのとおりでしょうね……。
》 脆弱性情報公表の自由 〜 コントロールを取り戻せ (高木浩光@自宅の日記, 1/22)
》 未成年者の携帯“フィルタリング原則化”、課題は山積み、効果も疑問 (Internet Watch, 1/22)
モバイル・コンテンツ・フォーラム(MCF)事務局長の岸原孝昌氏 (中略) が調査したところによると、衆議院の青少年委員会や各政党を含め、どのようなフィルタリングを導入するのかについての議論がされた形跡がないという。
違法かどうか明確でなくてもサイト開設者に閲覧制限措置を義務付け(罰則付)? の話も同根なんだろうなあ。
あと、「“フィルタリング原則化”による混乱で、総務省の担当課長が更迭?」の項がたいへん興味深い。あまりに長くなるので引用添付は自粛。
》 大河原克行の「白物家電 業界展望」 なぜ、三洋電機の空間清浄システムの評価は高いのか (家電 Watch, 1/23)。業務用方面ではけっこう見かけますね。
関連: 三洋電機独自の電解水技術「除菌エレメント」・「除菌電解ミスト」が鳥インフルエンザウイルスに効果 (三洋, 2006.05.15)。除菌エレメント方式の家庭用製品は出ないのだろうか……。除菌エレメント方式の話 (e-life-sanyo.com) にも
電解水の力で「空気を洗う」三洋電機のウイルスウォッシャー技術。その効果を最大限に引き出すために開発されたのが、「除菌エレメント方式」です。
とあるしなあ。やっぱ業務用を買うべきかなあ。でも VW-VF10B、けっこうなお値段なんだよね。価格.com の場合。
》 麻疹 (感染症情報センター)。「2012年の麻疹排除(Elimination)」がスローガンになっているようです。
2008年1月1日から麻疹と風疹は、それぞれ全数把握疾患に変更されます。
そうなんだ……。
2008年4月1日から5年間の期限付きで、麻疹と風疹の定期予防接種対象が、現在の第1期(1歳児)、第2期(小学校入学前年度の1年間にあたる児)に加え、第3期(中学1年生相当世代)、第4期(高校3年生相当世代)に拡大されます。
へぇ……。
》 Xbox360の故障多発の原因を内部関係者が語る? (slashdot.jp, 1/23)
「ソニーに勝利する」ということを目標としてきたため、製品検査より出荷が優先されてしまったという。
確かにソニー (PS3) には今のところ勝利できているかもしれない。でも任天堂には……。 http://www.vgchartz.com/ など参照。XBOX360、日本での売れてなさ加減がものすごく響いていますね。 あの弁当箱ではなあ。 どう見ても、おにぎりが入ってると思うよね。
いよいよ現実化した模様。
【3】複数のデバイスに UPnP に起因する脆弱性 (JPCERT/CC REPORT 2008-01-23)
》 「あまりに急」「検閲では」——携帯フィルタリングに事業者から不満続出 (ITmedia, 1/22)
ディー・エヌ・エー(DeNA)(中略) の南場智子社長は「フィルタリング原則導入が伝えられてから株価が下がり、1週間で1500億円の時価総額が失われた。モバゲーは健全に利用しているユーザーが大半。自殺やアダルトサイトと同列にされ、『有害』と扱われるのは屈辱だ」とこぼす。
1500億円……すごいですね。民事訴訟すべきなのでは。
》 豪州エンシャム石炭鉱山の冠水について (出光興産, 1/21)
》 西ベンガルにおけるH5N1の拡大 (ESPIO, 1/22)。インド・西ベンガル州はバングラデシュ (東ベンガル) の隣。 関連:
》 アフガニスタンにおける自国の将来を思案するカナダ (JANJAN, 1/19)
》 ラテンアメリカ:米政府は“コンドル作戦”を知っていた (JANJAN, 1/21)
》 文芸社・新風舎の盛衰と自費出版(21)ガイドラインへの疑問 (JANJAN, 1/22)
》 地球温暖化対策で原発の新設計画が目白押し (JANJAN, 1/22)
》 2007-08年の課題:7つの致命的な病を抱えたレバノン(全訳記事) (JANJAN, 1/22)
》 捕鯨問題・何が揉める原因なのか−今季の南極海は騒がしい (JANJAN, 1/21)
》 ドイツマスコミスキャン〜ガソリン・リッター5円の衝撃 (JANJAN, 1/21)。そりゃびっくりするよねえ。
》 公益インフラにサイバー攻撃、複数都市で停電も (ITmedia, 1/21)。いよいよ現実になってきたようで。
》 わいせつ図画公然陳列罪で「画像ちゃんねる」の管理人に有罪判決 (gigazine, 1/17)
》 環境自作人(実践的エコロジスト)のススメ (JANJAN, 1/18)。関連:
耕さなくても ok らしい。というか、耕さない方がいいらしい。
》 Windows XP Service Pack 3 の概要 (Microsoft)
》 公安庁職員かたり現金詐取=「設立者の孫」逮捕−愛知県警 (時事 / Yahoo, 1/22)。関連:
》 ウイルスバスター ビジネスセキュリティ 3.0用 Service Pack 1 Patch 2 ビルド1210公開のお知らせ (トレンドマイクロ, 1/22)
なおWindows NT 4.0に関しては2007年12月末にサポートを終了します。
「しました」でしょ……と思ったら、日付が「トレンドマイクロ株式会社 2007年12月21日」なのね。
2.1 本Patch 2で追加された機能
================================
1. ウイルスバスター biz クライアントが、ダメージクリーンナップエンジン 5.0の使用時にGeneric Cleanのサポートが可能になる機能の追加
Generic Cleanは、対応するダメージクリーンナップテンプレート (DCT) がない状態でも、ウイルスパターンファイルによって不正プログラムを部分的に駆除する新しい技術です。
》 人権報告官、北朝鮮の日本人拉致に言及 (国連情報誌SUNブログ対応版, 1/19)
》 エボラ出血熱の原因ウイルス、東大チームが無害化に成功 (読売, 1/22)
》 文科省、サイバー大警告へ ネット受講「替え玉」の恐れ (asahi.com, 1/22)
文科省は (中略) 原則として学生に対面式のオリエンテーションを実施するなどして、確実に本人確認を行うよう同大に求めた。 しかし、同大は現在も、620人いる学生の約3割とは一度も対面やカメラによる本人確認をしていない。 (中略) 今月末までに全員の確認を終える予定だが、残った学生については個別訪問も行うという。 吉村学長は、本人確認ができない学生について、単位を認定しないうえ、最終的に退学勧告を行うことも明らかにした。
この件、読売が「誤報」したとして、サイバー大学が抗議しているようですね。やまざきさん情報ありがとうございます。
サイバー大学、本人確認せず単位…文科省が改善指導へ (読売, 1/21) (画像)
すべての講義をインターネット上で実施している「サイバー大学」(昨年4月開校、吉村作治学長)が、在校生620人のうち約200人の本人確認をしていなかったとして、文部科学省は近く、改善指導に乗り出すことを決めた。
この中には、大卒資格の取得に必要になる単位を得ていた学生も多く、(後略)
サイバー大学、在学生の本人確認について (サイバー大学, 1/21)
なお、サイバー大学では、本人確認ができていない学生への単位認定は行っていません。2007年度に入学した在学生については、2008年3月末に行う教授会にて、成績および本人確認の実施状況を審議して単位認定を行います。また、現時点で文部科学省からの改善指導も受けておりません。
「本人確認せず単位付与」は事実誤認、サイバー大学の吉村学長が会見 読売新聞社には法的手段も検討 (Internet Watch, 1/21)
「怒りの会見と言っていただいて結構」と語気を強める吉村作治学長は、今回の記事が掲載された経緯は、読売新聞の記者が、事務局長である渡邊開也氏に取材したと説明。「責任を持たない人間に質問を投げかけ、都合のよい部分だけを書いている」と非難した。
》 月刊Computerworld 2008.03 はグリーンIT特集だそうで。
》 Xen 3.2.0 リリース (wakatonoの戯れメモ, 1/21)
面白いのはXSM。 このAPIを使って、セキュリティ機能を作りこむようなイメージ。
》 Yahoo!の画像認証システムがついに“陥落”? 「35%の確率でCAPTCHAのクラッキングに“成功”」とセキュリティ研究者 (computerworld, 1/21)
》 攻撃の高度化,「Fast-Flux」から「RockPhish」まで——その2 (日経 IT Pro, 1/21)
》 国会は数だから少数政党には何も出来ないのか (保坂展人のどこどこ日記, 1/21)。いやそうではない (反語) (声: デーモン小暮閣下)
》 大規模なサイト・ハッキング被害が明らかに——1万ものサイトが感染 「Linux+Apache」のWebサイトが標的 (computerworld, 1/21)。あのー、これ、 1万ものWebサイトが悪質コードを媒介、感染PCはデータ盗難の餌食に 「きわめて深刻な事態」とセキュリティ企業が警告 (computerworld, 1/15) と同じ話ではないのですか?
★“なまか”:江原啓之、秋川雅史、がばいばあちゃん(泉ピン子)、海外VIPゲストなど続々!必ずしもそうではなかったようですね。
日本全国“なまか”を笑顔に! ハッピー筋斗雲
(中略)
「幸せいっぱいの企画なのだ!」と孫悟空も自信を持ってお届けします。
X.Org xserve に複数の欠陥。
Xorg xserver 1.4.1 で修正されている。また xserver 1.2 / 1.4 用の patch が用意されている。
JVN#88935101 - X.Org Foundation 製 X サーバにおけるバッファオーバーフローの脆弱性 (JVN, 2008.06.10)。CVE-2008-0006 - PCF Font parser buffer overflow の件。
Skype for Windows 3.5 / 3.6 に欠陥。 CVE-2007-5989
修正版はまだ開発中。現在、緊急対応として Dailymotion からのビデオの追加が禁止されている。
関連:
既定では、ローカル コンピュータ ゾーンのロックダウンは、Internet Explorer 以外のプロセスでは有効になっていません。変更を利用するには、開発者はアプリケーションを明示的に登録する必要があります。この軽減機能を使用しないアプリケーション開発者は、アプリケーションがローカル コンピュータ ゾーンの攻撃先となる可能性があるかどうかを個別に確認してください。アプリケーションでローカル コンピュータ ゾーンのロックダウンを有効にするには、次のレジストリ キーに移動します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_LOCALMACHINE_LOCKDOWN
自分のアプリケーション (たとえば MyApplication.exe) の名前の付いたこのキーに REG_DWORD の値を追加し、値を 1 に設定します。これに別の値を設定すると、アプリケーションのローカル コンピュータ ゾーンのロックダウンは無効になります。
CVE-2008-0583。CVE-2008-0454 とは違うらしい。
Skype 3.6.0.248 で修正されました。
Apache (mod_proxy_ftp) Undefined Charset UTF-7 XSS Vulnerability (CVE-2008-0005) も直ってました。ProxyFtpDirCharset ディレクティブが追加されています。
Flashing Home Routers (Symantec blog, 2008.01.21)
Panasonic から情報出ました: CF-R6M/CF-R6Aシリーズご使用のお客様へのご案内 (Panasonic, 2008.01.21)
現象が既に発生してしまっている場合は、まずは仙石氏による USB Linux などを使ってハードディスクを復旧させ、その後に BIOS を更新する。
》 パレスチナ・ガザ地区:発電所が運転停止、全域が停電 (毎日, 1/21)、 ガザ停電、イスラエルからの燃料供給停止で (CNN, 1/21)
イスラエル外務省報道官によると、ガザの電力のうち70%はイスラエル、5%はエジプトから直接供給され、制裁の対象にはなっていない。同報道官は、「停電はハマスの作戦。危機に陥ったように見せかけて、国際社会の同情を集めようしている」と話す。
あの〜、電気 (交流) って必要な分だけその都度発電しないといけないので、残り 25% がアウトなら全部アウトだと思うんですけど……。送電網が完全に分離されているのなら別ですが。
ぐぐっていたら、プロフェッショナルに学ぶ“攻めの省エネ”講座 (三菱電機) というページをみつけた。 Vol.4 の 3. 大規模停電事故の背景にあるもの に、2003.08 の北米大停電の話が載っている。
私はこの事故が起きて3日めにTBSに呼ばれ、調査結果がない時に推定で原因を考察したんですが、
(中略)
(3.) 競争環境下での設備投資インセンティブの欠如、つまり皆5、6年で儲けようと思っているのに、送電線などの設備を作るには数十年かかるので投資しようとしないこと、例えば東部の系統では送電線の設備投資は半分になったのに電気を買う量は倍になっている
(中略)
この中で(3.)については日本も同様で、電力10社の設備投資は年々減ってきています。かつては毎年5兆円規模でしたが、今では2兆円を切る状態です。アメリカ同様、電力の規模は増えているのに設備投資は半分以下になってきていて、あと数年も経つと心配な状態です。
いつ書かれた文章なのか明記されていないが、本文部分の Last Modified は Tue, 11 Sep 2007 11:44:16 GMT だなあ。
》 イラク:石油生産量、開戦前に迫る 治安改善で (毎日, 1/21)
》 再生紙問題、グリーン購入法提案時に偽装認識…業界役員 (読売, 1/21)
業界団体が昨夏、国にグリーン購入法の基準となっている古紙配合率の引き下げ (小島注: 100% → 70%) を提案したのは、「業界全体で(偽装が)あって、実態との差を埋めるためだと思った」と話した。
クローズアップ2008:メーカー、再生紙偽装 エコ需要、古紙足りず (毎日, 1/19)
「01年のグリーン購入法施行で、印刷用紙が古紙70%、コピー用紙が100%になってから実態とずれるようになった」。三菱製紙の佐藤健社長は18日の会見で釈明した。
現場と乖離した法律をつくってくれたおかげで大混乱、という事例が多すぎる……。立法府の人達は自分達の責任をどう理解しているのだろう。
》 RIAA Website Wiped Clean by Hackers (REALTECHNEWS, 1/20)
》 読売テレビの違法動画削除支援ツール「とりし丸」 (slashdot.jp, 1/20)
》 気象庁、3月から「竜巻注意情報」を発信 (slashdot.jp, 1/20)、突風に注意を呼びかける新しい府県気象情報の提供開始について (気象庁, 1/17)
平成19年度末までに全国で気象ドップラーレーダーの整備が進むことから、この観測成果などをもとに平成22年度からの予測情報の提供に先駆けて、竜巻、ダウンバースト等の激しい突風から身の安全を確保していただくことを目的とした新たな府県気象情報(竜巻注意情報)を発表することとしました。
とりあえずモノは整備できたので、とりあえず注意情報を提供開始、ということみたい。ミクラス 中の人たのむぞ。
PS. 「コン・バトラー V 出現」→「超電磁竜巻注意報」
》 環境保護団体のグリーンピース、同じ環境保護団体のシーシェパードへの協力を拒否 (gigazine, 1/21)、反捕鯨団体シーシェパードのウェブサイトがハッキングされる…トップページに牛、豚の屠殺シーン写真 (痛いニュース, 1/20)。自作自演説もあるようで。
》 ダメージクリーンナップエンジン 5.32 公開のお知らせ (トレンドマイクロ, 1/21)
》 テキサス州でUFO騒動、スーパーよりも巨大な物体が高速で飛行? (technobahn, 1/18)、 UFO? アルゼンチン空軍が調査 「無線に応答なし」 (asahi.com, 1/18)。また流行ってるんですかね。後者については空港管制官が呼びかけているくらいなので、レーダーにも反応があったのかなあ。
》 もいちどイチから! HTTP基礎訓練中(4)その文字列はセーフ? 本当は奥深いデコード処理 (@IT, 1/18)
》 そうだ、「Culture First」だ (ITmedia, 1/21)、 私的録音録画補償金の堅持と対象範囲拡大を求める権利者団体の発表について (日本違法サイト協会 ブログ, 1/20)
まず、これに関するプレスリリースまたはそれらに類するものは、87の権利者団体とされるJASRACやRIAJなどの公式サイトには一切存在せず、
》 EC vs Microsoftの独禁問題新ラウンド−次のターゲットはOfficeとIE (Enterprise Watch, 1/21)
》 IPAとJPCERT/CC、2007年10月〜12月の脆弱性届け出状況を公表 (Internet Watch, 1/18)
》 ICANN、TLD割り当てや紛争解決にオークションプロセス導入を検討 (Internet Watch, 1/21)。世の中ゼニ。
》 解体された情報通信部--韓国のITはいずこへ (CNET, 1/21)
》 日立製作所、廃棄したHDDが中古品量販店に流出 (Internet Watch, 1/21)。 東京消防庁の廃棄パソコンから情報流出、業者HD粉砕せず (読売, 1/20) の話。 日立 → 処理委託子会社 → 資源リサイクル業者 → 中古品量販店、という流れ。 「資源リサイクル業者 → 中古品量販」というルートがあるんですね……。
》 Vistaにないのは「ユーザーへの信頼」 (ITmedia, 1/18)。迷惑な DRM 話。
》 Using Frames More Securely (IEBlog, 1/18)。iframe に security="restricted" 属性をつけると、それらは制限付きサイトゾーンに含まれると解釈されるそうで。 関連: セキュリティ ゾーンの設定 (Microsoft)
仙石氏が、この問題が発生した場合に利用するための USB ブート Linux を、詳細な解説つきで公開している。
また、コメント覧には ThinkPad T60 で同様の現象が発生したとの情報があり、
ちなみに機種はThinkPad(2007PKJ)ですが、hdparmの出力によると、
Model=Hitachi HTS541612J9SA00
と、同一のHDDの様です。
ふぅむ……
Apache 1.3.41 / 2.0.63 / 2.2.8 がリリースされました。iida さん情報ありがとうございます。
》 自民党:岐阜1区、野田氏の公認内定 佐藤氏は転出へ (毎日, 1/19)
》 米大統領:「戻し減税」柱に緊急経済対策 15兆円規模 (毎日, 1/19)
》 自費出版:「新風舎」の再生手続きの廃止決定 東京地裁 (毎日, 1/19)。破産手続きへ。
》 シリーズ 日本とアメリカ いま何が起きているのか (NHK スペシャル)
》 UTF-7によるXSSからの防御方法 (葉っぱ日記, 1/18)
》 マルウェア作成キットの歴史~過去から現在へ(上) - VCLからクルニコワまで (ITセキュリティのアライ出し, 1/18)。 有害プログラム −その分類・メカニズム・対策 (共立出版) ですか。
Adobe Dreamweaver CS3 および Adobe Acrobat Connect が生成する SWF ファイルに XSS 欠陥がある話。 CVE-2007-6244 CVE-2007-6637
Dreamweaver CS3, Dreamweaver 8, Contribute CS3, Contribute 4 に欠陥。Dreamweaver / Contribute の Insert Flash Video コマンドによって生成されるコードに XSS 欠陥がある。
修正方法は Inserting Flash Video may create a cross-site scripting vulnerability for Dreamweaver or Contribute (Adobe TechNote KB402925) に詳述されている。 Dreamweaver CS3 / Contribute CS3 が必要となるようだ。
APSB08-02: Update available for Adobe Connect Enterprise Server cross-site scripting issue (Adobe)
Adobe Acrobat Professional meetings に含まれる Adobe Connect Enterprise Server 6 によって使用するために Adobe Presenter によって生成されるコードに XSS 欠陥がある。
Adobe Connect Enterprise Server 6 Service Pack 3 Update を適用することで対応できる。
日本語版:
CORE FORCE 0.95.167 以前に欠陥。CORE FORCE のファイアウォールモジュール (OpenBSD の pf を Windows に移植したもの) およびレジストリモジュールに kernel buffer overflow する欠陥があり、local user による DoS 攻撃や権限上昇が可能。
CORE FORCE 0.95.172 で修正されている。なお、CORE FORCE は Windows 2000 / XP で利用できる、フリーのエンドポイントセキュリティソリューションだそうだ。
Dell Remote Access Card 4 (DRAC4) Firmware Version 1.50 (Build 02.16) に塔載されている SSH サーバ (Mocana Embedded SSH Server をベースにしたものと推測) を Debian unstable 上の nmap-4.03-3 で nmap -O すると DoS 状態になる話。なぜか nmap 4.20 だとそうはならないという。 CVE-2007-4360
DRAC4 Firmware Version 1.60 (Build 10.04) で修正されている。
》 寿命が10倍に延びる技術を開発、人間の場合は800才まで寿命延長が可能に
エクアドルで既に人間を対象にした実験に入っているとのこと。
どひゃあ。マジですか……。
》 Windowsの脆弱性情報に2万ドルの懸賞金 所在地も電話番号も不明な“怪しい”リサーチ企業がWebサイトで募集 (computerworld, 1/17)
》 「米国大学(院)学位商法」の危険性 — 「蟹瀬誠一博士」の周辺 (JANJAN, 1/17)
》 Yahoo!が「OpenID」に対応,「Yahoo! ID」で外部サイトを利用可能に (日経 IT Pro, 1/18)
》 JPCERT/CCとの「脆弱性情報ハンドリング」の記録 (DSAS開発者の部屋, 1/17)。脆弱性との出会いはいつも突然。
》 裁判員報道「指針」で自主規制の恐れも (JANJAN, 1/18)
》 阪神・淡路大震災13年、追悼の1・17集会 (JANJAN, 1/18)
》 サブプライムローン問題と日本経済の行方(下)日本経済が持続的発展を遂げるための条件 (JANJAN, 1/18)
》 アメリカFDAがクローン食肉にGOサイン (JANJAN, 1/18)
》 窮地の国土交通省(5)泥縄で恥の上塗り (JANJAN, 1/18)
》 Attack of the Clones II (Symantec blog, 1/17)。Mac 用ニセソフト MacSweeper ねた。
》 国民へのお詫びも上の空、福田内閣「年金記録」無責任答弁書 (保坂展人のどこどこ日記, 1/18)
》 「学研トイズ」解散へ (slashdot.jp, 1/18)。地球儀ネタのおかげで、会社自体がなくなってしまいましたとさ。同様品を出していたタカラトミーも販売中止だそうです: 「台湾島」地球儀 学研に苦情多数 タカラトミーも販売中止に (産経MSN, 1/11)
》 米国の崩落した橋に設計ミスが判明、ガセットプレートの厚さが半分に (日経 KEN-Plats, 1/16)
》 【LOOK選挙】大津市長選挙 〜候補者を政策で選ぶ〜 (JANJAN, 1/18)。各候補のマニフェストを get できます。
》 auとソフトバンクモバイル、屋内での「圏外」を解消へ (gigazine, 1/18)
》 日清製粉、パスタ40%値上げへ 業務用、過去最大幅 (asahi.com, 1/17)。40% !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
》 舛添大臣の突然の視察と「照合不能6万件」 (保坂展人のどこどこ日記, 1/17)
ところが、15日に受け取った質問主意書への答弁書では、この「6万件」と報道されている「一度引き抜いて戻していない台帳」の件数について、「現在、確認中であり、お答えすることは困難である」と回答していない。翌日の16日に舛添大臣が訪れると概数とはいえ「6万件」という数字を出している。いったい、国会への答弁をどう考えているのか。すぐに電話連絡を取り、社会保険庁長官に抗議の意志をこめて申し入れをしておいた。
》 英語のプレゼンで聴衆を惹きつけるには? (日経 IT Pro, 1/18)
》 35時間無睡眠のサルも元気に——脳内ホルモンを鼻内にスプレー (WIRED VISION, 1/8)。「ファイト一発!」と叫びながら鼻シュッシュする時代が来るのでしょうか。
》 若い外科医が海外に逃げていく--もう1つの医療崩壊 2008年、どうなる日本の医療【第1回】 (日経 BP, 1/9)
》 2008年を斬る:覇権国アメリカの岐路 世界経済の構造が根底から変わる可能性あり (日経 BP, 1/9)
》 “失われた10年”に逆戻りも 2008年、長期低迷のとば口に立つ日本経済 (日経 BP, 1/8)。実際、この通りの方向にガンガン進んでいる感じ。
Windows Vista には TCP 受信ウィンドウ (TCP receive window, RWIN) の自動チューニングという機能が新たに塔載されているのだが、これによって逆に、ネットワークパフォーマンスが低下してしまう事例がある模様。
日本国内ではトレンドマイクロのウイルスバスター 2007 / 2008 と Vista との併用時に現象が確認される事例が多いようだが、そうとは限らない事例も存在する。
問題を回避するには、通常は「TCP 受信ウィンドウの自動チューニング」を変更すればよいみたい (ただし、KB940646 については patch がある)。変更するには、netsh コマンドを netsh interface tcp set global autotuninglevel=value のように使用する。 管理者権限で実行すること。
なお、この機能は Windows Server 2008 にも存在する模様。
日本旅行の Apollon システム に欠陥があり、修正された模様。どのような欠陥があったのか、いつ修正されたのかはいま 3 つほど不明。匿名希望さん情報ありがとうございます。
今後はご安心してご利用いただくことができます。
これまではどの程度安心できなかったんでしょう……。
》 戦略論‐間接的アプローチ 【復刊書籍】 (復刊.com)、1月下旬に発送だそうだ。
》 出会い系サイト、規制強化へ 警察庁が改正法案提出へ (asahi.com, 1/17)
利用者の年齢確認を厳格にし、サイト事業者を届け出制にしたうえで18歳未満についての書き込みを見つけた場合に削除義務を課す内容。
関連: 出会い系サイト等に係る児童の犯罪被害防止研究会 (警察庁)、 「出会い系サイト等に係る児童の犯罪被害防止の在り方について」に対する意見の募集について (警察庁)。パブコメ締切は 1/31。
》 Trend Micro Email Reputation ServicesのStandard Reputationに関する新機能追加のお知らせ (トレンドマイクロ, 1/17)
》 Even `Trusted' Websites Can Get Compromised (trendmicro blog, 1/16)。BusinessWeek がヤラれた話。 関連: 「ビジネスウィーク」誌のWebサイトにもウイルスの“わな” (日経 IT Pro, 1/17)
》 ダウンロード違法化の動き 2007年12月24日 - 2008年1月8日 (2) (日本違法サイト協会 ブログ, 1/15)
》 紙の爆弾2月号に芸能ビジネス弁護士の記事 (SLAPP WATCH, 1/16)
》 McAfee Avert Labs Gains a Director (McAfee blog, 1/16)。Sage の third issue がもうすぐ出るらしい。 既刊分は McAfee Avert Labs Technical White Papers から入手できる (日本語版あり)。
》 Oracle、BEAを買収:紆余曲折の末今年半ばに (CNET, 1/17)。Oracle ですか……。
》 米Sun,オープンソースのデータベースを開発しているスウェーデンMySQLを買収 (日経 Tech On, 1/17)。Sun、そうきたか。
》 情報機関トップが辞意 韓国、北との対話録を流出 (中日, 1/16)
》 フィルタリングサービスの原則適用化で、未成年向けモバイルコンテンツはどうなる? (bizmakoto.jp, 1/16)
MS07-065 - 重要 メッセージ キューの脆弱性により、リモートでコードが実行される (937894) だが、実は Windows XP Home SP2 にはこの欠陥はなかったそうだ。
MS07-061 の既知の問題: MS07-061: Vulnerability in Windows URI Handling could allow remote code execution (Microsoft KB943460)
Windows Vista をインストールした Panasonic Let's Note に 943899 patch をインストールすると、その後、ハードディスクがスピンアップしない場合がある模様。この場合、なぜかハードディスクの power-on in standby が有効になってしまっているようで、 Linux の hdparm コマンドなどを使って無効に設定すれば、とりあえずは解決する模様。
事例:
私もレッツ倶楽部に電話しちゃいました。
そこで聞いた情報ですが、連休明けに続発しているようで、 原因は、マイクロソフトのアップデート(ウィルス対策) らしい、、、、、(ToT)/~~~
どうもHDDの回転動作を止めるコマンド??が含まれていた ???(ToT)/~~~
検証完了次第、WINDOWS上に於いて、 対策のパッチプログラムを公開するらしいです??
笹部さん情報ありがとうございます。
仙石氏が、この問題が発生した場合に利用するための USB ブート Linux を、詳細な解説つきで公開している。
また、コメント覧には ThinkPad T60 で同様の現象が発生したとの情報があり、
ちなみに機種はThinkPad(2007PKJ)ですが、hdparmの出力によると、
Model=Hitachi HTS541612J9SA00
と、同一のHDDの様です。
ふぅむ……
Panasonic から情報出ました: CF-R6M/CF-R6Aシリーズご使用のお客様へのご案内 (Panasonic, 2008.01.21)
現象が既に発生してしまっている場合は、まずは仙石氏による USB Linux などを使ってハードディスクを復旧させ、その後に BIOS を更新する。
KB 出ました: Windows Vista でスタンバイ、休止状態から復帰後にコンピュータの電源を切ると、特定の機能をサポートしているハード ディスクが認識されなくなる (Microsoft KB948023)。修正 patch はまだありませんが、
注 : この問題は、Power-Up In Standby 機能 (電源投入時にスタンバイ モードに移行する機能) をサポートしているハード ディスクを使用した場合に発生します。
条件の 1 つが確定されました。
ThinkPad 用の修正版ファームウェアが公開されています: ファームウェア・アップデート・ユーティリティ 2.5インチ SATA ハード・ディスク・ドライブ用 (lenovo)
対応機種:
ThinkPad G50
ThinkPad R60, R60e
ThinkPad R61, R61e
ThinkPad T60, T60p
ThinkPad T61, T61p
ThinkPad X60, X60s, X60 Tablet
ThinkPad X61, X61s, X61 Tablet
ThinkPad Z60m, Z60t
ThinkPad Z61e, Z61m, Z61p, Z61t
関連: VistaのKB943899適用でノートPCのHDDが突然死 (slashdot.jp, 2008.02.01)
UPnP 機能つきの SOHO ルータを介してインターネットに接続しているクライアントに、 攻略 Flash アプリを読み込ませることで、ルータの UPnP 機能を操作して port forwarding を実行したり、DNS 設定を変更したりなどを実行できる模様。 一連の動作はさまざまな機能を仕様に基いて使用しているだけなので、 最新の Flash Player を導入していても防ぐことはできないそうだ。 また Flash のおかげで、Windows / Mac / UNIX, IE / Firefox / Opera / Safari などなど、OS / ブラウザを問わず有効だという。 Flash UPnP Attack FAQ も参照。
回避するには、ルータの UPnP 機能を必要としていないのであれば、それを無効にする (たいていはデフォルトで有効になっている)。さっそく、手元の SOHO ルータの UPnP を無効に設定しましたが、特に問題ないです。
関連: UPnPルータ+Flash=深刻なセキュリティ問題 (yohgaki's blog, 2008.01.17)。
Flashing Home Routers (Symantec blog, 2008.01.21)
【3】複数のデバイスに UPnP に起因する脆弱性 (JPCERT/CC REPORT 2008-01-23)
JVNVU#347812: ネットワーク機器において UPnP が有効になっている場合の問題
関連: ネットワーク機器におけるUPnP機能の脆弱性 (NEC, 2008.06.23)
》 古紙配合率、全5社偽装 日本製紙社長辞任へ (asahi.com, 1/16)、古紙配合不正:日本製紙社長、辞任へ コピー用紙でも偽装 (毎日, 1/16)。 発注元に無断で仕様を変えますかふつう……。
》 Chasing Storm into 2008 (trendmicro blog, 1/16)
》 ビルマ(ミャンマー):仏教を通じた闘いは続く (JANJAN, 1/15)
》 タイの収容所に1年以上拘束されているモン族149名の解放を要請:UNHCR (国連情報誌SUNブログ対応版, 1/15)、 タイ初の民放テレビ、政府が閉鎖 (asahi.com, 1/16)
》 アフガニスタンで自爆テロ (国連情報誌SUNブログ対応版, 1/16)、 タリバンが国連入居のホテルに突入、米国に衝撃 (JANJAN, 1/16)
カブールで最も警戒厳重な地区がタリバンにいとも簡単に襲われたことになる。米国やアフガニスタン政府関係者は衝撃を受けているはずだ。 (中略) タリバンにとっては国連も米国も同じだ。国連の機関が入居するセレナホテルを攻撃したことは米国の重要施設を襲ったも等しい。
》 Mandrivaとターボリナックス、共同開発プロジェクト「Manbo-Labs」を発表 (turbolinux, 1/16)
Mandriva (本社:フランス パリ) とターボリナックス株式会社(本社:東京都渋谷区、代表取締役社長:矢野広一、以下ターボリナックス)は1月16日、両社のLinuxディストリビューションのコアとなる基本システムの開発リソースとテクノロジーを共有することを目的とした新プロジェクト「Manbo-Labs (マンボラボ)」を発表しました。
当プロジェクトはMandrivaとターボリナックスによる戦略的パートナーシップに基づき、共同で両社の製品に搭載するLinux基本システムの開発に取り組むものです。 (中略) 今年発表を予定している「Mandriva Linux 2008 Spring」およびターボリナックスのデスクトップ製品は当基本システムをベースとしたものになります。
》 アップル、無線LANルータ機能内蔵の500GB/1TB NAS 〜自動バックアップの「Time Machine」に対応 (PC Watch, 1/16)。タイムカプセルですか。うまいこと言うね。
》 権利者団体が「Culture First」宣言、文化保護で補償金の拡大求める (Internet Watch, 1/15)。Money First の間違いじゃないのか。はじめに金ありき。
》 史上初、Mac OSを狙った「偽ソフト」出現 (日経 IT Pro, 1/16)、 MacSweeper responds (F-Secure blog, 1/16)、 「悪かったのは売り方だけ」——Mac初の「偽ソフト」開発者が弁解 (日経 IT Pro, 1/17)
》 あなたのPCは大丈夫 (CHECK PC!)(日本のセキュリティチームの Blog) (まっちゃだいふくの日記, 1/16)
Exconnにログインしたり、セキュリティチームのムービーをみたらアウトだな・・・
hotmail.com もダメですね……。しかしそもそもの話として、「用心深い人なら JavaScript を無効に設定しているので、『パソコン環境別リスク診断』を表示できない」のではないかと。
》 北朝鮮vs.アメリカ─「偽米ドル」事件と大国のパワー・ゲーム (筑摩書房)、 どうやら品切れになってるっぽいですね。
》 東京円、一時105円台 2年8カ月ぶり (asahi.com, 1/16)
》 内調職員情報漏えい、ロシア側から接待・謝礼受領の疑い (読売, 1/16)、内閣情報調査室:男性職員、ロシア大使館員に情報漏えいか (毎日, 1/16)。「内閣情報調査室の50代の男性職員」ですか。 関連: 内閣情報調査室 (ESPIO, 1/16)、 内閣情報調査室の外郭団体 (ESPIO, 1/16)
(大臣) おはようございます。閣議の報告からいたします。例のC型肝炎訴訟の特別措置法、これ今日、公布ということで閣議で決定をいたしました。それから、もう一つ、今日、私の方から、閣僚懇談会で新型インフルエンザ対策の充実・強化についてということでご報告を申し上げました。これは、スペイン風邪のように一旦流行ってしまうと4,000万人亡くなるというような大変大きな被害が出ますので、きちんと平成17年10月に対策を策定して、今この事前の準備をきちんとやっているというところであります。資料と共にそのことを全閣僚に協力いただきたいということでご説明を申し上げました。タミフルの備蓄が2,800万人分、プレパンデミックワクチンの備蓄が1,000万人分。これは有効期間が3年くらいなので、そのことも考えながら腐ってしまうともったいないですから、そういうことも考えながらやっていっているということで、訓練をやる、それから医療体制の充実・強化、その他万全の体制を整えて参りたいということをご説明を申し上げました。
ワクチンが腐るともったいないけれど、有事においてワクチンが足りないために失われるかもしれない人の命はどうでもいい、と解釈していいですか?
》 監査役協会 パブコメ 「内部統制システムに係る監査委員会監査の実施基準(公開草案)」 (まるちゃんの情報セキュリティ気まぐれ日記, 1/15)
》 あなたのPCは大丈夫 (CHECK PC!) (日本のセキュリティチームの Blog, 1/16)。 Check PC! サイト、通年でアクセスできてほしいのですけど。
》 ブックマークレットを外部ファイルに書く方法(IE限定) (葉っぱ日記, 1/16)
》 電子投票の国政選挙適用に関する継続審議(その2) (武田圭史, 1/15)
先の記事の中で「電子投票を用いたベネズエラの国民投票」を例に電子投票が公平性が証明されたとしているが、電子投票が適切に実施されれば公平である点については誰も異論はないだろう。問題はどのようにして電子投票が適切に実施されることを担保するかである。
ベネズエラの国民投票に用いられた電子投票機器はスマートマティック社のSAESというシステムだそうだ。このシステムは投票結果を電子データとして記録するだけではなく同時に紙としても出力し投票箱に保管する「voter verified paper trail (VVPT) 」というアプローチにより公平性を担保(しようと)している。印字や給紙のトラブルなどにより電子記録と紙の記録に齟齬が発生するなど別途対策が必要な課題もあるが、電子データのみでブラックボックスに記録するよりは信頼性の面で優れるだろう。現在日本政府が提案している電子データの記録のみによる電子投票は、ベネズエラで実施された電子投票よりも信頼性の担保の面で不利であると言わざるを得ないだろう。
Excel 2003 SP2 以前 / 2002 / 2000 / 2004 for Mac, Excel Viewer 2003 に欠陥。 Excel ファイルの処理の欠陥のためにメモリ破壊が発生、攻略 Excel ファイルによって任意のコードを実行できる。既に攻略ファイルが存在する模様。 Excel 2003 SP3 / 2007 / 2008 for Mac にはこの欠陥はない。 CVE-2008-0081
修正プログラムはまだない。Excel 2003 SP3 / 2007 / 2008 for Mac にアップグレードすることで対応できる。また、Excel 2003 では MOICE (Microsoft Office Isolated Conversion Environment) を使うことでも回避できるそうだ (info from: Excelの脆弱性 (日本のセキュリティチームの Blog))
この欠陥を攻略する「北京オリンピック」ウイルスが確認されたそうです。
Excel 2003 SP3 / Excel 2007 の人は、この欠陥の影響を受けません。また、 この欠陥は、明日の Windows Update で対応されるはずです。
MS08-014 で対応されました。
[SA28444] Libxml2 UTF-8 Parsing Denial of Service Vulnerability。 xmlCurrentChar() に欠陥があり、誤った UTF-8 シーケンスによって無限ループに陥る。 libxml2 2.6.31 で修正されている他、 patch も公開されている。 CVE-2007-6284
[SA28409] MaxDB DBM Command Processing Command Execution Vulnerability。 欠陥が確認されたのは SAP MaxDB 7.6.03 build 007。 PoC あり。 CVE-2008-0244
[SA28440] IBM Tivoli Storage Manager Express Buffer Overflow Vulnerability。 Tivoli Storage Manager Express version 5.3.7.3 で修正されている。 CVE-2008-0247
[SA28482] Microsoft Visual InterDev ".sln" File Handling Buffer Overflow (2008.01.15)。 Microsoft Visual InterDev 6.0 における .sln ファイルの取扱いに欠陥があり、長大な Project フィールドを備えた攻略 .sln ファイルによって任意のコードを実行できる……らしい。 CVE-2008-0250
CVE-2008-0001。VFS ねた。 Linux kernel 2.6.23.14 で修正されている。
FreeBSD ねた:
FreeBSD-SA-08:01.pty - pty snooping
FreeBSD 5.x 〜 7.x で openpty() 関数を非 root ユーザが使用すると、 作成される仮想端末は誰でも読み書きできるものになってしまう。 このような使い方をするコマンドの例として script が挙げられる。 CVE-2008-0217
ptsname() 関数に欠陥があり、/dev にあるデバイスノードの名前から 2 文字を誤って取り出してしまう。このため、ptsname() を利用している pt_chown で欠陥が発現、pt_chown を呼び出したユーザの pty の所有者を変更してしまう。 CVE-2008-0216
FreeBSD-SA-08:02.libc - inet_network() buffer overflow。 FreeBSD 6.x 〜 7.x の inet_network() に、特定の引数において buffer overflow (off-by-one エラー) が発生する欠陥。 CVE-2008-0122
CVE-2008-0265。F5 BIG-IP 9.4.3 の Web 管理インターフェイスの検索機能に XSS。
Oracle Critical Patch Update Advisory - January 2008 (Oracle, 2008.01.15)
CHTML(Googleにおける)XSS脆弱性 (hoshikuzu|star_dustの日記, 2008.01.19)。現在は直っています。
CVE-2008-0261。 mambo の検索機能および大量のクエリを送出するモジュールに関連する欠陥があり、Mambo 4.5.5 / 4.6 用の patch が用意されている。
FreeBSD-SA-08:02.libc - inet_network() buffer overflow と同じ話は bind にもあったそうで。
Christos Zoulas committed a change to src/lib/libc/inet/inet_network.c in current on 18/01/2008 at 16:20:57
Fix off-by-one buffer overflow. VU#203611, CVE-2008-0122
Official Statement from Red Hat (1/21/2008)【6】libbind、libc、GNU libc の inet_network 関数にバッファオーバーフローの脆弱性 (JPCERT/CC) によると、GNU libc 2.1 以降にはこの問題はないようで。
This issue did not affect the versions of GNU libc as shipped with Red Hat Enterprise Linux 2.1, 3, 4, or 5.
This issue affects the versions of libbind as shipped with Red Hat Enterprise Linux 2.1, 3, 4, and 5, however the vulnerable function is not used by any shipped applications. The Red Hat Security Response Team has therefore rated this issue as having low security impact, a future update may address this flaw. https://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=CVE-2008-0122
FreeBSD-SA-08:02.libc - inet_network() buffer overflow / CVE-2008-0122 話、bind 9.5.0 / 9.4.3 / 9.3.5 で修正されている。
Drupal に複数の欠陥。
SA-2008-001 - Devel - Cross site scripting
devel モジュールに XSS 欠陥。Devel 5.x-0.1 で修正されている。 CVE-2008-0276
SA-2008-002 - Atom - Access bypass
Atom モジュールに欠陥があり、特定の状況において titles, teasers, body にアクセス権限が反映されず、情報漏曳につながる。 CVE-2008-0275
Atom 4.7.x-1.0 / 5.x-1.0 で修正されている。
BUEditor に CSRF 欠陥。 CVE-2008-0271
BUEditor 4.7.x-1.0 / 5.x-1.1 で修正されている。
SA-2008-004 - Fileshare - Arbitrary code execution
fileshare モジュールに欠陥があり、fileshare ノードを作成できるユーザは、そのサーバ上で任意のコードを実行できる。 CVE-2008-0277
この欠陥の修正はない。fileshare モジュールは直ちに削除すること。
SA-2008-005 - Drupal core - Cross site request forgery
aggregator モジュールに CSRF 欠陥。 Drupal 4.7.11 / 5.6 で修正されている。 CVE-2008-0272
SA-2008-006 - Drupal core - Cross site scripting (UTF8)
UTF-8 + IE6 で XSS 話。Drupal 4.7.11 / 5.6 で修正されている。 CVE-2008-0273
SA-2008-007 - Drupal core - Cross site scripting (register_globals)
PHP の register_globals が有効で、かつテーマファイル (.tpl.php) にアクセスできる場合に XSS 欠陥が発生。Drupal 4.7.11 / 5.6 で修正されている。 CVE-2008-0274
神戸さん情報ありがとうございます。
Apache 1.3.40 / 2.0.62 / 2.2.7 はリリースされず、 Apache 1.3.41 / 2.0.63 / 2.2.8 で修正される模様。
Apache に複数の欠陥が発見されています。
mod_status に XSS 欠陥が存在する。 CVE-2007-6388
対象: Apache 1.3.2 〜 1.3.39、2.0.35 〜 2.0.61、2.2.0 〜 2.2.6
mod_proxy_balancer に XSS 欠陥が存在する。 CVE-2007-6421
対象: Apache 2.2.0 〜 2.2.6
mod_proxy_balancer に DoS 攻撃を受ける欠陥が存在する。 CVE-2007-6422
対象: Apache 2.2.0 〜 2.2.6
Apache 1.3.41 / 2.0.63 / 2.2.8 で修正される。既に各バージョンの開発版では修正されている。takezou さん情報ありがとうございます。
Apache 1.3.41 / 2.0.63 / 2.2.8 がリリースされました。iida さん情報ありがとうございます。
Apache (mod_proxy_ftp) Undefined Charset UTF-7 XSS Vulnerability (CVE-2008-0005) も直ってました。ProxyFtpDirCharset ディレクティブが追加されています。
iPhone / iPod touch v1.1.3 登場。3 つの欠陥が修正されている:
Foundation: CVE-2008-0035
Safari の URL 処理においてメモリ破壊が発生、攻略 URL によって任意のコードを実行できる。
Passcode Lock: CVE-2008-0034
emergency call の扱いに欠陥があり、物理アクセスできる攻撃者が Passcode Lock 機能を回避できてしまう。
Safari: CVE-2007-5858
XSS 欠陥があり、攻略 Web ページを閲覧することで機微情報の漏曳につながる。
QuickTime 7.4 登場。4 つの欠陥が修正されている。
Sorenson 3 ビデオファイルを処理する過程でメモリ破壊が発生、攻略ビデオファイルによって任意のコードを実行できる。 CVE-2008-0031
QuickTime ムービーファイルの Macintosh Resource レコードを処理する過程でメモリ破壊が発生、攻略ムービーファイルによって任意のコードを実行できる。 CVE-2008-0032
関連: Apple QuickTime Macintosh Resource Processing Heap Corruption Vulnerability (iDefense)
QuickTime ムービーファイルの Image Descriptor (IDSC) アトムを解析する過程でメモリ破壊が発生、攻略ムービーファイルによって任意のコードを実行できる。 CVE-2008-0033
圧縮された PICT 画像を処理する過程で buffer overflow が発生、攻略 PICT ファイルによって任意のコードを実行できる。 CVE-2008-0036
……あれ、JVNVU#112179 Apple QuickTime RTSP の Response message に含まれる Reason-Phrase 処理にバッファオーバーフローの脆弱性 は直ってないようです……。
》 “データ復元ソフト”にすがった (日経 IT Pro, 1/15)。バックアップはこまめに。
》 電子政府は,「ICカード・ネット・家庭」の3点セットに見切りを (日経 IT Pro, 1/15)
》 米マクラッチー紙報道:「北朝鮮のドル紙幣偽造」はガセネタ?! (暗いニュースリンク, 1/12)。まずはご一読を。
個人的にはですね、「実は北朝鮮ドル紙幣偽造疑惑は印象工作でした」ということであれば、それは 9.11 当時の手嶋龍一氏の報道姿勢ととても整合するように思うので、「あぁ、そういうことだったのか」と納得できてしまうのです。 関連: 同時多発テロ理解と日米メディアの特質—思想的多元主義を求めて (同志社大学教授・渡辺武達) (聖教新聞学芸部メディアのページ, 2001.12.25)
だが、NHKワシントン支局長の手嶋龍一氏が11日間連続のアメリカ政府発表資料垂れ流しを自認するように(『文藝春秋』11月号)、テレビのストレートニュースは新聞とともに、テロ反対、報復戦争是認型となり、12月にはいると皇室のおめでた記事ですべてを忘れたような論調となった。
当該記事は「ドキュメント その時、ホワイトハウスは…」 (文藝春秋 2001.11 総力特集 テロ・報復、漂流する日本)。 文藝春秋自身の検索ページでは対象外だったので、 国会図書館の NDL-OPAC 検索 で調べた。
》 Targeted attacks: behind the media reports (SANS ISC, 1/15)
》 偽「ルートキットバスター」によるアドレス搾取 (トレンドマイクロ セキュリティ blog, 1/15)
3. 「ハッシュ値」が公開情報と同一であることを確認する。
日本語なダウンロードページにはハッシュ値が書かれていないんですけど……。コード署名しましょうよ。
》 First rogue cleaning tool for Mac (F-Secure blog, 1/15)。Mac 用のニセソフト。
》 JPCERT/CC 活動概要 [ 2007年10月1日 〜 2007年12月31日 ] (JPCERT/CC, 1/15)
【トピック3】アジア太平洋地域における 12 の経済地域 CSIRT チームが合同でインシデント対応ドリルを実施
》 偽の「Windows Update」でユーザーをだます——ウイルス作者の新手口 (日経 IT Pro, 1/15)。SNS 上に仕掛けられた JavaScript によってニセ Windows Update メッセージが表示され、うのみにするとドカン。
》 Wizard Bible vol.38 (2008,1,14) (wizardbible.org, 1/14)、Wizard Bible vol.38 (2008,1,14) (葉っぱ日記, 1/14)
》 「米国大学(院)学位商法」の危険性−広告塔の大学教授 (JANJAN, 1/15)
》 サーバ仮想化セキュリティの問題点解決します BlueLane オンラインセミナー (住商情報システム)。 2008.01.24、インターネット上で開催。 BlueLane VirtualShield という製品があるそうです。
関連:
》 新型インフルエンザ対策 強化 (NHK, 1/15)。「15日の閣議後の閣僚懇談会」での舛添厚生労働大臣の発言。
治療薬である「タミフル」を2800万人分、病気の発症を抑える効果が期待されているワクチンを1000万人分備蓄するなど、発生に備えた準備を行っている
前者はあと 5 倍弱、後者はあと 13 倍弱あればいいわけですが、そのためにはいくら必要?
》 迷惑メール 巨額の対応コスト (NHK, 1/15)。確かになあ。
》 NHKによる緊急地震速報の誤配信、原因はボタン押し間違い (slashdot.jp, 1/15)。文字どおりの意味で 1 秒を争う運用が必要なのだから、「システム障害対策用にはカバーを」で対応できる種類のものではない (遅れを生じさせるような「対策」では意味がない)。 「地震速報の音声ボタン」と「震度情報をテロップで流すためのボタン」 があるようだが、
といった対応があるかなあ。要は「明確に区別できるようにする」のが重要なのですが。 もっとも、「どれも実行済」だったらアレですけど。 勘違いするときはとことん勘違いするしなあ。
》 しょこたん☆をも嚇かすAVソフトの警告 (高木浩光@自宅の日記, 1/14)
おそらく「Temporary Internet Files」のことだろうから、これは、Internet Explorerのcacheフォルダ(または Outlook Expressの添付ファイル等の展開場所)だろう。
これ自体は放置しておいても問題ない。トロイの木馬をダウンロード(あるいはメールを受信して表示)しただけであって、ファイルを実行してしまったわけではなかろう。
アンチウイルスソフトによっては、この時点で既にウイルスコードが実行されてしまっている場合があり得るので、「これ自体は放置しておいても問題ない」かどうかはアンチウイルスソフトに依存します。「そのような心配をしなければならないアンチウイルスソフトを使用する事自体が不適切だ」という反応が返ってきそうで、それはそれでごもっともなのですが、常に「問題ない」と言い切れるわけではないことに変わりはないので……。
》 ジャストシステムの脆弱性告知ページが大幅に改善 (高木浩光@自宅の日記, 1/13)
以前は、最終更新日しか書かれていなかったため、いつ発表のものかわからない形式だったが、今回は「公開日」と「更新日」が表示されている。
その点は 2007 年 12 月の事例で既にそうでした。今回は更新履歴が記載されており、更新内容がよりわかりやすくなっています。 1/8 と 1/15 に改訂されている……
》 文化審議会 著作権分科会 法制問題小委員会 2007年度第10回会合 (2008.01.11)
パブコメで著作権法違反の「非親告罪化」に反対意見多数 (Internet Watch, 1/11)
小委員会の最後では、一橋大学教授の村上政博氏が「パブリックコメントで中間まとめと違う意見が寄せられたとしても結論を見直すのは難しい。今回の議論では、検索エンジンの件は意見を反映して結論を出せそうだが、(反対意見が多かった)権利制限の見直しでは、結局結論が変わることはない」と語り、パブリックコメントが形骸化しているのではと指摘する一幕も見られた。その是正策として村上氏は、「議論の方向性が固まる前にパブリックコメントを募集し、その意見をもとに議論を進めて結論を導くべき」と述べ、パブリックコメントの意見を反映できる仕組みづくりを文化庁に求めた。
「パブリックコメントの意見を反映できる仕組み」になっていないのだそうで。だとしたら、間抜けとしか言いようがない。
議論低調、「パブコメの形骸化を懸念」——文化審・法制小委 (日経 BP, 1/11)
》 富士通、2007年春モデル以降のパソコンで「ダビング10」に対応 (日経 BP, 1/11)。各社とも春モデルで対応するようですが、 ダビング10方式の実現に暗雲,私的録画補償金制度を巡る議論が火種に (日経 BP, 2007.11.19) とか言ってた話はどうなったんでしたっけ。
》 セックスの快感は脳を麻痺させる 脳測定から見た性的ネット濫用の本質(CSR解体新書24) (日経 BP, 1/15)。興味深い。アサヒ芸能ですか……。
》 手術の「フィブリン糊」原因、都内病院で57人が肝炎感染 (読売, 1/13)、 薬害C型肝炎、「フィブリン糊」使用者も調査へ…厚労相 (読売, 1/15)
》 産業スパイ防止へ法整備 経産省、先端技術の流出阻止 (asahi.com, 1/15)
甘利経産相は、重要情報が記録されたコンパクトディスク(CD)を例に、「日本の窃盗罪は盤にかかり、情報の中身に対してかからないという問題がある」と述べ、既存の法体系による産業スパイ活動の取り締まりに限界があることを指摘。
関連: 産業スパイ防止で新法制定へ、情報不正入手だけで摘発 (読売, 1/15)
産業スパイ行為を摘発する法律は従来、不正競争防止法(営業秘密侵害)がある。しかし、対象は同業などのライバル会社に営業面で重要な情報を漏らし、公平な競争が妨げられた場合に限られる。しかも、海外を含めて情報の流出先を特定する必要があるため、立件自体が難しく、起訴されたケースは一度もない。
軍事転用が可能な技術が競争関係にない会社や海外に流出しても、同法では摘発できない上、刑法でも、盗んだ情報自体はお金やモノではないため窃盗罪にあたらない。
(中略)
昨年3月に発覚した大手自動車部品メーカー「デンソー」(愛知県刈谷市)の中国人技術者による製品データ持ち出し事件では、技術者が大量のデータを持ち出した同時期に中国へ3回帰国するなど、不審な行動が判明していた。愛知県警はデータが他社に渡されたかなどを解明できず、不正競争防止法の適用を断念した。
デンソーの事例に対応できなかったのが契機ということですか。
あと、ここ重要:
特許法も改正し、政府が安全保障上、重要な技術と指定した特許は一般が閲覧できないようにする「秘密特許制度」を導入する方針だ。
》 自衛隊:基地外PAC3発射候補地調査 新宿御苑で実施 (毎日, 1/15)。基地外……。BGM: 伊福部昭
》 「銃と車輪が付いたノートパソコン」開発が「シリコンバレーのブーム」? (WIRED VISION, 1/11)。ジョン・コナーはどこに。
》 欧州委員会、バイオ燃料に対する規制強化の方針を表明 (technobahn, 1/15)
》 米空軍のF-15墜落事故調査委員会、事故原因は金属疲労による縦通材の破断 (technobahn, 1/11)
事故調査委員会は機体の定期検査では機体内部の縦通材は検査の対象となっていなかったことを指摘し、事故に至ったのは定期検査の方法にも問題点があったことなども指摘した。
元ねた: F-15 Eagle accident report released (USAF, 1/10)。VIDEO あり。
》 ウイルスバスター2008、Vista SP1にインストールできない問題などを修正 (Internet Watch, 1/11)
トレンドマイクロに確認したところ、Windows Vista SP1およびWindows XP SP3の正式公開前には、店頭販売されているウイルスバスター2008のパッケージは修正版に置き換えるとしている。
うーん……。FAQ ねたになることは間違いなさげではある。
2008.01.08, 2008.01.15 に改訂されている。
Shuriken 2007/Pro4、ConceptSearch、ExpandFinder に同梱されている JS文書ビューアプラグインにも欠陥があり、 JS文書ビューアプラグインの確認とダウンロード が必要。Shuriken を同梱している製品 (MiningAssistant、TRUSTIA など) も同様の扱いとなる。
ConceptSearch と ExpandFinder には、 JS共通セキュリティ更新モジュール と JS文書ビューアプラグインの確認とダウンロード の両方が必要
Netnote にも欠陥があり、 対応モジュールを準備中。
IMSS 7.0 / IMSA 5000 7.0 に欠陥。Keep Alive を有効にした場合に (デフォルト: 無効) 、「特定のメール」を受信すると、設定したものとは異なるルールがメールに適用されてしまう。
IMSS 7.0 Linux 版 Service Pack 1 で修正されている他、 IMSS 7.0 Windows 版 / Solaris 版、IMSA 5000 7.0 用には Critical Patch が公開されている。
》 柏崎刈羽原発停止半年 東電、復興マネー全開 地元複雑 (asahi.com, 1/14)
》 少数民族の爆弾テロと、ミャンマー首都の駅トイレの爆発 (CNN, 1/13)
》 文芸社・新風舎の盛衰と自費出版(20)新風舎の倒産と共同出版の課題 (JANJAN, 1/14)
》 大江健三郎氏が文芸誌『すばる』で“集団自決裁判”での証言記を発表 (JANJAN, 1/14)
》 出版の自由が危ない連続セミナーのお知らせ (SLAPP WATCH, 1/14)。 2008.01.23、東京都文京区、一般1000円。
》 政治家の名誉毀損裁判、二題 (SLAPP WATCH, 1/14)
》 オリックス・宮内義彦vs講談社・森功 (SLAPP WATCH, 1/14)
》 「米国大学(院)学位商法」の危険性−いよいよ実名報道 (JANJAN, 1/14)
》 表現の自由を考える11・29シンポジウムのこと (SLAPP WATCH, 1/13)
》 自動車が水中に転落した場合に脱出して生き残る方法 (gigazine, 1/13)、 水中に転落したときの脱出方法 (国土交通省)
》 サンプロ・コメント訴訟第四回期日のこと (SLAPP WATCH, 1/12)、 サンプロ・コメント訴訟、第四回終了後集会 (SLAPP WATCH, 1/12)
》 シリーズ 最強ウイルス 第2夜 調査報告 新型インフルエンザの恐怖 (NHK スペシャル, 1/13)。 H5N1 の危険性については、冒頭の数字が全てを物語る。
感染 348 人
死亡 216 人
致死率 62%。1918 年のスパニッシュインフルエンザは高々 (!!) 2%〜5% 程度の致死率だったわけですが、それでも世界で 3000万〜5000万人程度の死者が出たと考えられるわけで。本当に致死率 62% なんてのがそのままヒト-ヒト感染したら……間違いなくインフラが崩壊する。スパニッシュインフルエンザのときでも家庭内での働き手が倒れたために餓死者が出たりする事例があったようだが、それどころの騒ぎではない。シリーズ 最強ウイルス 第1夜 ドラマ 感染爆発〜パンデミック・フルー (NHK, 1/12) では「感染 2400万人、死亡 100 万人」というシナリオだったと記憶しているが、この場合ですら社会活動はひどい機能不全に陥るだろうし。
それにしても、世界は 2006 年に破滅しかけていたとは……。 SAAS のときもそうだけど、人間、本当に死を目の前にすると、医療関係者のような学のある人でも突拍子のない行動を取ってしまうのだなあ。自分自身を冷静に観察し、異常があれば直ちに自分自身を隔離しなければならないような状況で、ぜんぜん別の行動を取ってしまうのだから。
第2夜では日本の体制のだめだめさ加減と USA での体制事例を紹介していたが、日本よりもはるかに進んだそれですらも新型インフルエンザには不十分なように思うし。6 か月……。現代における感染拡大速度については SAAS における事例が参考になるだろう (たとえば史上最悪のウイルス (文藝春秋) を参照) が、6 か月ではとても間にあわない。
USA での体制というのは「ポスト 9.11」の延長線上に存在する (= 戦時体制) と思うのだが、まともに有事を語れない人が多い我が国では……。 ハードウェアこそ破壊されないものの、人的被害は「東海・東南海・南海同時発生シナリオ」よりもはるかにデカい可能性が高いわけで。 死者 100 万人越の可能性がある超広域災害にどう対応するのか、という問題に対して、 厚生労働省結核感染症課という部署の人が「医療体制の整備は、一義的には地方自治体の役割かと……地方自治体に対する助言なり支援は国としても行っていきたい」と答えていたが、ふざけるのもいいかげんにしろ。 国家存亡の危機に「一義的には地方自治体の役割」なわけないだろ。
見逃した人は、ぜひ 1/15, 16 深夜の 再放送を。
関連:
鳥インフルエンザワクチン製造販売 化血研など4社、1月中に申請 (熊本日日新聞, 2007.01.10)
【新薬】沈降新型インフルエンザワクチン(H5N1株) プレパンデミックワクチンが実用化へ (日経 Medical Online, 2007.12.13)。 プレパンデミックワクチンなんてものがあったのね。 とりあえずこれを全国民分つくっておく、ことはできないのかねえ。
2006年6月には、オーファンドラッグに指定されており、開発費用の一部を国が負担したり、治験相談や申請後の審査が優先されるなど、国家レベルの支援を受けて今回の承認となった。
オーファンドラッグですか……。
さっきの続き(N特ドラマ) (ESPIO, 1/12)
どうせドラマじゃん、そんなに大袈裟じゃねーよとか思うんだろうなあ。
ドラマなので、本当に悲惨な内容は映像化できないのですが……。 1918 スパニッシュインフルエンザのときは、全身から血を流して死ぬ患者などという「まるでエボラ」のような事例もあったようです。
俺的には「あれほど清潔な病院環境を維持しつづけられるのかなあ……」と思ったです。 ドラマでは、電気、水道、ガス、食料、医薬品、死体を含む廃棄物処理については維持されている風でしたね。嗜好品 (コーヒー) の流通は途中から止まっているようでしたが。
アパートでの教訓 (ESPIO, 1/13)
さっきのNHKスペシャル (ESPIO, 1/13)
個人でできる対策 (厚生労働省 新型インフルエンザ対策関連情報)
》 January State of Spam Report (Symantec blog, 1/11)
》 Fake RootkitBuster Busted! (trendmicro blog, 1/12)。 Rootkit Buster (トレンドマイクロ) のニセモノが流通しているようです。 というか、ホンモノにコード署名くらいしてほしいですねえ、トレンドマイクロさん。 日本語なダウンロードページには MD5 値すら掲載されていないしなあ。
》 Java SE 6 Update 4 が出ています。 Release Notes。
》 或る小心者の独り言 (ESPIO, 1/12)。新型インフルエンザねた。
何よりも1918年のときは弱毒性だったけども、今度は強毒性だからなあ。多臓器不全って、もはやインフルエンザじゃないもんなあ。
グレート・インフルエンザや 史上最悪のインフルエンザを読んだ限りでは、スパニッシュインフルエンザは「弱毒性だった」なんてレベルじゃないけどなあ。
実際問題、スパニッシュ・インフルエンザのときと比べると、人類に有利な点はタミフルやリレンザがあるくらいのものだよなあ。それすら数が足りないわけなのだが。
》 マイクロバス、3キロの力でドア開く 少年転落事故検証 (asahi.com, 1/12)
長江さんは、走行すれば、自動でドアにロックがかかる「速度感応型」か、ロックがかかっていない状態で走ると警報が鳴るシステムの導入を提案する。前者はすでに乗用車に使われており、マイクロバスでも十分可能な技術という。「乗用車より多くの人が乗るマイクロバスなら、安全装備はより重要だ」
》 長周期地震動:超高層ビルで初の実験 防災科学研3月に (毎日, 1/12)
》 ホルムズ海峡:米艦船12月にイラン小型艇に警告射撃 (毎日, 1/12)
》 ただいまシラミ大流行!子供中心に年50万人感染 (読売, 1/12)
池袋保健所の矢口昇さんは「不衛生だから寄生するわけではない。犯人探しは行わないで」と呼びかけている。
「手ごわいやつ」も出てきた。国立感染症研究所(新宿区)の今年度のサンプル調査では、20都道府県202人のうち東京、茨城など11人から、薬の効かないタイプが見つかった。「スミスリンが効かないんですよ。遺伝子の突然変異で抵抗性がついたようです」。
関連:
しらみの発生状況の実態把握に乗り出した沖縄県の中央保健所は、 しらみの感染が幼稚園や小学校で広がっている原因について 「集団発生した場合、クラス単位でまとめて駆除しなければ、感染は広がってしまう。 頭しらみに対する知識が無い人が多いので、放置されている間に蔓延してしまう」 と分析しています。
》 VistaのWindows Updateで誤ったパッチが送信 アップデート対象ではないエディションでパッチがダウンロードされる (computerworld, 1/11)。BitLocker 用の修正が、BitLocker を塔載していないエディションの Vista にも適用されてしまっていた模様。
米国Microsoftは1月10日、Windows Vistaの「Service Pack 1(SP1)」プレビュー・リリースをアップデートし、一部のテスターに提供したことを明らかにした。
「一部のデススター」に空目した…… orz
》 FBIが料金滞納で通信傍受用の電話回線を止められる (gigazine, 1/11)。自動引き落としじゃないんだ……。
》 いわゆる「違法・有害サイト規制」について(1) (崎山伸夫のBlog, 1/11)
》 ニューヨーク司法長官、独禁法違反容疑でIntelを調査開始 「Intelの行為は徹底的な調査に値する」とコメント (computerworld, 1/11)
》 日本国内で初めてiPod nanoが爆発か、アップルに電話して聞いてみた (gigazine, 1/11)。燃え燃え。
》 「メール暗号化ソフトの利用率29.4%」という不思議な調査結果 (日経 BP, 1/11)。著者は可能性として以下を挙げている。
その他の可能性として以下を挙げておく。
結局のところ、「電子メールの暗号化ソフト等の利用」という項目が何を指しているのかが不明確なんだよなあ。
》 ウイルスバスター2008 プログラムバージョン16.05 公開のお知らせ (トレンドマイクロ, 1/11)
■プログラムバージョン16.05でのおもな修正内容
Windows終了時に発生する問題
一部の環境で、コンピュータの終了時にごくまれにブルースクリーンが発生する問題を修正しました。Windows Vista Service Pack1 および Windows XP Service Pack3環境で発生する問題
1)インストールに失敗する問題を修正しました。
2)メイン画面を起動できない、およびアップデートを含むその他機能が正常に動作しない問題を修正しました。
おいおいちょっと待て……。Vista SP1 / XP SP3 では、そのへんで売っているパッケージ版のウイルスバスター2008はインストールすらできないのかい?! ウイルスバスター2008 のインストーラって、よっぽど変なことをしているの?
》 オーストラリア:グアンタナモ基地豪収容者、釈放後も自由な生活は得られず (JANJAN, 1/10)
》 First Line of Defense for Web Applications - Conclusion (%41%43%45%20%54%65%61%6d, 1/6)
》 This blog post contains the words "V6J" and "5C6" (F-Secure, 1/11)。google っていろいろ使えて便利ですね。
》 イラク戦争開始後3年間で15万人が死亡 (国連情報誌SUNブログ対応版, 1/11)。↑の IRAQ BODY COUNT は min: で 8 万人を越えていますが、実数はそんな数では済まないようです。
》 9原発で新たな活断層報告 03年、電力各社が再評価で (中日, 1/11)
》 新テロ法案:午後、衆院再可決・成立へ 参院は否決 (毎日, 1/11)、補給支援法、衆院での再議決で可決、成立 (asahi.com, 1/11)
一方、民主党が対案として参院に提出したテロ根絶法案も採決された。与党に加え、共産、社民両党も反対に回ったが、賛成120、反対118の2票差で可決された。与党は、同法案を衆院で廃案にせず、継続審議にする。
》 薬害肝炎:救済法が参院で可決・成立 全会一致 (毎日, 1/11)
同法に関し、野党は「救済から漏れる患者が残る」との懸念を抱いており、衆院厚生労働委員会では、救済対象を血友病患者らに拡大することの検討を盛り込んだ、5項目の委員会決議を全会一致で採択した。これを受け、法案は与党提案から与野党の共同提案へ変わった。(中略)
これとは別に与党は、肝炎患者を広く救済する「肝炎対策基本法案」を衆院に提出したが、民主党の対案との調整がつかず、継続審議となる。
関連: 対象は「氷山の一角」 薬害肝炎救済法 (産経MSN, 1/11)、 「真の全員救済を」C型肝炎患者21世紀の会代表 (産経MSN, 1/11)
》 検査中の米空軍のF-15戦闘機、構造上の問題から最大180機が退役の見通し (technobahn, 1/10)
飛行が停止して機体に構造上の問題が発生していないが検査が続けられている米空軍のF-15戦闘機に関して、検査の対象となった440機中、180機で修理不能な構造上の問題箇所が見つかっていたことが9日までにロサンジェルス・タイムズ紙の報道により明らかとなった。
うひゃあ……。空自の F-15 はだいじょうぶなのでしょうか。
》 Windows Server 2008の基礎知識 第7回 強化されたActive Directoryサービス(後編) (@IT, 1/10)。Read Only Domain Controller (RODC) の話。
》 SONY BMG、MP3をAmazonで提供——4大レーベルすべてがDRMフリーに (ITmedia, 1/11)。正式発表来ました。
》 家電製品ミニレビュー ELPA「センサー付ソケットアダプター SA-26JB/SA-26AJB」 〜電球に取り付けるだけでセンサーライトになるアダプター (家電 Watch, 1/11)
》 2008年景気展望(1) 戦後初のスタグフレーション到来か (日経 BP, 1/7)
物価が上昇しているのに給料が減っていくという状態は、このまま2008年も続いていくだろう。少なくとも春闘までに解消される見通しはまったくない。恐ろしいことだが、これまで戦後日本が一度も経験したことのない「スタグフレーション」(不況下の物価高)が進行する可能性がある。
関連:
》 これぞチャイナリスク。中国製なので、地球儀に台湾を「台湾島」と表記させられ、おまけに中華人民共和国の一部として分類されてしまっている話。 加えて、樺太の南半分や千島列島がロシア連邦に所属してしまっている模様。 で、結局販売中止だそうで。
学研広報室は、当初は日本の学校教科書通りの表記にしようとしたが、「工場が中国にあり、中国政府から表記を変更しないと輸出を認めないといわれた」と説明した。学研側では中国側の指示に従うか、輸出をあきらめるか迷ったが、最終的に従ったという。なんじゃそりゃ……。
学研は「常識に欠ける」とする非難などを受けたという。そりゃそうだろう……。日本国内では表記を書き直して販売するとか、手はいくらでもあっただろうに。
生産したのは中国・深センの工場で、同社は「中国政府の指示により」表現を変更したとする断り書きを商品に同封していた。しかし、同社は販売中止の公表にあたって「直接の指示は受けていなかった」と説明し、「台湾島」といった表現になった原因については「調査中」としている。なんじゃそりゃ……。一体どうなってるの。
》 中国で初、人から人への感染確認 鳥インフルエンザ (asahi.com, 1/10)。いよいよなのか?!
ウイルスが「新型」に変異すると大流行する恐れがあるが、(小島注: 中国衛生省の報道官は) 「遺伝子の変異はない」としている。
なにしろ「中国衛生省の報道官」の発言なので、マユツバべっちょりということで。
ただいま増殖中。JavaScript を有効にしないと読めないようです。
元ねた: Cross Site Printing (Aaron Weaver)。イントラネット内のネットワークプリンタの HP JetDirect ポート (9100/tcp) を Form の送り先に設定しておくと、……
QuickTime 7.3.1 以前における RTSP レスポンスメッセージの処理に欠陥。 特定の RTSP ステータスコードを受信すると QuickTime はリーズンフレーズ (Reason-Phrase; 理由文字列) を表示するのだが、この処理において buffer overflow する欠陥があり、攻略リーズンフレーズによってメモリ破壊が発生、任意のコードを実行できる。 おまけに、既に exploit が公開されている。
修正版はまだない。現時点における確実な回避方法は「QuickTime のアンインストール」だけである。Vulnerability Note VU#112179: Apple QuickTime RTSP Response message Reason-Phrase buffer overflow vulnerability (US-CERT) にはこの他にも複数の方法が記載されているが、いずれも確実なものではない。
QuickTime 7.4.1 登場、ようやく修正されました: About the security content of QuickTime 7.4.1 (Apple)。CVE-2008-0234
》 身元確認に「住基カード」お断りーー被害が集中するソフトバンクモバイル (情報紙「ストレイ・ドッグ」(山岡俊介取材メモ), 1/9)
》 自家製果実酒の提供「解禁」に 政府が酒税法改正へ (asahi.com, 1/10)。なんだ、この話、まだ改正されてなかったのか。
》 日本映画1位「それでもボクはやってない」 キネマ旬報 (asahi.com, 1/10)。監督賞と脚本賞も受賞しています。
》 BIND 9.4.2 と BIND 9.5.0b1 が出ています。
BIND 9.5 has a number of new features over BIND 9.4, including: - GSS-TSIG support (RFC 3645). - DHCID support. - Experimental http server and statistics support for named via xml. - Faster ACL processing. - Use of Doxygen to generate internal documention.
》 太陽が活動期入りか 携帯・ATMも障害の可能性 (asahi.com, 1/10)
》 国会図書館の蔵書をデジタル化、どこでも閲覧可能に (slashdot.jp, 1/8)
》 影響要員(agent of influence) (ESPIO, 1/8)
》 新刊「北朝鮮VS.アメリカ」(ちくま新書)の核心部分を大公開!!(その1) (原田武夫国際戦略情報研究所公式ブログ, 1/9)、 侮蔑 (ESPIO, 1/10)
》 田中森一氏に対する捜査の展開 (ESPIO, 1/10)、 あの田中森一氏を、未公開株詐欺容疑で当局が捜査中 (情報紙「ストレイ・ドッグ」(山岡俊介取材メモ), 1/10)、 田中森一オフィシャルサイト
》 [セキュリティ編]パスワードをプログラムに埋め込んではいけない (日経 IT Pro, 1/8)
》 ITエンジニアの「やってはいけない」[セキュリティ編]運用管理にtelnetを使ってはいけない (日経 IT Pro, 1/9)
》 記者の目:「海自・給油再開」法案成立の見通し=布施広 (毎日, 1/10)
》 携帯有害サイト、選別サービス強化…ソフトバンク (読売, 1/10)
》 ネットエージェントが年末年始の Winny / Share ノード数観測結果を発表
》 InterScan Messaging Security Suite 7.0 Linux版 Service Pack 1 公開のお知らせ (トレンドマイクロ, 1/9)。Red Hat Enterprise Linux ES [34]、SuSE Linux Enterprise Server 10 のサポートを追加だそうで。藤井さん情報ありがとうございます。
》 最強の呼び声高いブログ用対スパムプラグイン「Akismet」 (gigazine, 2007.01.27)、 PukiWikiにスパム対策プラグイン「Akismet」を導入する「akismet.inc.php」 (gigazine, 1/10)
》 著作権保護期間延長問題を考えるフォーラムの1周年記念パーティーを1月31日(木)に行います (音楽配信メモ, 1/10)。2008.01.31, 東京都渋谷区, 一般 4000円。
》 ウイルス対策ソフトの実力診断 第4回 製品選択のポイント:付加機能やサポートにも注目 (日経 IT Pro, 1/10)
》 MIAUで「ダビング10」をテーマにしたシンポジウムを1月16日に行います (音楽配信メモ, 1/10)。2008.01.16, 東京都世田谷区, 無料?
》 山谷剛史のマンスリー・チャイナネット事件簿 2007年12月 (Internet Watch, 1/10)
》 全日空、国産初のジェット30機導入へ 日航も前向きに検討 (中日, 1/10)。三菱 MRJ 話。トラブルつづきのボンバルディア DHC-8 のリプレースを検討中の模様。 まぁ、MRJ は MRJ で博打なわけですが。 MH2000 は今のところ残念な結果に終っているようですしねえ……
》 HPアドレス「.日本」もOK 09年にも各国語解禁 (asahi.com, 1/10)。「チャチャチャ.jp」や「死ね死ね.jp」「打倒.jp」はまだないみたい。「美しい国.jp」はある。
》 The Russian Business Network is on tenterhooks (McAfee blog, 1/9)。RBN に関する複数のドキュメントが公開されているそうで。
SSH Tectia 5.x に欠陥。ssh-signer に権限上昇を許す欠陥があり、local user が root 権限を奪取できる。SSH Tectia 4.x にこの欠陥はない。関連:
SSH Tectia 5.2.4 / 5.3.6 で修正されている。また、ssh-signer コマンドを削除することで回避できる。ただし、これを実行するとホストベースの認証ができなくなる。
》 韓国の病院内で記者のパソコン爆発 (TBS, 1/9)。LG電子製だそうです。 日テレの記事ではなぜかメーカ名が伏せられている。 映像内のノート PC の企業ロゴにモザイクがかかっているのは TBS も日テレも同じなので、配給元が消したのかな。 有賀さん情報ありがとうございます。
》 観測精度不足、衛星だいち 目的の地図更新は難航 (中日, 1/9)
》 草思社が民事再生法適用申請 負債総額22億5千万円 (asahi.com, 1/9)。なんと……
》 Master Boot Record rootkit (SANS ISC, 1/8)、From BootRoot to Trojan.Mebroot: A Rootkit in Your MBR! (Symantec blog, 1/8)
》 94% Proactive Detection (PandaResearch blog, 1/8) だそうです。
》 MSのストレージサービスをスパムが悪用 (ITmedia, 1/9)、Microsoft's SkyDrive beta abused by spammers. (McAfee blog, 1/8)
》 F-Secure Health Check (F-Secure blog, 1/8)。手元の Windows XP SP2 / IE 7 / Flash Player 9.0.115.0 ではうまく動かなかった……うーむ。
》 28 supported platforms and counting… But how? (F-Secure Linux blog, 1/8)。55 分見つづけるのはつらいので、プレゼン資料だけどこかにないのかなあ。
》 ダウンロード違法化の動き 2007年12月24日-2008年1月8日 (1) (日本違法サイト協会 ブログ, 1/8)
》 HP、自社製PCのエネルギー消費量低減を約束 2010年までに全PCラインで消費量を25%低減へ (computerworld, 1/9)
》 防災格差 〜検証 命のセーフティネット〜(仮) (NHK スペシャル, 1/17 放送予定)
》 見過ごされる認知症 〜医療は何が出来るのか〜(仮) (NHK スペシャル, 1/20 放送予定)
》 スーダン軍の一部が国連車両を攻撃 (国連情報誌SUNブログ対応版, 1/9)
》 「底辺の10億人(bottom billion)」対策強化へ:事務総長 (国連情報誌SUNブログ対応版, 1/8)
》 Mass exploits with SQL Injection (SANS ISC, 1/9)
》 住商情報システム、評価される企業側の視点でつくったIT全般統制対応テンプレート (Open Tech Press, 1/8)
》 2008年1月10日 佐藤優・安田好弘弁護士・『インパクション』編集長による会合 (私にも話させて, 1/7)。佐藤優氏を批判すると週刊新潮が騒ぐ?
実際、『週刊新潮』は、佐藤を激怒させたという人物を攻撃することを、私のケース(2007年12月6日号)、『AERA』記者のケース(2007年5月17日号。この記者の『AERA』の記事は佐藤への単なる提灯記事だが)と、既に2回行なっているのだから、自社からベストセラーを刊行している佐藤を擁護したい『週刊新潮』と、批判を潰したい佐藤が、合作で原田氏攻撃をやっていると推測することは、さして不自然でもあるまい。
関連:
》 記者の目:新年に思う 見捨てられる「多重困難家庭」=野沢和弘(夕刊編集部) (毎日, 1/9)
高級ホテルやブランド店が続々オープンしている都心を見ていると不思議な気がしてくる。この国の底辺層で信じられないことが起きているのをどれだけの人が知っているだろうか。
》 ハンドボール再戦混迷 選手困惑、露出・人気は急上昇 (asahi.com, 1/9)。あからさまにひどいジャッジだからなあ。
関連: ハンド問題:IHFの管理下で予選実施へ…日本協会明かす (毎日, 1/9)
》 集団騒動の受刑者1人を書類送検 傷害などの容疑 徳島 (asahi.com, 1/9)。で、変態行為をした医務課長はどうなったの?
》 NHKラジオで10分以上番組中断,録音番組の送出機の故障が原因か (日経 IT Pro, 1/9)。珍しい。
》 パレード中止、山車を緊急点検 東京ディズニーランド (asahi.com, 1/9)
》 1 月のワンポイントセキュリティ (正月バージョン) (日本のセキュリティチームの Blog, 1/9)
》 Microsoft Update の日にあわせて、Windows Vista 用のセキュリティではない修正プログラムが複数 Microsoft Update から入手できるようになったようですね
やっぱ、ふつうの人は Vista SP1 を待った方がよさげな気がするなあ。
》 見落としがちなぜい弱性(Webアプリケーション編) その2 (日経 IT Pro, 1/9)
》 ウイルス対策ソフトの実力診断 第3回 パフォーマンステスト:Excelのベンチマークで大きな差 (日経 IT Pro, 1/9)。これ、パフォーマンスがよければいいってわけでは必ずしもないよなあ、きっと。
》 どうする?2008年のウイルス対策 (日経 IT Pro, 1/9)。 銀の弾丸はない。
》 【Watcherが展望する2008年】Windows,2008年の展望 (日経 IT Pro, 1/9)
BDE (BitLockerドライブ暗号化) が真価を発揮するのは,実はサーバーの方ではないだろうか。例えば,支店や営業所では,サーバーの設置に専用のマシン・ルームを用意できないことが多い。結果として盗難リスクが高まる。しかし,バックアップ・データを格納したパーティションを暗号化しておけば,データは保護できる。サーバー管理者のパスワードは複雑なものが設定されている可能性が高いので,不正なログオンが成功する可能性も低い。
》 ネットカフェ難民:都が支援 無利子で最大60万円 (毎日, 1/9)
》 電子投票の国政選挙適用に関する継続審議 (武田圭史, 1/9)。興味深い。
》 新風舎問題で一部同名の出版社が風評被害に見舞われる (JANJAN, 1/9)。「新風書房」は新風舎とは関係ありません。
福山社長は「(中略) マスメディアの力を利用し、編集者不在で本を作りあげる無謀なやり方でマーケットを席巻した結果がこの有様です。こつこつと著者と向き合い良書を造ってきた自費出版編集者は多いのです。それに対して新風舎の暴挙によるマーケットへの信頼性失墜は計り知れないものがあります。今回の事件を対岸の火とせず、教訓として捕らえ、なお一層、編集力を発揮し良書作りに専念します」
》 Trend Micro Network VirusWall Enforcer 2500 2.0 Patch 3 (ビルド 3031) 公開のお知らせ (トレンドマイクロ, 1/9)
》 己を知り、敵を知る——Nmapで見つめ直す自分の姿 (@IT, 1/8)
》 犯罪者にGPS内蔵の「電子腕輪」装着の義務化、適用広げる動き (やじうまWatch, 1/8)。韓国の話。
》 職場PCの私的利用、日本人の危機意識は世界平均より高い〜BSA調査 (Internet Watch, 1/8)
》 「Yahoo! JAPAN IDは、売らない、買わない」IDの不正売買対策を本格化 (Internet Watch, 1/8)
》 海の向こうの“セキュリティ” 第16回:中国の「悪性Webサイト」に関する研究 ほか (Internet Watch, 1/9)。「2007年の傾向と2008年の予想」「Webアプリのセキュリティを扱うコミュニティ (OWASP の紹介)」「中国の「悪性Webサイト」に関する研究」 の 3 題。
》 山谷剛史のマンスリー・チャイナネット事件簿 年始特別編:2008年の中国インターネットを予測する (Internet Watch, 1/9)
》 Webからの脅威とウイルス被害の分散化が顕著に、トレンドマイクロ調査 (Internet Watch, 1/8)、 「ウイルスは“少量多種化”が進行」,トレンドマイクロが報告 (日経 IT Pro, 1/8)、 ウイルス感染被害レポート - 2007年度(最終版) (トレンドマイクロ)
Windows Sidebar Protection update for Windows Vista (Microsoft KB941411) によると、これを適用することで、Windows サイドバーには次の 4 つの機能が追加されるそうです。
今月は 2 件です。
緊急: 1
Windows kernel における TCP/IP 実装に 2 つの欠陥。
IGMPv3 や MLDv2 における Source Specific Multicast タイマーの処理に buffer overflow する欠陥があり、攻略 IGMPv3 / MLDv2 パケットによって remote から任意のコードを実行できる。CVE-2007-0069
対象: Windows XP / Server 2003 / Vista
IGMP および MLD の処理を無効に設定することで回避できる (デフォルト: 有効)。また境界ファイアウォールなどで IGMP および MLD パケットをブロックすることでも回避できる。Windows ファイアウォールにはその機能はないが、Vista ファイアウォールではブロックできる。
フラグメントされた ICMP ルーター広告 (Router Advertisement) メッセージの処理において欠陥があり、攻略 ICMP パケットによって remote から DoS 攻撃 (kernel crash に伴う再起動) を実行できる。 CVE-2007-0066
対象: Windows 2000 / XP / Server 2003
ICMP Router Discovery Protocol を無効に設定することで回避できる (デフォルト: 無効。ただし Windows XP / Server 2003 では、DHCP 利用時に有効になる場合がある)。
関連: Microsoft Windows TCP/IP でのリモート コード実行および DoSの複数 (3 つ) の脆弱性 (ISSKK)
重要: 1
対象: Windows 2000 / XP / Server 2003
LSASS に権限上昇を許す欠陥があり、local user が管理者権限を取得できる。CVE-2007-5352
修正プログラムがあるので適用すればよい。
関連: 2008年1月のセキュリティリリース予定 (日本のセキュリティチームの Blog, 2008.01.04)
》 スターン・レビュー「気候変動の経済学」の日本語版作成について(お知らせ) (国立環境研究所, 2007.02.16)。概要版。
報告書本文については、4月末を目途に翻訳を終了し、概要版と同様に公表する予定です。
予定は未定、邦訳版本文は今に至るまでどこにもないっぽい。関連: スターン・レビュー 気候変動と経済 (駐日英国大使館)。かつては sternreview.jp というドメインが存在したっぽいが、もうない。
》 3幼児死亡事故の判決要旨 福岡地裁 (北海道新聞, 1/8)、 3児死亡事故、被告に懲役7年6カ月 危険運転適用せず (asahi.com, 1/8)
》 大臣認定構造計算プログラムの試行利用の開始について (国土交通省, 1/8)。今だに「仮認定」だの「試行利用」だのという段階だそうで。 関連: 開発に国交省が関与へ 構造計算ソフト改定作業に遅れ (asahi.com, 1/8)
》 耐火・防火建材:40社が不適切製品…国交省「許し難い」 (毎日, 1/8)。関連:
》 記者の目:国も企業も沈黙続ける食品廃棄=小島正美 (毎日, 1/8)。 タイトルだけ読んで「コンビニの話?」と思ったら、そうじゃなかった。
》 真夜中の給油法案「再議決」とは (保坂展人のどこどこ日記, 1/8)。海自ガソリンスタンド再開話。 1/11 深夜に「再議決」が行われるらしい。 関連: 給油新法案 与党、12日再可決へ 民主、参院で採決見送り (中日, 1/8)
》 Linux Security 7.00 Beta 3 (F-Secure linux blog, 1/8)
》 Office 2003 SP3 をインストールすると読み書きできなくなるファイルがある話
対象:
必要な場合は、Information about certain file types that are blocked after you install Office 2003 Service Pack 3 (Microsoft KB938810) にあるレジストリファイルを使ってたいていの機能を回復できるけど、Lotus 1-2-3 や Quattro のファイルについてはどうやってもだめみたい。
関連: マイクロソフト、「Office 2003」のセキュリティアドバイザリの誤りを認める (CNET, 1/8)。「セキュリティアドバイザリ」と言うと違うものを指すので、CNET は「サポート技術情報」 などと正しい用語を使いましょう。(CNET 記事の英語版がそもそも変なのだけど、翻訳時に直すべき)
》 新春初仕事、「年金記録問題」解決への具体性に関する質問主意書 (保坂展人のどこどこ日記, 1/7)
》 ディザスタ・リカバリの迷路を解く 複雑な状況の中、自社にとってのベスト・プランにたどり着くためには (computerworld, 1/8)
》 ウイルス対策ソフトの実力診断 第2回 ウイルス検出テスト:独自サンプルの検出率に違い (ITmedia, 1/8)
》 ブラウザ:IE7が多数派に、IE6と逆転 世界シェア (Open Tech Press, 1/7)。自動更新とともに IE7 への移行が進んでいるのかな……
》 本年の当協会の活動について (日本違法サイト協会 ブログ, 1/7)
》 【日豪】豪メディア、日本人有志が作成した豪州批判のビデオ「白豪主義…」を紹介。豪で大反響…日豪の緊張を警戒 (痛いニュース, 1/8)
》 「TCP/IPに係る既知の脆弱性に関する調査報告書 改訂第3版」の公表について (IPA, 1/8)
今回の改訂第3版では、各脆弱性項目ごとにIPv6(Internet Protocol Version 6)環境における影響を追記したほか、改訂第2版以降の状況を反映するなど、内容を拡充しました。また、その他の項目として「パケットへの応答によって OSの種類が特定できる問題」を追加しました。
》 ついに初登場、iPhoneを狙ったトロイの木馬が出現 (ITmedia, 1/8)、First Sightings of Malicious iPhone Package (Symantec blog, 1/7)
》 NapsterもDRMフリー化、MP3で楽曲販売へ (ITmedia, 1/7)、デジタル音楽:コピー制限なしで販売へ ソニーBMG (Open Tech Press, 1/8)。やっぱり時代は DRM フリーだと思うのですが。 少なくとも音楽については。
》 「おサイフケータイ」、お引っ越しはどうやって? (BNC ランキング, 1/7)
》 韓国軍がハッキングの被害、発信源は中国のもよう (technobahn, 1/7)
》 韓国の多目的観測衛星「アリラン1」が通信途絶、人為的ミスの可能性 (technobahn, 1/7)。ありゃりゃん。
》 米国政府の民間旅客機用対ミサイル防衛構想、英BAE社が受注 (technobahn, 1/7)。technobahn の文章は少し変。携帯式地対空防衛システム (MANPADS; Man-portable air-defense systems) に対抗するために、赤外線誘導式 (熱源追尾型) ミサイルのシーカヘッドをソフトキルするレーザー装置 JETEYE を旅客機に装備するのだそうです。 関連:
レーザーによるミサイル防衛は、なつかしの SDI 計画 (レーガン政権時代のアレ) のころから話題になっていたわけですが、いよいよ各方面で実用段階に来ているようで。
》 危機的状況にある日本企業のセキュリティ対策を後押ししたい (日経 IT Pro, 1/8)。Microsoft のとりくみ。
》 高等教育機関における情報倫理教育/一般 (教育システム情報学会関西支部)。 2008.01.12、大阪府大阪市、無料。
》 Webメール狙うサイド・ジャッキング (日経 IT Pro, 1/7)
Exploiting WDM Audio Drivers.(updated) (reversemode.com, 2007.12.20)。概要
CVE-2007-6351。libexif 0.6.16 (最新) 以前に、無限ループに陥る欠陥があるという話。 RHSA-2007:1165-4、 RHSA-2007:1166-3 では直ってる。
CVE-2007-6352。libexif 0.6.16 (最新) 以前に integer overflow する欠陥があるという話。 RHSA-2007:1166-3 では直ってる。
CVE-2007-6514。 Linux 上で動作する Apache において、 Windows 上の共有フォルダを smbfs を使ってマウントした場所を Apache で公開している場合に、 http://linuxbox/winshare/info.php\ のようにアクセスすると、 PHP ファイルが処理されずに表示されてしまうという話。 少なくとも Apache 2.2.6 でこうなるそうだ。 また PHP だけでなく、hoge.cgi\ とか page.rb\ とかでもそうなる模様。
CVE-2007-6285。 RHEL 4 / 5 用の autofs 5 パッケージにおいて、-hosts マップのデフォルト設定で nodev オプションが指定されていなかったという話。 RHSA-2007:1177-4 RHSA-2007:1176-7 で修正されている。
似た話: CVE-2007-5964。-host マップのデフォルト設定で nosuid オプションが指定されていなかったという話。
PostgreSQL 全バージョンに複数の欠陥。
式インデックス (expression index) にまつわる権限上昇の欠陥 CVE-2007-6600
正規表現ライブラリにまつわる DoS 攻撃を受ける欠陥 CVE-2007-4772 CVE-2007-6067 CVE-2007-4769
DBLink 関数にまつわる権限上昇の欠陥 CVE-2007-660。 これは CVE-2007-3278 と同じ問題なのだけれど、CVE-2007-3278 の修正が完全ではなかった模様。
PostgreSQL 8.2.6, 8.1.11, 8.0.15, 7.4.19, 7.3.21 で修正されている。 7.3 系列は 7.3.21 で終了だそうだ。 また 8.0 / 8.1 系列の Windows 版バイナリパッケージの提供も 8.0.15 / 8.1.11 で終了だそうだ。他のプラットホームやソースでの 8.0 / 8.1 系列の提供は維持されるそうで。
FreeBSD ports も更新されてます: Adobe Acroread 8登場,PostgreSQLセキュリティ更新,PostgreSQL向け全文検索機能ludia追加,libgpodで新iPod Classic/Nano Video対応,Linux Flash 7/9更新 (FreeBSD Daily Topics, 2008.01.08)
関連: PostgreSQLに危険なセキュリティ・ホール,管理者はバージョンアップを (日経 IT Pro, 2008.01.08)
FreeBSD ports で Flash Player 7r73 と Flash Player 9.0r115 が用意された: Adobe Acroread 8登場,PostgreSQLセキュリティ更新,PostgreSQL向け全文検索機能ludia追加,libgpodで新iPod Classic/Nano Video対応,Linux Flash 7/9更新 (FreeBSD Daily Topics, 2008.01.08)
[FFRRA-20080107] ジャストシステム基本クラスライブラリにおけるバッファオーバーフロー脆弱性 (フォティーンフォティ技術研究所) が公開されている。
細工された文書ファイル(jtdファイルなど)を開くことで、あるいは、細工された文書ファイルが置かれたwebサイトをInternet ExplorerやFirefox等のwebブラウザで閲覧することで、文書ファイル中に記述された任意のコードを実行させる事ができます。
影響範囲は jtd ファイルにとどまらない模様。昨日書いた「jtd ファイルの処理において buffer overflow するため」という文章は、 JVN#08237857 複数のジャストシステム製品におけるバッファオーバーフローの脆弱性 (JVN) の
複数のジャストシステム製品には、細工された jtd ファイルを処理する際にバッファオーバーフローの脆弱性が存在します。
を根拠にしたのだが、どうやら間違っているようなので修正した。
》 著者とのトラブルが報告される大手自費出版業者の新風社が倒産手続 (gigazine, 1/7)。関連:
》 原田武夫氏『北朝鮮vs.アメリカ』で佐藤優氏らを徹底批判 (ESPIO, 1/7)
》 平成19年度科学放送 高柳記念賞 受賞アンコール放送 赤ちゃん 成長の不思議な道のり (NHK スペシャル, 1/21 再放送予定)
》 シリーズ 最強ウイルス (NHK スペシャル)。リアルウイルスです。
その一方で、タミフル、10代の使用制限継続 影響なお不明 厚労省 (asahi.com, 2007.12.25) とか言ってるしなあ。
》 ウイルスバスター2008の驚くべき仕様。 (まどたち, 1/7)。失敗は許されないのですか。
削除についてはウイルスバスター2008の再インストールが必要となります。
そんな馬鹿な……。Process Monitor を使えば、どこに記録されているのかわかりそうな気がしますが……。
》 MySpace, Excite, and Blick Serve Up Malicious Banner Ads (trendmicro blog, 1/6)。クリックすると bot をインストールしてくれるバナー広告ですか。
》 謹賀新年 ウイルス対策の最前線からご挨拶 (トレンドマイクロ セキュリティ blog, 1/7)
の記事があったので購入。「メディア・スクラム」という用語を狂乱取材の意味で使うのは誤用なのだそうだ。関連:
》 お天気カメラが核爆発の瞬間を捉えて生放送 (gigazine, 1/7)。お天気カメラを物理ハックしてニセ映像を生放送させた話。
》 新たな近接無線転送技術「TransferJet」を開発 〜かざすだけで大容量データを高速転送(560Mbps)〜 (ソニー, 1/7)。「かざす」というインターフェイスが意外にむつかしいのは Suica で実証済のような気がするのだが……。
放射電磁界を用いた従来の無線アンテナではなく、誘導電界を用いた「カプラ」を新規開発しました。近距離では高い利得を得ながら、離れると急激に減衰する特徴を持ち、他の無線との干渉を防ぐことができます。また偏波を持たないため、機器同士の角度を意識しないで接触させても利得を落とさずに通信が可能です。 (中略)
通信距離 3cm以内を想定
》 Tools for the Home User (SANS ISC, 1/6)。関連: SOHO向けルーターのセキュリティーを強化するPacketProtector (Open Tech Press, 2007.12.27)。WL-500g については国内でも流通していた時期があるようで: ASUSから無線LANルータをはじめネットワーク機器大量デビュー! (kakaku.com, 2005.02.03)
》 Linux-PAMの原稿を書いてみた (だめだめ日記, 1/6)
今回は、各モジュールをソースコードレベルで調査したので、それなりに網羅的な内容になってるのではないかと思います。
もとのぶ先生品質は「ふつうソース」「ふつうパケットモニタ」なんだよね。
》 ノートPCのハイバネーションとウイルス対策ソフトウェア (だめだめ日記, 1/6)。どこの会社の製品だろう。OS 側のドライバとかとも関係する話だろうけどなあ。
》 中国・ロシアのハッカー最新事情 (日経 IT Pro, 1/7)
》 ウイルス対策ソフトの実力診断 第1回 主要5社とフリー3製品の検出率,パフォーマンスを徹底検証 (日経 IT Pro, 1/7)
》 コードをセキュアにするたった一つの作法 (葉っぱ日記, 1/7)。SF 属性を持つ場合は「コードをセキュアにするたったひとつの冴えたやりかた」というタイトルになっていただろうなあ。
》 謎の米軍施設『HAARP』、公文書が認めるその能力は (WIRED VISION, 1/7)。興味深いですねえ。
》 「Winnyユーザは1年で3倍」の謎 (slashdot.j, 1/6)。なぜいまさらこんな記事を朝刊 1 面で出したのかさっぱりわからない、ファイル交換ソフト:ウィニー利用、3倍 ウイルス遭遇は44%−−1年前と比較 (毎日, 1/6) の件なのだが、村上情報技術っていったい……? (slashdot.j, 1/6) が興味深い。
関連:
》 Xbox LIVE、ゲーム1本分を無料ダウンロード提供 (ITmedia, 1/5)。 新規加入者数および同時利用者数が過去最高となったために、 Xbox LIVE Holiday Performance (Xbox Live's Major Nelson、 1/3) がとっても悪かったそうで、おわびにゲーム1本無料にするのだそうで。benjamin さん情報ありがとうございます。
》 SanDisk、自動オンラインバックアップ機能付きUSBメモリ (ITmedia, 1/5)。その自動オンラインバックアップ機能とやらはセキュアなんですかね。
》 ソニー、PSPにSkype機能を搭載へ (ITmedia, 1/7)
》 オークション詐欺が激減 一方でID売買横行も (ITmedia, 1/7)。2 年で 90% 減ですか。すごいなあ。 逆に見ると、2 年前までがいかにユルユルだったか、ということなのでしょうが。
ネットオークション(競売)を利用した詐欺を防ぐため、出品者の本人確認が厳格化される中、闇サイトでは、正常に登録を済ませて発行を受けたID(会員番号)の売買が横行し始めた。
》 グリーンIT元年 IT業界に大きな波 (Enterprise Watch, 1/7)
》 “ネットカフェ難民”が流行語にもなった2007年、業界団体会長に聞く (Internet Watch, 2007.12.27)
加藤氏:フィルタリングや本人確認、深夜の年齢制限などの問題は、会員制をとっていれば、ほとんど解決する問題なんです。(中略) JCCAとしては現在、会員制は努力義務としていますが、会員制をとるということを柱にしてもう一度、協会のやり方を変えていくということになると思います。
ジャストシステム製品共通ライブラリ jsfc.dll に欠陥。jtd ファイル jtd ファイルなどの文書ファイルの処理において buffer overflow するため、攻略 jtd ファイル文書ファイルを使って任意のコードを実行できる。
影響を被るソフトウェアは、JSGCI.DLL のときと同様、多岐にわたる。
修正プログラムまたは更新版が公開されているので、適用すればよい。
JS共通セキュリティ更新モジュール。 JSGCI.DLL のときの更新プログラムも含まれている。
下記のファイルのタイムスタンプが記載日時以降であれば、導入いただく必要はありません。
\Program Files\JustSystems\jslib32\jsfc.dll
2007/12/22 12:00
なんとも不確かな内容が書かれているが、手元の一太郎 2005 にインストールしてみたところ、jsfc.dll は次のものに更新された。
フォティーンフォティ技術研究所の鵜飼さんによる発見だそうだ。 ジャストシステム製品共通のバッファオーバーフロー脆弱性 (ジャストシステム) には「2007年12月19日、当社製品の多くが共通して使用しているライブラリファイルに脆弱性が確認されました」とあるので、[FFRUA-20071216] 文書作成ソフトウエアの脆弱性 (フォティーンフォティ技術研究所) がそれだろうか。
関連:
特に、ウェブブラウザでの閲覧の場合、ウェブブラウザの種類によっては、ダウンロード後に開く等の操作を行わなくても、悪意あるURLにアクセスするだけで被害を受けてしまう可能性があります。
[FFRRA-20080107] ジャストシステム基本クラスライブラリにおけるバッファオーバーフロー脆弱性 (フォティーンフォティ技術研究所) が公開されている。
細工された文書ファイル(jtdファイルなど)を開くことで、あるいは、細工された文書ファイルが置かれたwebサイトをInternet ExplorerやFirefox等のwebブラウザで閲覧することで、文書ファイル中に記述された任意のコードを実行させる事ができます。
影響範囲は jtd ファイルにとどまらない模様。昨日書いた「jtd ファイルの処理において buffer overflow するため」という文章は、 JVN#08237857 複数のジャストシステム製品におけるバッファオーバーフローの脆弱性 (JVN) の
複数のジャストシステム製品には、細工された jtd ファイルを処理する際にバッファオーバーフローの脆弱性が存在します。
を根拠にしたのだが、どうやら間違っているようなので修正した。
2008.01.08, 2008.01.15 に改訂されている。
Shuriken 2007/Pro4、ConceptSearch、ExpandFinder に同梱されている JS文書ビューアプラグインにも欠陥があり、 JS文書ビューアプラグインの確認とダウンロード が必要。Shuriken を同梱している製品 (MiningAssistant、TRUSTIA など) も同様の扱いとなる。
ConceptSearch と ExpandFinder には、 JS共通セキュリティ更新モジュール と JS文書ビューアプラグインの確認とダウンロード の両方が必要
Netnote にも欠陥があり、 対応モジュールを準備中。
Netnote の対応モジュールが用意された。
ハッキングでハイジャック時代到来?
》 ファイル交換ソフト:ウィニー利用、3倍 ウイルス遭遇は44%−−1年前と比較 (毎日, 1/6)。毎日はなぜいまさらこんな記事を朝刊 1 面で出すのだろう。
》 違法かどうか明確でなくてもサイト開設者に閲覧制限措置を義務付け(罰則付)? (slashdot.jp, 1/4)。一次情報としてはここみたい: 子どもたちを守る法改正に向けて インターネットホットラインセンターを視察 (民主党, 2007.12.19)
現場視察後の質疑応答では、人員増員等の体制強化の必要性とともに、技術開発が急務であることを共通認識として確認。有害サイトの削除については、サイト開設者に作為義務があるか否かの判断が難しいことにも言及、プロバイダは基本的にはセンターの削除依頼に対して応じるものの、稀に応じない場合もあり、直接の発信者でないが故の対応の難しさも指摘した。民主党としては有害サイトから子どもたちをどう守るか、学校裏サイトや援助交際サイト等から子どもたちを守るために法改正を行う方針を表明。センター、警察庁ともに賛同の意を示した。
視察後の会見で松井ネクスト内閣府担当相は、視察の主旨と実態を報告。高井美穂衆議院議員は、「児童が安全で安心してインターネットを利用できる環境整備に関する法律」として、2006年提出の「電気通信事業法の一部を改正する法律案(携帯電話有害サイト接続制限法案)」をさらにブラッシュアップした法案を検討中、来年の通常国会において提出する意向を明らかにした。内容については、電気通信事業者に対する有害サイト等を規制するフィルタリングサービスの促進に加えて、携帯電話やパソコンの有害サイトから子どもたちを守る観点から作成する方針であることを強調した。
「電気通信事業法の一部を改正する法律案(携帯電話有害サイト接続制限法案)」については、青少年の健全育成にむけ 携帯電話有害サイト接続制限法案提出 (民主党, 2006.12.14) を参照。
松井ネクスト内閣府担当相は与党でも同主旨の法案が作成中であるとの意見に対して 「内閣法では時間がかかる」として、子どもたちを救済する意味においても緊急性が求められると主張、民主党としての議員立法作成の必要性を述べた。
というわけで、民主党だけじゃないので注意。
あと、厭な意味での国際協調…かも?(Re:こうなる悪寒(1)) (slashdot.jp, 1/4) を参照。「サイバー万里の長城」がそこらじゅうにできる予感?! knox さん情報ありがとうございます。
関連:
》 「BS世界のドキュメンタリー」1年以上も泥が噴出し続ける東ジャワの異常事態 (samsul.com, 2007.06.10)。こんな話があったのか。 この番組、1/21 に再放送されるそうです: <シリーズ 地球は訴える> 東ジャワ 突然の泥(どろ)噴出 (NHK)。 シドアルジョの泥噴出事故 (ウィキペディア) を見る限りでは、現在も拡大中の模様。 国際救助隊はどこに。
》 空港内位置システム導入へ 誤進入防止、羽田、成田に (中日, 1/6)
》 厚生年金:給与記録改ざんが発覚 社保事務所の関与も (毎日, 1/6)。「標準報酬月額」が偽造されていたケースが複数発覚。
》 永田町の情報戦と「直観」「予感」の価値について (保坂展人のどこどこ日記, 1/6)
》 New resource for Reverse Engineering (SANS ISC, 1/5)
》 Hackers hit THSRC system as online ticket buying opens (taipeitimes.com, 1/6)。Taiwan High Speed Rail Co (THSRC) のオンラインチケットシステムに DoS 攻撃があったそうで。
》 室内プールの天井ボード、広範囲に落下…愛知・豊田市 (読売, 1/6)
》 偽造住基カードで口座など不正取得、悪用50件に上る (読売, 1/6)
捜査関係者は「運転免許証に比べ、住基カードは保護シートが薄く、はがして偽造しやすい」と弱点を指摘する。総務省は、対策として、偽造カードを見分けるパソコンソフトを開発し、全国の金融機関に配布することなどを検討している。
関連: 携帯電話詐欺:偽造住基カード使い詐取・転売の2人逮捕 (毎日, 1/6)
》 大統領選結果をめぐり暴動:ケニア (国連情報誌SUNブログ対応版, 1/3)
》 Recent Symantec and IBM vulnerabilities, giblets, banned APIs and the SDL (The Security Development Lifecycle, 1/4)
》 情報流出:防衛省通信網のHD 委託先のNTTコム、派遣社員が盗む (毎日, 1/4)
男は数日後、HD1台(5000円相当)を盗んだとして、警視庁捜査3課などに窃盗容疑で逮捕された。(中略) 男は「自分用のHDが欲しかった。データは消去した」と供述。昨年9月に東京地裁で懲役1年4月の実刑が言い渡され確定した。
5000 円で懲役1年4月実刑ですか。割に合いませんなあ。
》 御手洗経団連はまず反省を (JANJAN, 1/4)
》 2007−08年の課題:スリランカ内戦が激化 (JANJAN, 1/4)
XOOPS 2.0.18 で修正されているそうです。
Qt 4.3.0〜4.3.2 の QSslSocket に SSL の証明書認証に関する欠陥があるそうで。 Qt 4.3.3 で修正されているそうです。patch もあります。 CVE-2007-5965
PHP 4.4.8 で修正された 5 つの欠陥の話。
http://securityvulns.com/ で報告されたセキュリティ欠陥のうち、英語での報告がなされていないものに関するダイジェスト。WordPress の XSS ねたなど。
Month of Bugs in Captchas というプロジェクトが 2007.11 に開催されたそうで、その結果のダイジェスト。 報告された 75 個の欠陥のうち、修正されたものは 5 つだけだそうで。
XSS Vulnerabilities in Common Shockwave Flash Files (Rich Cannings)。asfunction: プロトコルの話の詳細。
[Full-disclosure] AST-2008-001: Crash from transfer using BYE with Also header。 Asterisk 1.4.17 で修正されている。
[SA28293] Plone LiveSearch Module News Item Script Insertion 。Plone 3.0.4 で修正されている。
CVE-2007-6654。Macrovision InstallShield Update Service Web Agent 5.1.100.47363 の isusweb.dll の ActiveX コントロールに buffer overflow する欠陥があり、攻略 Web サイトにアクセスすると任意のコードを実行される模様。 PoC あり。
CVE-2007-6598。dovecot < 1.0.10 において LDAP+auth cache を利用しており、かつ %variables 形式の設定を行っている場合に、同じパスワードを持つ他のユーザが存在すると、そのユーザとして login できてしまう。 dovecot 1.0.10 で修正されている。
CVE-2008-0090。DivX Player 6.6.0 の npUpload.dll の ActiveX コントロールに欠陥があり、DoS 攻撃を実施できる。PoC あり。
》 Hupigon and On and On (F-Secure blog, 1/2)。中華系のマルウェア作成ツールのようで。
》 Nintendo Wii Hacked (trendmicro blog, 1/3)
》 認知操作—『心理諜報戦』(野田敬生著、ちくま新書) (ESPIO, 1/4)
》 ワーキング・プア III を見て、「雇用保険改革」元年へ (保坂展人のどこどこ日記, 1/3)
この2年間、私は個人加盟の労働組合や、「反貧困」を掲げるグループの集会などで必ず「雇用保険改革」について言及してきた。「雇用のセーフティーネット」であるはずの雇用保険が機能せずに、失業=無収入状態になってしまうのが半ば「常識」化しているが、たった3ヶ月て雇用保険の受給額がゼロになる国は「社会保障」を整備しているヨーロッパ各国では、ありえないことだ。
》 スパモニ放送 (冤罪事件進行中(高知の白バイとスクールバスの事故), 1/4)。 1/4 のスーパーモーニングで、 高知 「白バイ事件」の闇 (JANJAN, 1/1) の話が放映されていました。 ブレーキ痕に関する実証実験を見ても、ケーサツによる冤罪の可能性が極めて高いとしか思えないなあ。 関連: 柴田秀樹
》 リタリン詐取未遂で女逮捕 神奈川県警、歯科医師も関与か (中日, 1/4)。『偽の処方せんを使い薬局から依存性の強い向精神薬「リタリン」をだまし取ろうとした』疑いだそうで。
》 テロ警戒でパリ・ダカ全面中止 79年以来初めて (asahi.com, 1/4)。モーリタニアがやばい模様。
》 首相の内閣改造見送り表明 逆転国会、守り優先 (asahi.com, 1/5)。なんだ結局やらないのか。
》 ウルトラセブンに登場の「ピラミッド」、さようなら (asahi.com, 1/4)。「ウルトラセブン」第 29 話「ひとりぼっちの地球人」において「京南大学」校舎として描かれた、学習院大学の「中央教室」がとりこわしになるという話。関連:
「ひとりぼっちの地球人」は、地球人に才能を理解されないが故に他星人に協力してしまう、しかし最後にはやはり地球人として戦い死んでしまう男を描いています。 この作品を見た後で、「帰ってきたウルトラマン」第 33 話「怪獣使いと少年」を見ると、「ひとりぼっちの地球人」のキレイゴトさ加減がよくわかる……かもしれません。
少なくとも RealPlayer 11 に未修正の欠陥が存在する模様。 発見者の immunitysec.com は PoC コードも作成し、顧客に公開している模様。 [Dailydave] 0day RealPlayer exploit demo
patch はまだない。SANS ISC は uc8010.com へのアクセスを拒否するよう推奨している。 参照: Realplayer Vulnerability (SANS ISC, 2008.01.04)
今月は 2 件です。
緊急: 1
Windows kernel における TCP/IP 実装に 2 つの欠陥。
IGMPv3 や MLDv2 における Source Specific Multicast タイマーの処理に buffer overflow する欠陥があり、攻略 IGMPv3 / MLDv2 パケットによって remote から任意のコードを実行できる。CVE-2007-0069
対象: Windows XP / Server 2003 / Vista
IGMP および MLD の処理を無効に設定することで回避できる (デフォルト: 有効)。また境界ファイアウォールなどで IGMP および MLD パケットをブロックすることでも回避できる。Windows ファイアウォールにはその機能はないが、Vista ファイアウォールではブロックできる。
フラグメントされた ICMP ルーター広告 (Router Advertisement) メッセージの処理において欠陥があり、攻略 ICMP パケットによって remote から DoS 攻撃 (kernel crash に伴う再起動) を実行できる。 CVE-2007-0066
対象: Windows 2000 / XP / Server 2003
ICMP Router Discovery Protocol を無効に設定することで回避できる (デフォルト: 無効。ただし Windows XP / Server 2003 では、DHCP 利用時に有効になる場合がある)。
関連: Microsoft Windows TCP/IP でのリモート コード実行および DoSの複数 (3 つ) の脆弱性 (ISSKK)
重要: 1
対象: Windows 2000 / XP / Server 2003
LSASS に権限上昇を許す欠陥があり、local user が管理者権限を取得できる。CVE-2007-5352
修正プログラムがあるので適用すればよい。
関連: 2008年1月のセキュリティリリース予定 (日本のセキュリティチームの Blog, 2008.01.04)
Bulletin 公開にあわせて全面的に書きなおし。
MS08-001 関連:
WindowsのTCP/IP脆弱性、実証Flashムービーが公開 (ITmedia, 2008.01.31)。MS08-001 話。
関連: 米マイクロソフトのセキュリティ情報「MS08-001」に対処する難しさ (日経 IT Pro, 2008.02.06) (元記事)
》 昨年の交通事故死者数、54年ぶりに5千人台に (asahi.com, 1/2)
》 福田総理の「年金記録問題」に捧げる即効薬とは (保坂展人のどこどこ日記, 1/2)
》 なぜ続くアフガン紛争(1) 好戦的4民族が棲み分け (JANJAN, 1/2)
》 [DNSOP] AAAA records to be added for root servers。 2008.02.04、root サーバについに AAAA アドレスが付加される予定だそうです。
》 中国側も「偽物」見解 対日批判の根拠「田中上奏文」 (中日, 1/1)
》 NGO連合、米国の人権擁護政策を厳しく批判(全訳記事) (JANJAN, 2007.12.31)
》 高知 「白バイ事件」の闇 (JANJAN, 1/1)
H18年3月3日、高知県春野町の国道で、高知県警の白バイと仁淀川町のスクールバスの衝突事故があり、白バイ隊員(当時26歳)が亡くなりました。事故後、スクールバスの運転手片岡晴彦さん(53歳)は免許を取り消され、11月に業務上過失致死罪で起訴され、H19年6月に禁固1年4ヶ月の判決が高知地裁で下されました。傍聴していた人の中から、「高知は日本か?」の声が上がったといいます。
片岡さん運転のスクールバスは止まっていたのです。そこに時速100kmは出していただろうと思われる白バイが突っ込んできたのです。100kmのスピードについては、証拠はありませんが、複数の目撃証言があります。白バイは追跡中ではなかったので、明らかにスピード違反なのです。片岡さんは、有罪判決に対し、また、「1m以上のバスのブレーキ痕」が残っていたとされたことに納得がいかず、控訴しました。
(中略)
現在、片岡さんは最高裁に上告していますが、高知地裁、高松高裁の思いもよらぬ判決に衝撃を受けており、日本国の司法に正義はないと思い始めています。ただ、H20年2月9日に息子さんの結婚式があり、それに出席したいので、その前には刑務所に入りたくないというのが、現在のささやかな希望となっています。
支援者の1人は、私にこう言って苦笑いしました。「最高裁で有罪なら、今度は、『日本は日本か?』 ということになりますが……」
(中略)
事故処理には30人もの警官が出てきたといいます。「異様な光景でした」と目撃者は言います。ちょっと多すぎやしませんか。何のために30人もいるのですか。これだけ多ければ、だれかが「ブレーキ痕」を描くくらいのことができたと勘ぐりたくもなります。そして、親切そうに報道関係者を集めて「ブレーキ痕」の写真を撮らせることもできたと勘ぐりたくもなります。県警の危機管理の初動体制はさすがでした。しかし、如何せん、描かれた「ブレーキ痕」が下手くそ過ぎました。
白バイ事故は、事故直後から「白バイ事件」に変質していたのです。事情通に言わせれば、現在、高知県警本部長は、退職後にいい天下り先を紹介してもらうためには、もうこれ以上の不祥事は許されない状況なのだそうです。世間を騒がせた捜査費問題の失点が大きいのだそうです。
今、右折するためにスクールバスを停めていただけの片岡晴彦さんに、刑事裁判として禁固1年4ヶ月、民事裁判として1億5千万円がのしかかろうとしています。車を運転する人は、誰しも停車することがあるのですから、くれぐれも白バイには注意してください。
》 「米国大学(院)学位商法」の危険性−NHK女性経営委員の「客員教授」とは? (JANJAN, 1/1)
12月25日に報道された、NHK次期会長の選出に異議を唱えたという経営委員、菅原明子氏は「公人」である。 だから、同氏が自身のホームページなどで明記している「マハリシ国際大学社会心理学科客員教授」という肩書きについて、その実態(何をどうやって、どのように教授をしているのか)を質問しないわけにはいかない。
》 第13回まっちゃ139勉強会 のパワポをこのへんに上げておきました。
》 あけましておめでとうございます。 結局今年もリニューアルできてません。
ClamAV 0.92 (最新版) に 3 つの欠陥がある、という指摘。
一時ファイルの作成において競合状態が発生。 CVE-2007-6595
BASE64 形式の UUENCODE ファイル (GNU sharutils などが対応、uuencode -m ) をうまく扱えないため、既知のマルウェアを通過させてしまう。 CVE-2007-6596
sigtool における utf16-decode 時のファイルの扱いがセキュアでない。 CVE-2007-6337
なんだかそういうものが流行っているようです。山口さん情報ありがとうございます。
アクセスしてしまった場合の様子: http://www.geocities.jp/hdd_matome/
IE 6 SP2 / IE 7 の場合、「拡張子ではなく、内容によってファイルを開く」を無効に設定すると、拡張子偽装については回避できます。 しかし IE コンポーネントを使用するブラウザの場合、この設定が効かない場合があるようです。Sleipnir の場合は 2.5.14 で対応されているそうです。リリースノート
ブラウザクラッシャー自体は JavaScript を無効にしないと回避できない模様。 あるいは Firefox や Opera など IE ではないブラウザを使用する。
関連: 画像ファイルに偽装した,HDDをフォーマットしようとするトロイの木馬がネットで話題に (日経 IT Pro, 2007.12.31)