Last modified: Mon Apr 7 11:26:30 2014 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 Mac OSに感染する「ボット」出現、FreeBSDやLinuxも標的に (日経 IT Pro, 2/29)
》 ホワイトリストでより安全なPCを、インテルが安全性強化の方向性を説明 (日経 IT Pro, 2/29)。時代はホワイト。
》 パチンコビルに「融資」された道路特定財源15億円のデタラメ (保坂展人のどこどこ日記, 2/29)。万松寺ビル……って、大須じゃん! いつのまにこんなのできたんだ。
》 いよいよ本日21時よりコピーフリーの地デジチューナー「フリーオ」が再販 (gigazine, 2/29) だそうです。
》 20万人が国内避難:中央アフリカ共和国 (国連情報誌SUNブログ対応版, 2/29)
》 防衛省を「庁」降格 社民が法案を検討 (JANJAN, 2/29)。わはは。
》 窮地の国土交通省(8)GS藤沢の建替え決議 無能な関係法規 (JANJAN, 2/29)。 改正建築基準法はいりませんというイベントも開かれるそうです。 2008.04.01、東京都文京区、一般2,000円。
》 産経記者「記憶なし」連発 養護学校の性教育裁判 (JANJAN, 2/28)
》 VistaSP1対応のウイルスバスター2008がリリースされています (まっちゃだいふくの日記, 2/29)
》 試しにニコニコ動画に作品をアップしてみた件について (栗原潔のテクノロジー時評Ver2, 2/24)。興味深い。
》 「制作」と「製作」について (栗原潔のテクノロジー時評Ver2, 2/29)。やぁ、それは「あるある」のことですね。
》 三浦和義逮捕と属地主義/属人主義について (栗原潔のテクノロジー時評Ver2, 2/24)。知財の場合の話。
ということで、今の著作権制度(その意味では特許制度もそうですが)は、フラット化する世界にまだ全然対応できていないということの一例であります。
》 Yahoo!ビデオキャストとJASRACとの契約について (栗原潔のテクノロジー時評Ver2, 2/26)
えー、ガイドラインに記載がないので専門家(一応)として聞いているのですが。要するに全然やる気ないということですね。
終了。
》 【速報】グロービートジャパン(ラーメン花月)・平和神軍事件で判決! (悪徳商法?マニアックス ココログ支店, 2/29)、 【祝】【無罪判決】グロービート・ジャパン(らあめん花月)/平和神軍観察会事件判決速報 (弁護士山口貴士大いに語る, 2/29)。無罪おめでとうございます。
(特別の違法性阻却事由)
◎インターネットの個人利用者としての調査義務を尽くしていたことなどを評価し、名誉毀損罪の成立を否定した。
⇒ 評価できる。大手マスメディアと個人では調査義務が違うことを明らかにした。
興味深いですね……。
》 米軍施設『HAARP』は「敵国全体を機能不全にする」兵器? (WIRED VISION, 2/28)。チョー兵器ですか。トシちゃん 25 歳。
》 新華社通信が異例の謝罪、ネットの指摘により掲載写真の捏造が判明 (technobahn, 2/27)。「中国の自然保護活動のシンボルの一つともなっていた」写真が実は捏造。
》 PSPが爆発炎上して少年がヤケドをした事故の真相が明らかに (gigazine, 2/28)
PSPが突如爆発炎上した原因を調査したところ、PSPを充電していた充電器が原因である可能性が出てきたそうです。
問題となっている充電器は少年がPSPに付属していた充電器を無くしたために後から購入したもので、その充電器を使って充電した結果、バッテリーが過充電となってしまい、爆発に至った可能性が高いとしています。
3rd party 製充電器で過充電→爆発ですか……。 3rd party 製バッテリともども怖いなあ。
》 DS用液晶でカルテルの疑い 公取委、シャープと日立子会社に立ち入り検査 (ITmedia, 2/28)、小型液晶カルテルの疑い 公取委、2社に立ち入り (asahi.com, 2/28)
》 秋田名物「きりたんぽ」をモチーフにしたマスコットが発売中止へ (gigazine, 2/28)。あらら……。さすがに直接的すぎましたかねえ。 商品コード的には「もっこり」が限度ですか。
》 AKB48のとんでもない企画、独占禁止法違反の疑いで中止へ (gigazine, 2/29)。CD 44 枚ですらありえねぇのに……。
》 第十一回セキュそば勉強会。 2008.03.08〜09、長野県上田市、200円程度 (会場代)。
警察庁が、実際に open proxy を設置してみて観測した結果の報告。
open proxy 関連: 悪質な「公開プロキシー」に注意、パスワードなどを盗まれる恐れあり (日経 IT Pro, 2008.02.27)
トレンドマイクロ OfficeScan = ウイルスバスターコーポレートエディション話。
[SA29151] Trend Micro OfficeScan 8.0 Policy Server Denial of Service
OfficeScan Corporate Edition 8.0 patch 2 以前の PolicyServer.exe に欠陥があり、 cgiABLogon.exe 経由で長大な pwd パラメータを使った攻略 HTTP リクエストを送られると PolicyServer.exe で stack buffer overflow が発生、サービスが停止する (数秒後に自動的に再起動される)。 ただし Trend Micro Policy Server for Cisco NAC がインストールされていることが条件。
他にも、一部の CGI モジュールにおいて、Content-Length ヘッダがない状態で CGI パラメータに誤った文字シーケンスを入力すると、ゾンビプロセスが無限に増殖する現象が発生するという。
[SA29124] Trend Micro OfficeScan CGI Module and Policy Server Buffer Overflows
OfficeScan Corporate Edition 7.3 patch 3 以前に 2 つの欠陥。
長大な TMLogonEncrypted パラメータを使った攻略 HTTP リクエストを送られると cgiChkMasterPwd.exe で stack buffer overflow が発生、任意のコードを実行できる。
cgiABLogon.exe 経由で長大な pwd パラメータを使った攻略 HTTP リクエストを送られると PolicyServer.exe で stack buffer overflow が発生、任意のコードを実行できる。 ただし Trend Micro Policy Server for Cisco NAC がインストールされていることが条件。
他にも、一部の CGI モジュールにおいて、Content-Length ヘッダがない状態で CGI パラメータに誤った文字シーケンスを入力すると、ゾンビプロセスが無限に増殖する現象が発生するという。
いずれも patch はまだない。
オフィシャル情報出ました:
対象となるのは:
patch はやっぱりない。「ISUR_コンピュータ名」アカウントから cgiChkMasterPwd.exe へのアクセス権を削除する「緩和策」が紹介されています。
》 事故当日、イージス艦「あたご」に降り立った3機のヘリの謎 (保坂展人のどこどこ日記, 2/28)。自衛隊の隠蔽体質ここに極まれり、という感じ。関連:
》 Black Hat DC 2008 Media Archives (てっしーの丸出し, 2/28)
》 米Dell:温暖化防止のNGO「Climate Group」に参加 (Open Tech Press, 2/28)
》 OpanIDファウンデーション・ジャパン設立へ (Open Tech Press, 2/28)
》 タミフル耐性ウイルス検出、児童ら5人 (TBS, 2/28)。日本でも存在が確認されました。
》 VMware,仮想化システム向けセキュリティ技術「VMsafe」を発表,20社から対応製品 (日経 IT Pro, 2/28) が登場する予定、という話 (正式製品はまだどこにもないよ)。関連:
》 日本HP:14万人分の顧客情報流出 (毎日, 2/28)。まる見え系。
》 アレルギー物質:エビとカニ新たに追加 厚労省 (毎日, 2/28)
》 赤福 3月3日から132店で営業再開へ (産経MSN, 2/28)。再開店舗は店舗情報でご確認を。京都駅でも買えるようです。
》 「ブラックバスを放つ会」というブラック・ジョーク (保坂展人のどこどこ日記, 2/27)。警察・検察は間違いを犯しても謝罪しない。
》 コピーフリーの地デジチューナー「フリーオ」、再び販売されることが決定 (gigazine, 2/27)。忘れたころにやってくるなあ。
》 2007年の音楽配信売上は754億円、前年比41%増〜日本レコード協会調べ (Internet Watch, 2/22)
》 発生は時間の問題、「21世紀のペスト」 (日経 BP, 2/21)。「H5N1型ウイルス襲来」「新型インフルエンザH5N1」の書評。 Jubilee さん情報ありがとうございます。
》 Orkut Scraps Propagating Malicious Code (Symantec blog, 2/26)
》 Rootkits in China Part 2 (McAfee blog, 2/26)
》 情報処理技術者試験センターのウェブサイトにおけるぜい弱性について (JIPDEC, 2/26)。詳細不明。
》 When TrendMicro OfficeScan is installed on a Windows Server 2003-based computer, event ID 2020 occurs, and the computer may stop responding, or the computer may respond slowly (Microsoft KB947475)。トレンドマイクロ側での対応が必要になるそうで。 Kernel mode memory usage of the Client/Server Security Agent is very high (Trendmicro ID 1036648)
》 “フィルタリング原則化”の“一般化”を懸念する声も〜総務省の検討会 (Internet Watch, 2/27)。「インターネット上の違法・有害情報への対応に関する検討会」第4回会合の話。
コスト負担のあり方に関しても、携帯キャリアだからこそフィルタリングが可能だが、これが一般のプロバイダーでは不可能だとして、報告書がひとり歩きすることで、プロバイダーのビジネスモデルに大きな影響を与える可能性も指摘した。「検討会の名称に『インターネット上の』と付いているが、中間報告書を出す時は『携帯電話オンリー』にしてもらいたい」(山口氏)。
》 EFF, ACLU Move to Intervene in Wikileaks Case (EFF, 2/26)
》 中国の漢水で河川汚染が深刻化、化学物質で河川が赤く濁り市民生活が困難に (technobahn, 2/27)、「飲めない」「使えない」…赤く濁る川の水—湖北 (サーチナ / Yahoo, 2/26)。♪真っ赤だなー、真っ赤だなー。これはシャレにならないっす。
》 放送記念日特集 新動画時代・メディアが変わる(仮) (NHK スペシャル, 3/21 放送予定)
》 多くの失敗を経験しながら改善を進めてきた---マイクロソフトが自社のセキュリティ対策を披露 (日経 IT Pro, 2/26)
》 悪質な「公開プロキシー」に注意、パスワードなどを盗まれる恐れあり (日経 IT Pro, 2/27)。そりゃあ取れるわな……。
》 IT Security Award 2008 受賞者発表 (日本のセキュリティチーム, 2/27)
》 クレジットカードの磁気ストライプをハックするプログラムがリリース (ITmedia, 2/22)。 Black Hat DC Briefings 2008 ねただそうです。
》 AWStats の既知の脆弱性を狙った攻撃について (JPCERT/CC REPORT 2008-02-27)。こんな古いネタがいまだに通用しちゃうんですかねえ。
》 東京ド真ん中、中核病院でも産婦人科が消える (JANJAN, 2/27)。 なんと、東京都世田谷区の関東中央病院ですら 4/1 から産婦人科分娩が不能に。
政府の少子化対策というかけ声は、いったい何だったのか。産婦人科医の不足問題は、日本社会の福祉政策の根幹に関わる大問題だ。直接的には、「聖域無き財政再建」路線によって医療関係費に対する締め付けのツケが回ってきたと言える。それにしても、日本社会は、子も安心して生めぬ国になりつつあるということだ。そんな国家に未来があるはずはない。政府は緊急に、この問題に対処しなければダメだ。
》 「スピリチュアル番組は害悪?」というアンケート・朝日新聞が実施 (JANJAN, 2/27)
》 アフリカ、南アジア、気候変動で飢饉の可能性も(全訳記事) (JANJAN, 2/26)
》 あなたの個人情報、Wikiに書かれていませんか? 匿名による嫌がらせの場となっているウィキペディア (ohmynews, 2/26)
》 New: ShellRunas v1.0 Updates: Autoruns v9.13, Process Explorer v11.10, Sigcheck v1.52 (Sysinternals Site Discussion, 2/26)
》 「Windows Live Mail」アカウント取得時のCAPTCHAを大量処理 (日経 IT Pro, 2/27)
》 三洋、リコール対策済の洗濯乾燥機で発火事故。15万台の再修理へ (家電 Watch, 2/27)
》 フィブリノゲン:投与患者3700人分情報も所持…製造元 (毎日, 2/27)
》 【続報】信金中央金庫のシステムが回復、原因は送信ソフトの不具合 (日経 IT Pro, 2/26)
》 深刻な損傷なしと再確認 柏崎刈羽でIAEA報告書 (東京新聞, 2/27)
》 年金記録回復、「領収書なし」の救済拡大 (読売, 2/27)
》 迷惑メール、広告主に懲役刑や罰金を新設…特商法改正案 (読売, 2/27)。総務省の「特定電子メール送信適正化法」ではなく、経産省の「特定商取引法」の話。
》 米フロリダ州 大規模停電、信号ストップ 原発緊急停止 300万人影響 (東京新聞, 2/27)、フロリダ州で大規模停電 変電所火災などが原因 (CNN, 2/27)。変電所で火災→電力系統に異常→原発とガス発電所が緊急停止→停電。
》 警察官や被告ら23人が結核集団感染 大阪・豊中南署 (asahi.com, 2/26)
Interstage Application Server: シングル・サインオン機能におけるバッファオーバーフロー脆弱性 (2008年2月25日) (富士通)。patch はまだない。回避方法が記載されている。
CUPS 方面
Release Notes - 0.8.7b (cacti.net)。 CACTI 0.8.7b では複数のセキュリティ欠陥が修正されている。
Symantec Scan Engine 5.1.4.24 以前などに 2 つの DoS 攻撃を受ける欠陥。 ……と Symantec は説明しているのだが、iDefense は内 1 つは任意のコードを実行できる、としている。
修正版が用意されているので更新すればよい。
VLC media player 0.8.6d 以前に欠陥。MPEG-4 (MP4) ファイルの扱いに欠陥があり、攻略 MPEG-4 ファイルによって任意のコードを実行できる。 CVE-2008-0984
VLC media player 0.8.6e で修正されているが、Windows など用のバイナリファイルはまだ用意されていないようだ。また、0.8.6d 用の patch が用意されている。
Thunderbird 2.0.0.12 登場。5 種類の欠陥が修正されている。内 1 つは「最高」ランクの MFSA2008-12 - 外部 MIME ボディ内のヒープバッファオーバーフロー (mozilla-japan.org)。 関連: Mozilla Thunderbird MIME External-Body Heap Overflow Vulnerability (iDefense)、CVE-2008-0304
'Cold boot' - Guidance for users (SANS ISC, 2008.02.26)
》 Windows Mobile trojan sends unauthorized information and leaves device vulnerable (McAfee blog, 2/26)
》 Virus Tricks of the Old School (Symantec blog, 2/25)。 W32.Joydotto の話。
》 Running on AIR (Symantec blog, 2/25)、Adobe AIR is out. Let's talk about security. (SANS ISC, 2/25)、 AIR Security (State of Security, 2/26)
》 マリファナはアルコールより安全で、危険度はカフェインと同程度? (gigazine, 2/20)。 BGM: タイマーズのテーマ。
》 Wikipedia、イスラム教徒18万人からのムハンマド画像削除依頼を猛烈拒絶中 (gigazine, 2/22)
》 魔法瓶が壊れたので「タイガー魔法瓶」に修理依頼をしてみたよレポート (gigazine, 2/23)
》 知人への名誉毀損罪でウイルス作成者を追起訴 京都地検 (asahi.com, 2/26)。原田ウイルス話。
》 鳥インフルで女性死亡 ベトナム、51人目 (asahi.com, 2/26)
》 KDDIやGoogleなど6社、日米間光海底ケーブルの共同建設に合意 (Internet Watch, 2/26)。Google、海底ケーブルに投資しますか……。
》 ルポ 貧困大国アメリカ (岩波新書) が話題になっているようで。 ステータスは「重版中」。
》 中国政府、ポルノと暴力「自主規制」を国内サイトに要求 (ITmedia, 2/25)
》 Office 2008 for Macのアップデート、3月11日にリリースへ (ITmedia, 2/23)。それはつまり、3 月の Windows Update の日ですな。
》 Googleを脆弱性スキャナに。ハッカー集団が新ツール (ITmedia, 2/22)。cDc 発。
》 監視カメラに自分の顔を映らせないヘッドバンド (WIRED VISION, 2/25)
》 仮想化セキュリティのセミナーをやります (高橋晶子のセキュリティ漂流記, 2/26)。2008.03.06、オンライン、無料。
》 HD DVD終息の今、やっぱり見直すべき 小寺信良氏に聞く「ダビング10って、何が問題なんですか?」 (ascii.jp, 2/23)
》 [WSJ] YouTubeの世界的障害、原因はパキスタンの検閲 (ITmedia, 2/26)、 YouTubeがダウン--原因はパキスタンでのアクセス遮断か (CNET, 2/25)。やってくれますね、パキスタン。
関連: YouTube IP Hijacking (NANOG archive)
》 温室効果ガス:オフィス、学校にも削減目標 推進法改正案 (毎日, 2/26)。そうら来ましたよ……。
》 レノボ、超薄型で重さ1.33kgからの13.3型ワイドノート「ThinkPad X300」 (マイコミジャーナル, 2/26)
従来のThinkPad Xシリーズから消費電力を低減することで同社ノートパソコン初のEPEAT Goldを付与されたほか、Energy Star 4.0に準拠するなど環境面での配慮も行われている。
EPEAT (Electronic Product Environmental Assessment Tool) には Bronze, Silver, Gold の 3 つの Criteria があるようで。
》 「パスワードは90日ごとの変更」が義務づけられる!? (日経 IT Pro, 2/25)。PCI DSS というものがあるそうで。 記事では「PCIDSS」となっているが、オリジナルサイトでは PCI DSS と書いている。
ぐぐるといろいろ出てくる。
ISMSはあくまでも自己責任を前提にセキュリティを向上させるために、組織をあげて継続的にリスクマネジメントを行うことをコミットしているのですが、それでは認証を受けているところが高度なセキュリティ環境を維持できているという証にはなりません。(中略) ISMSは自己責任を基本としている一方で、「PCIDSS」は契約上の要求事項と定義されているため、非常に強制力のある形でセキュリティ強化に取り組んでいかなければなりません。この考え方は、クレジットカード会社だけに限らず、一般企業にも十二分に通用するものです。というか……。PCI DSS はまさに「Standard」であり、ポリシーやプロシージャや PDCA サイクルを回す仕組みではないというだけの話なのでは。まともに ISMS をやっている組織なら自前でポリシーやスタンダードやプロシージャをつくっていると思いますけど、PCI DSS は「カード業界標準スタンダード」というだけの話ですよね。
で、話題になるのはこういう理由だそうで。うひゃあ。
米国でPCIDSSが盛り上がるのには理由がある。PCIDSSはもともと民間企業が策定した情報セキュリティ基準なのだが,マサチューセッツ州,ミネソタ州,カリフォルニア州など州法レベルでの法制化が始まっており,半ば強制に近い形で基準を満たす必要に迫られているからだ。
それらの州法が施行されると,米国のカード発行会社やカード加盟店がクレジットカードにかかわる個人情報を漏洩した場合,PCIDSSの基準を満たしていることを1カ月以内に証明できなければ損害賠償のペナルティを課せられることになる。
さらにこういう話が続くのだが……
やっかいだと思われるのは,サーバーの運用をデータセンターにアウトソースしているケースである。(中略)
要件6.2を満たすには,セキュリティ診断サービスを受ける必要がある。だが,そのサービスを受けることでデータセンターから苦情が来るようでは,話が進まない。
PCI DSS 1.1 を読んでみた限りでは、脆弱性スキャンの実施は要件6.2ではなく要件11.2のように思いますが……。要件6.2は脆弱性情報の入手とそれへの対応であって、脆弱性スキャンそれ自身とは関係がないような気が (14:45 に日経 IT Pro 記事が修正された)。 要件11.5 には、週 1 回は file integrity check もやってねとも書いてありますね。
しかしそもそも、PCI DSS を満たさなければならないような組織が、自身で状況を確認すらできないようなデータセンターにアウトソースしていていいのか? という問題があるのでは。
また,賛同を得られたところであっても「共有サーバーに対する疑似攻撃には腰が引けるところが多い」(セキュリティ診断ツール「HACKER SAFE」を販売する三和コムテック 営業部 営業企画部長 斎藤晴美氏)という。
これも、PCI DSS を満たさなければならないような組織が共有サーバーでいいのか? という問題があるのでは。
全セキュリティ・パッチを1カ月で適用,それがPCIDSS対応の難しさだ (日経 IT Pro, 2/18) にはこういう話が出てくる。
— データセンターで運用しているサーバーの場合,ミドルウエアより下のレイヤーをユーザーがいじることはできない。PCIDSS対策でServerShieldを入れたくても入れられないユーザーもいるのではないか。
その通りだ。特に(データセンターがサーバー資産を保有する)ホスティングの場合,ユーザーだけでPCIDSSの認定を取得するのは難しいだろう。データセンターがServerShieldを導入するなどして,その分をオプションなどの形で価格に転嫁しユーザーに提供するといった工夫が必要かもしれない。ただ,自分が見聞きした範囲では,これまでそういう例はまだないが。
》 マイクロソフト、「Vista SP1」を一部の一般ユーザーに誤って早期に配布 (CNET, 2/25)。64bit 版を使っていた人が Windows Update 経由で SP1 を取得できたそうで。
》 Vista SP1適用で一部サードパーティ・アプリが「不安定」に Vista用更新プログラム「KB937287」は配布中止。Microsoftには苦情殺到 (computerworld, 2/25)
さらにSilver氏は、現在のVistaに対する批判的論調について、「過熱しすぎている」と指摘する。これほど騒がれる理由はないというのが同氏の見方だ。「Vistaはリリースされてから多くの問題が見つかっているが、Win2000やXPも当初は同様だった。こんなふうに問題が出てくるのは、新しいOSでは当然だ」(同氏)
とは言っても、Vista gold は度を越していると思いますが。 Vista SP1 でようやく仕切り直しだと思います。
》 CanSecWest 2008 (高橋晶子のセキュリティ漂流記, 2/26)。高橋さんによるレポートが期待できそうです。
》 [お知らせ] 岩国市長選挙報告・年金大シンポジウム (保坂展人のどこどこ日記, 2/25)。徳島刑務所「変態医師」関連。
問題発言を続けている鳩山法務大臣に明日の午後、法務委員会で質問をする。志布志事件「冤罪」発言について、また徳島刑務所で起きている「異常診療」について、法務大臣としての見解を問うつもりだ。
》 セキュリティ関係の番組 (yohgaki's blog, 2/26)
》 マスター・ブート・レコード(MBR)を狙うルートキットが再び活発に (日経 IT Pro, 2/26)
》 SOAセキュリティが急速に立ち上がっている (日経 IT Pro, 2/26)。ということにしたいのですね、CA さん。
》 英国政府の児童データベース構想に、専門家がセキュリティ強化を勧告 政府は「第三者がシステム稼働前に設計・実装の見直しを行う」と回答 (computerworld, 2/25)
公開を中止せざるを得ないほどの問題だそうで……。
マイクロソフト株式会社は2月25日、MSDNおよびTechNet会員向けに公開されているWindows Server 2008日本語版のダウンロード公開を一時中止すると発表した。 (中略) Windows Server 2008の日本語拡張文字セットが原因でデータ損失の問題が発生すると説明。同社では、フィックス版が配布されるまで、Windows Server 2008日本語版でActive Directoryを構成しないように注意をうながしている。
》 ネームサーバ診断 (e-ontap.com)。ryukoku.ac.jp を試すと 1 つだけ NG になるものがありますが、NCA5 のものだからなぁ……。
》 やじうまマスクWatch 今年の花粉はこのマスクで乗り切れ! 〜売れ筋マスク50製品試しました (家電 Watch, 2/25)。いろいろありますね。
》 「RH−の血液足りない」チェーンメールに振り回される善意 (JANJAN, 2/24)
関連:
日本赤十字社では、24時間体制で全国の医療機関に輸血用血液の供給を行っております。血液型別・種類別の過不足などが生じた場合においても、全国の日本赤十字社の血液センター間で血液の需給調整を行っており、その必要量を可及的速やかに供給する体制を整えております。
輸血用血液の供給については、以上のような体制を整えておりますので、ご安心ください。
また、現在、全国どの地域においても、B型Rhマイナスの輸血用血液は不足しておりません。
》 第3回神戸情報セキュリティ勉強会「セキュメロ」のご案内 (CMUj)。2008.03.15、兵庫県神戸市、無料。
》 オフィシャルパターンファイル4.995.00に起因する問題の情報公開におけるご報告とお詫び (トレンドマイクロ, 2/22)。パターンファイルのテストプロセスに関する言及は一切ありませんね。テストプロセスを見直すつもりは全くないようです。
》 「不当啓発撲滅キャンペーン」の実施について (日本違法サイト協会 ブログ, 2/24)、 不当啓発撲滅キャンペーン (日本違法サイト協会)
》 あきれた世論誘導の戦略を語る道路官僚の奢り (保坂展人のどこどこ日記, 2/24)
全般
すでに政府は、45億円をかけて人に感染した鳥インフルエンザウイルス(H5N1タイプ)から1000万人分のプレパンデミックワクチンを作り、昨年3月以降、原液の状態で備蓄している。
しかし、厚生労働省によれば、そのワクチンもあと2年ほどで効き目がなくなるという。しかも、原液をアンプル(小容器)に小分けするだけで最低2カ月を要し、投与して人体に免疫ができるまでには、さらに1カ月が必要だ。「新型」発生後の投与では遅すぎるとの専門家の指摘もあるほどだ。
そこで提案したい。「新型」はいつ発生してもおかしくないのだから、プレパンデミックワクチンを現時点で打ち始めることを検討すべきではないか。専門家の間ではすでに議論されているし、スイスやフィンランドではその準備を進めている。「新型」の発生を待つまでもないだろう。
In one of the pivotal trials, the vaccine, which utilizes the antigen from the H5N1 Vietnam strain, demonstrated a 4-fold increase in serum neutralizing antibodies in 77.1%, 75% and 85% of subjects against three distinct H5N1 strain variants, Indonesia, Anhui and Turkey respectivelyAnhui は中国安徽省か。
中国・ 広西チワン族自治区 (Guangxi) (ベトナムのとなり)
》 Blackboard特許 (Okumura's Blog, 2/24)
》 ダイヤモンド社vsJASRACの名誉毀損訴訟、地裁判決 (SLAPP WATCH, 2/19)
》 サンプロ・コメント訴訟、和解で決着 (SLAPP WATCH, 2/24)
》 オリコン訴訟結審、判決は4月22日午後1時 (SLAPP WATCH, 2/24)
》 三浦和義氏逮捕の報道をうけて (SLAPP WATCH, 2/24)
》 恫喝訴訟の対策 攻撃は最大の防御 (ohmynews, 2/6)
》 「【図解】エルマークと適法マーク」の改変版公開について (日本違法サイト協会 ブログ, 2/23)
VMware Workstation 5.5 / 6.0、VMware Player 1.x / 2.x、VMware ACE 1.x / 2.x に欠陥。これらの Windows 版が使用している共有フォルダ機構に欠陥があり、ゲスト OS からホスト OS の全てのファイルシステムを読み書きできてしまう。 Linux 版にはこの欠陥はない。また VMware Server や VMware ESX Server にも欠陥はない。 CVE-2007-1744
共有フォルダを無効に設定することで回避できる。
》 [資料] 衆議院本会議、道路特定財源のQ&A (保坂展人のどこどこ日記, 2/23)
》 トルコ軍 1 万人がイラクに越境攻撃。1 万人って……。事実上の軍事占領ではないのか。
軍事作戦の自制を求めてきたイラクのジバリ外相は、イラク政府は今回の作戦を承知していないと述べた。
ユネスコは現在世界で話されている言語約6,700の約半分が消滅の危機に瀕しており、平均して2週間に1つずつ消滅していると警告した。
》 「業務確認テスト、高負荷テストを再実施する」、東証がシステム障害で再発防止策発表 (日経 IT Pro, 2/22)
》 脆弱性スキャナで実現する恒常的なセキュリティ管理 (@IT, 2/21)。スキャナーに生きがいはない。
》 暗号化USBドライブからDebian GNU/Linuxを起動させるセットアップ法 (Open Tech Press, 2/21)
》 「言語や文化の違いに合わせてローカライズしたマルウエアが増加」,McAfeeの調査 (日経 IT Pro, 2/22)。デカルチャー。
》 事業継続計画(BCP)策定企業、最近8カ月で20%から28%に増加 「必要ない」とする企業は22.8%から9.9%へと激減 (computerworld, 2/22)
》 あいかわらずチェーンメールが流行りますか。 安易に電話する馬鹿が混乱を助長するんだよなあ。
この件に関しまして、「本当にこういう患者さんがいらっしゃるのか?」というお問い合わせを多数頂いておりますが、このことについては法に則りお答えできません。
》 VistaのSP1対応パッチでトラブル発生 (元麻布春男の週刊PCホットライン, 2/22)。 937287 まつりの話。 メモリリークという話もあるのですか。
回復コンソールから「C:\Windows\winsxs」フォルダにあるxmlファイルをリネームするだけで解決するという人もいるのだが、問題が生じているすべてのユーザーに有効とは限らないようだ(ちなみに筆者のシステムでWindowsからこのフォルダを参照すると、あまりにも多くのフォルダがあるせいか、エクスプローラーが確実に落ちる)。
そこで落ちてはいかんだろ…… > Microsoft
》 グーグル、クウェートでGmailのデータ流出と発表--原因はISPの問題か (CNET, 2/21)
Googleの広報担当であるJason Freidenfelds氏によると、クウェート国内のあるISPにはサーバのキャッシュ機能に問題があり、GmailユーザーやeBayアカウントに影響を与えているという。
》 市役所が停電、混乱 「マイストーブ」が原因か 奈良 (asahi.com, 2/21)
奈良市役所で今月18日、停電でコンピューター端末が停止し、窓口業務が混乱した問題があり、職員による電気ストーブの大量使用が原因だった可能性のあることが市の調査で分かった。庁舎内暖房は温暖化防止策で低く設定されており、「寒くて仕事にならない」と多くの職員が足元に“マイ電気ストーブ”を持ち込んでいた。
絵に描いたような「本末転倒」ですな。
》 えっ サバから14倍のジクロルボス!? 残留農薬報道は冷静に (JANJAN, 2/22)
》 社員みんなで会社を買った 〜地方発EBOの挑戦〜(仮) (NHK スペシャル, 3/10 放送予定)
》 イランとイスラエルに関し、信用を失くした安保理(全訳記事) (JANJAN, 2/22)、パレスチナ:世界にとって、ガザはただのバラエティ番組か (JANJAN, 2/22)
》 日本と同根 「オバマ旋風」支える米社会の深刻な貧困 (JANJAN, 2/22)
》 NHK職員狙い報復の疑い 闇サイトで知り合った男女 (中日, 2/23)
》 JT:冷凍食品の中国企業生産委託を廃止…ギョーザ事件で (毎日, 2/23)。自社グループ工場のみへ。
》 第12回 セキュリティもみじ セミナー。 2008.03.01、広島県広島市、一般2500円。はまもとさん情報ありがとうございます。
個人的には、「ダイ・ハード 4.0」はブルース・ウィリスの動きのキレのなさにがっくりしてしまった……。ハッカーのにいちゃんはいい味出してたと思うけど。
関連:
》 The Release of Sage 3 - The Globalization of Malware (McAfee blog, 2/21)、マルウェアのローカル化が進行中 (マカフィー, 2/21)。Sage のダウンロードはこちら。
》 クラスター爆弾:日本「政治宣言」に署名…英独仏伊も (毎日, 2/22)
》 アフガニスタン:カナダ、11年までに撤兵 欧州に影響も (毎日, 2/22)。さようなら。
》 米国:食肉会社が過去最大の牛肉回収「へたり牛」疑惑で (毎日, 2/18)。伊能さん情報ありがとうございます。
》 戦争のリアル Disputationes PAX JAPONICA (エンターブレイン)。PAX JAPONICA 第2弾のようなのだけど、岡部いさく氏との共著になっているのはどういうことなのか……。
》 Botnet Bust in Canada (McAfee blog, 2/21)
》 官公庁サイトのアクセシビリティ調査、最低ランクに文化庁など (Internet Watch, 2/21)。文化庁ですから。
》 「あなたの名前が容疑者リストに!」——ウイルスサイトに誘う新手口 (日経 IT Pro, 2/22)。ウイルス屋さんのすることは、なんだかだんだんギャグになってきているような気が。
》 物理の教科書にもあら探しが必要? (Okumura's Blog, 2/22)、高校情報教科書あら探し (情報教育Wiki)
》 イージス艦あたごと漁船の衝突事故と防衛省の体質 (保坂展人のどこどこ日記, 2/22)
》 日本HP、データセンター施設の省電力化を推進する製品群を発表 直流電源/水冷ラック/空調制御で電力コストや発熱量を削減 (computerworld, 2/21)
》 Gates氏がスタンフォード大で講演——「中国のネット検閲は失敗に終わる」 (computerworld, 2/21)
》 電話を使ったフィッシング詐欺「ビッシング」が再び出現 (日経 IT Pro, 2/22)
》 「まさか自分は被害に遭わないだろう」が日本のネットユーザーの意識に? シマンテックの8カ国調査で、セキュリティ自衛策の甘さ指摘 (Internet Watch, 2/21)
》 Windows Server 2008の検疫システム「NAP」を見る【第一回】 NAPとは何か? (Enterprise Watch, 2/22)
》 はてなブックマークの運用を開始しました。 (日本違法サイト協会 ブログ, 2/21)。illegal-siteのブックマーク
》 現在 (17:10) srv.perf.overture.com の 80/tcp へ接続できないようで、srv.perf.overture.com を使っている web ページで不具合が発生しているそうです。yukito さん情報ありがとうございます。 メンテナンス・障害情報 (overture) には何もありませんね……。
》 マイクロソフトが製品のAPIなどを公開、相互運用性強化に向け方針を変更 (Internet Watch, 2/22)。まずはめでたい。
》 「あたご」レーダー記録保存せず…海保、当直員から事情聴取 (読売, 2/21)、 イージス艦事故、航海記録装置備えず 自衛艦は義務なし 原因究明に影響も (中日, 2/21)。Voyage Data Recorder (VDR) (Wikipedia) ですか。
》 海自、インド洋で4か月ぶり給油活動再開 (読売, 2/21)。ガソリンスタンド新装オープン。
》 中国製食品:ホレート検出で10種を自主回収 ニッキー社 (毎日, 2/21)、 お詫びと回収のお願い (ニッキーフーズ)
「DRAM 上に保持されたデータは電源断後すぐに消える」と思われがちだが、実はそうではなく、電源断後もしばらくは保持される。保持される時間は外部温度に大きく依存し、低温であるほど長時間となる。-196℃では 1 時間後でもメモリ上のデータを取り出せたそうだ。さらに、データの取り出しにおいて特殊な装置は一切必要ないという。
このため、メモリ上に暗号化鍵を常に保持するような暗号化ソリューション (例: BitLocker, FileVault, dm-crypt, TrueCrypt などのようなハードディスク暗号化ソリューション) において、機密情報の漏曳の恐れがある。論文執筆者達は「Cold Boot Attack」と呼んでいる。たとえば BitLocker に対しては、完全自動の攻撃ツール BitUnlocker を開発したという。
We have created a fully-automated demonstration attack called BitUnlocker. It consists of an external USB hard disk containing Linux, a custom SYSLINUX-based bootloader, and a FUSE filter driver that allows BitLocker volumes to be mounted under Linux. To use BitUnlocker, one first cuts the power to a running Windows Vista system, connects the USB disk, and then reboots the system off of the external drive. BitUnlocker then automatically dumps the memory image to the external disk, runs keyfind on the image to determine candidate keys, tries all combinations of the candidates (for the sector pad key and the CBC encryption key), and, if the correct keys are found, mounts the BitLocker encrypted volume. Once the encrypted volume has been mounted, one can browse it like any other volume in Linux. On a modern laptop with 2 GB of RAM, we found that this entire process took approximately 25 minutes.
たったの 25 分ですか……。
関連:
関連:
'Cold boot' - Guidance for users (SANS ISC, 2008.02.26)
ツールのソースコードが公開されたそうです。Lest We Remember: Cold Boot Attacks on Encryption Keys (princeton.edu) の Memory Research Project Source Code を参照。
Vista SP1 で不具合の発生するソフト一覧。 BitDefender, Trend Micro, Zone Alarm, Fujitsu Shock Sensor など。
[SA29045] Sybase SQL Anywhere MobiLink Buffer Overflow Vulnerability
[Full-disclosure] VMSA-2008-0003 Moderate: Updated aacraid driver and samba and python service console updates。 VMware ESX Server 方面。
FreeBSD 方面
FreeBSD-SA-08:03 - sendfile(2) write-only file permission bypass。対象: FreeBSD 5.5 / 6.[123] / 7.0-PRERELEASE
本来行われるべき file descriptor access flags のチェックが行われないため、書きこみのみが許可されているようなファイルであっても sendfile(2) を使って送信できてしまう。 CVE-2008-0777
patch を適用して kernel をつくりなおしインストール、再起動する。
FreeBSD-SA-08:04 - IPsec null pointer dereference panic。対象: FreeBSD 5.5
JVNVU#110947 - KAME プロジェクトの IPv6 スタックにおける IPComp パケットの処理にサービス運用妨害(DoS)の脆弱性の話。KAME の ipcomp_input.c に DoS 攻撃を受ける欠陥がある。 CVE-2008-0177 。
patch を適用して kernel をつくりなおしインストール、再起動する。
》 Meet the Anti-Nmap: PSAD (linuxsecurity.com, 2/12)、 psad: Intrusion Detection for iptables (cipherdyne.org)、 EnGarde Secure Linux Bundles fwknop and psad (cipherdyne.org, 2007.12.20)
全般
ベトナム
タイ
インドネシア
中国
》 「子どもを狙うネット性犯罪者」のイメージは概ね誤り (slashdot.jp, 2/21)
》 シチズンの電波腕時計で不具合 (slashdot.jp, 2/20)
》 ネットバンキングの不正出金、預金者が無過失なら全額補償に (Internet Watch, 2/20)
》 「ダビング10」スタートは6月2日午前4時、Dpaが発表 (Internet Watch, 2/20)
》 出会い系サイト:事件減少も被害児童数は高水準 警察庁 (毎日, 2/21)
》 故障偵察衛星破壊作戦。使用兵装: modified tactical SM-3
人体に有害な燃料ヒドラジンを積む燃料タンクが狙い通りに破壊されたかどうかの確認には少なくとも数時間かかる見通しという。成功かどうかはもうちょっと待て。
》 内部告発サイト『Wikileaks』が強制的に閉鎖——国外サーバーで対抗 (WIRED VISION, 2/21)。ドメイン名が消えただけなので、IP アドレスで直リンクすれば ok だそうです。
》 NY原油、一時101.32ドル 史上最高値を更新 (asahi.com, 2/21)
》 バージニア工科大学の学生、画期的な「重力電灯」を発明 (technobahn, 2/21)。ほしい!
》 学校法人慶應義塾全学に総合セキュリティソフト 「Kaspersky Internet Security 7.0」を導入 (ジャストシステム, 2/20)
》 ロシアのサイバー犯罪組織RBNが手がける「悪質なビジネス」 DDoS攻撃対策の対価として、月額2,000ドルの“みかじめ料”要求の疑い (computerworld, 2/20)
》 再生紙偽装:王子80年代から 製紙16社調査結果 (毎日, 2/20)
》 検索サイトに“偽広告”、ソフトを売り込む詐欺的手法に注意 (日経 IT Pro, 2/20)
》 国連:女性器切除防止に進展 (JANJAN, 2/20)
国連は、2月25日〜3月7日に予定される女性の地位委員会(CSW)会議のたたき台となる報告書を発表。女性器切除(FGM)が健康に重大な害を与える人権違反行為であるとの理解が広まったと述べた。
WHOは、アフリカ、アジア、中東を中心とする世界28国強でこれまでに1億から1億4,000万の女性/少女に何らかの形のFGMが施術されたと予測している。また、同報告書は、毎年約300万人がこの危険にさらされているとしている。
》 貧困問題で率直な議論 「雨宮処凛と考える反-貧困 近畿三都物語」参加報告 (JANJAN, 2/20)
》 インターネットに関する消費生活相談が急増、慎重な利用が必要 (JANJAN, 2/20)
》 日本レコード協会が制定したマークで識別できること、できないこと (日本違法サイト協会 ブログ, 2/20)
Veritas Storage Foundation for Windows 5.0 (32bit / 64bit) のスケジューラサービス VxSchedService.exe に、remote から DoS 攻撃を受ける欠陥。 patch が公開されている。CVE-2007-4516
関連: Symantec Veritas Storage Foundation Scheduler Service DoS Vulnerability (iDefense)
EMC RepliStor Multiple Heap Overflow Vulnerabilities (iDefense)。 サポートから patch を入手できるようです。 CVE-2007-6426。
JVN#42381549 - Internet Scanner のレポート出力機能において任意のスクリプトが実行される脆弱性。サポートから patch を入手できるようです。
JVN#54593414 - 複数の Tor World 製 CGI スクリプトにおけるクロスサイトスクリプティングの脆弱性。更新版が用意されています。
PCRE 方面
[SA29002] freeSSHd SSH Server Denial of Service Vulnerability。freeSSHd の最新版 1.2.0 で発生。 CVE-2008-0852
[SA28961] Sophos Email Appliance Login Page "error/go" Cross-Site Scripting。 Advisory: Sophos Email Appliance Cross-site script vulnerability reported (Sophos) の話。Sophos Email Appliance version 2.1.1.0 以降で修正されている。
[SA29022] IBM DB2 Multiple Vulnerabilities。 Fixpak 4a で修正されている。
[SA28994] CUPS "process_browse_data()" Double Free Vulnerability。 CUPS 1.3.6 で修正されている。STR #2656 も参照。
[SA29010] MoinMoin Multiple Vulnerabilities。MoinMoin 1.6.1 で修正されている。
Lotus Notes 方面
Opera 9.26 登場。3 つの欠陥が修正されている。
2008.02.19 付で BEA08-183.00 〜 BEA08-200.00, BEA08-110.01, BEA08-80.04, BEA08-159.01 が出ています。大杉。
》 Vista、アップデートで再起動を繰り返す不具合発生 (ITmedia, 2/20)。Vista SP1 のインストールに必須だという 937287 patch を Windows Update を使って適用すると、その後再起動を繰り返してしまうという話。インストールプロセスに何か問題がある模様。現在 Windows Update での 937287 patch の配布は中断されている模様。
SANS ISC によると、現象が発生した場合は次のようにするとよいらしい。
Vista って、どうにもドタバタが続きますね……。
》 米国地方裁判所、内部告発奨励サイト「Wikileaks.org」の閉鎖を命令 Wikileaks側は「明らかに違憲で、司法権の逸脱」と主張 (computerworld, 2/19)
》 公共施設予約システムへの不正アクセスによるサービスの停止について (岡谷市, 2/19)。関連:
市によると、ファイルの改ざんは18日午後0時半ごろ、グーグルのウェブ改ざん速報で保守委託業者(諏訪市)が発見。何それ……
benjamin さん情報ありがとうございます。
》 JPNICが「歴史的アドレス」を死蔵する組織に最後通牒 (日経 Tech On, 2/19)、割り当て先組織へ連絡の取れない歴史的PIアドレスに関する ご確認、ご協力のお願い (JPNIC, 2/20)
》 フリーライター狙い撃ち?「オリコン裁判」結審 (JANJAN, 2/20)
》 DASM氏と私は、何の関係もありません (悪徳商法?マニアックス ココログ支店, 2/20)。松永英明氏ですか。
》 「青島ニラ肉焼まん」に関するお詫びとお知らせ (ニッキーフーズ, 2/20)
関連: 中国製ギョーザからメタミドホス その2 枕詞のように使われる「農薬」「有機リン系」は正しいか (農家こうめのワイン, 1/31)。「農薬」「有機リン系」がミスリードを誘っている可能性があるわけですか。 こんなコメントもついている:
仕事で残留農薬の分析をしています。中国では過去にもペットフードにメラミンの混入がありました。米国を中心に飼い犬などが死亡しました。メラミンは農薬ではないので当然「農薬」混入という報道はありませんでしたが、今回のメタミドホスは農薬の主成分のひとつなので「残留農薬」と混同されているのでしょう。検出値にムラがあることから打ち粉(餃子同士がひっつくことを防ぐためにまぶす粉)と間違え混入させたのではないか?との説がもっともだと思います。日本の食品工場では「間違って混入する可能性をゼロにするために」殺虫剤を場内に置かないように指導しているところもあるようです。いずれにしても作物に噴霧して残留するレベル(最大10ppm程度)では急性の症状は出ません。ですから「残留農薬の検査体制」を問う報道は過剰反応だと思います。ちなみにメタミドホスの分析も受けているので昨日から依頼が殺到しています。複雑な心境です。
農業ニュースで一連の記事を一気読みできます。
jnethack さん情報ありがとうございます。
》 影響分析報告書作成ガイダンス (IPA ISEC, 2/19)
》 ファイルシステムのリアルタイム検索を行う製品との同居について (トレンドマイクロ InterScan VirusWall 6.x )。除外設定の話。
》 HDD搭載 ハイビジョンブルーレイディスク/DVDレコーダー 「DIGA(ディーガ)」3機種を発売 (パナソニック, 2/20)。 最近のものは「最大64番組の録画予約」が可能となったのですね。 (BW シリーズの新製品がほしいですなあ……)
(4)“おうちの見守り”を手軽に実現する「センサーカメラ連携」(DMR-XW320/XW120)
(5)留守中の来客を動画で録画できる「ドアホン録画」(DMR-XW320/XW120)
そんな機能があったのか。「ドアホン録画」は以前からあったみたい。
》 HD DVD事業の終息について (東芝, 2/19)。完。
》 中国産のニラまんからメタミドホス 大阪の業者が輸入 (asahi.com, 2/19)。山東仁木食品(中国山東省)製。 メタミドホス 0.5〜0.6ppm を検出。残留農薬起源か。
》 音楽ダウンロード配信サイトの“適法”識別マーク、掲載開始 (Internet Watch, 2/19)
関連: 正規音楽配信を識別するという目的の日本レコード協会が制定したマークについて (日本違法サイト協会 ブログ, 2/19)
》 総務省がNTT東西に行政指導、営業体制改善で公正競争を要請 (Internet Watch, 2/19)
》 米国によるスパイ衛星迎撃、ハワイ沖の海上から21日に実施の見通し (technobahn, 2/19)
》 【HP BladeSystem 従量課金サービス】さらなる電力コスト削減と同時に、地球温暖化対策にも貢献する画期的な「CO2削減インセンティブ・プログラム」をご紹介 (HP, 2/19)
》 20型液晶テレビの市場対応について (パナソニック, 2/19)
松下電器産業株式会社は、2004年1月から2005年10月までの期間に製造した「20型液晶テレビ」の6機種について、無償で点検と部品交換を行います。
これまでに、液晶テレビ「TH-20LA20」におきまして、電源回路に使用されている電解コンデンサ内の安全弁が作動することで蒸気が発生し、お客様が「発煙」と認識され、公的機関に連絡された案件が5件発生しております。
本現象は一部の電解コンデンサの製造上の不具合により、まれに発生するもので、本現象が発生しても、電源回路の保護回路が働いてテレビの電源が切断されるため、発煙、発火等、安全上の問題がないことを確認しております。
しかしながら、今後、お客様に安心してご使用いただけるよう、当該機種を含めた20型液晶テレビ計6機種の全数を対象に、無償で点検と部品交換を行います。
》 任天堂、海賊版ソフトで米政府に対応を呼びかけ (CNET, 2/19)
》 メイプルソープ写真集は「わいせつ」に当たらず 最高裁判決、時代の流れ考慮か (ITmedia, 2/19)
》 「データ品質がビジネスの成否を左右する」 TVJP栗原氏がデータ・アーキテクチャの全体最適化を提言 (computerworld, 2/14)
》 ピーター・タスカ氏の日本株低迷「自業自得論」に納得 (JANJAN, 2/15)
》 そこが知りたい Windows Server Update Services(第7回) Q1 WSUS 3.0のバックアップと復元方法は?(1)——バックアップ方法 (@IT, 2/14)。ミスター WSUS による解説。
》 グリーンピースの地球温暖化防止の未来シナリオ(2)原子力発電を拡大してもCO2削減の効果は少ない (JANJAN, 2/15)
》 窮地の国土交通省(7)どうする!沖縄県の経済苦境 (JANJAN, 2/15)
》 Vista Capableロゴについてマイクロソフト自ら懐疑的だった? (slashdot.jp, 2/15)。そんな無責任な……。
》 SLAPPを撃つには周辺事例も洗わねば (つぶやき) (SLAPP WATCH, 2/15)
》 言論・出版の自由 他一篇——アレオパジティカ (岩波文庫 赤) (SLAPP WATCH, 2/15)
》 ランキング作成が名誉毀損で訴えられる時代 (SLAPP WATCH, 2/17)。ベローチェ……。法廷ではなく中身で勝負しろよ……。
》 原子力施設にたいする都道府県や市町村の法令上の権限について (関組長の東京・永田町ロビー活動日記blog版, 2/16)
》 韓国のハッキング被害から学ぶセキュリティ対策 (トレンドマイクロ セキュリティ blog, 2/18)
》 アウトソーシングとセキュリティ対応 (北岡弘章の「知っておきたいIT法律入門」)
》 フィッシング詐欺を警告する「フィッシングメール」出現 (日経 IT Pro, 2/18)
》 「nwitter」の違法性について考えてみる (高木浩光@自宅の日記, 2/17)
》 全セキュリティ・パッチを1カ月で適用,それがPCIDSS対応の難しさだ (日経 IT Pro, 2/18)
》 「ロシアの報道の自由はネットで保証」と次期大統領 (ITmedia, 2/18)。そうですね、報道すると殺される点を除けば問題ないのかもしれません。
》 仮想サーバの脆弱性は仮想マシンにあり——研究者がBlack Hatで講演へ (computerworld, 2/18)
》 ネットワークトラフィック制限で論争 (slashdot.jp, 2/15)
》 フィンランドのネット検閲の件について補足 (崎山伸夫のBlog, 2/17)
》 中国の国家フィルタリングを他所の国のことと思えるのは今のうちだけかもしれない (崎山伸夫のBlog, 2/18)
》 やはりフィルタリングは差別と偏見を助長するなぁ (崎山伸夫のBlog, 2/18)
》 Windows Vistaの1年間の脆弱性に関するレポート (日本のセキュリティチーム, 2/18)
》 マルウエア感染の元凶となる製造工程 (日経 IT Pro, 2/19)
》 中国ギョーザ事件に見る企業・行政の姿勢に対する憂慮 (日経 IT Pro, 2/19)
》 Macを狙った攻撃の増加を懸念するユーザーは93%,それでも半数は「Windowsより安全」 (日経 IT Pro, 2/19)
》 攻撃を浴びるWikiLeaks (slashdot.jp, 2/19)
》 Microsoft Office Binary (doc, xls, ppt) File Formats (Office, 2/19)。ついに公開。
全般
中国
チベット
インドネシア
パキスタン
》 新千歳トラブル:JAL訓練生が交信担当 (毎日, 2/19)。「訓練生が交信を担当したこと」が問題なのではなく (これ自体はよくある OJT)、「訓練生が問題のある交信を行った (復唱しない) ことを機長と副操縦士が見逃した」のが問題。やまざきさん情報ありがとうございます。
》 2007 WildList Proactive Detection (Panda Research blog, 2/18)
》 ウイルスバスター2008 Windows Vista Service Pack 1 正式対応モジュール公開のお知らせ (トレンドマイクロ, 2/19)
》 NHK不祥事…私用パソコンからエロ映像 (デイリースポーツ, 2/19)、NHKの展示会で猥褻映像が流れるトラブル (ニコニコ動画, 2/14)。nice boat. になってるし。 これ? → N○Kの技術展示会で、エロ動画が・・・ (YouTube, 2/18)
あたごの艦首が清徳丸の船腹に衝突したとみられ、あたごには喫水線付近に衝突によってできたとみられる傷跡が残っていた。漁船は真っ二つだそうで。
海上衝突予防法では2隻の船がすれ違う場合、右側通行が原則。航路を横切る時は、一方の船を右側方向に見る船に回避義務がある。ただし漁を行っている最中の漁船には常に優先権があるため、もう一方の船が針路を譲らなければならない。漁船は漁の最中なら、マストのてっぺんにある緑と白の全周灯をつける義務があるが、清徳丸が当時、全周灯をつけていたかどうかはわかっていない。漁船は夜間には左右のライトをつけ、当時、海上の視界が良好だったため、あたごから目視で確認することも容易だったとみられる。海保は双方に前方不注意の可能性があったとみている。関連: 写真一覧: イージス艦「あたご」衝突、漁船沈む (毎日)、イージス艦に回避義務か 見張り不十分の可能性 (asahi.com, 2/19)
メーカーのほか警察や消防に鑑定を依頼するなど調査を進めた結果、戦闘指揮所(CIC)内に残された持ち込み禁止の保冷温庫の存在がクローズアップされた。CIC かよ!!!!!!!!!!!!!!!!!! シャレになってねぇ。
》 東京航空交通管制部でシステムダウン、全国で発着便に影響 (読売, 2/18)。18:10 ごろ復旧したそうです。
》 鉄鉱石:65%以上の大幅値上げへ 新日鉄・JFEが発表 (毎日, 2/18)。鉄は国家なり。
》 ヤフーで「でかいチョコ」を検索すると…… (クサノツキ, 2/18)。Benjamin さん情報ありがとうございます。 「でかいチョコ」まつりは終了しているようですが、「綺麗なマリコ」まつりは継続中のようです (15:20)。
というか、これって、そういうキーワードで検索する人が多いということなんですよね…… orz
Firefox 2.0.0.11 / Opera 9.50 beta におれる BMP ファイルの処理に欠陥があり、攻略 BMP ファイルを処理すると heap 内の情報が漏曳する。Firefox 2.0.0.12 / Opera 9.25 にはこの欠陥はない。 (link fixed: 山口さん感謝)
関連: 「FirefoxとOperaはすぐにアップデートを」セキュリティ組織が警告 (日経 IT Pro, 2008.02.19)
》 MS IMEの変換効率悪化は開発が中国にシフトしたのが原因? (slashdot.jp, 2/17)。こんなところにもチャイナリスクが。というか、日本語と中国語の区別ついてないだろ > Microsoft。
》 「異常性欲大学」と勘違い、近畿大学が英語表記の変更を検討 (gigazine, 2/18)。空耳アワーみたいなものか。
》 JAL機、英語の指示聞き違え滑走か 新千歳空港 (asahi.com, 2/17)
事故調査関係者やJALによると、管制官が502便に出した指示は、「expect immediately takeoff」(直ちに離陸するよう備えよ)という英語だった。国交省監修のマニュアルにはない表現だが、混雑時などに国際的に使われているという。この表現では、冒頭の「expect」(予期する)を聞き落とした場合、「immediately takeoff」(直ちに離陸せよ)と受け取れる。調査関係者は、操縦士がこの後段部分に影響され、離陸を許可されたと誤認した可能性があるとみている。
松本零士のとある作品における会話で「以後の交信は日本語にて行う、英語なぞくそくらえ」「了解、英語なぞくそくらえ」という感じのがあったな……。
関連: 操縦士、管制指示復唱せず 新千歳の日航機トラブル (中日, 2/17)。復唱は重要ですねえ。
》 ゴキブリ退治、苦闘の歴史 駆除商品と「進化」競い合い (asahi.com, 2/17)。ジクロルボスねた。 関連:
》 第27回 地方の時代映像祭 放送局部門優秀賞受賞アンコール トリアージ 救命の優先順位 (NHK スペシャル)、 3/2 放送予定とあるのですが、実際には 3/3 のようです。URL も 080303.html ですし。 また、アンコールの再放送が 3/5 にあるようです。 再放送予定のページ参照。 sugimoto さん情報ありがとうございます。
》 キーコントロールはデジタルには決まらない (まるちゃんの情報セキュリティ気まぐれ日記, 2/16)
》 紙のコピーにもDRM? 日立など、ミューチップ活用で (ITmedia, 2/15)
》 統計データを基に生成した、本物そっくりの個人情報 『 疑似個人情報 』 を2008年2月15日より販売開始 (People to People Communications, 2/15)。馬場さん情報ありがとうございます。
》 トレンドマイクロのパターンファイル障害、大三川代表が告知の遅れを謝罪 告知が遅れた理由は「問い合わせが少なかったため」 (Internet Watch, 2/15)
企業ユーザーについては、「15日19時時点で累計230社の顧客が何らかの影響を受けたと考えられる」(広報)としている。
》 「Windows Vista SP1」がTechNetとMSDNの会員向けに提供開始 (Internet Watch, 2/15)。人柱乙。
》 米国防総省、制御不能のスパイ衛星をミサイルで迎撃 (slashdot.jp, 2/15)
》 輸入小麦を 30%値上げ 農水省、4月から (東京新聞, 2/16)。物価はまだまだ上がりますぜ。
》 難題、米兵犯罪の抑止 防犯カメラ・共同巡回提案したが (asahi.com, 2/16)
》 着陸機いるのに離陸滑走、JAL機同士あわや追突…新千歳 (読売, 2/16)
》 東芝、HD—DVD撤退も検討 (asahi.com, 2/16)、東芝:HD撤退へ ブルーレイ支持広がり、継続困難に (毎日, 2/16)。「HD DVD の断末魔です!」。何がひどいと言って、この期に及んですらマスメディアに「HD-DVD」と誤記されてしまうというのが……。どう考えてもプロモーション間違ってます。
関連:
》 ファイル交換ソフトを介した情報流出について (日立, 2/14)
》 トレンドマイクロ2008年戦略、サービス分野強化し法人向けウイルス監視も (Internet Watch, 2/15)。4.995.00 バグの件については何ら言及されなかったのかな。
……と思ったら、そんなことはなかったみたい: 「報告数が少なかったので告知が遅れた」——トレンドマイクロ製品の障害 (日経 IT Pro, 2/15)
Webサイトなどでの情報提供が遅れた理由として大三川氏は、「あらかじめ設定していた閾(しきい)値ほどは、コール数がなかったため」と説明する。同社では、ユーザーからのコール数によって、障害などの対応方法を変えているという。
同社では2005年4月、同社のウイルス対策製品の不具合により、大規模なパソコン障害を発生させた。このときの原因もパターンファイル。この障害を教訓に、同社では緊急に対応すべき「コール数の閾値」を設定していたが、2月13日午前中に寄せられたコール数は閾値に至らなかった。そこで、「プレミアムサポート」の契約を結んでいるユーザーには情報を提供したものの、Webサイトなどでの情報公開は行わなかったという。
だが、同日の正午過ぎごろから状況が変わり、報告件数が増え始めた。そこで、同日15時13分、この障害に関するサポート情報をWebで公開。その後、サポート登録をしている企業ユーザーなどに、メールなどで情報を提供したという。
トレンドマイクロは自身では障害の重要性を判断できないということですかね。 世界中で失われた時間をお金に換算するとどのくらいになるのでしょう。
》 25 歳男。職業: spam 送信請負、年収: 1200 万円
》 When Is Stealing Not Theft? (McAfee blog, 2/14)。中国法律話。
》 Updating third-party software: The Good, the Bad and the Ugly (SANS ISC, 2/14)。よもやま話。
どちらも、インストーラをダウンロードページから取得し、手動でインストールする必要がある。Java の場合はさらに、インストール後に古いバージョンを手動で削除しなければならない。
あと、Administrator 権限がないとアップデート機能が有効にならない話。
概説記事。
》 コーヒーフィルター:原紙偽装で製品回収 販売元のカリタ (毎日, 2/15)。こんなものまで偽装ですか……。
》 ファイアーフォックス:マスコット「フォクすけ」が当たる普及キャンペーン実施 (毎日, 2/14)
冬柴氏は「まじめで一生懸命。依頼者を守る弁護士」というのが定評。それがかえって、閣内に入れば官僚を守ってしまう「融通の利かなさ」となって表れているようだ。本来の依頼者は国民のはずなのだが。
》 You Know it's Election Year When... (Symantec blog, 2/14)。ウイルス屋さんはなんでもネタにするからなあ。
》 EMCが大型ストレージ向けSSDを発売、「10年に1度の革新」 (ITmedia, 2/13)。先日「やります」という話があったばかりですが、もう製品が出るのですね。
価格は非公開。「I/O性能は磁気ディスクの30倍。それに見合った価格になる」という。
いいお値段になりそうですね……。
》 IE Automatic Component Activation Preview #2 Now Available (IEBlog, 2/13)
》 2月19日、オリコン訴訟、第七回口頭弁論にて結審へ (SLAPP WATCH, 2/14)
》 マイクロソフト、「セキュリティクイズ」の優秀者に“オスカー像” (日経 IT Pro, 2/14)
》 英語のプレゼンテーションで使える「決めセリフ」 その3 (日経 IT Pro, 2/15)
日本人のプレゼンはストーリーが見えない。点は散在しているけれども線になっていない。これが,多くのアメリカ人側の感想です。欲しい情報が充実していないということ。
不具合が発生する場合があるため、2008.02.15 付で公開が停止されています。太陽猫さん情報ありがとうございます。不具合事例は以下だそうで:
- 対象製品を実行中、コンピュータとウェブブラウザ(Microsoft Internet Explorer、Mozilla、Firefox)の処理速度が遅くなる
- 対象製品の実行中、Microsoft Office 2007の起動に時間がかかる
UltraVNC の件:
UltraVNC-Viewer-104-Security-Update-2---Feb-8-2008.zip には vncviewer.exe が入っている。UltraVNC 1.0.2 / 1.0.4 RC12 の vncviewer.exe と入れかえる用。
》 男性の方が「ゲームによる快感」が強い:fMRIで脳を分析 (WIRED VISION, 2/8)
》 第27回 地方の時代映像祭 放送局部門優秀賞受賞アンコール トリアージ 救命の優先順位 (NHK スペシャル, 3/2 放送予定)、トリアージ (ウィキペディア)
インドネシア方面
インド
バングラデシュ
香港
》 「仮想化サーバの管理に自信が持てない」とするCIOが半数以上に (computerworld, 2/13)
》 犯罪者はセキュリティ対策が最も甘いところを突いてくる (日経 IT Pro, 2/14)
》 MBR感染機能付きルートキット「StealthMBR」--古い瓶に詰めた新しいワイン (日経 IT Pro, 2/14)
》 そろり 損害賠償額高額化の流れ (SLAPP WATCH, 2/12)
》 Tools for updating third-party software (SANS ISC, 2/14)。Windows 用では Secunia PSI が推奨されている。
》 外国人講師を次々「解雇」 NOVA継承のジー社 (asahi.com, 2/13)。
ジー社側は「休みが多い」「受講生からの抗議が多い」などと判断した講師については契約を更新しなかったという。更新しなかった講師数については「期間満了を迎えた講師の3割」と説明。具体的な数は明らかにしていない。
額面どおりに受け取れば 7 割は更新したということだなあ。
》 新株、元ライブドアの榎本氏側に渡る ICF事件 (asahi.com, 2/13)
》 コソボ独立問題で緊急協議へ 安保理、情勢打開は困難 (中日, 2/14)
》 ムハンマド風刺画再び…デンマーク紙、画家殺害計画に抗議 (読売, 2/14)。それ抗議じゃなくて「火に油」だし。
》 WFP、ボーダフォンとパートナーシップ (国連情報誌SUNブログ対応版, 2/14)。緊急時の通信インフラ確保。
》 北京五輪の顧問を降りるワケ 後足顔 スピルバーグ監督 (松村宏のNEWSな顔, 2/14)
》 インドがイスラエルの軍事衛星打ち上げ (JanJan, 2/14)
》 窮地の国土交通省(6)佐藤信秋元道路局長の置き土産? (JanJan, 2/14)
》 『JanJan』の編集に関する規定の改正 (JanJan, 2/14)
》 「違法DLユーザーをネットから切断」案、英国でも? (ITmedia, 2/13)。フランスに続いて? という話。
》 「JASRACが横暴な取り立て」は「真実との証明なし」 ダイヤモンド社に賠償命令 (ITmedia, 2/14) (link fixed: Guernsey さん感謝)。 JASRAC は「4290万円の損害賠償と謝罪広告の掲載を求め」たが、 「550万円の支払い」を認めたものの「謝罪広告の掲載は認めなかった」そうで。
関連: JASRAC勝訴の件について (栗原潔のテクノロジー時評Ver2, 2/14)
》 Facebookの登録解除は至難の業 (ITmedia, 2/14)
》 テレ朝「やらせサル」完全否定 「餌付けしていない」 (ITmedia, 2/13)。ただのガセだったということですかね。
》 1両7億、陸自が新型戦車 (産経 MSN, 2/13)。TK-X ついに公開。画像多数。
7 億はいかんせん高いのだが、さりとて欧米の現代戦車を持ってきても日本ではうまく運用できないんだよね。M1 とかと並べれば TK-X のコンパクトさがわかるはず。74式や90式と並べた写真もほしいなあ。
》 通勤中にMP3プレイヤーを使っていたら逮捕されてDNA採取までされてしまう (gigazine, 2008.02.13)。URL が 20070213_arrest_use_mp3 なのですが、2008 年の記事でいいんですよね?
何? チョコがもらえない? 俺もないけど心配すんな。
WordPress 方面
CISCO 方面
Mambo / Joomla! 話:
CVE-2008-0658。OpenLDAP 2.3.39 付属の slapd の BDB バックエンドの話。 CVE-2007-6698 関連だそうで。
SONY ImageStation で使われていた AxRUploadServer.AxRUploadControl.1 ActiveX コントロール (AxRUploadServer.dll 1.0.0.38) に buffer overflow する欠陥があるという。 SONY ImageStation は終了しているので、 とっとと削除するのが吉か。 CVE-2008-0748
Fix list for WebSphere Application Server Version 6.0.2: Fix Pack 25 (6.0.2.25) (IBM)。 CVE-2008-0741 CVE-2008-0740 が直っているそうで。
tomcat の cookie 方面
tomcat 5.5.26 / 6.0.16 で修正されている。また tomcat 4.x についても修正版が公開される予定。4.1.SVN 版では既に修正されている。
tomcat その他
[security-announce] SUSE Security Announcement: Linux kernel (SUSE-SA:2008:006)。 AppArmor の change_hat システムコールをうまく扱えていなかった模様。 CVE-2008-0731
ClamAV 0.92 以前に欠陥。Portable Executable (PE) ファイルの処理において integer overflow する欠陥があり、攻略 PE ファイルによって任意のコードを実行できる。 CVE-2008-0318
ClamAV 0.92.1 で修正されている。戸井さん情報ありがとうございます。
ClamAV 0.92.1 では CVE-2008-0728 も直っている模様。
F-Secure の Anti-Virus 製品全般における欠陥。攻略 CAB / RAR アーカイブに保存されたウイルスの検出に失敗する。 CVE-2008-0792
修正版が公開されている。自動的に対応できる製品と、手動での対応が必要な製品とが存在する。ただし、FSAV for Samba エンタープライズ版だけはまだ開発中のようだ。
CVE-2008-0910 もだそうです。
Kaspersky 7.0 MP1 (7.0.1.321) で 3 つの欠陥が修正されたそうで。
不具合が発生する場合があるため、2008.02.15 付で公開が停止されています。太陽猫さん情報ありがとうございます。不具合事例は以下だそうで:
- 対象製品を実行中、コンピュータとウェブブラウザ(Microsoft Internet Explorer、Mozilla、Firefox)の処理速度が遅くなる
- 対象製品の実行中、Microsoft Office 2007の起動に時間がかかる
ようやく再公開されました: Kaspersky 7.0 メンテナンスパック1(MP1)再公開のお知らせ (just-kaspersky.jp)
出なかったものの話: MS月例パッチ、Excelの脆弱性には未対処 (ITmedia, 2008.02.13)
関連: Detection and deployment guidance for the February 12, 2008 security release (Microsoft KB948874)
関連:
関連情報。Benjamin さん情報ありがとうございます。
トレンドマイクロのパターンファイル障害、個人向け製品も影響 原因は、強化された振る舞い検知機能 (Internet Watch, 2008.02.14)
トレンドマイクロによれば、今回のトラブルの原因は、問題となったパターンファイル「4.995.00」に追加された新機能の不具合によるものだという。
またしても「新機能の追加」が引金ですか。 594 バグのときもこんなでしたし。
ウイルス検索エンジンの7.50以降にはトロイの木馬である「WORM_RBOT」の検出率を高めるために「Ultra Protect圧縮」を判定し、解凍する機能が追加されていた。今回提供された594パターンファイルには、このUltra Protect圧縮を判定するコードに誤りがあり、特定条件のファイルにおける検索で無限ループに陥ってしまった。
社長は「もう一度チャンスを下さい」と言ってましたが、3 度目のチャンスはあるのかな。
》 タイのクーデター勢力「退場」 総選挙完敗、仲間割れ (asahi.com, 2/8)
》 ベネズエラ、米エクソンへの原油販売を停止 (CNN, 2/13)
》 「フィルタリング推進」は「非コミュ」推進 (崎山伸夫のBlog、 2/9)
》 米国における個人情報不正使用,2007年の詐欺被害総額は450億ドル (日経 IT Pro, 2/12)
》 重要インフラ情報セキュリティフォーラム2008 〜重要インフラ関係者の情報共有〜 (IPA ISEC)。2008.02.20、東京都千代田区、無料。
》 ユーザの実行権限を柔軟に割り当てるsudoのリスクとメリット (Open Tech Press, 2/13)
》 Trend Microの特許戦略が火種となり、FOSSコミュニティでボイコット機運が盛り上がる (Open Tech Press, 2/13)
》 豪政府、アボリジニに強制隔離政策を謝罪 (CNN, 2/13)。ようやく。
》 『SpaceShipTwo』テスト施設の爆発事故、調査報告書 (WIRED VISION, 2/13)
》 ウイルスバスター コーポレートエディション 7.3 Patch 3 公開のお知らせ (トレンドマイクロ, 2/13)
》 地銀のセキュリティ対策の方向性を憂う日銀の解説記事 (高木浩光@自宅の日記, 2/11)
》 米国では、小規模公開会社へのSOX法404条の適用が1年延長されたのですが・・・ (まるちゃんの情報セキュリティ気まぐれ日記, 2/13)。現場からのつぶやき。
つまりですね。。。
今回の制度において、日本は費用効果分析を十分にせずに制度導入を図ろうとしているようにも感じるわけです。
》 ウイルス対策ソフトを正しく評価しよう (日経 IT Pro, 2/13)
》 攻防続くネット・セキュリティ,将来的にはホワイト・リスト方式へ (日経 IT Pro, 2/13)
》 懲罰的なソフト・ライセンスがサーバ仮想化の妨げに (computerworld, 2/12)
管理アプリケーションについては、Burton GroupはCA、IBM、Novellのライセンス・ポリシーを「非理想的」な例として挙げている。(中略)
管理アプリケーションのカテゴリーにおいて、サーバ仮想化に寛容なソフトウェア・ライセンスを提供しているとBurton Groupが高く評価したベンダーは、Hewlett Packard(HP)、Microsoft、Opsware、Sun Microsystems、Symantecの5社である。
クライアント/サーバ・アプリケーションとミドルウェアのカテゴリーでは、IBM、Microsoft、Oracleの3社が問題ありとされている。(中略)
サーバ仮想化に寛容なライセンス条件を提供しているミドルウェア・ベンダーとしては、BEA Systems、Citrix Systems、Novell、Red Hat、SAP、およびSunの6社の名が挙げられている。
》 どこまで行けばトラックバック spam。 情報倫理ねたとして興味深い。
おもしろいなあ。人によって用語の使い方が微妙にズレているところとか。
文句を言っている人は「リンク集に毛の生えた程度のものなのにいちいちトラックバック送ってんじゃねーよ」ってことですかねえ。それはそうだろうなあ。このページの小ネタ全部にトラックバック送ってるようなもんだよなあ。とは言うものの「そういうものが来ることもトラックバックのリスクの 1 つ」だとも思うし。その程度の覚悟もないのにトラックバックなんて受け付けるなよという気もする。仕組み的には、変なものは受け側で filter するしかないしなあ。
はてなダイアリーには「自動トラックバック 」というものがあり (デフォルト: 送信する)、こういうリンク集のようなものをつくっても、自動でトラックバックを送ってしまうらしい。少なくともこの事例の場合、トラックバックが自動送信されたのは「はてな運営者の設定どおりの動作」のようだ。さて、改めるべきは何・誰だろう。
はてなの設計的には、そういう目的にははてなブックマークを、ということなんですかねえ。ツールの選択指針はどこかにあるのかなあ。
》 The Kill-Bit FAQ (Security Vulnerability Research & Defense blog)
》 はしか「大流行の可能性」 (NHK, 2/12)。今年も流行るかもだそうです。 関連:
2008年4月1日から5年間の期限付きで、麻疹と風疹の定期予防接種対象が、現在の第1期(1歳児)、第2期(小学校入学前年度の1年間にあたる児)に加え、第3期(中学1年生相当世代)、第4期(高校3年生相当世代)に拡大されます。
表1. 横浜市及び周辺地域等の麻しん患者の発生状況(平成20年1月1日から1月27日まで) 地域 麻しん患者発生数(人) 人口10万人あたりの麻しん患者発生数 全国 660 0.51 神奈川県 269 3.02 横浜市 103 2.84 川崎市 12 0.87 横須賀市 110 26.10 横浜・川崎・横須賀以外の神奈川県 44 1.26 東京都 56 0.44 千葉県 16 0.26
横浜市で流行っていると言っても、横須賀市の比ではありませんね。 「緊急措置」をするわけだ……。
cadz さん情報ありがとうございます。
SYM008-002 - Symantec Altiris Notification Server Agent Privilege Escalation Vulnerability (symantec, 2008.02.06)。patch あり。 CVE-2008-0716
SA28771 - IBM DB2 UDB Multiple Vulnerabilities。DB2 UDB 8.2 Fixpak 16 で修正されている。 CVE-2008-0696 CVE-2008-0697 CVE-2008-0698 CVE-2008-0699
Webmin 1.400 / Usermin 1.330 が公開されました。CVE-2008-0720 の XSS 欠陥が修正されています。
APSB08-03 - Update available to address Flash Media Server security issues (Adobe)。Flash Media Server 2.0.4 以前に欠陥、2.0.5 で修正されている。 CVE-2007-6431 CVE-2007-6148 CVE-2007-6149
関連:
Update available to address Adobe Connect Enterprise Server security issues (Adobe)。Adobe Connect 6 Service Pack 3 Update で修正されている。 CVE-2007-6431 CVE-2007-6148 CVE-2007-6149
Patch available for RoboHelp Cross-Site Scripting issue (Adobe)。 更新ファイルが用意されている。 CVE-2008-0642
予定では 12 件でしたが、緊急 7 件のうち 1 件がキャンセルされたそうです。
MS08-007 - WebDAV Mini-Redirector の脆弱性により、リモートでコードが実行される (946026) (Microsoft)
対象: Windows XP / Server 2003 / Vista gold。 Windows 2000 / Vista SP1 / Server 2008 にはこの欠陥はない。
WEBDAV Mini-Redirector に heap overflow する欠陥があり、remote から任意のコードを実行できる。Web Client サービスを無効にすることで回避できる。 CVE-2008-0080
MS08-008 - OLE オートメーションの脆弱性により、リモートでコードが実行される (947890) (Microsoft)
対象: Windows 2000 / XP / Server 2003 / Vista gold、Office 2004 for Mac、Visual Basic 6.0 SP6。 Windows Vista SP1 / Server 2008、Office 2008 for Mac にはこの欠陥はない。
oleaut32.dll に heap overflow する欠陥があり、remote から任意のコードを実行できる。CVE-2007-0065
Visual Basic 6.0 が対象となっている関係で、 開発したアプリケーションに 欠陥のある oleaut32.dll を含めて配布している場合があり得るので注意。
Visual Studio 6.0 から再配布可能なファイル oleaut32.dll を含むソフトウェアを開発しています。どうすればよいですか?
この Visual Basic 6.0 用のセキュリティ情報に含まれるセキュリティ更新プログラムをインストールする必要があります。アプリケーションと共に、oleaut32.dll を再配布している場合、このセキュリティ更新プログラムの Visual Basic 6.0 用のダウンロードからこのファイルの更新されたバージョンをダウンロードして、それを含んだアプリケーションの更新バージョンをお客様にリリースする必要があります。
MS08-009 - Microsoft Word の脆弱性により、リモートでコードが実行される (947077) (Microsoft)
対象: Office 2000 / XP / 2003 SP2、Word Viewer 2003。 Office 2003 SP3、Word Viewer 2003 SP3、Office 2007、Office 2004 for Mac、Office 2008 for Mac にはこの欠陥はない。
Word ファイルの処理に欠陥があり、攻略 Word ファイルによって任意のコードを実行できる。 CVE-2008-0109。Microsoft Office Isolated Conversion Environment (MOICE) を利用することで欠陥を回避できる。
MS08-010 - Internet Explorer 用の累積的なセキュリティ更新プログラム (944533) (Microsoft)
対象: IE 5.01 / 6 / 7。
IE に 4 つの欠陥。いずれも任意のコードを実行できる。
関連:
MS08-012 - Microsoft Office Publisher の脆弱性により、リモートでコードが実行される (947085) (Microsoft)
対象: Office 2000 / XP / 2003 SP2。 Office 2003 SP3、Office 2007、Office 2004 for Mac、Office 2008 for Mac にはこの欠陥はない。ただし、修正プログラムを適用すると Office 2003 SP3 についても当該ファイルは更新される (修正プログラムの方が Office 2003 SP3 よりも新しいファイルのため)。
Publisher ファイルの処理に欠陥があり、攻略 Publisher ファイルによって任意のコードを実行できる。CVE-2008-0102
MS08-013 - Microsoft Office の脆弱性により、リモートでコードが実行される (947108) (Microsoft)
対象: Office 2000 / XP / 2003 SP2、Office 2004 for Mac。 Office 2003 SP3、Office 2007、Office 2008 for Mac、Word Viewer 2003、Excel Viewer 2003、Visio 2003 Viewer、PowerPoint 2003 Viewer にはこの欠陥はない。
Office 文書ファイルの処理に欠陥があり、攻略 Office 文書ファイルによって任意のコードを実行できる。CVE-2008-0103。 Windows XP / Vista では、VBE6.dll へのアクセスを制限すれば回避できる。
MS08-003 - Active Directory の脆弱性により、サービス拒否が起こる (946538) (Microsoft)
対象: Windows 2000 Server / XP / Server 2003。 Windows 2000 Workstation / Vista にはこの欠陥はない。
Active Directory に欠陥があり、攻略 LDAP リクエストによって DoS 攻撃が可能。CVE-2008-0088
MS08-004 - Windows TCP/IP の脆弱性により、サービス拒否が起こる (946456) (Microsoft)
対象: Windows Vista
Windows Vista の TCP/IP 実装に欠陥があり、攻略 DHCP パケットによって DoS 攻撃が可能。 CVE-2008-0084
MS08-005 - インターネット インフォメーション サービスの脆弱性により、特権の昇格が起こる (942831) (Microsoft)
対象: Windows 2000 / XP / Server 2003 / Vista Gold。 Windows Vista SP1 / Server 2003 SP2 にはこの欠陥はない。
IIS に欠陥。 「FTPRoot、NNTPFile および WWWRoot フォルダのファイル変更の通知」の処理に欠陥があり、local user による権限上昇が可能。 CVE-2008-0074
MS08-006 - インターネット インフォメーション サービスの脆弱性により、リモートでコードが実行される (942830) (Microsoft)
対象: Windows XP / Server 2003。 Windows 2000 / Vista / Server 2003 SP2 にはこの欠陥はない。
ISS 上での ASP ファイル (ASP.NET ではない) の処理に欠陥があり、攻略 ASP ファイルによって任意のコードを実行できる。 CVE-2008-0075
MS08-011 - Microsoft Works ファイル コンバータ の脆弱性により、リモートでコードが実行される (947081) (Microsoft)
対象: Office 2003 SP2 / SP3, Works 8.0, Works Suite 2005
Works ファイル コンバータに欠陥があり、攻略 .wps ファイルによって任意のコードを実行できる。 CVE-2007-0216 CVE-2008-0105 CVE-2008-0108
関連:
出なかったものの話: MS月例パッチ、Excelの脆弱性には未対処 (ITmedia, 2008.02.13)
関連: Detection and deployment guidance for the February 12, 2008 security release (Microsoft KB948874)
やっぱり英語版 OS を使った方がいいんですかねえ。
トレンドマイクロのウイルスパターンファイル 4.995.00 のおかげで、世界中でおおさわぎになっている模様。パターンファイル 4.997.00 で対応されている。ちいちゃんさん情報ありがとうございます。
ウイルスパターンファイル 4.995.00 において、 一部の大容量ファイル検索時に時間を要する現象が確認されました。
CPU 100% 系? 一旦こうなってしまうと、パターンファイル 4.997.00 への更新すらできなくなってしまう模様。
OPR 4.995.00 適用の状態で、400MB以上の大容量の Exchange サーバのデータベースファイルや、Outlook データファイル(.pst)の検索時に現象の発生が確認されております。
また、IBM 社のサーバ環境においては、IBM Automatic Server Restart ユーティリティにより、本状態を異常と判断し再起動を実施している場合があります。
Exchange / Outlook でなくても、「400MB以上の大容量」ファイルが存在するような環境で容易に発生するようです。
ひっかかっているマシンはこうするといいそうです。
【追記】 若い衆がなんとか復旧方法を見つけました。
リモートでCドライブをマウントして4.995のパターンファイルを消してPCをリブートさせればいいようです。
……正式情報出ました。まっちゃさん情報ありがとうございます。
関連情報。Benjamin さん情報ありがとうございます。
トレンドマイクロのパターンファイル障害、個人向け製品も影響 原因は、強化された振る舞い検知機能 (Internet Watch, 2008.02.14)
トレンドマイクロによれば、今回のトラブルの原因は、問題となったパターンファイル「4.995.00」に追加された新機能の不具合によるものだという。
またしても「新機能の追加」が引金ですか。 594 バグのときもこんなでしたし。
ウイルス検索エンジンの7.50以降にはトロイの木馬である「WORM_RBOT」の検出率を高めるために「Ultra Protect圧縮」を判定し、解凍する機能が追加されていた。今回提供された594パターンファイルには、このUltra Protect圧縮を判定するコードに誤りがあり、特定条件のファイルにおける検索で無限ループに陥ってしまった。
社長は「もう一度チャンスを下さい」と言ってましたが、3 度目のチャンスはあるのかな。
》 最期の願いをかなえたい 〜在宅でガンを看取る専門医〜(仮) (NHK スペシャル, 2/24 放送予定)
》 ライブ告知+JASRACとライブハウスについて (栗原潔のテクノロジー時評Ver2, 2/9)
》 歌詞のストリーミング公開について (栗原潔のテクノロジー時評Ver2, 2/10)
》 情報通信ネットワーク安全・信頼性基準の 一部を改正する告示案等に対する意見募集 (総務省, 2/8)。IP 化関連話だそうで。
》 危険にさらされ続けるジャーナリスト (JANJAN, 2/12)
》 総務省が迷惑メール送信を厳罰化、罰金を最大30倍に (gigazine, 2/11)。どちらかというと「オプトアウトからオプトインへ」という方が重要なのでは。関連:
》 「各国固有のウイルスがますます増加」、米マカフィーの研究者が警告 (日経 IT Pro, 2/12)
》 アフガニスタン:東部でパキスタン大使、移動中に拉致か (毎日, 2/12)。 関連?: パキスタン混迷 〜“対テロ最前線” アメリカの誤算〜(仮) (NHK スペシャル, 2/25 放送予定)
》 世界中に張り巡らされている海底ケーブルの詳細な図 (gigazine, 2/11)
》 女性自衛官人権訴訟で明らかになった自衛隊の実態 (JANJAN, 2/11)
》 検察側証人の証言に疑問 「冤罪・引野口事件学習会」参加報告 (JANJAN, 2/12)
》 ソウルの南大門全焼で、69歳男を緊急逮捕 放火容疑 (asahi.om, 2/12)
》 FBI、中国系米国人らを産業スパイ容疑などで逮捕 (読売, 2/12)
》 名ばかり管理職:電話相談に5時間で130件 (毎日, 2/12)、「残業代払え」名ばかり管理職110番 (JANJAN, 2/12)。そこらじゅうに存在するようです。
労働弁護団の棗一郎弁護士は「入社して日が浅い若者を『管理職』にするのが最近の傾向。『名ばかり管理職』制度をとる業種はまんべんなく広がっている」と話す。
関連: マクドナルド賃金訴訟:「管理職制度変えぬ」 原田社長「店長ら失望する」 (毎日, 2/8)、 セブン‐イレブン、店長に残業代 マック訴訟受け (asahi.com, 2/8)
》 明日、予算委員会で道路・雇用論戦へ (保坂展人のどこどこ日記, 2/11)。今日です。
》 【続々報】東証の新派生売買システムが復旧、原因はメモリーの初期化エラー (日経 IT Pro, 2/12)
—2001年頃、満井が経営する旧三正の本社ビルについて、共同債権管理機構との間で、資産留保を条件に任意売却※を行う。この時の作業を松浦に手伝わせる。約6億5000万円の報酬を得る。「自分の肩書きで取引相手を信用させて利益を得ることに面白さを感じる」(緒方検面調書)。つまり、資産留保の条件を反故に。弁護士業務からの逸脱。
冒頭陳述や朗読された証拠の要旨を聞く限りでは、遺棄化学兵器の利権話が取り上げられていない。これもTSKと同様、緒方・満井コンビの利権体質を裏付ける有力な証拠のはずなんだけれども。
公訴事実を否認しているらしい緒方被告が、「実はこの件は当初から公安調査庁の企画した総聯解体のための一大工作」「ところがある事情から、私が陥れられた」などと謀略論を展開し始めたらどうなるのだろう。
冒陳によると、緒方被告は二〇〇一年、満井被告の依頼を受けた東京・京橋の土地建物の売却話を実現。六億五千万円の報酬が入ったことで、「公安庁長官」「検事長」という自分の経歴の社会的信用を利用して交渉を成立させ、多額の利益を得ることに面白さを感じ、満井被告が持ち込むもうけ話に関与するようになったという。
》 dvdisasterでCD/DVDのバックアップを守る (Open Tech Press, 2/12)。エラー訂正用のデータをつくるツール。
》 携帯電話とSSLルート証明書 (高橋カヲル)。興味深い。
》 米国政府のぜい弱性対策に関する取り組み 〜CPE〜 (日経 IT Pro, 2/12)
》 脆弱性情報共有フレームワークに関する調査報告書 〜中小規模組織における脆弱性対策促進への各国の取り組み〜 (IPA ISEC, 2/12)
》 Safer Internet Day 2008 (F-Secure blog, 2/11)。欧州では 2/11 なのだそうです。
》 Storm Sure Loves Everybody (trendmicro blog, 2/11)。ウイルス作者より愛を込めて。全ては金のため。
》 RegisterFly.comのSSL証明書「FlySSL」 (Yasuo's Weblog, 2007.09.23)。RapidSSL よりも 1 ヨシギュー弱安く、regfly のアカウントをつくるとさらに安くなるようです。
ここは、今年前半にICANNのレジストラー認定を取り消されたばかりの企業(ここでも話題になっている。)ということもあって、ネガティブ・イメージぷんぷんではある。とはいえ、近々に他のドメインのSSL証明書を更新する予定も見えているので、物は試し、と使用してみた。
(^^;;;;)
》 DivX Stage6が何者かによってクラックされる (slashdot.jp, 2/11)、Divx Stage6 Hacked User Account Information Made Public! (averad-blog.com, 2/9)
》 Microsoft、Yahoo!の買収提案拒否に敵対買収の可能性を示唆 (computerworld)。 スシマスター「446億ドルで十分ですよ」デッカード「いや、4 倍だ」
Linux 2.6.17 〜 2.6.24.1 に欠陥。Linux 2.6.17 で追加された vmsplice() システムコールに欠陥があり、local user が root 権限を取得できる。 PoC。 CVE-2008-0009 CVE-2008-0010 CVE-2008-0600
Linux 2.6.23.16 および 2.6.24.2 で修正されている。関連:
関連:
関連:
中国「圧倒的じゃないか我が国は」。中国 + USA で約 80% ですか。
関連: All your base are belong to us (ウィキペディア)
Mac OS 10.5.2 および Security Update 2008-001 (Mac OS 10.4.11 用) 登場。 11 種類の欠陥が修正されている。
》 海上自衛隊がSunのシンクライアント導入へ (slashdot.jp, 2/10)
》 WSUS 3.0 SP1がリリース (hotfix.jp, 2/9)
》 仮想化環境のセキュリティ対策について (ITmedia, 2/9)
》 2009年度米国予算案、情報セキュリティに73億ドルを計上 (computerworld, 2/8)
》 歩くだけで携帯電話を充電できるウェアラブル発電機が登場 (gigazine, 2/9)、 徒歩で発電する装置 (slashdot.jp, 2/9)
》 BP社、セキュリティ・イベントの開催を発表 (fx-it.com, 2/9)。8 月に「Security Solution 2008」と「Enterprise Risk Management 2008」だそうです。
》 OpenID財団にグーグル、MS、ヤフーらが参加 (CNET, 2/8)
》 AMTSO: The Back Story (Symantec blog, 2/8)
》 The Flow of MBR Rootkit Trojan Resumes (Symantec blog, 2/8)。それにつけても金の欲しさよ、ですか。
》 異臭のマッシュルーム缶詰、給食使用自粛を 文科省通知 (asahi.com, 2/10)、新聞報道について (天狗缶詰, 2/8)
》 排水処理進まぬ中国農村、昔の日本の低コスト処理導入へ (読売, 2/9)
》 ヤフー買収:MS提案拒否へ 「価値低く見積もり過ぎ」 (毎日, 2/10)。ふぅん。
》 Apache + OpenSSL セキュア・サーバID 中間CA証明書のインストール手順 (VeriSign)
■ セキュア・サーバID を取得されたお客様へ
2007年6月18日21:00 までにベリサインストアフロントより申請されたセキュア・サーバIDは、中間CA証明書をインストールする必要はありません。
申請日が不明な場合は、取得されたセキュア・サーバIDで中間CA証明書のインストールが必要かどうかについて、以下のサイトで確認してください。
逆に言うと、2007年6月18日21:00 以降は中間 CA 証明書が必要になると。 証明書の更新によって 中間 CA 証明書の設定も必要になったが忘れている、 なんて例もあるのかなあ。
Linux 版の Eee PC をハクった話。関連: RISE Security vs ASUS Eee PC (Metasploit blog, 2008.02.08)
詳細が iDefense から公開されました。Suzuki さん情報ありがとうございます。
また、攻略 PDF ファイルが既に登場しているとの報告もある。
》 【速報】東証の新派生売買システムで障害、先物取引の一部が売買停止 (日経 IT Pro, 2/8)、 【続報】東証が緊急会見、「9日からの3連休でシステムを復旧させたい」 (日経 IT Pro, 2/8)
》 福島のギョーザからトルエンなども検出…県警鑑定 (読売, 2/8)
》 中国製ギョーザ:工場周囲に包装袋散乱 管理ずさん (毎日, 2/8)
包装袋は、ギョーザなどの加工食品製造棟から10メートルほど離れた壁(高さ約3メートル)の外側の畑に幅5メートル、長さ約250メートルにわたって散乱。どれも中身はなく、袋は手で破って裂かれた状態で、100袋以上ある。別の商品名や担当者名が記された「金属検査記録表」などの書類も廃棄されていた。
》 燃焼効率UPは根拠なし、公取がカー用品19社に排除命令 (読売, 2/8)、 自動車の燃費向上等を標ぼうする商品の製造販売業者ら 19社に対する排除命令について (公正取引委員会, 2/8)
》 ガザの境界壁破壊後、偽造米ドルがエジプトに大量流入 (読売, 2/8)
》 [お知らせ] Youth talk about JAPAN 「愛国心」 (保坂展人のどこどこ日記, 2/7)。2008.02.10、東京都杉並区、一般1500円 + 1 drink 分。
》 「異常気象」があたりまえにと警告:ISDR (国連情報誌SUNブログ対応版, 2/7)
》 目黒社会保険事務所職員ビラ配布事件控訴審の公判傍聴記 (JANJAN, 2/8)
》 国を滅ぼしかねない「安物買いの銭失い」 (JANJAN, 2/8)
》 社員のアクセス管理は「無法状態」——組織の分散化が原因? (computerworld, 2/7)
》 ウィルスバスター2008が反応します (MSDN フォーラム, 2/7)
どうもTextBoxにオートコンプリートがあると、ウィルスバスターが反応するようです。
》 Windows Server 2008の基礎知識 第8回 ターミナル・サービスによるクライアントの仮想化(前編) (@IT, 2/7)
》 民間航空機の整備状況を見守る国産RFIDタグ (@IT, 2/7)
》 有害サイト規制に前向き 首相「与野党で方向を」 (中日, 2/8)。衆議院予算委員会 2/8 「民主党の笹木竜三氏への答弁」でそういう話があったそうで。
》 新型インフル発生時、建物封鎖可能に 感染症法改正へ (asahi.com, 2/6)
》
Home of Smack:
the Simplified Mandatory Access Control Kernel for Linux
(schaufler-ca.com)。As of 2.6.24-git15 (a very early 2.6.25) Smack is in the mainline
だそうです。おめでとうございます。関連:
》 倖田来未の不適切発言 ネット介し問題大きく 『軽率だった』TVで涙の謝罪 (東京新聞, 2/8)
芸能評論家の肥留間正明さんは「昔なら、『ものを知らないお姉ちゃんが、バカなことを言った』と、問題にならず終わったはず。特に『オールナイトニッポン』は、何でもありの発言が人気を博していた」と指摘する。ただ、今はネットを介し、脱線気味の発言を織り込み済みのリスナー以外にも広がる時代。
「有名人は言動に責任を持つべきだが、何かあると集中砲火のように非難が集まり、最後は、テレビカメラの前や記者会見で、泣いて謝るまで許さない。スポンサーも敏感すぎる反応をする。今回の騒動は、最近の典型的なパターン」と肥留間さん。
》 愛知県警巡査長が停職3カ月 パソコンにウィニー導入 (asahi.com, 2/8)、私物パソコンを公務に使用、愛知県警が巡査長を懲戒処分 (読売, 2/8)
》 弁護士がワーキングプアなら、税理士・行政書士もワーキング (悪徳商法?マニアックス ココログ支店, 2/7)
》 1秒で充電するキャパシタ技術、三菱電機が開発 (ITmedia, 2/7)
》 BitTorrentサイトPirate Bayへのアクセス、デンマーク裁判所が遮断命令 (ITmedia, 2/8)
》 優れたセキュリティ担当者には“オスカー”を (日経 IT Pro, 2/8)
》 Webからの脅威と戦った24時間---インシデント対応の現場から 第5回 「インシデント対応は“SOAP方式”で」---現場で戦った筆者の平原氏に聞く (日経 IT Pro, 2/8)
総合的なセキュリティ・オペレーションには,SOAP(ソープ)という考え方を勧めたいと思います。(中略) 「Subject data」「Objective data」「Assessment」「Plan」の頭文字を取った,医療の世界でのSOAP方式のことです。「第3回 敵はファイル感染型!トリアージで修復端末の優先度を決めろ」で,災害医療などの際に負傷者を重症度,緊急度によって分類する「トリアージ」の考え方を紹介したように,医療の手法はITのインシデント対応の参考になる例が多いように感じます。
関連: 問題指向医療記録 (ウィキペディア)
》 インターネット協会、「ホットライン運用ガイドライン改訂案」で意見募集 (Internet Watch, 2/7)
》 山谷剛史のマンスリー・チャイナネット事件簿 2008年1月 (Internet Watch, 2/7)
》 海の向こうの“セキュリティ” 第17回:韓国で「DDoS攻撃を防げるUSBメモリ」販売!? ほか (Internet Watch, 2/7)
》 各国は喫煙による死を予防する措置が不十分と警告:WHO (国連情報誌SUNブログ対応版, 2/8)
》 実施基準に書かれていないことは監査人の判断しだい? (まるちゃんの情報セキュリティ気まぐれ日記, 2/8)。 返歌: 気分しだいで責めないで
》 はてなダイアリー日記を誰でも編集できる状態について (はてなダイアリー日記, 2/8)
はてなダイアリー日記が誰でも編集できる状態になっておりましたので、編集できないようにいたしました。
またこの間書き込まれた内容については勝手ながら削除させていただきました。ご了承ください。
淡々と、とんでもないことを報告していますね……。 いつから、なぜ、再発防止策などなどについてはごっそり抜け落ちてます。
》 愛媛、高知でネット障害、ケーブル損傷 (ニッカンスポーツ, 2/7)。Benjamin さん情報ありがとうございます。
愛媛県八幡浜市内で電柱を建て替え中、誤って地中のケーブルを傷付けたのが原因。
Acrobat 8.1.2 も登場しました。浅田さん情報ありがとうございます。
Security Advisory も出ましたが、あいかわらず詳細は不明のままです。
Acrobat and Adobe Reader 7.0.9 and earlier versions are also affected by these vulnerabilities. (中略) Adobe is planning to release an update to Adobe Reader and Acrobat 7 to resolve the relevant security issues. A security bulletin will be published on http://www.adobe.com/support/security as soon as that update is available.しかし以前も、同様の内容を主張しながらも Adobe Reader / Acrobat 7.x 用の修正が結局なされなかったことを考えると、期待はできない。
関連:
関連:
なんと、緊急: 7、重要: 5 という凄い内容。覚悟せよ。orz
関連: 2008年2月のセキュリティリリース予定 (日本のセキュリティチームの Blog, 2008.02.08)
Firefox 2.0.0.12 登場。10 種類の欠陥が修正されている。
実は 10 種類ではなく 12 種類であった。MFSA 2008-07 と MFSA 2008-13 が追加されている。
MFSA 2008-07: BMP デコーダ内の潜在的な情報漏えい。 CVE-2008-0420
この脆弱性は他ベンダーの製品にも影響があったため、同社が修正版を公開できるまで、情報公開が見送られていました。
MFSA 2008-13: 文字エンコーディングに起因する複数の XSS 脆弱性。 CVE-2008-0416
これらの脆弱性は Firefox 2.0.0.12 およびそれ以前のバージョンで修正されましたが、他のブラウザベンダーが関連する脆弱性を修正するまで公開が見送られていました。
関連: えむけいさん曰く「結局無修正のまま公開されてしまいました」 (hoshikuzu | star_dust の書斎, 2008.03.28)。Firefox 2.0.0.13 においても修正は不十分である模様。
》 6割がMSのネット独占を懸念,Yahoo!買収提案に関する緊急アンケート結果から (日経 IT Pro, 2/6)
》 WiFi Ownage (gnucitizen, 2/7)。ソースつき。
》 アメリカ 問われる“超”格差社会 〜大統領選挙・ハートランドの選択〜(仮) (NHK スペシャル, 2/18 放送予定)
》 Live Mailのキャプチャを破るボットが登場、不正アカウントを大量取得 (ITmedia, 2/7)
》 世界経済の行方と日本の株価 (日経 BP, 2/6)
いま世界のお金は、日本から逃げて、ベトナムなどほかのところに流れている。だから、日本株は昔の値段になっているに過ぎない。昨年も、1年を通したら買い越しになっているが、去年の夏以降だけを見れば売り越し状態だ。
》 Vista Home BasicやHome Premiumの仮想マシン上での動作 (wakatonoの戯れメモ, 2/7)
》 建築基準法改正後の大臣認定プログラムはどうなるのか 【第1回】大臣認定プログラムは一般ソフトとどう違うのか (日経 BP, 2/4)
》 ドイツ:アフガン北部に夏、実戦部隊派遣 国防相が表明 (毎日, 2/7)、 アフガン派兵負担、米英が見直し合意 (読売, 2/7)、アル・カーイダが子供にテロ訓練、米軍などがビデオ公開 (読売, 2/7)
》 メール処方:ネットで避妊薬販売は違反 愛知県が医師指導 (毎日, 2/7)
愛知県扶桑町のクリニックの男性院長がインターネットを使った低用量ピル(経口避妊薬)を販売している問題で、愛知県は6日、「電子メールのやり取りによる薬の処方は医師法違反に当たる」との見解を厚生労働省から受け取り、直ちにやめるよう院長に行政指導した。(中略) 同省は「初診は対面が原則。メールでのやり取りは診察と評価できない」とし、「医師法20条に違反すると思料される」と結論付ける医事課長名の文書を県に送付した。
》 闇サイトで募集、養子縁組で「振り込め」口座…5人逮捕 (読売, 2/6)
》 猟銃返納、4467丁 DVなど警察指導は145丁 (asahi.com, 2/7)
》 納豆菌で「カビ退治」は根拠なし 7社に排除命令 (asahi.com, 2/6)。 この手のものの話。
》 有害ペットフード事件で中国企業など起訴 米連邦大陪審 (asahi.com, 2/7)
》 Spotted in the Wild: Rogue Microsoft Update Site (F-Secure blog, 2/6)。あいかわらずのニセ Microsoft Update サイト。
》 フィルタリングソフトなんてろくでもないことは世界的には常識 (崎山伸夫のBlog, 2/7)
》 セルフレイティング強制法案が提案されているんだけど (崎山伸夫のBlog, 2/7)。 "自殺サイト"など「有害情報」定義明確化、閲覧防止義務付け - 民主議員案 (マイコミジャーナル, 2/5) への意見。
そのような観点からすると、この高井私案はラベルの付け方と使い方において、個人の自己決定や保護者による代理の決定を阻害するものだと思う。私は、セルフレイティングは純粋に民間自主規制の形で行われるべきだと思うし、そこに国家が関わることがもし必要だとすれば、それは、よりメタな立場でセルフレイティングが自主的に行われる環境作りのためのものであるべきで、それを越えるべきではないと思う。
》 Webからの脅威と戦った24時間---インシデント対応の現場から 第4回 駆除失敗!再感染から2度目の復旧作業へ (日経 IT Pro, 2/7)
で対応の抜けが発生、……という話。
感染したコンピュータの完全復旧と,安全な状態での通常業務の再開を両立することは,現実的には困難なケースが多く,ジレンマに陥りがちなポイントである。今回のA社のように,ある意味で割り切ることが肝要だと考える。完全に安全が確保できたコンピュータのみで業務を再開し,少しでも危険性が残るコンピュータはオフラインで処理する。大規模な感染にもかかわらず,A社がこの方針を採ったおかげで比較的短時間に業務を再開できたという事実は,読者の皆さまが直面するかもしれない緊急事態で役に立つだろう。
》 国会同意人事について議院運営委員会で発言 (保坂展人のどこどこ日記, 2/6)
》 FAR Manager goes open source (McAfee blog, 2/6)。テキストベースのファイルマネージャ。
》 Does your anti-virus detect old keyloggers? (SANS ISC, 2/6)
》 TrueCrypt 5.0リリース (slashdot.jp, 2/6)。Windows 起動ドライブ全体の暗号化 (+ 起動前認証) のサポートなど。
ぐぐっていたら、Comparison of disk encryption software (Wikipedia) というページをみつけました。
》 ITpro EXPO 2008レビュー: 好評だったポイントラリー,ICタグを使った新しいイベントの形が見えた (日経 IT Pro, 2/7)
会場内には65台のリーダーを配置し,それを1台のサーバーで管理した(写真10)。ただし,もしもの事態に備えてサーバーは正副の2台構成。
処理速度はあと 5 倍、できれば 10 倍欲しい感じだった。
》 クローンの攻撃 その2 (日経 IT Pro, 2/7)
》 Windows Vista,ユーザーを悩ませる「10の厄介事」 (日経 IT Pro, 2/7)
》 取り調べ可視化:日弁連が要求、30万目標に署名集め (毎日, 2/6)、 取調べの可視化(取調べの全過程の録画)の実現を求める署名にご協力ください (日弁連)
》 Ajaxアプリケーション & Webセキュリティ (O'Reilly) という本が出るそうです。
そういえば先日、手元にもこれと同様のものが来たので JPCERT/CC にタレコんだのだった。 mixi な事例もあったようですが、他にもあったのかなあ。
関連:
OpenBSD の RPNG に欠陥があるため、これを利用している OpenBSD 上の BIND 9 の DNS transaction ID を容易に予想できるという話。 この結果、OpenBSD 3.3〜4.2 においては DNS cache poisoning が可能となるという。
OpenBSD の RPNG を移植している他の OS (FreeBSD / DragonFlyBSD / MetBSD / Mac OS X Server / Darwin) においても、 IPv4 fragmentation ID において同様の結果となるそうだ。
FreeBSD / DragonFlyBSD / MetBSD の IPv4 fragmentation ID に関しては sys/netinet/ip_id.c への修正が行われているが (FreeBSD / DragonFlyBSD / NetBSD)、OpenBSD / Mac OS X Server / Darwin についてはまだのようだ。
[SA28789] WordPress MU File Upload and Security Bypass。 1.3.2 で直っているそうです。
[Full-disclosure] iDefense Security Advisory 02.04.08: Hewlett-Packard Network Node Manager Topology Manager Service DoS Vulnerability。 CVE-2008-0212。patch が出ている。
231261 - Two Vulnerabilities in the Java Runtime Environment May Independently Allow an Untrusted Application or Applet to Elevate Privileges (Sun)。JDK / JRE 6 Update 2 以降、JDK / JRE 5.0 Update 14 以降で修正されているそうだ。
JVNVU#110947 - KAME プロジェクトの IPv6 スタックにおける IPComp パケットの処理にサービス運用妨害(DoS)の脆弱性。 KAME の ipcomp_input.c に DoS 攻撃を受ける欠陥がある。 CVE-2008-0177 。
patch を適用すればよい。
JVN#38893575 - PC2M におけるクロスサイトスクリプティングの脆弱性。 バージョン 0.9.22.5 以降で修正されているそうです。 バージョン0.9.22.4及びそれ以前のPC2Mにおけるクロスサイトスクリプティング脆弱性について (rcdtokyo.com)
関連:
Skypefind の件: SKYPE-SB/2008-002: Skypefind Cross Zone Scripting Vulnerability (Skype.com, 2008.01.31)。修正済だそうです。
Skype 3.6.0.248 で修正されました。
QuickTime 7.4.1 登場、ようやく修正されました: About the security content of QuickTime 7.4.1 (Apple)。CVE-2008-0234
Adobe Reader 8.1.2 が公開されています (ダウンロード)。JavaScript を有効にしてリリースノートを読むと
The Adobe Reader 8.1.2 update addresses a number of customer workflow issues and security vulnerabilities while providing more stability.
と書かれていますが、詳細は記載されていません。 まだ Acrobat 8.1.2 が公開されていないためではないかという気がします。
とりあえず、Adobe Reader 8 の利用者は更新しておきましょう。
Acrobat 8.1.2 も登場しました。浅田さん情報ありがとうございます。
Security Advisory も出ましたが、あいかわらず詳細は不明のままです。
Acrobat and Adobe Reader 7.0.9 and earlier versions are also affected by these vulnerabilities. (中略) Adobe is planning to release an update to Adobe Reader and Acrobat 7 to resolve the relevant security issues. A security bulletin will be published on http://www.adobe.com/support/security as soon as that update is available.しかし以前も、同様の内容を主張しながらも Adobe Reader / Acrobat 7.x 用の修正が結局なされなかったことを考えると、期待はできない。
関連:
詳細が iDefense から公開されました。Suzuki さん情報ありがとうございます。
また、攻略 PDF ファイルが既に登場しているとの報告もある。
関連:
関連:
APSA08-01 - Adobe ReaderとAcrobat 8のセキュリティアップデート公開 (adobe)
この欠陥を悪用した標的型攻撃が流行っているそうです。
Adobe Reader / Acrobat 8.x は 8.1.2 にアップデートすればよいのですが、Adobe Reader / Acrobat 7.x 用の patch はいまだに公開されていません。
バージョン7.0.9およびそれ以前のAcrobatおよびAdobe Readerもこの脆弱性の影響を受けます。アドビでは、このセキュリティの問題を解決するためのAdobe ReaderおよびAcrobat 7のアップデートを5月末までにリリースする予定です。
なんとも悠長なことで。
2008.05.06 付で Acrobat / Adobe Reader 7.1.0 がようやく公開されました。 APSB08-13: Security Updates available for Adobe Reader and Acrobat 7 and 8 (Adobe)。Suzuki さん情報ありがとうございます。
関連: Adobe Updaterに惑わされていませんか?Adobe Reader 8以外にも重大なセキュリティホールあり (日経 IT Pro, 2008.05.12)
》 ウルトラマン:円谷プロ、著作権で勝訴 タイ最高裁 (毎日, 2/6)
》 CIA:アルカイダ幹部3人への「水責め」認める (毎日, 2/6)
》 機能・サービス・料金を徹底比較!持たせて安心?「子どもケータイ」の真実 (日経トレンディネット, 2/4)
》 中国産冷凍ギョーザの落とし穴はこうして避ける (日経 BP, 2/5)
加工食品、家電など、日本の企業が中国の工場に生産委託している最大の理由は、低賃金労働者を使った安価な手作業生産コストです。しかし、手作業であるがゆえに、「たったひとりのワーカーの不注意やミスがすべてを台無しにする」という、大きな落とし穴が常に存在することを忘れてはなりません。
いくつかのデバイスドライバは、インストール方法が適切でないため、SP1と干渉することが判明している。このため、それらのドライバがインストールされていると判断された場合、Windows UpdateにSP1は表示されない。
4月中旬以降は、更新プログラムを自動的にダウンロードする設定にしてる場合、それらのPCにもSP1がダウンロードされるが、適用は保留される。SP1向けの新しいドライバがインストールされたことが検出されると、SP1の適用が始まる。
》 ハードディスクレコーダー Rec-POT EX「HVR-HD1000EX」 ご愛用のお客様へお知らせとお詫び (IO DATA, 2/6)
すでに、抗ウイルス薬タミフルを2800万人分、現在の鳥インフルエンザウイルスを使って開発されたワクチンを1000万人分備蓄している。なぜ読売社説は「最低でも全国民分のプレパンデミックワクチンが必要だ」とは主張しないのだろう。必要ないと思っているからだろうなあ。「俺たち報道機関は優先してワクチンもらえるから無問題」とでも思っているのだろうか。
だが、限られた薬とワクチンをどう使うか、といった細部はまだ詰まっていない。患者の収容施設や、治療に不可欠の人工呼吸器は圧倒的に足りない。
》 人権擁護法案:再提出へ議論再燃 今国会も自民二分、メディア規制は「こだわらず」 (毎日, 2/4)
》 中国製ギョーザ:昨年4月から苦情11件 JT把握も放置 (毎日, 2/6)。「ヒヤリ、ハット」の段階での対応に失敗した、ということですねえ。
》 スパムマップ配信国ランキング(2008年1月) (トレンドマイクロ セキュリティ blog, 2/6)
》 「シゴフミ」第6話、サンテレビでは内容が不適切として放送カットに (gigazine, 2/6)。しかし KBS 京都では通常どおりに放送だそうです。
》 イランが開発に成功した国産ロケット (technobahn, 2/5)。主目的は ICBM ってことですか?
》 マイクロソフトの高品質海賊版の90%は1人の男が製作していた (technobahn, 2/5)
》 赤福、4カ月ぶり営業再開 本店で早朝300人の行列 (東京新聞, 2/6)。生産が追いつかないっぽい。
》 月100万PVの人気個人ブログ 教授同士の名誉棄損論争が勃発 (J-CAST / Yahoo, 2/5)。池田信夫氏方面話。
》 Intel期待のSilverthorneチップ、本領は「超低消費電力」にあり (computerworld, 2/6)。UMPC 用、性能は「初期の『Centrino』プロセッサに匹敵」だそうです。
》 東京・杉並、和田中学・夜間塾:報道されない諸問題 (JANJAN, 2/6)
》 MicrosoftのITスーパーヒーロー漫画 (slashdot.jp, 2/5)。やっぱ「Silverlight の拡販」なんだろうなあ。
》 ウイルス「Fujacks」の検知ファイル数が際立つ、マカフィー1月度調査 (Internet Watch, 2/6)
》 [WSJ] 中国政府、「動画サイト国有化」規制を緩和 (ITmedia, 2/6)
》 省燃費:「根拠なし」と十数社に排除命令へ 公取委 (毎日, 2/6)。 起爆水だそうです。
》 Webからの脅威と戦った24時間---インシデント対応の現場から 第3回 敵はファイル感染型!トリアージで修復端末の優先度を決めろ (日経 IT Pro, 2/6)
》 Correction - Yahoo! Data Grid CLSID (SANS ISC, 2/5)。kill bit 設定ツールにバグがあった模様。新版が出ている。 GUI 版を起動するとこんな感じ:
中国のゲームサイトで使われている ActiveX コントロールの 0-day が出ている模様:
WordPress 関連
[SA28787] Symantec Backup Exec System Recovery Manager File Upload Vulnerability。 Symantec Backup Exec System Recovery 7.0.3 で直っているそうです。
iPhoto 7.1.2 のセキュリティコンテンツについて (Apple)。 iPhoto '08 7.1 / 7.1.1 に format バグがあり、攻略 photocast によって任意のコードを実行できる。 CVE-2008-0043
[SA28801] xine-lib FLAC Processing Memory Corruption Vulnerability
[SA28736] Joomla NeoReferences Component "catid" SQL Injection
マカフィー VirusScan Enterprise 8.0i patch 16 で不具合。条件:
この後、当該ファイルの削除・移動・ファイル名の変更ができなくなる模様。
VSE 8.0i patch 15 ではこの問題は発生しない。現在、マカフィーのライセンスダウンロードページには VSE 8.0 patch 16 は公開されていない模様。
関連: 米マイクロソフトのセキュリティ情報「MS08-001」に対処する難しさ (日経 IT Pro, 2008.02.06) (元記事)
関連:
貸出……。フリーじゃないのですね。
1.貸出対象
原則として、次の条件を満たす開発者へ検証ツールを貸出します。
(1)TCP/IPを実装する製品開発ベンダーであり、法人格を持つ事業体であること。
(2)不正使用禁止の「利用許諾条件合意書」に合意していただくこと。
(3)場合によって、会社経歴書などの提出を求めることがあります。
なお、つくったのはラックさんだそうです。
Solaris, HP-UX, *BSD, GNU fileutils, 古い GNU coreutils などの cp を -R オプションつき (Solaris の場合は -R -P ) で起動した場合に、奇妙な動作をする話。 CVE-2007-4998。 こんな感じ:
netbsd$ rm -rf a b c; mkdir a b c && echo payload > b/1 && \ ln -s target a/1 && /bin/cp -R b/1 a/1 c; cat c/target payload
手元の FreeBSD 6.2 でも同様になることを確認した。一方、GNU coreutils 6.9 の cp だとこうなった。
% rm -rf a b c ; mkdir a b c && echo payload > b/1 && \ ln -s target a/1 && gcp -R b/1 a/1 c; cat c/target gcp: たった今作成した `c/1' には `a/1' で上書きしません cat: c/target: No such file or directory
RHEL の場合、RHEL 4 以降に付属する GNU coreutils には欠陥がないが、RHEL 2.1 / 3 の fileutils / coreutils、および RHEL 2.1〜5 の busybox の cp には欠陥があるそうだ。
》 赤福:4カ月ぶりに営業再開 当面は直営3店で (毎日, 2/5)。明日から、伊勢市内の直営三店舗(本店・内宮前支店・五十鈴川店)で。
》 エコインキ偽装、新たに3社 計6社に (asahi.com, 2/5)
》 Google,「MSのYahoo!買収はインターネットの原則を脅かす」と批判 (日経 IT Pro, 2/4)。独占企業に言われてもなあ。
》 システム管理者のための 情報セキュリティ管理実践セミナー (日経 IT Pro)。名古屋: 2008.02.20、東京: 2008.02.25、大阪: 2008.02.27、無料。
》 突然の「携帯官製不況」 有害サイト規制を義務化した総務省の拙速 (日経 BP, 2/4)
官製不況は従来、「建築基準法の改正」と「貸金業法の改正」が指摘されてきた。これに「携帯のフィルタリングの義務化」が加わり「官製不況の3K」となれば、株式市場で「日本売り」が加速する可能性が高い。
関連: 2007年住宅着工戸数は前年比17.8%減、40年ぶりに110万戸下回る (日経 KEN-Plats, 1/31)
》 エリトリアの燃料供給制限続く (国連情報誌SUNブログ対応版, 2/5)、エリトリア国 (外務省)
……と言っている間に、新たな化学物質「ジクロルボス」が発見されたそうで。
》 Viagra shop busted in Sweden (F-Secure blog, 2/4)、 違法の「オンライン薬局」がスウェーデンで御用、数億円を荒稼ぎ (日経 IT Pro, 2/5)
》 「道路」「年金記録」「雇用保険」と質問準備中 (保坂展人のどこどこ日記, 2/5)
》 Updates: Autoruns v9.10, Sigcheck v1.50, Mark's new blog post and webcast (Sysinternals Site Discussion, 2/5)
Autoruns v9.10: Autorunsc, the command-line version of Autoruns, has a new option to print output in XML format and now displays the MD5, SHA1 and SHA256 hashes of autostart images to more precisely identify files, which is especially useful in computer forensic investigations.
Sigcheck v1.50: Sigcheck, a command-line file version display and signature checking utility, adds a new option for displaying file hashes
》 419 Scammers Admit to Mail Fraud (trendmicro blog, 2/4)
》 Some applications do not work correctly when you use a Windows XP-based DNS server that supports dynamic updates (Microsoft KB938586)。Windows XP 付属の Dnsapi.dll の欠陥のためにそうなる模様。patch が出ている。
》 内閣官房 確定 「政府機関の情報セキュリティ対策のための統一基準(第3版) (まるちゃんの情報セキュリティ気まぐれ日記, 2/5)
》 内閣官房 パブコメ 「政府機関の情報システムにおいて使用されている暗号アルゴリズムSHA-1及びRSA1024に係る移行指針」(案) (まるちゃんの情報セキュリティ気まぐれ日記, 2/5)
》 内閣官房 情報セキュリティ政策会議(第16回) (まるちゃんの情報セキュリティ気まぐれ日記, 2/5)
》 Sony BMGなど3社、百度を著作権法違反で提訴 (Internet Watch, 2/5)
》 「必ず毛が生える」…薄かった効果 430万円で和解 (asahi.com, 2/5)。♪リーブ21〜
》 韓国の次期主力戦闘機開発計画、政府機関が計画中止を提言の見通し (technobahn, 2/5)。スケジュールその他的に F-35 でいいのならそれでいいのでしょうが……。
》 ルートゾーンへの AAAA レコードの追加について (JPRS, 2/5)。ようやく。
ルートゾーンの運用管理責任を持つ ICANN では、この問題について長期にわたり、技術的な検討を行ってきました。
聞こえのよい表現「長期にわたり」
ざっくばらんな表現「ダラダラと」
》 ガスコンロに天ぷら油の過熱防止装置、4月以降の全製品に (読売, 2/4)
》 低レベル放射性廃棄物 研究・医療用の保管「もう限界」 (asahi.com, 2/5)
》 中国の日本大使館に「食の安全担当」 厚労相が新設表明 (asahi.com, 2/5)。というか、今までいなかったのね……。
》 中東の海底ケーブル網にまた障害、これで4本目 (technobahn, 2/4)、 エジプト通信省、海底ケーブルの切断の原因は船舶の通行ではない (technobahn, 2/4)。では何が原因なのか……
》 他社のリモコン付き電気ストーブをご使用のお客様へ (三洋, 2/4)
独立行政法人製品評価技術基盤機構(略称:NITE)が行った「リモコン付き電気ストーブ」の誤動作テストにおいて、家電製品のリモコン操作やノイズで電気ストーブが誤作動(スイッチが入りヒーターが点灯する、ヒーターの強弱が切り替わるなど。)を起こすものがあることが確認されました。
誤作動が確認された家電品の中に、当社製テレビの一部リモコンが含まれています。
》 セキュリティ製品テストの標準化団体AMTSOが発足 (ITmedia, 2/5)
》 米Microsoft、Windows Server 2008とVista SP1の開発完了−日本語版も (Enterprise Watch, 2/5)、 ついに、 Windows Server 2008完成! (日本のセキュリティチームの Blog, 2/5)、 Windows Vista SP1は来月配布、動作速度が向上へ (gigazine, 2/5)
》 オンライン詐欺との戦いに活用できる「リファラ」フィールド (日経 IT Pro, 2/5)
》 Webからの脅威と戦った24時間---インシデント対応の現場から 第2回 肝心なのは初期対応!敵の正体を突き止めろ (日経 IT Pro, 2/5)。「A社は,従業員規模3000人を超える大手食品メーカー」だそうだけど、JTB の件と同様かなあ。
》 携帯電話を狙うスパイウエアを懸念 —— エフ・セキュアの研究トップが語る (日経 IT Pro, 2/5)
》 企業ユーザはPHP4からPHP5への移行は慎重にすべき (yohgaki's blog, 2/5)
》 携帯フィルタリングでお嘆きの少年少女諸君へ (崎山伸夫のBlog, 2/5)
》 ウイルス罪新設の刑法改正でWinny媒介型暴露ウイルスの被害を激減できる (高木浩光@自宅の日記, 2/3)
》 Dispelling Myth 2: IT Risk Management is a Project (Symantec blog, 2/4)。IT incident は大量に存在するので順位づけて重要度の高いものから対応していかないとダメ、という話みたい。
》 GUI Killbit App Available (SANS ISC, 2/5)
》 中国軍が活動活発化 中印国境で 英字誌報道 (asahi.com, 2/4)
MySpace のはこれか:
Facebook や Yahoo! Jukebox はこれ:
それぞれ、使用している ActiveX コントロールに欠陥がある。[Full-disclosure] MySpace Uploader ActiveX Control Buffer Overflow や Six ActiveX Vulnerabilities This Week (SANS ISC) に記載されている CLSID に対し、GUI Killbit App Available (UPDATE: CLI version too!) に記載されているツールなどを使って kill bit を設定して使用不可にすれば回避できる。 MySpace / Facebook (Aurigma ImageUploader ActiveX コントロール) については、Vulnerability Note VU#776931 に kill bit 設定用 .reg ファイルが掲載されている。
関連:
関連:
関連:
Exploitation of the Facebook ImageUploader Vulnerability (Symantec blog, 2008.02.20)
IpSwitch WS_FTPSERVER with SSH remote Buffer Overflow。 6.1.0.0 で確認したとしている。PoC つき。 CVE-2008-0590
Skype 方面: CVE-2008-0582。 Attackers can SkypeFind you の話。
MPlayer 関連。ニュースページ (mplayerhq.hu) には以下がある:
最新の SVN 版、および MPlayer 1.0rc2 + security patch 全部では修正されている。
[Mailman-Announce] Mailman 2.1.10b3 Released (was: Re: Mailman 2.1.10b1 Released)。 Mailman 2.1.10b1 の時点で複数の XSS 穴が修正されているそうです。 CVE-2008-0564
CVE-2008-0493。IrfanView 4.10 に付属する FlashPix plugin の fpx.dll 3.9.8.0 に欠陥があり、攻略 FlashPix (.FPX) ファイルを使って remote から任意のコードを実行できる。
CVE-2008-0539。 F5 BIG-IP Application Security Manager (ASM) 9.4.3 の dms/policy/rep_request.php に XSS 穴。
CVE-2007-6698。 OpenLDAP < 2.3.36 に付属する slapd の BDB バックエンドが、認証済みユーザから DoS 攻撃を受ける。OpenLDAP 2.3.36 で直っているみたい。
Informix 関連
Informix Dynamic Server 10.00.xC8 で直っているそうです。
JVN#91868305 : 雷電 HTTPD におけるクロスサイトスクリプティングの脆弱性。 2.0.22 で直っているそうです。
Drupal 関連
[SA28632] Drupal Archive Module Unspecified Cross-Site Scripting
[SA28633] Drupal Workflow Module Workflow Message Script Insertion
[SA28717] Drupal OpenID Module "claimed_id" Authority Spoofing
[SA28731] Drupal Project Issue Tracking Module File Upload and Script Insertion
[SA28732] Drupal Secure Site Module Security Bypass Vulnerability
[SA28730] Drupal Userpoints Module Cross-Site Request Forgery Vulnerability
[SA28729] Drupal Comment Upload Module File Upload Vulnerability
[SA28702] WordPress WassUp Plugin "to_date" SQL Injection Vulnerability。patch あり。
[SA28687] Tripwire Enterprise Login Page Cross-Site Scripting Vulnerability。patch あり。 CVE-2008-0578
[SA28747] UltraVNC vncviewer "ClientConnection::NegotiateProtocolVersion()" Buffer Overflow。 UltraVNC 1.0.2 / 1.0.4 で発現。patch が公開されている。
[SA28746] Sun Java Runtime Environment External XML Entities Security Bypass。 JDK / JRE 6 Update 4 で修正されているそうな。
[SA28696] Linux Kernel CHRP Denial of Service Security Issue。PowerPC のみに影響。
Skypefind の件: SKYPE-SB/2008-002: Skypefind Cross Zone Scripting Vulnerability (Skype.com, 2008.01.31)。修正済だそうです。
UltraVNC の件:
UltraVNC-Viewer-104-Security-Update-2---Feb-8-2008.zip には vncviewer.exe が入っている。UltraVNC 1.0.2 / 1.0.4 RC12 の vncviewer.exe と入れかえる用。
UltraVNC の件。リモート操作フリーソフト「UltraVNC」にセキュリティ・ホール,日本語環境での対応法を紹介 (日経 IT Pro, 2008.04.09) において、上記 vncviewer は日本語キーボードに対応していない件とその対応について、 山下眞一郎が詳細に解説しています。ポイントはこうみたい:
》 「児童ポルノ」単純所持にも罰則規定を、法相が検討の意向 (読売, 2/4)
この結果、「包装」過程が注目されているようです。
》 佐世保道路、1棟3億5千万円なりの米軍住宅の不思議 (保坂展人のどこどこ日記, 2/4)。 道路特定財源の使いみちの実態はこんなもの。 本当に道路が必要なところには使われない。
》 アラブ人権憲章に国際的な規範に反する条項ありと指摘:人権高等弁務官 (国連情報誌SUNブログ対応版, 1/31)
》 支援車両への攻撃でチャド東部の支援が遅延 (国連情報誌SUNブログ対応版, 2/1)
》 アフリカにおける紛争予防に関する報告書を発表 (国連情報誌SUNブログ対応版, 2/2)
》 読売新聞、押し紙追及のジャーナリスト・黒藪哲也氏の言論封じ込めに動く (SLAPP WATCH, 2/4)
》 A Windows Server 2003-based computer responds slowly to RDP connections or to SMB connections that are made from a Windows Vista-based computer (Microsoft KB947773)。Vista から RDP / SMB すると応答が遅い。 Windows Server 2003 側に patch があるそうです。
》 On a computer that is running an x64-based version of Windows Server 2003, the 64-bit version of the Findstr.exe tool returns no results if the file size is from 2 GB through 4 GB (Microsoft KB944829)。64bit 版の Findstr.exe だとタコるそうで。
》 When you try to move files from one network drive to another network drive, the files keep permissions from the source folders on a client computer that is running Windows XP or Windows Server 2003 (Microsoft KB945272)。 patch があるそうです。
》 The upload operation may fail when you use APIs in the Background Intelligent Transfer Service SDK to upload a file whose name contains Unicode characters in Windows Server 2003 (Microsoft KB946820)。UNICODE 文字なファイル名がついたファイルを BITS SDK な API を使ってアップロードすると失敗する。patch があるそうです。
》 The time stamp of a file's "Modified" box changes to the current time after you use the Encrypting File System to encrypt a file on a Windows XP SP2-based computer (Microsoft KB941674)。Windows XP SP2 上で EFS を使ってファイルを暗号化すると、ファイルの更新日時が現在の時刻として表示される、ということかな。patch があるそうです。
》 On a Windows Server 2003-based computer that has a TCP Chimney Offload network adapter, the TCP data stream may be corrupted when the network adapter indicates an MDL chain whose starting MDL has a nonzero offset (Microsoft KB947775)。patch があるそうです。
》 A Windows Server 2003 Service Pack 2-based computer may drop packets when the computer is working as a bridge and as a router (Microsoft KB943665)。ブリッジやルータとして動作させるとパケットを落とすのですか……。patch があるそうです。
》 防衛省:幹部にGPS付き携帯導入へ 拒否すれば懲戒も (毎日, 2/4)。あれ、結局 GPS ケータイ配布するんですか?
》 A Windows Server 2003-based computer may restart randomly when you set the System Failure option or you may receive an error message when you set the "Disable automatic restart on system failure" option (Microsoft KB947478)。マカフィー製品がインストールされていると青画面になるそうだ。掲載されている Blue Screen in MFEHIDK.SYS with Daemon Tools installed (McAfee) を見ると、Daemon Tools 4.0.3 と 5.0.00 以降のスキャンエンジンとの組みあわせで発生するそうで。 原因は Daemon Tools 側にあるそうで。 Daemon Tools 最新版 (4.12) なら ok なのかなあ。
》 An application that uses the Sxs.dll file crashes when you run the application on a Windows XP SP 2-based computer
(Microsoft KB943232)。patch があるそうです。》 You receive a Stop error message when a computer that is using a TCP/IP Offload Engine (TOE)-enabled adapter is running under low resources in Windows Server 2003 (Microsoft KB945466)。patch があるそうです。
》 米国でF-15戦闘機がまた墜落、過去1年で5機目 (technobahn, 2/4)
》 2008年2月13日より自動更新機能による Windows(R) Internet Explorer(R) 7 の配布開始 (Microsoft, 2/4)。ファイナルアンサー。
》 日本PKIフォーラムでCNが間違っている証明書を使用中 (slashdot.jp, 2/4)。なかなか強烈なギャグですね。
》 「Gooogle」サイト出現、検索結果と一緒にウイルスを送り込む (日経 BP, 2/4)、 Another Italian Job… or a Gooogle Job? (trendmicro blog, 2/3)
》 トロイの木馬が埋め込まれたMicrosoft Wordファイルによるターゲット攻撃 (トレンドマイクロ セキュリティ blog, 2/1)、 Making News with Old Word(s): MS06-027 and MS07-014 (McAfee blog, 2/3)
》 公衆電話機の一部がご利用できない事象について 第4報 (NTT 東西, 2/4)。1/31 以降、緑色の公衆電話の一部が使えなくなった件。
今回の故障は、公衆電話機の開閉等による次回診断日設定の際、「うるう年」の処理を行うソフトウェアに処理誤りが発生し、次回診断日の設定ができず機能停止したものです。
》 【連載】どうなる?医療事故調 (日経 Medical Online)
》 【効能効果の追加に伴う添付文書改訂】 リレンザ:予防投与が可能に (日経 Medical Online, 2/1)
ただし、タミフルと同様、リレンザの予防投与も保険給付の対象にはならないので注意が必要である。
われわれとしては、米、小麦粉、麺類、からす麦、とうもろこし、豆類、食用油、砂糖、コーヒーなどのほか、石鹸その他の洗剤、ガソリン、繊維製品および靴などに対する販売の禁止が行われる可能性があることを、平時から十分覚悟しておく必要がある。このような事態に備えて、われわれは、家族一人当たり少なくとも次の物資を非常食料として備蓄しておかなければならない。米=2キログラム;麺類=2キログラム;砂糖=2キログラム;食用脂肪=1キログラム;食用油=1リットル、さらに、このほか、スープ、ミルク、果物、肉、魚などの缶詰も貯蔵しておく必要がある。
》 妻夫木&檀れい初共演…来年1月公開「感染列島」 (読売, 2/1)。金麦の中の人ですか。
新型インフルエンザなどウイルスが身近な脅威となる現在、映画は感染被害を研究者とシミュレーションしたリアルな内容。
映画が早いか、リアルが早いか。
全般
インド
西ベンガル州政府は数千人に及ぶ殺処分チームに検疫を課しておらず、そのまま自宅に帰し、家族・友人と交わらせている。なんじゃそりゃ……。
政府はようやく今になって、これが潜在的に致命的な大失態であることに気付き、チームを呼び戻してベース・キャンプに隔離し、10日間様子を見ている。
パキスタン
Following the directions of federal government, most of the hospitals of the province have been put on high alert to cope with any emergency arising out of H5N1 strain of avian (birds) influenza. The disease, which had been reported from eastern and southern part of the South East Asia, seems to have been reached most cities of Pakistan during the last 8 hours.パキスタンのほとんどの都市で H5N1 アウトブレイク済か。
パキスタンはインドの西隣で、西ベンガル / バングラデシュとは逆方向。 その先にはイランとアフガニスタン。
インドネシア
その他の地域
タミフル耐性話
検査関連
その他
》 2月は「ボット駆除活動強化月間」、総務省が啓発サイトでアピール (Internet Watch, 2/1)。いつものサイバークリーンセンターではなく、ボット駆除活動宣言というサイト。
ボット駆除活動宣言に掲載されている絵を見ていて思い出したもの: セキュリティ対策まんが クジョたいさく物語 (IPA)
》 JEITAら、省エネ/環境問題に取り組む「グリーンIT推進協議会」を発足 (PC Watch, 2/4)
》 Symantecがペアレンタルコントロールソフトのコンセプトを紹介 (PC Watch, 2/1)
このSymantec Family Safety Initiativeは製品化が決まっているわけではなく、現時点ではコンセプトを示したに留まるという。今後、マーケットリサーチなどを積み重ねて製品化の可能性を探っていくことになるが、3月中旬を目処にβ版を公開。1,000人程度のパブリックβユーザーを募って、意見を聞きたいとしている。
》 やじうまミニレビュー ほんやら堂「おやすみ羊」 (家電 Watch, 2/1)。安眠は重要。
》 Error message on a Windows Server 2003-based computer: "STOP 0x0000008E" (Microsoft KB947479)。 Windows Server 2003 + シマンテック製品 + NTBackup.exe で STOP 0x0000008E なことがある模様。この場合、シマンテック製品に同根されている SymEvent.sys を更新すればよいらしい。Updating the Symevent files (Symantec)、 SymEvent の更新方法 (シマンテック)
》 犯罪者帝国を築くロシア最大の犯罪グループ「RBN」 (日経 IT Pro, 1/31)
》 マルウェア作成キットの歴史~過去から現在へ(下) - Pinchが作った量産体制 (ITセキュリティのアライ出し, 1/31)
》 JIPDEC ISMSユーザーズガイドを改訂 (まるちゃんの情報セキュリティ気まぐれ日記, 2/1)
》 3人死刑執行、鳩山大臣の「ベルトコンベア」が動き出した (保坂展人のどこどこ日記, 2/1)
》 寝不足国会、政局未満でいったん収束 (保坂展人のどこどこ日記, 1/31)
》 Windows Updateができない場合の対処方法 (ハニーポッターの部屋, 2/1)
》 ソフトウェア特許侵害で訴えられた企業がFOSSコミュニティに支援を要請 (Open Tech Press, 2/1)
》 こぶたとセキュリティを学ぼう、マイクロソフトが親子向けサイト (日経 IT Pro, 2/1)
》 なぜセルフレイティングは日本で普及しなかったのか (崎山伸夫のBlog, 2/4)
》 OpenIDのライブラリにはCSRFに脆弱な物が多い (yohgaki's blog, 2/4)
》 捕鯨問題・風向きは変わるのか? 最大の収穫は、森下交渉官の参加:国際シンポジウム (JANJAN, 2/3)
》 ガラス固化試験中断・再処理は直ちにアクティブ試験の完全停止を (JANJAN, 2/3)
関連: 原子力発電所や再処理工場を廃止させるための4つの方法 (関組長の東京・永田町ロビー活動日記blog版, 2/1)
》 ルワンダ大虐殺のその後:将来の展望を失った若者たち(全訳記事) (JANJAN, 2/3)
》 「新s(あらたにす)」の本音は販売網合理化か (JANJAN, 2/2)
》 どうすらあや? 「白バイ事件」裁判の行方 (JANJAN, 2/1)
》 【ハケンという蟻地獄】グッドウィルが巧妙に処分逃れ (JANJAN, 1/31)。「グッドウィル・プレミア」ですか。
》 PHPは駄目な言語なのか? (slashdot.jp, 2/3)。この手の話は「定期 age」なんですかね。 関連: PHPは脆弱なWebアプリを作りやすい (葉っぱ日記, 2/1)、 XSS Challenges (yamagata21)
》 契約自由の原則と下請けいじめについて (栗原潔のテクノロジー時評Ver2, 2/1)、 放送局の下請けいじめ、総務省が実態調査へ (読売, 1/27)。あるあるもありましたしねえ。
》 2月にIT交差点 第二号が登場!! (IT プロフェッショナルのみなさまへ, 2/1)
》 総務省 確定 ASP・SaaSの情報セキュリティ対策に関する研究会報告書 (まるちゃんの情報セキュリティ気まぐれ日記, 2/2)
》 TOMOYO Linux 1.5.3 が公開されました。 (熊猫さくらのブログ, 2/2)
》 必要な情報は自分自身の手で集めなければならない! (ESPIO, 2/3)。結局自分でやるしかないのである。 誰もやってくれないのであるならなおのこと。
関連: お知らせ (ESPIO, 2/3)
当サイトは間もなく更新を一時休止する。
所用で、しばらくネットを集中的にチェックできないからである。
くぅ〜。
》 2007 年に発生した高病原性鳥インフルエンザの感染経路について (ESPIO, 2/3)
》 いわゆる「違法・有害サイト規制」について(2) のかわり (崎山伸夫のBlog, 2/3)
》 Winny媒介型ウイルスの放流元を追跡してみた (高木浩光@自宅の日記, 2/2)
私が自宅でやっているこのcrawlerは、1本の回線を使い、1台の古いノートPCで運用しているという、非力なシステムである。それでもここまでの結果が出た。業務でこの種の調査を行っているところは、数十回線を数十台のコンピュータで並列稼動させ、数分でWinnyネットワークを一巡するほどの勢いで監視しているのかもしれない。そうであれば、高い精度で放流元を特定できるシステムになっているのではないだろうか。
実際、NetAgent の中の人はずいぶん前から「特定できる」と言ってますよね。
》 佐世保道路・道路特定財源28億円を米軍住宅へ現場に行く (保坂展人のどこどこ日記, 2/3)
》 セキュリティは,IT活用を阻害するものであってはならない マイクロソフト 代表執行役社長 ダレン・ヒューストン氏 (日経 IT Pro, 2/4)
》 Webからの脅威と戦った24時間---インシデント対応の現場から 第1回 工場封鎖!繁盛期を襲った悲劇 (日経 IT Pro, 2/4)
》 海外の大手BitTorrentトラッカーが著作権侵害幇助で起訴される (slashdot.jp, 2/3)。The Pirate Bay 話。 ずいぶん前にガサ入れした話のつづきの模様。 世界最大のBitTorrentトラッカーThe Pirate Bay、ようやく著作権侵害幇助で訴えられる (P2Pとかその辺のお話, 2/1)
》 私的録音録画小委員会が経過報告、権利者側からは早期決着求める声 (Internet Watch, 1/30)。BGM: Money
》 「まぢわかんない」「悪い大人を取り締まって」——携帯フィルタリングに未成年者の反応は (ITmedia, 2/1)
》 Microsoft、データ実行防止技術を推進する新APIを提供 Vista SP1、XP SP3、Windows Server 2008に搭載へ (computerworld, 2/1)
Howard氏によると、新しいAPIは多くの開発者、なかでもATL(Active Template Library)の旧バージョンを使っている開発者向けのもので、アプリケーションからDEPを呼び出すことを可能にするという。
より具体的には、同APIを用いることで、アプリケーションが起動中であってもDEPを有効にすることが可能になるという。従来は、DEPを使ってアプリケーションを保護するかどうかを前もって決めておく必要があった。
》 米海軍研究所、10メガジュールの本格的レールガン発射実験に成功 (technobahn, 2/1)、 アメリカ海軍が行った電磁レールガンのテストムービー (gigazine, 2/3)
》 米消費者団体がRealPlayerを「バッドウェア」と認定 (Internet Watch, 2/1)
》 Microsoft が Yahoo! に (再び) 買収提案
》 広がりそうなClamAVの特許侵害問題 (slashdot.jp, 2/1)、 無料オープンソースソフトウェアの法的防衛 (Barracuda)
ThinkPad 用の修正版ファームウェアが公開されています: ファームウェア・アップデート・ユーティリティ 2.5インチ SATA ハード・ディスク・ドライブ用 (lenovo)
対応機種:
ThinkPad G50
ThinkPad R60, R60e
ThinkPad R61, R61e
ThinkPad T60, T60p
ThinkPad T61, T61p
ThinkPad X60, X60s, X60 Tablet
ThinkPad X61, X61s, X61 Tablet
ThinkPad Z60m, Z60t
ThinkPad Z61e, Z61m, Z61p, Z61t
関連: VistaのKB943899適用でノートPCのHDDが突然死 (slashdot.jp, 2008.02.01)
》 VMware株が急落——仮想化大手の行き先に暗雲? 大幅な売上増達成も、アナリストらの期待を下回る (computerworld, 1/31)。期待しすぎだってば……。
》 独禁法当局によるMicrosoftの監視期限、連邦地裁が2年延長を決定 改善項目に対する同社の取り組みの遅れが理由 (computerworld, 1/31)
》 奈良先端大、マウスの海馬に神経活動観察用小型カメラの移植に成功 (technobahn, 1/31)
》 インド洋津波早期警戒システムの海上ブイが行方不明、何者かが持ち去った可能性 (technobahn, 1/31)。なんだかなあ。
》 「もんじゅ」事故の動画がリーク (slashdot.jp, 1/31)
》 年金記録入力作業で中国人アルバイトが大量ミス (slashdot.jp, 1/30)。いやはや。
》 アスキーソリューションズ、不適切取引を認める (ITmedia, 1/31)
》 コクヨ再生紙商品、新たに1811品目を製造中止 (読売, 1/31)
既に中止した商品と合わせると計2583品目となり、再生紙使用商品全体の約6割に上る。
すごい……。
》 新設住宅着工戸数、40年ぶり110万戸割り込む (読売, 1/31)。「冬柴不況」継続中。
》 イスラエル:指導者責任盛り込まず レバノン戦争最終報告 (毎日, 1/31)
》 自主回収する中国製商品リスト 中毒問題 (asahi.com, 1/31)。拡大してますね。被害も拡大している (というか、他にもあったことがわかった) ようで。関連:
終値は前日終値比4000円安の55万8000円だった。 (中略) JT株は一時、同4万円安の52万2000円まで急落し、取引時間中の年初来安値をつけた。
うまくやった人はとても儲かったのだろう。
同工場は度重なる労働争議で地元の評判も極めて悪く、元従業員からは「利益偏重」との批判が相次いだ。(中略) 昨年12月末に工場を解雇されたという女性(45)は「男女を問わず40歳以上の人は全員解雇された。従業員の中には『農民工に保険はかけられない』と幹部から言われ口げんかになった人もいる」と話した。
昨夏から工場を出産休暇中の20歳代の女性は「農民工に月1000元(約1万5000円)程度の薄給で長時間労働を課す一方、幹部たちには多額のボーナスが年末に支払われていると聞いており、工場に戻るつもりはない」と憤った。
》 Internet failure hits two continents (CNN, 1/31)。海底ケーブルが切れて、中東方面がアレになっているようです。 海底ケーブル切断でネット障害。エジプト、インドに影響 (ITmedia, 1/31)
》 クリーンルームがヒント、空気で花粉を払い落とす「マナージェット」 (日経 BP, 1/26)。確かにクリーンルームのアレだ……。自宅にほしい。
》 「情報セキュリティの日」関連行事の開催 (総務省, 1/25)。2/2 は「情報セキュリティの日」なのだそうです。
》 オープンソース・アンチウイルスソフトClamAVの特許侵害でTrend Microがアプライアンス・ベンダーを提訴 (日経 IT Pro, 1/30)。なぜか Barracuda を訴えているそうで。 商売、商売。
Barracuda Networksでは,「この主張からすると,ClamAVをインストールして利用している100万以上のユーザー全員がTrend Microから訴えられる可能性がある。特許は従来から存在する技術であり,無効であると確信している」(President兼CEO Dean Drako氏)としている。
関連:
》 ICANNがドメイン名登録料の方針変更,ドメイン名テイスティング防止策で (日経 IT Pro, 1/31)
》 ビジネスソフト違法コピーの内部告発、2007年は過去最多の506件 (日経 IT Pro, 1/30)
》 ゆうちょ銀行Webサイトの表示ができない(遅い)事象の発生について(対処のお知らせ) (ゆうちょ銀行, 1/31)。Benjamin さん情報ありがとうございます。
2008年01月17日に下記の内容でお知らせいたしました「Windows Vistaでウイルスバスターをご利用のお客さまがゆうちょ銀行Webサイトの表示ができない(遅い)事象」につきまして所要の対処を実施いたしました。
その結果、同事象につきましては解消したことを確認しましたので、お知らせいたします。
ノウハウ公開してほしいなぁ……。
》 【受験生必読】花粉症の薬に要注意 眠気、集中力低下を起こさない薬選び (日経 BP, 1/31)
谷内教授によると、同じ第2世代の抗ヒスタミン薬でも、薬により引き起こされるインペアード・パフォーマンスには程度の差があるという。実際、同じ第2世代の抗ヒスタミン薬でも、自動車運転などへの注意書きは薬によって異なっている。ザジテン、レミカット、セルテクト、アレロック、ジルテック、ニポラジン、アゼプチンには「自動車の運転等危険を伴う機械の操作には従事させないよう十分注意すること」という強い警告、タリオン、エバステル、アレジオンには「自動車の運転等危険を伴う機械の操作には注意させること」というやや強い警告があるのだが、クラリチン、アレグラには、そうした記載自体が存在しない。
》 ITPro Expo 2008 からの帰り道で耳にした会話。
おねえさんA「パンフレットを指と指の間に無理矢理入れちゃうのよ!」
おねえさんB「エェーー」
おねえさんA「けっこうもらってくれるよォ」
これから ITPro Expo 2008 に行く方は、無理矢理ツッコんでくるおねえさんに注意。
WindowsのTCP/IP脆弱性、実証Flashムービーが公開 (ITmedia, 2008.01.31)。MS08-001 話。
つづき。
Firefox 2.0.0.12 で修正される予定なのは同じ。
Cisco Security Advisory: Cisco Wireless Control System Tomcat mod_jk.so Vulnerability。 Cisco Wireless Control System に同梱されている Apache Tomcat の欠陥の話。
[SA28680] Nucleus CMS URL Cross-Site Scripting Vulnerability。 [!!FIX Information ] Nucleus 3.31 XSS in path の件と思われ。 Nucleus 3.32 で直っているようです。 CVE-2008-0497
[SA28688] IrfanView FlashPix Plug-in Memory Corruption Vulnerability。 exploit (milw0rm)
[DSECRG-08-007] OpenBSD BGPD daemon Web Interface XSS。 OpenBSD 4.2 では直っています。
[SA28717] Drupal OpenID Module "claimed_id" Authority Spoofing。 OpenID 5.x-1.1 で直っているそうです。