Last modified: Thu Oct 18 13:30:51 2012 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 「FirstPass」(ファーストパス)のサービス終了 (NTT ドコモ, 6/30)。いやあ、PKI って、本当に駄目ですね。
「FirstPass」は、FOMAにおける企業のイントラネットやECサイトなどへのアクセスを、より安心・安全にご利用いただけるサービスとして提供してまいりましたが、お客様ニーズの変化によるご利用者の減少など、事業環境の変化を踏まえ、このたび経営資源を集中すべくサービスを終了することといたしました。
(中略)
「FirstPass」のサービス終了日 : 2012年8月31日(金曜)
》 マカフィー、「親の知らない子供のオンライン生活」レポートを発表 米国の子供の約半数が、個人情報を他人と共有していることが明らかに (マカフィー, 6/30)。米国での状況。
バッファロー、個人向けにウイルス対策機能搭載のUSBメモリー新製品 (Internet Watch, 6/30)
富士通関西中部ネットテック、データを自動消去可能なUSBメモリ「Tamatebako」 (クラウド Watch, 6/30)
》 Google、中国での香港サイトへの自動転送を中止 (日経 IT Pro, 6/30)
》 「世紀の誤審」FIFAビデオ判定再検討 (ニッカンスポーツ, 6/30)。ようやく前進ですか。
》 パキスタンの法律家曰く「Facebook の創立者は死刑」 (slashdot.jp, 6/29)。ムハンマド方面。宗教上の聖人をおちょくるのはやめましょう。
》 Analyzing the Google Blacklist, Part 1 (stopthehacker.com, 6/28)
》 BIGLOBE、個人ホームページサービスでFTPアクセス制限強化 (Internet Watch, 6/29)
》 ペイパルジャパン、商品不着時の全額補償金プログラムを開始 (Internet Watch, 6/29)。PayPal 話。
》 Windows 2000とWindows XP SP2のサポート期間が7月14日に終了 (Internet Watch, 6/29)。残っていた Windows 2000 マシンを昨日シャットダウンした。
》 無料PDFリーダー「Foxit Reader 4.0」公開 〜注釈機能など、編集機能を大幅に強化 (Internet Watch, 6/30)
Foxit社では、これらのPDF編集機能は、通常のPDFリーダーでは有償版で利用可能となるが、Foxit Reader 4.0では無料で利用可能だとアピールしている。また、政府や企業等で採用できるよう、ISO 32000標準規格に準拠した。
Foxit Readerインストール時には、「Safe Mode」でインストールするかどうか選択できる。これは、PDFに埋め込まれているJavaScript等の実行可否を選択できるものだ。危険なPDF ファイルの多くは、このJavaScriptの機能を悪用することが知られている。この設定は、後ほど「Tool」「Preferences」メニューから変更することも可能だ。
遂に JavaScript OFF でインストール可能に!
》 布川事件 43年前遺留物 DNA型鑑定で対立 (東京新聞, 6/28)。遺留物が「汚染」されている可能性。
元被告の一人は逮捕直後、警察署の取調室の机の上にビニール袋から出して並べられた遺留物を前にして取り調べを受けた。「遺留物につばが飛び、付着した可能性もある」と山本弁護士。
検察側の請求通り鑑定すれば、犯行時のものでなくても、元被告のDNAが検出される可能性があるという。
水戸地裁土浦支部は犯行時に付いたとはいえないDNAが混入する「汚染」問題を重視。今月十一日、汚染の可能性を排除するよう検察側に求め、鑑定を実施する意味があるのかどうか疑問も示した。
日大総合医学研究所の押田茂実教授(法医学)は「遺留物の保管状態が劣悪なうえ、汚染された疑いが強く、適正なDNA型鑑定はできないだろう」と話している。
》 Flash を捨て HTML5 に移行するポルノ業界 (slashdot.jp, 6/30)。これが HTML5 の力だというのか。
Adobe Reader / Acrobat 9.3.3 / 8.2.3 には、APSB10-15: Security updates available for Adobe Reader and Acrobat の他にもいろいろあるそうで。
今回のは、2010.07.13 に予定されていた 3 か月ごとの更新の前倒し。 次回は 2010.10.12 を予定。
http://get.adobe.com/reader には、一発で最新版をゲットできないという問題がある。 現時点だと、次のような手順が必要となる。
一旦 Adobe Reader 9.3 を入手、インストール
その後 Adobe Reader 9.3.2 にアップデート
さらに Adobe Reader 9.3.3 にアップデート
しかし 2010.07.13 からは、一発で最新版 (Adobe Reader 9.3.3) を入手できるようになる模様。
前回の更新から新しいアップデータが有効になっているが、更新してくれた人の数が約 3 倍になったそうで。
Adobe Reader / Acrobat 9.3.3 / 8.2.3 では、 デフォルトで、 /Launch を使ったコマンド実行が抑止されるようになった。
実際には、「コマンド実行の抑止」は回避できてしまう模様。 偽装メッセージは抑止される模様。詳細:
Update on Functionality Changes in Adobe Reader/Acrobat 9.3.3 in Response to PDF "/Launch" Social Engineering Attack (ASSET, 2010.07.01)
Adobe fix still allows “Escape from PDF” (Bkis Global Task Force blog, 2010.07.01)。デモ PDF ファイルが公開されている。
Adobe Reader / Acrobat 9.3.3 / 8.2.3 登場。APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat の件 (CVE-2010-1297) を含め、合計 17 件の欠陥が修正されている。
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-1297).
Note: There are reports that this issue is being actively exploited in the wild.This update mitigates a social engineering attack that could lead to code execution (CVE-2010-1240).
This update resolves an invalid pointer vulnerability that could lead to code execution (CVE-2010-1285).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-1295).
This update resolves an invalid pointer vulnerability that could lead to code execution (CVE-2010-2168).
This update resolves an invalid pointer vulnerability that could lead to code execution (CVE-2010-2201).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2202).
This update resolves a UNIX-only memory corruption vulnerability that could lead to code execution (CVE-2010-2203).
This update resolves a denial of service vulnerability; arbitrary code execution has not been demonstrated, but may be possible (CVE-2010-2204).
This update resolves an uninitialized memory vulnerability that could lead to code execution (CVE-2010-2205).
This update resolves an array-indexing error vulnerability that could lead to code execution (CVE-2010-2206).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2207).
This update resolves a dereference deleted heap object vulnerability that could lead to code execution (CVE-2010-2208).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2209).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2210).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2211).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2212).
関連: Adobe Reader 9.3.2 (CoolType.dll) Remote Memory Corruption / DoS Vulnerability (exploit-db.com)。CVE-2010-2204 の件。
Adobe, Make My Day Too…. (ESET Threat Blog, 2010.06.30)。JavaScript を無効にした環境で更新すると、再び JavaScript が有効になってしまう (というか、デフォルトに戻る) 模様。注意しませう。
日本語版: APSB10-15 - Adobe ReaderおよびAcrobat用セキュリティアップデート公開 (Adobe)
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat
Adobe Reader / Acrobat 9.3.3 / 8.2.3 出ました: APSB10-15: Security updates available for Adobe Reader and Acrobat (Adobe, 2010.06.29)。CVE-2010-1297 は Adobe Reader / Acrobat 9.x 系にだけ影響しますが、他にも大量の修正があるので、8.x 系についても更新版 8.2.3 が出ています。
》 Warning: End of support for 7.4, 8.0 (postgresql.org, 6/24)
》 最も影響力ある有名人、レディー・ガガが初のランクイン=米誌 (asahi.com, 6/29)、 The Celebrity 100 (Forbes, 6/22)
》 米テロ 消防士らに粉じん被害 (asahi.com, 6/28)。9.11 話。
著者らによると、消火活動に当たる消防士の肺機能は一時的に低下するが、普通は数日から数週間で回復する。それを考えると、9・11での消火・救護活動に当たった消防士らの肺機能が、最初の1年で大きく低下し、その後の6年でほとんど回復しなかったのは驚くべきことだと述べている。
》 Down the RogueAV and Blackhat SEO rabbit hole (SANS ISC, 6/28)
》 米国の著作権団体が「Creative Commons などフリーカルチャー団体と戦うための寄付」を募集 (slashdot.jp, 6/29)。あれまあ。
》 TDL3のケース (エフセキュアブログ, 6/28)。第3東京ディズニーランド、ではありません。 (勘違い fixed: 齋藤さん感謝)
》 「第 6 回 IPA 情報セキュリティ標語・ポスターコンクール」の募集開始 〜日韓共同による小中高校生の情報セキュリティ意識向上に向けた創作コンクール〜 (IPA, 6/24)。9/10 締切。
》 CCE(Common Configuration Enumeration) 〜セキュリティ設定項目を識別するための共通の識別子〜 (IPA, 6/24)。 CVE と同様、ベンダー毎に別個の番号を振っているのかな。
》 「情報セキュリティ対策ベンチマーク バージョン3.3」と「診断の基礎データの統計情報」を公開 〜中小企業の対策状況は、4年間を通じて向上。資産分類や事業継続に課題が〜 (IPA, 6/29)
》 Android用Kindleがやっと出たけどiPhone用に比べるとお粗末 (techcrunch, 6/29)
》 怖い話:もしAT&Tの縛りがなかったら、iPhone 4はどれだけ売れていたのだろうか? (techcrunch, 6/29)
》 日本発、次世代ミニ電気自動車 ULV(ビデオあり) (techcrunch, 6/29)、 ULV (早稲田環境研究所)
》 カメラは新たな銃か? (gizmodo, 6/28)
アメリカの少なくとも3つの州で、職務中の警察を撮影する行為が違法になりました。(中略) イリノイ州、マサチューセッツ州、メリーランド州を含む12州では、TVの撮影同様、映像に映る全員の同意を得なくてはならないんですが、警察はもちろん同意するわけないので、カメラ構えてると即逮捕されちゃう、というわけですね。
うひゃあ。
幸い、こうした「撮影者」逮捕の動きが広まる中、これに法的に逆らう動きも見えてきました。少なくともペンシルバニア州の法では、公共の場におけるビデオ撮影の権利を再確認してますよ。スクリングシティとイーストヴィンセントタウンシップの警察が、逮捕された「撮影者」の弁護を担当したACLU弁護士と和解し、その一環として「任務中の警官の録画を許可する方針」を書面で確認、施行したのです。
ACLU さすがです。
》 唾液の成分から癌を発見する技術が開発される (slashdot.jp, 6/29)。へぇ〜。
》 ]言論サイト「WEBRONZA」、オープン日に執筆者の1人が原稿料を暴露し撤退宣言 (edgefirstのメモ, 6/24)。佐々木俊尚氏。
》 アイスランド首相、同性パートナーと結婚 (みやきち日記, 6/28)
新しいガイドライン 2 つ
AMTSO: a serious attempt to clean up anti-malware testing; or just a great big con? (Kevin Townsend, 6/15)
What the New AMTSO Guidelines Mean for Users (trendmicro blog, 6/24)
Anti-virus is a Poor Substitute for Common Sense (Krebs on Security, 6/25)
Brian Krebs on AV Testing (AMTSO, 6/29)
》 合衆国最高裁がビジネスメソッド特許に関する一般裁定を保留 - 宙づり状態がまだ続く (techcrunch, 6/29)。ビジネスモデル特許話。
》 大阪市、貧困ビジネス解明 医療機関に立ち入りへ (中日, 6/29)
》 生活保護目的に入国?中国人32人に支給決定 (読売, 6/29)。中国人 + 大阪市。
》 Another Bad Week for Free Expression on the Internet (EFF, 6/26)。アフガン、パキスタン、トルコにおけるフィルタリング。
》 ネット選挙解禁で日本は変われるのか、「政治の暗黒面」と「望む未来に変える方法」についてとことん聞いてみた (gigazine, 6/25)
》 なぜ、消費税増税? ── 「官」が「菅」を支配する (The Journal, 6/29)
》 日本で、ネットジャーナリズムは定着するのか (産経 / ITmedia, 6/29)
》 パナソニックの「打倒サムスン」は実現可能か (日経BP, 6/25)
》 中古PCにウイルス感染の可能性、ヤマダ電機グループのインバースネット (Internet Watch, 6/29)
》 「頭越し」知事が不快感 (沖縄タイムス, 6/29)、 条件付きも応じず 普天間移設 県議会 (沖縄タイムス, 6/29)、 名護市長「県民と乖離」 日米首脳会談 環境団体「移設は不可能」 (沖縄タイムス, 6/29)。なんも解決してないし。
関連: 「普天間」言及は8党 各党政権公約の沖縄政策 (琉球新報, 6/29)
》 米司法省:ロシア情報機関のスパイグループ逮捕 (毎日, 6/29)、 Ten Alleged Secret Agents Arrested in the United States (justice.gov, 6/28)
》 宮崎県、「非常事態宣言」解除へ 家畜処分終わる月末 (asahi.com, 6/29)。せめて都城市・日向市の移動制限区域・搬出制限区域解除が決まるまで待った方がいいと思うけどなあ。 関連: 都城市・日向市における清浄性確認検査の進捗状況について (農林水産省, 6/27)
》 Perl の商標登録を行った北畠氏曰く「Donation しているから自分は『関係ない第三者ではない』」 (slashdot.jp, 6/28)。ハァ。
CUPS 1.4.4 登場。複数のセキュリティ欠陥が修正されている。
STR #3498: Add more CSRF protections (cups.org)。CVE-2010-0540
STR #3516: Missing malloc checks in texttops (cups.org)。 CVE-2010-0542
STR #3490: CVE-2010-0302: Incomplete fix for CVE-2009-3553 (STR #3200) (cups.org)。 CVE-2009-3553
STR #3577: Memory disclosure in CUPS with admin URLs (cups.org)。 CVE-2010-1748
STR #3510: cups overwrites files as root in a directory with non-root write permission (cups.org)。 CVE-2010-2431
STR #3518: Infinite loop when not compiled with HAVE_GSSAPI (cups.org)。 CVE-2010-2432
libpng 1.4.3 / 1.2.44 登場。任意のコードが実行される欠陥 CVE-2010-1205 が修正されている。
CVE-2010-2249 もあるそうで。こちらは DoS の模様。
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat
Adobe Reader, Acrobat および Flash Player のauthplay.dllの脆弱性(CVE-2010-1297)に関する検証レポート (NTT データセキュリティ, 2010.06.15 更新)
マイクロソフト セキュリティ アドバイザリ (2219475) Windows のヘルプとサポート センターの脆弱性により、リモートでコードが実行される
関連:
Windowsのヘルプとサポートセンターの脆弱性(CVE-2010-1885)に関する検証レポート (NTT データセキュリティ, 2010.06.15)
Windowsのヘルプとサポートセンターに脆弱性--報告したグーグル社員に非難の声も (CNET, 2010.06.14)
責任ある開示とは何か--オーマンディ氏の情報開示の「責任」は (CNET, 2010.06.28)
修正に時間がかかりすぎるという問題があるわけで。
2010.06.09 付で、 Windows XP / Server 2003 / Vista / Server 2008 上の .NET Framework 2.0 / 3.0 への対応が追加されています。 マイクロソフト セキュリティ アドバイザリ(973811) 認証に対する保護の強化 を参照。 ただし、副作用に注意:
.NET Framework 3.5 Service Pack 1 および.NET Framework 2.0 Service Pack 2 用の更新プログラムにより、コントロール パネルの [プログラムの追加と削除] に更新プログラムの完全なタイトルではなく、サポート技術情報の文書番号が表示される場合がある (Microsoft KB 2197146)。無視していいそうです。
"Could not load type 'System.Security.Authentication.ExtendedProtection.ExtendedProtectionPolicy'" exception error after you install update 982167 or update 982168 (Microsoft KB 2262911)。hotfix あるそうで。
》 FTC、Twitterに対して「今後20年間ユーザーを惑わせる」行為を禁止 (techcrunch, 6/25)
》 アドビの64ビット版「Flash Player」の行方--提供中止の理由と今後の方針 (CNET, 6/25)。あららん。
》 FIFA国際サッカー連盟が仏政府権力のスポーツ介入にストップ勧告 (JANJAN blog, 6/28)
》 〈言論の自由〉をめぐる裁判、尾木直樹法大教授が鑑定意見書 提出 (JANJAN blog, 6/27)
》 サルコジ仏大統領の警備で警察がカメラマンに暴力、報道の自由に危機 (JANJAN blog, 6/26)
》 インターネット、大統領が非常時は完全遮断可能に... (gizmodo, 6/27)
》 Study of clickjacking vulerabilities on popular sites (SANS ISC, 6/27)
》 「闇市場」サイトの会員情報が大量に流出、商売敵の犯行か (日経 IT Pro, 6/28)。carding。
》 GmailでMicrosoft Word文書のプレビューが可能に (ITmedia, 6/28)
》 The applications that use the TDI driver for network traffic may stop responding in Windows Server 2008 R2 or in Windows 7 (Microsoft KB 2028827)。hotfix 出ています。
》 フェアユースに関するパブコメを提出 (CCJP, 6/25)
》 Appleはあなたの居場所の情報を集め、誰かと共有できる (gizmodo, 6/28)、 米下院委員会、ユーザーの位置データ収集についてアップルに質問状 プライバシー・ポリシーに記された「第三者との共有」が焦点 (ComputerWorld.jp, 6/28)、 プライバシーポリシー (Apple)
ロケーションベースサービスについて
アップル製品でのロケーションベースサービスを提供するために、アップルならびに当社のパートナーおよびライセンシーは、お客様のアップルコンピュータまたはデバイスのリアルタイムの所在地を含む正確な所在地データを収集、使用および共有することがあります。この所在地データは、お客様を個人として識別せずに、匿名で収集され、アップルならびに当社のパートナーおよびライセンシーにより、ロケーションベース製品およびサービスの提供および向上のために利用されます。例えば、お客様がロケーションサービスについて許可する場合に、当社は、当該サービスのアプリケーションプロバイダと所在地を共有することがあります。
MobileMeや「Find My iPhone」機能などのアップルが提供するロケーションベースサービスの中には、当該機能を実行するためにお客様の個人情報を要求するものがあります。
》 浜名湖ボート転覆:青年の家所長、ボートえい航経験なし (毎日, 6/21)
19日の会見で檀野所長は「20人をモーターボートに移すのは無理で(えい航は)妥当な手段」と述べた。しかし東海大海洋学部航海学科の佐藤治夫教授は「えい航される船は左右に揺れ、引っ張られる船に、かじを切る専門家がいないと難しい。湖が荒れている場合はなおさらだ。生徒を他の船に移す必要があったのではないか」と指摘。日本海洋少年団中部地区連盟(名古屋市)の男性職員も「人を乗せたボートをえい航した経験は自分もない。なぜモーターボートに生徒を移し(岸と)往復しなかったのかと思うが、生徒を早く陸へ戻したかった気持ちは分かる。批判はできない」と話す。
》 ゴール?オフサイド?疑惑の判定相次ぐ W杯決勝T (asahi.com, 6/28)。改善が必要でしょう。
》 今夜こそわかる安全なSQLの呼び出し方 〜 高木浩光氏に聞いてみた (@IT, 6/25)。上野宣氏が高木浩光氏に聞いてみた記事。
》 Google、SSL検索サイトのドメインを変更 教育機関での問題に対応 (ITmedia, 6/28)。https://encrypted.google.com だそうで。 Equifax Secure CA (1024bit / SHA-1)。
》 アダルト専用「.xxx」ドメイン、ICANNが承認 (ITmedia, 6/28)
》 美浜1号機 50年運転へ…国内最長 関電、10年継続決める (読売, 6/26)。チキンランをさらに継続。
関連: 関電美浜1号を置き換えへ 10年延長後、新大型炉に (中日, 6/28)。ふぅん。
》 最新鋭の無人偵察機「プレデター」投入へ 米国土安全保障省 (産経 MSN, 6/25)。アフガンではなくメキシコ国境。
》 漫画海賊版サイト対策、日米出版社で協力 法的措置検討 (asahi.com, 6/25)、 マンガ違法サイト摘発のため日米出版社が連携 (デジタルコミック協議会, 6/25)
》 Firefox 3.6.6 を公開しました (Mozilla Japan ブログ, 6/27)
Firefox 3.6.4 のリリース後、主に古いパソコンを使用している一部のユーザから、特にゲームサイトで、プラグインの応答待ち時間を伸ばして欲しい場合があるとの声が寄せられました。それらのユーザにとって 10 秒という初期設定のタイムアウトは短すぎたようでした。この問題を解決するため、Firefox がプラグインを終了させる前に応答を待つ時間を 10 秒から 45 秒に伸ばすことにしました。以上のような変更が Firefox 3.6.6 で行われ、本日すべてのユーザに自動更新機能を通じて配布されました。
》 致命的だった殺処分の遅れ 山田農相一問一答 (宮崎日日新聞, 6/24)
—初動防疫態勢を振り返ってどう感じているか。
山田 国の指針通りにすぐ殺処分や埋却を行ったえびの市や都農町の最初の例では、うまく封じ込められた。一方、埋却地が確保できず殺処分が間に合わなくて放置した所はかなり(感染が)出た。初動で埋却、殺処分が遅れたのは致命的だった。
—政府の現地対策チーム設置が遅れたのでは。
山田 ワクチン接種は事務方ではなく政治家が現地で判断、説得しないといけない。あれより早く(設置すべきだった)という声はあるが、あの時ですらみんな反対したのに、それより前ではワクチン接種に協力いただけたか。ぎりぎりのタイミングだった。
—国と県の連携は。
山田 対応をもう少し緊密かつ迅速にできればよかったのかも。第一義的に県の責任。県がえびのみたいに十分にやってもらえれば良かったのだが、川南で埋却が滞留してしまった。あの時点からステージが変わった。あのままワクチンを打たなかったらと思うと少しゾッとする。
》 感染気付かず拡大か 数十検体から抗体確認 (宮崎日日新聞, 6/26)、 口蹄疫疫学調査チーム第3回検討会の概要 (農林水産省, 6/25)
》 口蹄疫防疫措置実施マニュアル (農林水産省, 6/24)、 埋却公有地利用も 農水省、防疫マニュアル通知 (宮崎日日新聞, 6/25)、 作業迅速化を重視 埋却地確保有効策出せず (宮崎日日新聞, 6/26)
》 移動制限等解除に向けた清浄性確認検査について (農林水産省, 6/25)。 「西都市(283例目)・国富町(290例目)・宮崎市(285例目)」 の「移動制限区域解除のための清浄性確認検査を6月28日(月曜日)から順次開始」だそうで。 関連: 28日から清浄性検査 児湯は堆肥処理次第 (宮崎日日新聞, 6/26)、 ふん尿処分進まず 清浄化遅れ懸念 (宮崎日日新聞, 6/27)
》 恐竜絶滅 ほ乳類の戦い 前編 新たなる強敵(仮) (NHK スペシャル, 7/18 放送予定)、 恐竜絶滅 ほ乳類の戦い 後編 頂点への道(仮) (NHK スペシャル, 7/19 放送予定)。 恐竜がいなくなっても鳥やワニがいた、という話みたい。
》 「3〜13分が許容範囲、10分以上は疲れる」アンケートで明かされた一般的なカップルの性の実態 (gigazine, 6/25)
回答者は性科学にかかわる分野で活躍する北米の心理学者・医師・ソーシャルウォーカー・セラピスト・看護士など。アンケートでは回答者自身の性生活についてではなく、合計するとこれまで数十年間にわたり数千人の患者を診てきたという経験に照らし合わせて、性行為の時間(前戯を除いた純粋な性交の時間)を一般的に見て「短すぎる」「十分」「望ましい」「長すぎる」の4段階で評価してもらいました。
その結果、回答者の大部分が「性交の時間は3〜7分で十分、7〜13分が望ましいが、13分を超えると長すぎる」と考えていることが明らかになりました。また、「1〜2分だと短すぎる」という見解もほとんどの回答者で一致したとのこと。
》 「村木元局長の無罪確信」大平光代さんエール…郵便不正事件 (読売, 6/27)
「身に覚えのないことで疑われ、信じてもらえないことがどんなにつらいか」。大平さんは昨年7月、社会福祉法人理事長の竹中ナミさん(61)と支援のホームページを開設、拘置中の村木被告に500通を超える激励の手紙を送るなどした。
村木厚子さんの完全な名誉回復を願う (prop.or.jp) のこと。
Stable Channel Update (Google Chrome Releases blog, 2010.06.24)。 Google Chrome 5.0.375.86 登場。5 件の修正の他、組みこみ Flash Player が実装されたりしている。 Google ChromeがいよいよFlash内蔵で提供されることに (techcrunch, 2010.06.25)
libtiff
v3.9.3 (remotesensing.org)。 CVE-2010-1411 CVE-2010-2065 CVE-2010-2443 が修正されている。
v3.9.4 (remotesensing.org)。 CVE-2010-2067 が修正されている。 Multiple Vendor LibTIFF 3.9.2 Stack Buffer Overflow Vulnerability (iDefense, 2010.06.21)
マイクロソフト セキュリティ アドバイザリ (2219475) Windows のヘルプとサポート センターの脆弱性により、リモートでコードが実行される
Windows のヘルプとサポートセンターの未修正の脆弱性に関する注意喚起 (JPCERT/CC, 2010.06.28)
2010年6月28日、JPCERT/CC では「いわゆるGumblar ウイルス」によるWeb サイト改ざん攻撃において本脆弱性が使用されていることを確認しました。
[JS10002] 一太郎の脆弱性を悪用した不正なプログラムの実行危険性について が改訂された。一太郎 2004/2005 用の修正プログラムが公開されている。
このサンプルプログラムで使用されているセッションIDはユーザーを識別可能、かつ誰でも入手可能な情報のみを元に生成されているため、他人のセッション IDを容易に推測・再現可能である
だそうです。記事中で、改善方法が示されています。
https://www2.kobayashi.co.jp/ の証明書は「発行日: 2010/03/11」だけど、証明書階層をたどっていくと VeriSign Class 3 Primary Certification Authority にたどりつく。これは MD2 で署名されたルート証明書で、SSLサーバ証明書、コードサイニング証明書における 認証局証明書(ルート認証局証明書、中間認証局証明書)の変更、およびメンテナンスのお知らせ (ベリサイン, 2009.05.27 更新) で使われなくなったはずじゃなかったの? という話。鈴木さん情報ありがとうございます。
これなんですが、Important Update: VeriSign SSL, OFX and Code Signing Certificates moved to 1024-bit SHA-1 root as of May 17, 2009. (verisign, 2009.04.06) と SSLサーバ証明書、コードサイニング証明書における 認証局証明書(ルート認証局証明書、中間認証局証明書)の変更、およびメンテナンスのお知らせ (ベリサイン, 2009.05.27 更新) の記述が、なんだか違うみたいなんですよね。 前者では
How does VeriSign ensure that the new root CA Certificates and intermediates are trusted in browsers?
The new root CA "Class 3 Public Primary Certification Authority - G2" has existed since 1998, and as such is already embedded in the browsers. It simply was not used in the current hierarchy.
となっていて、新しい証明書は Class 3 Public Primary Certification Authority - G2 からはじまる階層になるとされています。ところが SSLサーバ証明書、コードサイニング証明書における 認証局証明書(ルート認証局証明書、中間認証局証明書)の変更、およびメンテナンスのお知らせ (ベリサイン, 2009.05.27 更新) では、
Q: 今回の変更により、ルート証明書と中間証明書の両方が変更されるのでしょうか?
A: はい、ルート認証局証明書と中間認証局証明書の両方とも変更になります。
・セキュア・サーバID、コードサイニング証明書
(変更後のルート認証局証明書) Class 3 Public Primary Certification Authority - G2 [1024bit / sha1]
・グローバル・サーバID、グローバル・サーバID EV、グローバル・サーバID EV for Mobile、セキュア・サーバID EV、 コードサイニング証明書
(変更後のルート認証局証明書) VeriSign Class 3 Public Primary Certification Authority [1024bit / sha1]
となっていて、大半は依然として VeriSign Class 3 Public Primary Certification Authority からつながるようです。で、これは SHA1 じゃなくて MD2 のようなのです。
今気がついたけど、https://www.google.com/ も VeriSign Class 3 Public Primary Certification Authority の下にあるようで。
この他にも、VeriSign は VeriSign 2048 bit Root Migration (VeriSign, 2010.01.20) で RSA 2048bit 化 (VeriSign Class 3 Secure Server CA - G3) を推進している一方で、 【ご注意ください】 KDDI社 au端末上の EZアプリ(BREW) 向けサービスにおいて SSLサーバ証明書をご利用の場合の注意点 (ベリサイン, 2010.06.01) なんて話があるそうです。
》 アドビの64ビット版「Flash Player」の行方--提供中止の理由と今後の方針 (CNET, 6/25)
》 Google、ユーザーのAndroid端末からアプリをリモート削除 (ITmedia, 6/25)。zap zap。
》 フジテレビ批判「もやしもん」作者 激怒から一転、半日で解決 (J-CAST ニュース, 6/21)
》 iPhone 4ハードウェアに問題あり - しばらく購入見合わせが賢明か? (techcrunch, 6/25)。 「キズが付く、割れる(やっぱりガラスだ)」「画面に黄色い帯やドットが出る」「ベゼルに触れていると受信に失敗する」
関連: Apple、iPhone 4の「持ち方によって電波感度が弱くなる」問題認める (ITmedia, 6/25)
》 SSワトソン代表「妨害指示」で国際手配 (読売, 6/25)、シー・シェパードのポール・ワトソン代表を国際手配 (産経 MSN, 6/25)
》 iPadの感染について (Panda Security Japan ブログ, 6/24)
ちょうど予想通りに、iPhone/Eeki は iPad上で動作しました。
》 「ドブスを守る」動画投稿2学生を退学処分 首都大東京 (asahi.com, 6/24)、本学学生の懲戒処分について (首都大学東京, 6/24)。切り捨てですか……。 教育機関の一員としては、退学はやりすぎなんじゃないかと思うのだが。
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat
関連:
Adobe Flash PlayerおよびReaderのゼロディ脆弱性を分析する (ITセキュリティのアライ出し, 2010.06.23)
国内企業を狙ったゼロデイ攻撃、Adobe Readerの脆弱性を悪用 政府機関をかたるメールにPDFファイル、開くとウイルスに感染 (日経 PC Online, 2010.06.23)
Adobe Reader および Acrobat のゼロデイ脆弱性を悪用するSPAMメール (IBM ISS Tokyo SOC Report, 2010.06.22)
APSB10-15: Security Advisory for Adobe Reader and Acrobat (Adobe, 2010.06.24) 出ました。現在の内容は、既報の予告編 (2010.06.29 に修正版を公開予定) だけです。
》 仕分けで天然ガス車ピンチ (日経ビジネス, 6/24)
》 YouTube 対 Viacom、NY 地裁は YouTube に軍配
YouTube、対Viacom著作権侵害訴訟に勝訴〜セーフハーバールールに該当 (Internet Watch, 6/24)
GoogleとYouTube、著作権侵害訴訟でViacomに勝訴 (日経 IT Pro, 6/24)
》 JPCERT/CC、国内初のCNAに認定 (JPCERT/CC, 6/24)。 JPCERT/CC が CNA (CVE Numbering Autority) に。 JPCERT/CC 独自の判断で CVE 番号を付与できるようになったそうです。
》 PCI SSC、PCI DSSの改訂サイクルを「3年ごと」へと延長 「販売業者などが導入/移行の準備期間を十分確保できるようにする」と説明 (ComputerWorld.jp, 6/23)
》 XSSの脆弱性についてのコメント (エフセキュアブログ, 6/23)
》 仏監獄の人食、 裁判で「彼の魂が欲しかった」と証言 欠陥刑務所に原因か (JANJAN Blog, 6/23)
》 マツダ工場内暴走事件の衝撃 (JANJAN Blog, 6/23)
》 キンバリー・プロセス:ジンバブエ産ダイヤモンドの取引停止を (ヒューマン・ライツ・ウォッチ, 6/21)
》 ルートゾーンへの DS レコードの追加について (JPRS, 6/23)
》 これが日本の「選挙」の知られざる実態、選挙プランナーの松田馨さんにインタビュー (gigazine, 6/24)
》 滋賀県知事選が告示 現職と2新人が届け出 (中日, 6/24)。こちらも 7/11 投票。嘉田由紀子、丸岡英明、上野賢一郎の 3 氏。前回の衆議院議員選挙で落選した上野賢一郎氏は知事を目指しますか。
》 ソフォス、アップル iPhone 向け Security Threat Monitor を発売 (Sophos, 6/14)
》 iPhone 4の画面に黄色い帯とドット(写真集) (gizmodo, 6/24)。QC どうなってるの……。
》 JNSA 第2回「学術界とのギャップ解消検討BoF」 (ATND)。2010.07.13、東京都港区、「産業側はJNSA会員さまがおもなターゲットなのですが、学術側はだれでもウェルカムです」。
関連:
JNSA 学術界とのギャップ解消検討BoF まとめ (EL TIO, 4/16)。第1回のときの話。
セキュリティの神話 (オライリージャパン)。第44章「セキュリティ業界」が、まさにそういう話。
こうして、研究とビジネスの両方に関わってきた人間の目から見て言えることは、「学問的な研究が基になって生まれた実用的技術は確かに存在するが、その中で(学術の世界ではなく)ビジネスの世界に大きな影響を与えたものは少ない」ということである。例外が存在しなくはないが、そのほとんどは暗号に関わるものだ (中略)。
そうなっているには様々な理由がある。理由として特に大きいのは、情報が両者の間ではほとんど共有されていない、ということだ。 (中略) 学問の世界では、我々がとっくに実用化していた技術が何年後かに「再発明」され、論文に書かれているような有様だった。それというのも、情報の共有がないせいだ。 (中略)
研究者の問題は、ビジネスの世界で何が起きているかを知らないということだけではない。彼らはそもそも、セキュリティに関して、何が問題になっているのか、ということをよく理解していない。実際にセキュリティの問題に取り組んでいる企業や、その顧客と時間をかけてコミュニケーションをしていないので、解決を求められている問題が果たしてどういうものなのか、理解できるはずもないのだ。
欧米ですら、こうなわけです。
》 菅首相、朝の「ぶら下がり」やめた 呼びかけにも無言 (asahi.com, 6/21)。ようやく終了。
》 自らの賄賂疑惑に沈黙するマスコミに、 大相撲賭博を糾弾する資格はあるか (週刊・上杉隆, 6/24)。もちろん、ない。
》 エフセキュア最高技術責任者に聴く「セキュリティの未来」 (マイコミジャーナル, 6/23)。ピルカ・パロマキ CTO へのインタビュー。
》 OpenSCAP - Framework For Implementing SCAP (Security Content Automation Protocol) (darknet.org.uk, 6/21)。 関連: SCAP(Security Content Automation Protocol) 〜情報セキュリティ対策の自動化と標準化を実現する技術仕様〜 (IPA, 2/25)
》 アフガン駐留米軍の司令官辞任 雑誌で政権批判発言 (asahi.com, 6/24)。スタンリー・マクリスタル司令官、 The Runaway General (Rolling Stone, 6/22) の件で、 事実上の更迭。デイビッド・マキャナン司令官に続いて、これで 2 人連続ですね。 オバマ政権は、現場がまるでわかってないんじゃないのか。 関連:
国際治安支援部隊 (ウィキペディア)
ゲーツ米国防長官、アフガン駐留米軍司令官を更迭 (AFPBB, 2009.05.12)
オバマ米大統領、駐アフガン司令官を解任 政権批判めぐり (AFPBB, 6/24)
欧州やアフガニスタンのハミド・カルザイ(Hamid Karzai)大統領はマクリスタル司令官への支持を表明していた。
マクリスタル司令官解任の衝撃 (The Journal, 6/24)
オバマ大統領は、マクリスタル解任以降もアフガン戦略に何の変更もないと強調しているが、アメリカの多くのメディアは今回の事態を、朝鮮戦争時のトルーマン大統領によるマッカーサー総司令官解任事件と比較して分析している。
マッカーサー解任は全く正しい行為だったが、今回のは……
カルザイ大統領は、すでにマクリスタル司令官を擁護する姿勢を見せていた。現地の軍人たちの反応も、「ローリング・ストーン」誌の記事に対して、ある意味で「よく言ってくれた」というものがあるという。
》 海上自衛隊のトイレ内で 3 等海曹が死亡、し尿分解機構のトラブルで硫化水素が発生? (slashdot.jp, 6/23)。関連:
海自:護衛艦「ゆうぎり」のトイレで隊員死亡 (毎日, 6/10)。亡くなったのは 6/9。
海自3等海曹死亡事故:硫化水素逆流か (毎日, 6/23)
海自によると、ゆうぎりのトイレは、トイレ下のタンク内のし尿を分解し、発生した有毒ガスは排気管を通じて艦外へ出す構造。空気の循環が悪くなってバクテリアによる汚物処理が不十分だったことなどから、硫化水素がトイレ内に充満したと推定されるという。
ほかの護衛艦でも硫化水素発生 海幕長、トイレ内事故死で (47news.jp, 6/22)
赤星慶治海上幕僚長は22日の定例会見で「(トイレの個室内に)逆流した硫化水素によって亡くなった可能性が高い。過去にも護衛艦などで数件、硫化水素が発生した事案があった」と述べた。
赤星海幕長は、同種の処理タンクがある艦艇約130隻について、安全確認や再発防止を徹底することを明らかにした。
「ゆうぎり」で死亡の海曹弔う (東奥日報, 6/23)。「通信員の今井健二2等海曹(殉職で特別昇任)=岐阜県出身=」。合掌。
》 記者の目:米インディアン居留地 ウラン鉱汚染=吉富裕倫 (毎日, 6/24)。ここにもヒバクシャ。
》 フリーランスライター畠山理仁の「永田町記者会見日記」│第18回 (magazine9.jp, 6/24)
江川 「身柄をとられていない人が録音したいと言った場合、なぜ録音録画をしてはいけないのか?」
鈴木 「自分の都合のいいところだけ編集をいくらでもできるじゃないですか。一から十まで聞かれて困るんですか、困るからダメと言っているんじゃないんです。隠し撮りされて、全体の流れで聞けばやむを得ないとか仕方ないということがあっても、前後を切って、そこだけポンと出されるというのはマズイです。
「前後を切って、そこだけポンと出されるというのはマズイ」ってあなた……。それまさに、検察が今やっていることじゃん……。
》 参院選:「ネットで選挙活動」民主・藤末議員 (毎日, 6/24)
ネットを使った選挙活動は公職選挙法上、「パソコン上の文字情報などが文書図画に該当する」として規制対象となる。藤末氏はHP上で「選挙期間中の投票依頼の電話かけが合法となっているように、『音声』は規制対象となっていない」と説明。「総務省と顧問弁護士に確認を取った」としたうえで、ネットで音声を流すことは合法との見解を示した。ネットを利用する理由については「若者に選挙への関心を持ってもらうため」などとした。
iOS 4 は IPv6 に対応しているのだそうです。それはいいのですが、
IPv6 を無効にする方法がありません。iOS 4 のβ版には有効・無効にするスイッチがあったそうですが、iOS 4 正式版からは削除されてしまったそうです。
IPv6 アドレスのインターフェイス識別子が、 MAC アドレスを含む形 (EUI-64 アドレス) で設定されてしまうそうです。 RFC3041: Privacy Extensions for Stateless Address Autoconfiguration in IPv6 (IETF) は採用されていないようです。
関連: IPv6 のインターフェイス識別子 (Microsoft Technet)
》 ロレアル長者は脱税金の仏帰還宣言、ブルト労相はメディアが退職年齢法案阻止と批判 (JANJAN blog, 6/22)
》 データ復旧.comがファームウェア障害の対応強化、復旧率20%増の要因とは (Internet Watch, 6/22)
「ハードディスクの故障にファームウェアが関係していることは以前から認識していたが、約半年前ごろから本格的にファームウェアの解析に着手した。その結果、復旧成功率が飛躍的に向上した」(安藤氏)。
》 郷原信郎・弁護士インタビュー vol.2 「東京、大阪両特捜部の杜撰な捜査はなぜ起きたのか」 (現代ビジネス, 6/23)
》 電子書籍の3省懇談会、著作権集中管理や統一中間フォーマットの検討を提言 (Internet Watch, 6/22)
》 [jp]日本からエンジェル投資家がいなくなる? 日本証券業協会のパブコメ問題 (techcrunch, 6/22)
》 Kindleプラットフォームの勝利 (techcrunch, 6/23)
》 勝ち星も年寄り株もタニマチとの付き合い〜角界のゴッツァン体質 (田中龍作ジャーナル, 6/22)
タニマチには(政権交代前の)大物政治家が名を連ね、横審の委員長はマスコミ界のドンの指定席だった。大物政治家は不祥事をもみ消すなど朝メシ前である。警察署長か本庁の課長に電話一本入れれば済むだけのことだ。マスコミ界のボスは不祥事を鶴のひと声で報道させない。
自民党政権下、極端に言えば相撲協会は何をやっても許されてきた。八百長や暴力団との付き合いなどを時たま週刊誌が報じるが、火の手は全く大きくならなかった。いつもボヤでもみ消されていたのだった。
関連:
「相撲案内所」1軒契約解除…前代表が元組員 (読売, 6/21)
永谷園、名古屋場所での懸賞金中止 (読売, 6/22)
琴光喜を恐喝、逮捕状の元力士なお所在不明 (読売, 6/23)
The Runaway General (Rolling Stone, 6/22)
米大統領、雑誌での発言めぐり駐留米軍司令官を召還 (CNN, 6/23)
アフガン駐留米軍のマクリスタル司令官 退任へ (CNN, 6/23)
》 感染疑いの豚、全16万2千頭処分 (asahi.com, 6/23)。豚は処分完了。
》 自民党本部でのコスプレパーティ、党関係者の逆鱗に触れる!? (ITmedia, 6/22)。ドクター中松まで登場する、自民党のコスプレイベントがスゴ過ぎる件、本当だったのか……。痛すぎる……。
【続報】グーグルがストビューカーで勝手に収集していたデータ、重要なパスワードやメール本文も含まれると判明! (gizmodo, 6/21)
グーグル、Wi-Fiデータの“誤収集”でパスワードや電子メールも記録 フランスのプライバシー監督機関の調査により明らかに (ComputerWorld.jp, 6/22)
グーグルのWi-Fi傍受をめぐり、米国の複数州が合同調査へ コネチカット州の検事総長が指揮する調査に最高30州が参加か (ComputerWorld.jp, 6/22)
》 経済産業省 パブコメ クラウド・コンピューティングと日本の競争力に関する研究会 報告書(案) (まるちゃんの情報セキュリティ気まぐれ日記, 6/22)
》 キルギスタン支援急ぐ (国連情報誌SUNブログ対応版, 6/22)
》 「新たなセキュリティ脅威には多層的な対策を」---iTRの舘野氏が1点集中防御の限界を指摘 (日経 IT Pro, 6/22)。新しい話はなさげ。
》 Waka Waka FIFA 2010: Targeted PDF attack uses World Cup theme as bait (McAfee Labs Blog, 6/22)
》 The "Modified time" file attribute of a registry hive file is updated when an application loads and then unloads the registry hive file without making any changes on a computer that is running Windows Server 2008 R2 or Windows 7 (Microsoft KB 983544)。hotfix あるそうで。
》 参議院選挙のゴングが鳴る前に (保坂展人のどこどこ日記, 6/22)。今回もまたもやネット解禁ならずなので、
6月24日から参議院選挙が始まる。会期末近くの「鳩山退陣」政局ではじきとばされたのかのように、「公職選挙法改正=ネット解禁」が先送りにされたことで、またもや「選挙期間中17日間の沈黙」を強いられるという事態に陥った。もっとも、人々に「言葉」を届けて支持を訴えたい時に、旧態依然とした「選挙カーと辻説法」に頼らざるをあない。しかも、衆議院小選挙区であればまだ有権者の範囲も限られている。これが、今回のような「全国比例区」となれば、砂漠で水をまくようなことになる。
そこで、選挙が始まる前に時間をつくって、なるべく今考えていることを書いておくことにする。
事前に書いておかなければならないという。あほくさ。
》 売れすぎちゃって超高飛車? iPhone販売キャリアが、面倒な問い合わせに恐喝対応! (gizmodo, 6/22)。US もいろいろあるようで。
》 iPhone 4予約に請求された「頭金」が消滅するかもしれません (gigazine, 6/22)
》 実験!スパムボットが1日に配信するスパムメールの数とは? (トレンドマイクロ セキュリティ blog, 6/22)
単体のボット「Mega-D」が24時間で配信したスパムメールは約255万通で、1分間当たり平均1,764通が配信されたことになります。
》 署名されているのだからクリーン、でしょう? (エフセキュアブログ, 6/21)。コード署名されたマルウェアの事例。 関連: “Who’s your Verisign?” — Malware faking digital signatures (Sophos, 6/23)
The BHO has been seen installed as a file named directdbres.dll. The DLL spoofs Microsoft product information and is registered as “FlashPlayer.Class” component — forging the fields displayed in the “Manage Add-ons” window of Internet Explorer options. Even more devious is the tactic to install a rogue “VeriSign Class 3 Code Signing 2009 CA” certificate as a Trusted Root Certificate Authority, which allows the BHO to avoid the taboo of being declared “Not verified”. To make their DLL appear “trusted”, the malware authors have simply (a) generated a rogue Verisign certificate, (b) used the rogue Verisign certificate to issue another rogue certificate, for Microsoft this time, and (c) signed the DLL using the key for the fake Microsoft certificate. Installing their fake Verisign certificate on a victim’s computer is the final piece of the puzzle to ensure their malware appears to be a genuine Microsoft product.
》 「トルコのハッカーがハッキング」? (エフセキュアブログ, 6/22)。twitter ねた、イスラエル方面。
》 McAfee, parental controls and Apple devices = safer kids online (McAfee Labs Blog, 6/22)。ふぅむ……。
》 Advanced Persistent Threat (APT) (McAfee Security Insights Blog, 6/21)
MS10-041 - 重要: Microsoft .NET Framework の脆弱性により、改ざんが起こる (981343) の .NET Framework 1.1 SP1 用 patch をインストールしようとすると、 古いバージョンのアンチウイルスソフトが反応してしまうことがある模様。
Windows Update を実行後、シャットダウン時にフリーズする、またはウイルス対策ソフトから警告メッセージが表示される場合 (日本のセキュリティチーム, 2010.06.22)
[MS10-041] Windows 2000、Windows XP、Windows Server 2003、Windows Vista、および Windows Server 2008 の Microsoft.NET Framework 1.1 Service Pack 1 用のセキュリティ更新プログラム (2010 年 6 月 8 日) について (Microsoft KB 979906)
マカフィー旧製品を利用されている場合、Windowsのモジュール「Msiexec.exe」が不審なプログラムとして検出されます。 (マカフィー, 2010.06.16)
Windows Updateが途中で停止してWindowsが自動的にシャットダウンされない現象について (マカフィー, 2010.06.16)
警告: 「悪質なスクリプトを検出しました」 が MsiExec.exe ファイルに対して表示される (Norton 2005 以前の製品をインストールしたコンピュータで Windows Update 実行時) (シマンテック, 2010.06.15)
Firefox 3.6.4 がリリースされたので、セキュリティアドバイザリも公開されました。
SA 番号 | 重要度 | 概要 |
---|---|---|
MFSA 2010-30 | 最高 | XSLT ノードの並べ替えにおける整数オーバーフロー |
MFSA 2010-29 | 最高 | nsGenericDOMDataNode::SetTextInternal におけるヒープバッファオーバーフロー |
MFSA 2010-26 | 最高 | メモリ破壊の形跡があるクラッシュ (rv:1.9.2.4/ 1.9.1.10) |
MFSA 2010-25 | 最高 | スコープの混同による解放済みオブジェクトの再使用 |
Firefox 3.6.4 / 3.5.10 登場。7 件 / 9 件の欠陥が修正されている。 MFSA 2010-25 は Firefox 3.6.3 で修正済、MFSA 2010-27 は Firefox 3.6.x には影響しない。
SA 番号 | 重要度 | 概要 |
---|---|---|
MFSA 2010-33 | 低 | Math.random() を使用したサイト間でのユーザトラッキング |
MFSA 2010-32 | 中 | Content-Type: multipart 設定時に Content-Disposition: attachment が無視される |
MFSA 2010-31 | 中 | focus() の挙動がキーボード操作の注入もしくは漏えいに使用される |
MFSA 2010-30 | 最高 | XSLT ノードの並べ替えにおける整数オーバーフロー |
MFSA 2010-29 | 最高 | nsGenericDOMDataNode::SetTextInternal におけるヒープバッファオーバーフロー |
MFSA 2010-28 | 最高 | プラグインインスタンス間での解放済みオブジェクトの再使用 |
MFSA 2010-27 | 最高 | nsCycleCollector::MarkRoots() における解放済みオブジェクトの再使用 |
MFSA 2010-26 | 最高 | メモリ破壊の形跡があるクラッシュ (rv:1.9.2.4/ 1.9.1.10) |
MFSA 2010-25 | 最高 | スコープの混同による解放済みオブジェクトの再使用 |
リリースノート:
また、Firefox 3.6.4 には待望の、サードパーティ製プラグインを Firefox と分離することにより、サードパーティ製プラグインによるクラッシュを防止する機能が実装された。ただし Windows 版と Linux 版のみ。
Explzh におけるバッファオーバーフローの脆弱性 (2010/6/22) (ponsoftware.com) によると、
LZH 書庫の拡張ヘッダのコメント付き LHA の処理で、各ファイルへ付加されたコメントの合計文字のバイト数が 32KB 以上の場合にバッファーオーバーフローが発生します。
なんだか、MHVI#20100425: LZH 書庫のヘッダー処理における脆弱性について (2010 年版) のつづきっぽいような……。
しかも、
本脆弱性は、LZH に存在するものではなく、Explzh の内蔵エンジンの処理の問題によるものです。
一連の LZH の脆弱性 JVNVU#545953 とは別の脆弱性です。
あの……。JVNVU#545953: 複数のアンチウィルス製品に脆弱性は CERT-FI Advisory on Antivirus Signature Evasion Using Archive Files の JVN 型番に過ぎない上、オリジナル (CERT-FI Advisory) では 「ZIP, CAB, GZIP, 7Z and RAR」が対象なのですから、 「一連の LZH の脆弱性」という表現は不適切かと。 IPA の不適切な取扱いにより、どんどん混乱が広がっている気がします……。
なお、欠陥は Explzh Ver.5.63 で修正されています。 CVE-2010-2434
》 ネットカフェ等での本人確認義務化を警視庁が広報 〜都条例施行を前にポスターやキャンペーンで啓発〜 (@police, 6/24)、 インターネット端末利用営業の規制に関する条例の制定について (警視庁)。AKB48 ねた。
》 『表現規制反対』というワンテーマに絞った投票参考資料 (弁護士山口貴士大いに語る, 6/22)
図書館Webサイトへのクローラを実行して逮捕された男性、不起訴に (slashdot.jp, 6/21)
Librahack。 当事者による情報。 個人的には、「深くお詫び申し上げます」と言いながら Librahack という言葉を使用する感覚が理解できない。
実際に使用したコードを公開すればいいのに……。そうすれば、状況がもっとはっきりするでしょう。
三菱図書館システム MELIL/CS 導入事例 岡崎市立中央図書館様 (三菱電機インフォメーションシステムズ)
岡崎市立中央図書館に電話してみた (サーバ管理者日記, 6/22)
1. サーバの不調について、管理会社に調査してもらった
2. 管理会社の調査で、外部からの攻撃が判明
図書館サーバと管理会社、および警察がショボかった、ということかなあ。 事情を聞くならともかく、逮捕・勾留 (20日) はやりすぎだと思う。 実際にやった人は、大きな負荷をかけたわけではないように思う。 サーバがたまたまショボかったら大きな負荷になっちゃった、というだけで。
》 FIRSTカンファレンス - キーワードはAPT、DNSSEC、クラウド (エフセキュアブログ, 6/22)
》 沖縄の子どもたちに広がる「格差と貧困」の連鎖 (保坂展人のどこどこ日記, 6/19)
》 パナソニックのLED電球、テレビの電波障害で発売延期 (家電 Watch, 6/21)
》 オリンパス公益通報「対象外」社員の話を聞きたい2 (回答する記者団, 6/21)
》 Kindle、iPadとNookに強力巻き返し - なんと3割値下げで$189に (techcrunch, 6/21)
》 IEEE、100GbE/40GbE仕様「IEEE802.3ba」を承認 (日経 IT Pro, 6/22)
》 「日本IBM副会長の証言は失当だ」、スルガ銀裁判に関してJTBのIT部門長が反論 (日経 IT Pro, 6/21)
》 口蹄疫:都城市と日向市で清浄性確認開始 (毎日, 6/22)
》 マツダ工場 車で暴走 11人はね1人死亡…42歳元期間社員逮捕 (読売, 6/22)、 早朝の工場に悲鳴 従業員「なぜこんなことを」…マツダ車暴走 (読売, 6/22)
》 エフセキュアブログのXSSに関してご報告 (エフセキュアブログ, 6/21)。 エフセキュアブログにおけるXSS (葉っぱ日記, 6/21) の件。
》 Troj/JSRedir-BO がたくさん検出されているなあ。 robocup の ML に流れているのかな。
iOS 4 登場。65 種類 (!!) の欠陥が修正されている。今回は無償でアップデートできるのだそうで。ただし「iTunes 7.2 がインストールされた PC / Mac」が必要になる模様。iOS 4 ソフトウェアアップデート (Apple) を参照。
定位置にも出てた: About the security content of iOS 4 (Apple, 2010.06.21)
Opera 10.54 for Windows / Mac 登場。両プラットホームに共通する 4 つの詳細未公開の欠陥と、 Opera for Windows にのみ影響する 1 つの欠陥が修正されている。 高橋さん情報ありがとうございます。
「Opera for Windows にのみ影響する 1 つの欠陥」は、 MS10-032 で修正されている 「Win32k の TrueType フォントの解析の脆弱性 - CVE-2010-1255」 の件と思われ。本質的には Windows の欠陥だが、Opera の修正は、MS10-032 未適用の環境で攻略プログラムに利用されるのを予防するためのもの。
「4 つの詳細未公開の欠陥」は、
- Fixed an extremely severe issue; details will be disclosed at a later date.
- Fixed a highly severe issue; details will be disclosed at a later date.
- Fixed a moderately severe issue; details will be disclosed at a later date.
- Fixed a less severe issue; details will be disclosed at a later date.
extremely severe issue の修正 (Windows / Mac 両方) が含まれているそうなので、Opera 利用者は急いで更新しましょう。
Opera 10.54 for Mac changelog には、多くの安定性向上項目も記載されている。
10.54 での修正項目が公開された。「4 つの詳細未公開の欠陥」はこういう内容だった。
- Fixed an issue where Data URIs could be used to allow cross-site scripting; see our advisory (http://www.opera.com/support/search/view/955/).
- Fixed an issue where unrestricted File I/O could be used by Widgets to execute arbitrary code; see our advisory (http://www.opera.com/support/search/view/962/).
- Fixed an issue which could allow certain characters to be used for domain name spoofing; see our advisory (http://www.opera.com/support/search/view/961/).
- Fixed an issue where file inputs could disclose the path to selected files; see our advisory (http://www.opera.com/support/search/view/960/).
》 “国債”危機 〜ギリシャ発・世界への衝撃〜(仮) (NHK, 7/2 放送予定)。うん、国債。
》 外務官僚 メンツ丸潰れの右往左往 (日刊ゲンダイ, 6/17)
》 「民主主義の力」が止めた「非実在青少年」条例 (保坂展人のどこどこ日記, 6/17)
さらに、「子供の環境を守る会」という団体が筆頭になった15団体が1万11884筆の署名を議長に提出した。連名している団体は「有害環境から子供を守る会」という名称が基本になっているようだ(ただ、どういうわけかどこの報道機関も15団体の動きは伝えていない)。
》 損賠提訴:東北大などに1億円 自殺した院生の両親 (毎日, 6/18)。いよいよ法廷へ。
両親の代理人弁護士は「元准教授の処分にに関する報告書の開示を求めたがほとんど拒否された。裁判を通じ明らかにしたい」と話した。東北大は「提訴を承知していないので、コメントを差し控えたい」としている。
こういう形でしか知りようがない、ということですか。
》 取調べの可視化に関する省内勉強会の中間取りまとめの公表について (法務省, 6/18)。可能な限り後向きに検討致しました。
》 Twitter、スレッド表示機能を持つクライアントの開発者を採用。スレッド表示はTwitter.comにも実装されるのだろうか? (techcrunch, 6/21)
》 Scribd、Flashを捨てユーザー滞留時間が3倍増 (techcrunch, 6/21)。「HTML5化、iPadの発売、ScribdのFacebook統合」の結果だそうで。
》 にゃんと! 飛行機の翼をテープで修理は当たり前!? (gizmodo, 6/21)
》 厄介者のエチゼンクラゲ、人工繁殖成功!? (読売, 6/19)。どのように育つのか、まだよくわかってないってことかな。
》 エフセキュアブログにおけるXSS (葉っぱ日記, 6/21)。ライブドア発エフセキュア経由の XSS 欠陥だったようで。 f-secure.com の件とは別件。
》 猛獣はブランド好き?食肉類に1番人気の香水はカルバン・クライン (gigazine, 6/9)。Calvin Klein の Obsession for Men。
「Obsession for Men」がジャガーを引きよせる効果があまりにも強力なため、McNab氏は当初、密猟者に使われることをおそれ、香水の威力を公にすることをためらったそうですが、密猟者は動物の死体という生物学者には倫理的に使えない「餌」を使うため、ほかの科学者に香水の効果を広め動物保護に役立てる方が密猟者に使われるリスクを上回る効果があると判断したそうです。
公開するのをためらうくらいに強力なんだ……。
》 BIND 9.7.1 が出ています。
》 「瞬かない目」:サッカー場大の軍用飛行船、建造中 (WIRED VISION, 6/21)、 Photo Release -- Northrop Grumman Awarded $517 Million Agreement for U.S. Army Airship With Unblinking Eye (Northrop Grumman / irconnect.com, 6/14)。Long Endurance Multi-Intelligence Vehicle (LEMV) だそうで。これを使ってアフガンで C4ISR するそうです。 「WORLD WAR Z」にも出てきたよね、こういうの。
》 “現金化”専門の幽霊ECサイト、「改正貸金業法」全面施行の影響で増加必至 (Internet Watch, 6/18)
「改正貸金業法」が18日に全面施行され、個人の借り入れ総額を年収の3分の1までに制限するなどの規制が導入された。これにより今後、消費者金融などの貸金業者から借り入れができなくなる人が増加するため、そうした人をターゲットにした不正な“貸金業”を営むECサイトが増える可能性があるという。
》 首都大学東京、学生の「ドブス写真集」動画投稿を謝罪 (Internet Watch, 6/18)
》 小型ロボカー兵器の脅威2選(動画) (WIRED VISION, 6/18)
》 「蝶の翅色」のナノ構造と宇宙素材 (WIRED VISION, 6/18)。すげーな。
》 2008年度流通情報量は約7ゼタビット--ネット突出して伸びる:総務省推計 (CNET, 6/18)。7.12 * 10^21 bit だそうで。 71.2 垓ビット。
》 児童ポルノ画像の阻止を目指す「デジタル指紋」のデータベース (CNET, 6/18)。ファイルのハッシュ値のデータベース。
FacebookとMySpaceがすでにこの新構想に参加することを決めており、(中略) 当局の長年にわたる取り組みで収集された「デジタル指紋」のデータを、パートナーのソーシャルネットワークがフィルタとして活用し、写真がアップロードされる際にこのデータベースのコンテンツと照合する。データが一致すれば、その写真はアップロードが許可されない。発表文では、捜査当局もデータベースを活用できるとされている。
元ねた: ATTORNEY GENERAL CUOMO ANNOUNCES GROUNDBREAKING INITIATIVE TO ENABLE SOCIAL NETWORKING SITES TO ELIMINATE THOUSANDS OF IMAGES OF CHILD PORNOGRAPHY (ny.gov, 6/17)
》 Appleが「Mac OS X 10.6.4」で密かにマルウエア対策、セキュリティ情報は未発表 (日経 IT Pro, 6/21)。Apple Quietly Updates Malware Protection (ESET, 6/18) と同じ件。
Adobe InDesign CS3 に欠陥があり、攻略 .indd ファイルによって任意のコードを実行できる模様。発見者は Adobe に通知したが、
# Vendor status:
#
# [16.09.2009] Vulnerability discovered.
# [09.03.2010] Vulnerability reported to vendor with sent PoC files.
# [21.03.2010] Asked confirmation from the vendor.
# [21.03.2010] Vendor asked for PoC files due to communication errors.
# [22.03.2010] Re-sent PoC files to vendor.
# [04.04.2010] Vendor confirms vulnerability.
# [03.06.2010] Vendor informs that they discontinued support for CS3 since CS5 is out.
# [04.06.2010] Public advisory released.
何これ……。CVE-2010-2321
日本のインターネットを終了させないために、いまから「かんたんログイン」を撤廃し、ログイン状態の維持をcookieによる実装に切り替えていこう。
》 DNS Sinkhole ISO Available for Download (SANS ISC, 6/19)
This script contains a menu to download from 3 lists (Malware Domain Blocklist, ZeuS tracker and Malware Threat Center SRI).
Malware Threat Center SRI を見てみると、けっこう .jp なサイトもあるんですね。 www.kajima.co.jp (鹿島建設株式会社) とか。 これ、そのまま使っちゃっていいんですか?
》 Pandora に見るインターネット音楽ビジネスの厳しい経営構造 - 海賊サイトが流行るのも当然? (techcrunch, 6/18)
》 comScore最新レポート:Twitterは依然として急成長急速拡大中 (techcrunch, 6/18)
》 イビチャ・オシム氏がオランダ戦を回顧 「本田のプレーが日本全体のプレースピードを落とした」 (Yahoo, 6/20)
》 Description of a reliability update for the TCP Chimney Offload feature in Windows Server 2008 and in Windows Vista (Microsoft KB 979614)
》 ネットリテラシ読本Ver1.3.1(全6セクション)のパワーポイント版を公開します (MiAU, 6/15)
》 6月7日付で、内閣府「児童ポルノ排除総合対策案への意見募集」へ意見を提出しました (MiAU, 6/15)
》 Apple Quietly Updates Malware Protection (ESET, 6/18)。Apple ですから。そういう会社です。
》 iPhone 4予約時に「Wホワイト」などの不要なオプションに強制加入させられた場合、無償で解約可能に (gigazine, 6/18)
》 BS特集「現場報告 アメリカ海兵隊〜変わる沖縄駐留の意味〜」 (NHK, 6/20 放送予定)。NHK オンデマンドは、ありませんか……。
》 暴走するトラックをも受けとめる次世代型ロードブロック「Droparm Gate」 (gigazine, 6/19)
》 大丈夫? F-35戦闘機、コスト削減で脆弱化 (gizmodo, 6/20)
そこでロッキードは、InsideDefense.comによると、「機体1台あたり11ポンド(約5kg)の軽量化および、140万ドル(約1.3億円)のコスト削減。そのため、エンジンクーラントの停止バルブと油圧ライン、ドライベイの鎮火システム6個の内5個の取り外し」を決めたそうです。
が、こうした対策によって、F-35は対空兵器からの攻撃に対し、従来よりずっとひ弱になってしまいました。ある専門家は言います。「燃料を満載した状態で非常に高い圧力がかかり、非常に高温になったものが、高温の金属片と270VDCの電気部品と近接する場合、防衛手段は、停止バルブとドライベイ(燃料が吹き込む場所)の鎮火システムしかありません。」
》 iPadユーザーのメールアドレスを不正入手したハッカーが規制薬物所持で逮捕される (ComputerWorld.jp, 6/18)
》 I.root-servers.net への IPv6 アドレス追加に伴う設定変更について (JPRS, 6/18)。ルートヒントファイルを入れかえましょう話。
》 権限者の不正には発見的統制が「超」重要(高槻市の事例:生活保護費1000万円不明) (まるちゃんの情報セキュリティ気まぐれ日記, 6/12)
次に、性善説、性悪説という話をしている限り、適切な不正対策はできません。不正のトライアングルといわれるように、(1)不正を起こす動機、(2)不正を起こせる環境、(3)不正を実施することについての正当化の3つがそろえば不正が起こるといわれています。
まずは、不正を起こせない環境を整備することが重要です。おもに予防的コントロールを実装することが重要となります。その上で、不正を起こしてもばれる、つまり発見的コントロールを実装して、不正を起こす動機を抑止します。。。
》 ロレアル億万長者の盗聴録音機に、仏大統領や財務大臣も登場 (JANJAN, 6/19)
》 砂漠化と旱魃と戦う世界デー (国連情報誌SUNブログ対応版, 6/18)。6/17 はそういう日だったのだそうで。
》 Encrypt the Web with the HTTPS Everywhere Firefox Extension (EFF, 6/17)、HTTPS Everywhere (EFF)
The plugin currently works for:
* Google Search
* Wikipedia
* The New York Times
* The Washington Post
* Paypal
* EFF
* Tor
* Ixquick
》 JASRACに激怒するファンキー末吉に突撃取材!! 著作権料徴収法と分配法への緊急提言 (日刊サイゾー, 6/17)
》 口蹄疫被害、川南町で殺処分終了 感染疑いの14万5千頭 (47news.jp, 6/20)
「国民ID」に幅広い議論を (日経 PC Online, 6/2)
「国民ID」に幅広い議論を 〜Part2〜 (日経 PC Online, 6/9)
》 Clickjack Baddie Whack (Symantec, 6/17)。Facebook の「Like」ボタンのおかげで、 Clickjacking (Likejacking) が流行っているようで。
》 キルギス国内の避難民30万人に、中国も千人以上保護 (CNN, 6/18)
床山が賭博胴元へ仲介…琴光喜恐喝の構図 (読売, 6/18)
「部屋で札束置き賭博」暴行死の力士が母に (読売, 6/18)
斉藤さんの父正人さん(53)によると、事件の約1〜2か月前、俊さんが母親に電話し、「部屋で数人がテーブルに200〜300万円くらいの札束を置き、ばくちをしているのを見た」と話していたという。俊さんは、賭博の種類は分からなかったというが、正人さんは「相撲界は何も変わっていない」と今回の賭博問題を嘆いた。
永谷園が相撲懸賞金の減額へ、撤退も検討 (読売, 6/18)
》 全面可視化「すべての事件対象は現実的でない」 法務省 (asahi.com, 6/18)。要はやる気がない。関連: 民主党のマニフェストを見て愕然。捜査過程の可視化が一言も触れられていない。警察・法務官僚に丸め込まれ、こっそり落としたのだろうか。だとしたら大問題。ぶら下がり取材で直接質問ができる首相番記者には、どういう意図で落としたのか、ぜひ聞いてもらいたい (amneris84 Shoko Egawa, 6/17)
》 南草津図書館の民間委託 利用者に不安 役割議論を (京都新聞, 6/16)
》 非実在青少年◆読本を作った理由 - 徳間・大野編集長に聞く (ascii.jp, 6/18)
》 Applying the SDL at Windows Live (Microsoft SDL blog, 6/17)
》 Keylogging taken seriously: Security upgrades in the new Hotmail (ESET Threat Blog, 6/17)。Hotmail に新しい認証機能「コードを使用する」が追加された件。パスワードのかわりに、ケータイに送られてくる「コード」を入力するみたい。
》 「Adobe Flash Player」を設定したことがありますか? (エフセキュアブログ, 6/16)。自動更新については、 IT 管理:Flash Player 自動更新の設定 (adobe) を参照して、mms.cfg を設定した方がいいと思う。
》 首相のオープン記者会見、フリー出席はわずか6人 (THE INCIDENTS インシデンツ 正式オープン準備版, 6/18)
希望者は多数いたが、首相官邸報道室が「大手メディアの推薦状」の提出を義務づけたため、断念したとみられる。フリーランスは特定のメディアに所属していないからこそフリーランスなのであり、そのフリーランスに「大手メディアの推薦状」を要求することは、まったく意味不明で、フリーランスの中でも、大手メディアが推薦状を発行するような、“お行儀がいい”人物のみを出席させたいという意図が見てとれる。
》 携帯2年縛り「解約金不当」 京の消費者団体がドコモ、auを提訴 (京都新聞, 6/16)
》 「Facebookの新プライバシー設定は不十分」、EFFなどがいっそうの強化を要請 (日経 IT Pro, 6/17)、 Open Letter to Facebook: More Privacy Improvements Needed (EFF, 6/16)
》 異常事態、司法ファッショ…判事が判決で批判 (読売, 6/17)。「神戸地裁社(やしろ)支部の山本善平裁判官」。
その上で最近の傾向に言及し、「下級審が(最高裁判決に)いささか過剰に反応している」と指摘。「法律がみなし弁済の可能性を容認しているのに、司法が極端に要件を厳格に設定して、(みなし弁済規定を)事実上葬り去るのは異常事態で、司法ファッショと批判されかねない」と述べた。
》 クラウドコンピューティングのセキュリティ問題に取り組もう (日経 IT Pro, 6/17)
》 クラウドセキュリティ & プライバシー - リスクとコンプライアンスに対する企業の視点 (オライリージャパン)。発売中。関連: 2010年6月9日 (佐藤一郎: Web日記 (2010年))
この書籍でも紹介されていますが、企業の情報システムではISO 27001/27002という国際標準が重要な意味を持っています。少なくても企業として、このレベルのセキュリティ管理の認定を受けていないと話になりませんが、日本ではまだまだ認識が低い。それと海外ではこうした認定というのは、この認定を満足していれば、その認定がカバーできないセキュリティ問題に対する免責理由になる場合があり、企業のセキュリティレベルを示すとともに、法的問題が最小化するために重要です。しかし、こうした認定制度についてクラウドコンピューティングと絡めて説明している書籍は他にはなく、一読の価値があると思います。
ただ、残念だった部分もあります。それは企業に対する認定制度の説明は詳細にあるのですが、管理者のセキュリティ資格制度の説明がないことです。最後は技術や組織ではなく人なので。せっかくですから、ここで少し解説をしておきます。
》 官民連携でネット詐欺に対抗、Microsoftが新プロジェクト発足 (ITmedia, 6/18)。Internet Fraud Alert。
同プロジェクトでは、セキュリティ研究者や捜査当局がインターネットで盗まれたパスワードやクレジットカード番号などを見つけた場合、サービス事業者や金融機関に迅速に知らせて安全かつ体系的に情報を共有できる仕組みを提供する。関係機関が適切な対応を取れるようにする。
》 内閣官房情報セキュリティセンター、各府省庁にIE6からIE8への移行を推奨 (Internet Watch, 6/18)。旧型ブラウザから新型ブラウザへの移行に係る取組について (NISC, 6/17) の件。
NISC から各府省庁に5月12日付で以下のとおり指示しました。
・IE6 から IE8 への移行を推奨。 ・今後、各府省庁においてウェブアプリを利用するシステムの新規構築又は更改する際は、最新ブラウザに対応する設計とすること。 ・最新の複数ブラウザの利用を検討すること。
結局、基本 IE なのは変わらないのかな。
》 「セキュア・ジャパン2010(仮称)」(案)に関する意見の募集 (NISC, 6/15)。6/28 12:00 まで。
》 ビューティフルセキュリティ (オライリージャパン)。6/25 発売予定。
samba < 3.4.8 / 3.5.2 には、DoS 攻撃を受ける 2 件の欠陥の修正が含まれていた模様。
samba 3.0.x〜3.3.12 に欠陥。SMB1 パケットの処理に欠陥があり、攻略パケットによってサーバーが crash する。任意のコードの実行の可能性もある。samba 3.4.x 以降にはこの欠陥はない。CVE-2010-2063
samba 3.3.13 で修正されている。samba 3.4.x 以降にアップグレードしてもよい。
Samba 3.3.12 Memory Corruption Vulnerability (iDefense, 2010.06.16)
Symantec AppStream 5.2.x / Symantec Workspace Streaming 6.1.x に欠陥。 「Symantec Workspace Streaming クライアントがサーバー上のファイルをダウンロードする前に、サーバーを適切に認証」しないため、攻略 Workspace Streaming サーバーに接続すると、任意のファイルがダウンロードされる。CVE-2008-4389。って、2 年前の欠陥なの?
Symantec Workspace Streaming 6.1 SP4 で修正されている。 Symantec AppStream 5.2.x については、Symantec Workspace Streaming 6.1 にアップグレードした上で SP4 を適用する。
Thunderbird 3.0.5 登場。セキュリティ修正が含まれている模様だが、
セキュリティアドバイザリは Firefox 3.6.4 のリリースに合わせて後日公開となります。
Firefox 3.6.4 がリリースされたので、セキュリティアドバイザリも公開されました。
SA 番号 | 重要度 | 概要 |
---|---|---|
MFSA 2010-30 | 最高 | XSLT ノードの並べ替えにおける整数オーバーフロー |
MFSA 2010-29 | 最高 | nsGenericDOMDataNode::SetTextInternal におけるヒープバッファオーバーフロー |
MFSA 2010-26 | 最高 | メモリ破壊の形跡があるクラッシュ (rv:1.9.2.4/ 1.9.1.10) |
MFSA 2010-25 | 最高 | スコープの混同による解放済みオブジェクトの再使用 |
》 首都大生の「ドブス写真集」動画が騒動に 大学は事実把握、「大変遺憾」 (ITmedia, 6/17)、 首都大学生「ドブス」写真集 ネットに投稿、大ひんしゅく (J-CAST, 6/17)。感性が摩滅しているのかな……。 首都大学東京にはまだ何もないみたい。
ドブス写真集を作るその道程 【勘違い野郎】 (logsoku.com, 6/16)
45 :可愛い奥様 :2010/06/16(水) 23:55:30 ID:xodD0yd30 (2 回発言)
明日電話しようかな
しかし大学、名前まで晒してるから
就職難しいだろうなぁ
本当に就職難しくなっちゃう世の中なのですが、そういう自覚は……ないのだろうなあ。
》 「桜坂洋が書くデビルマン」収録 作家発・出版社なしのiPad/iPhone電子書籍「AiR」発売 (ITmedia, 6/17)。中抜き事例。これ自体は、買う気が起こらないのだけれど。 iPhone も iPad も持ってないし。
》 宜野湾市長「ノーと言い続けることが最大の抵抗」 (田中龍作ジャーナル, 6/17)
「基地は容認しないが発展するために受け入れて行こうという自公系の首長が基地反対に変わった。容認派の首長も『基地を支えよう』という心が折れた。今さら受け入れてくれと言っても無理。大きな変化を防衛大臣も外務大臣も官房長官も読めなかった。菅総理はそこをしっかり受け止めて対処しなければ決して前に進むことはできない」。
「田中龍作の取材活動支援基金」、PayPal に対応していたので 1000 円振り込んでみた。
》 最新のFacebookスパム・アプリ (エフセキュアブログ, 6/14)。餌に使われているのは、女性教師による体罰の瞬間、その混乱と恐怖の教室を生徒が動画で撮影 (gigazine, 5/20) の件ですかね。
》 新型Xbox360、旧モデルと同じくディスクにキズが付くことが明らかに (gigazine, 6/17)。 何この傾け方……。むしろ、そうならない方が不思議なのでは。
》 ネットスター、フィッシング対策協議会およびJPCERT/CCと連携しフィルタリングや迷惑メール対策サービスでのフィッシング被害防止の取り組みを強化 (JPCERT/CC, 6/17)。フィッシングサイト URL 情報をネットスターのデータに反映する、という話。
》 趣味のインターネット地図ウォッチ 第88回:気圧高度計などを備えた多機能ロガー「PocketGPS S1」レビュー (Internet Watch, 6/17)
》 生まれ変わるICタグの衝撃 (日経 IT Pro, 6/14)
ICタグの制度改正は、総務省が2010年5月24日に実施した。主な改正点は2点ある。まず、ICタグに割り当てた周波数帯を拡張した。従来は 950M〜956MHz帯だったのを、950M〜958MHz帯に広げた。もう一つは、場所の制限がなく読み書きができ、読み取り距離の長い「中出力型」のICタグシステムの利用を可能にしたことである。
(中略)
制度改正で大きいのは、「中出力型」を利用できるようになったことだ。中出力型のICタグは場所の制限がなく読み書きができ、読み取り距離が2メートルと長い。この特性を生かせば、山積みになった箱に貼ってあるICタグでも、読み取り機をかざすだけで、一括で読み取れるという。
関連:
情報通信審議会 情報通信技術分科会 小電力無線システム委員会(第28回)配布資料 (総務省, 2009.12.14)
UHF帯対応ハンディターミナル XIT-160-BR-C: 中出力帯について (ウェルキャット)。2010.05.24 の官報号外 (108 号) ですか。
》 常岡浩介さん:タリバンが監禁…3月に不明、本紙電話取材 (毎日, 6/17)。生存を確認、「健康状態はよく、けがもない」。
》 唖然。児ポ法解説ページ( http://bit.ly/97Vd52 )がフィルタリング会社( http://bit.ly/cfNJKB )で『ヌード画像』と誤って分類されてたので訂正要求を出したら『水着下着フェチ画像』になった… #jipo #hijitsuzai (keitoshiaki, 6/17)。うわ、本当だ……。
児童ポルノ法案/ 児ポ法 児童買春・児童ポルノ処罰法 (同人用語の基礎知識)
ウェブサイトのカテゴリ登録を確認 (ネットスター)。http://www.paradisearmy.com/doujin/pasok3e.htm と入力して [調べる] をクリックしてみると……。 結果。
というか、http://www.paradisearmy.com/ がそういう分類をされているみたい。ネットスターって、サイト全体をそういうふうに扱っちゃうんだ。
》 フリーランスライター畠山理仁の「永田町記者会見日記」│第17回 (magazine9.jp, 6/16)
この会見の最後では、亀井氏が若い記者たちに向けてまるで遺言のような言葉を残している。
「イタチの最後っ屁で言うけどね、みなさん方に失礼なことも言ったでしょ。あなたの新聞に今朝書いてあること、あんた賛成か。いや私は賛成じゃありませんという正直な人もいた。自分の担当分野については自分が責任をもって紙面を作るんだということがないとね、なんのための担当かわかりませんよ。
意見は違いますよね、各社いろんなもので違う。論説の連中もアホみたいなのがたくさんいるからね。いかんけども、やはり、担当している分野についての本紙の記事については自分が責任を持たないと。
そうじゃないっていうんならね、デスクのネクタイをこうやってでもね、自分の思うような記事を載せさせないと。それが番記者の番記者たる所以だと思いますよ。そういう誇りをぜひ持ってもらいたい」
この言葉には会見場にいた記者たちも、ただ頷くしかなかった。
電波チェッカーは、現在対応中のようで。
お知らせ
不正プログラムを使用することで、別のiPhoneで登録した計測結果(電波状況とその位置情報)が地図に表示される可能性がありますため、情報の保護を第一として安全性が確認するまで間、登録いただいた情報の表示を停止させていただきます。
iTunes 9.2 登場。Windows 版でのみ、以下の欠陥が修正されている。
embedded ColorSync profile 中の画像の処理に欠陥があり、攻略画像によって任意のコードを実行できる。CVE-2009-1726
TIFF ファイルの処理に欠陥があり、攻略 TIFF ファイルによって任意のコードを実行できる。 CVE-2010-1411
Safari 5.0 / 4.1 で修正された、大量の WebKit の欠陥を iTunes でも修正。
関連: 「iTunes 9.2」公開、iPhone 4/iOS 4/iBooks 1.1に対応 (Internet Watch, 2010.06.17)。例によってセキュリティ修正には触れず。
》 佐々木俊尚(ITジャーナリスト)×長谷川幸洋(東京新聞論説委員)vol.1 「新聞記者はなぜ権力のポチになるのか」 (現代ビジネス, 6/14)
》 郷原信郎・弁護士インタビュー vol.1 「小沢一郎捜査で露呈した東京地検特捜部が抱える病巣」 (現代ビジネス, 6/16)
》 EU Search Engine Snooping Mandate Sneaked Into Child Protection Declaration (EFF, 6/15)。アンチ児ポのためならなんでもアリなんですかね。
》 湾岸戦争開戦は米国公認だったとも読める、開戦直前のフセイン大統領と米国大使との会談録 (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 6/16)。 誤解を与えた可能性はあるよね。 朝鮮戦争の「アチソンライン」もそうだし。
》 マクドナルド、仏マクドナルドのゲイCMを米国内では放映せず (みやきち日記, 6/16)。あら、そうなんだ。
》 アイスランド議会、同性婚法を可決 (みやきち日記, 6/12)
》 「レズビアンカップルの子供は、ヘテロカップルの子供より問題行動が少ない」米研究で (みやきち日記, 6/9)
》 グーグルの「Android Market」にまたしても障害 「アプリの総ダウンロード数が減少した」——開発者から苦情殺到 (ComputerWorld.jp, 6/15)
》 RIM、BlackBerryタブレットとタッチスクリーン式スマートフォンを開発中か (ComputerWorld.jp, 6/16)。US スマートフォン市場トップシェアを持つ会社、いよいよ動きますか。
》 ブログ閲覧増やし広告収入目的か ユーチューブ漫画投稿事件 (京都新聞, 6/15)。府警からのタレ流し情報でわかった。
》 「ポイントが3倍に!」、モバゲーをかたるフィッシング出現 (日経 IT Pro, 6/14)
》 A.S. Roma website infected with same malware as Jerusalem Post (Sophos, 6/15)。ASローマ のサイトが ROBINT.US/U.JS を挿入されちゃったということかな。
The attack addressed specific functions that coexist when an application is hosted by an IIS web server hosting an ASP.NET application. (中略) The attack begins as an SQL Injection on a parameter over an ASP.NET web page, exploiting a known insecure function in the database.
》 iPhone 4予約でまた個人情報漏洩! どうなってるのAT&T (gizmodo, 6/16)
何が起こるかというと、まず、ユーザーがiPhone 4を予約するため、AT&TのWebサイトから、自分のアカウントにログインしようとします。ユーザーネームとパスワードを入力すると、なんと別のユーザーアカウントのページに飛んでしまうのです!つまり、全く知らない人の住所、通話履歴、請求金額などなど個人情報・プライバシー情報が丸見えです。
》 MasterCard trialling smart credit cards with display & keypads (slashgear.com, 6/10)。ワンタイムパスワードつきクレジットカード。 関連: MasterCard Unveils ‘Next Generation Debit Card’ (MasterCard, 2010.06.03)
》 準天頂衛星初号機「みちびき」の状況について (JAXA, 6/16)。最終ページに各国の状況が記されている。 glonass-ianc.rsa.ru を見る限りでは、現時点では 23 機の衛星 (内メンテナンス中: 2、予備: 2) で運用されているそうで。 これで完全復活なのか、それともまだなのか。
》 「ワールドカップ全試合無料放送」日本語スパムでワンクリ詐欺に誘導 (Internet Watch, 6/15)。 FIFA World Cup: Watch all Matches for Free on an Adult Video Site? (Symantec, 6/13) に画像多数。 1 発目のメールがショボいので気づきやすそうだけど、もっとカッコよければずいぶん話が違うかも。
MS10-036 - 重要: Microsoft Office の COM の検証の脆弱性により、リモートでコードが実行される (983235) では Office XP 用の修正が行われていない。 KB 983235 に Microsoft Fix it が掲載されているので、これを適用しよう。
マイクロソフト セキュリティ アドバイザリ (2219475) Windows のヘルプとサポート センターの脆弱性により、リモートでコードが実行される
in the wild になった模様です。
http://www.sophos.com/blogs/sophoslabs/?p=10045 (Sophos, 2010.06.15)
msftsecresponse によると、 今出回っている exploit は、XP には効くけど Server 2003 には効かないみたい。これとこれ。
Host Data Loss Prevention (HDLP) 3.0 / 9.0 に欠陥。 HDLP Agent に欠陥があり、キャプチャしたデータが外部に漏洩したり、リモートからローカルファイルにアクセスできたりする模様。
HDLP Agent 3.0.100.10 / 9.0.0.421 で修正されているそうです。
セキュリティアップデート 2010-004/Mac OS X v10.6.4 のセキュリティコンテンツについて
(Apple, 2010.06.15) を適用すると、
Flash Player が大穴つきのバージョンに戻ってしまうので注意、という話。適用後に、必ず Flash Player を 10.1.53.64 に更新しましょう。
(大嘘だったので↓に書きなおし: tss_0101 さん感謝)
セキュリティアップデート 2010-004/Mac OS X v10.6.4 のセキュリティコンテンツについて (Apple, 2010.06.15) には古いバージョンの Flash Player が含まれているので注意してねという話。既に最新版にアップデートされている場合は、上書きされることはないみたいだけど、念のためバージョンを確認してね、だそうで。 http://www.adobe.com/software/flash/about/ にアクセスしてみませう。
Mac OS X 10.6.4 / セキュリティアップデート 2010-004 (Mac OS X 10.5.8 用) が公開されている。のはいいのだが、
Flash Player プラグイン
CVE-ID:CVE-2010-0186、CVE-2010-0187
対象となるバージョン:Mac OS X v10.5.8、Mac OS X Server v10.5.8、Mac OS X v10.6 〜 v10.6.3、Mac OS X Server v10.6 〜 v10.6.3
影響:Adobe Flash Player プラグインに複数の脆弱性がある。
説明:Adobe Flash Player プラグインに複数の問題が存在し、もっとも深刻な場合は、未承認のクロスドメインリクエストが実行される可能性があります。この問題は、Flash Player プラグインをバージョン 10.0.45.2 にアップデートすることで解決されています。詳しくは、Adobe 社の Web サイト (http://www.adobe.com/jp/support/security/bulletins/apsb10-06.html) を参照してください。
大穴つきのバージョンにアップデートしてどうするよ Apple……。 というわけで、Mac OS X 10.6.4 / セキュリティアップデート 2010-004 適用後すぐに、 Flash Player を 10.1.53.64 に更新しましょう。 既に FLash Player をアップデート済の場合は、それが上書きされることはないみたいだけど、念のため http://www.adobe.com/software/flash/about/ でバージョンを確認しませう。 関連: Apple Security Update 2010-004 / Mac OS X v10.6.4 Shipping with Outdated Version of Adobe Flash Player (Adobe, 2010.06.15)
》 原油流出:「検索サイト操作」でBP社に批判 (WIRED VISION, 6/11)
》 梅雨の厚い雲を破る勢いでたたかいたい (保坂展人のどこどこ日記, 6/14)。参議院比例代表選挙 (「非拘束名簿方式比例代表制」) の解説。
「非拘束名簿方式」とは、「政党は候補者の名簿を届ける」だけで「当選する候補者の順番は決めていません(非拘束)」ということになる。当選する順位は「候補者の名前を記名した個人票の多い順番から当選者は決めますよ」という制度だ。
「個人名」+「政党名」の票数で当選人数が確定し、「個人名」の順位で「誰が当選するか」が決まる。つまり、特定の誰かを当選させたい場合には、積極的に個人名を記入しなければならない。
哨戒艦沈没:参与連帯が安保理に書簡、追加調査促す (朝鮮日報, 6/15)
哨戒艦沈没:参与連帯の主張内容とは (朝鮮日報, 6/15)。 参与連帯の人は、キールをへし折って船体をまっぷたつにするほどのことが起きた、 ということの意味がわかってないのかなあ。
哨戒艦沈没:安保理関係者を驚かせた参与連帯(上) (朝鮮日報, 6/15)、 (下) (朝鮮日報, 6/15)
これまで国連安保理は多くの紛争問題を取り扱ってきたが、今回のようなケースは前例がない。各国の外交関係者らは、「あえて例えるとするならば、イスラエルによる爆撃でパレスチナ人が無残に殺され、この問題を国連安保理で取り扱うことになったところ、突然パレスチナの市民団体が、“イスラエルの犯行という調査結果には数多くの疑問点がある”というファクスを送り付け、議論を妨害しようとしているようなものだ」と語る。韓国の外交関係者も、安保理による重大な決定が下されるのを目前に、参与連帯がこのような書簡を送り付けたことについて、「力も抜けるし、何よりも非常に恥ずかしい。顔も上げられない」などと口々に語っている。
【哨戒艦調査結果】詳報 衝撃波と気泡圧力で切断 (産経 MSN, 5/20)
》 アメリカ V.S. UFO ハッカー (slashdot.jp, 6/14)。Gary McKinnon 氏の件。 イギリスの政権交代により、 US への送還を免れられるかもしれない? 関連: Free Gary McKinnon
》 ハイキングやサイクリング用の新版Google Earth - 上り坂下り坂まで図解してくれる (techcrunch, 6/15)。Google Earth 5.2 の件。
ぼくなら、ハイキング用Google Earthと呼ぶね。今度の新機能によってGoogle Earthは、ユーザのGPSのデータを使ってハイキングやサイクリングなどの旅程図を作る(右の写真)。旅の速度、高度差(上り下り)などのデータも、視覚化されてアニメーションで図示される。
軍事作戦用 Google Earth のような気も。
》 セキュリティの匠たちが注目する3つのトレンド (ITmedia, 6/14)。エフセキュアブログ生誕一周年記念催事の件。
》 アップル、「iOS」開発者向け規約を緩和--「Flash」は依然として排除 (CNET, 6/15)
》 YouTube違法投稿で初摘発 14歳、「ONE PIECE」など漫画コマ送り撮影 (産経 / ITmedia, 6/14)、「YouTube」での違法アップロードを初摘発 (ACCS, 6/14)、著作権法違反:ユーチューブに発売前漫画配信 容疑で中3逮捕−−京都府 (毎日, 6/14)
》 「非実在青少年」条例改正案、都議会本会議で否決へ (ITmedia, 6/15)
都は改正案の文言や適用範囲などを見直し、9月議会以降に再提出する方針。
関連:
東京都青少年条例、「非実在青少年」の言い替えの修正とは? (保坂展人のどこどこ日記, 6/13)
》 はやぶさのカプセル回収 破損ない模様 (ITmedia, 6/14)
》 500円からネット献金可能、Yahoo! JAPANが「個人政治献金サービス」正式開始 (Internet Watch, 6/14)
「Yahoo!みんなの政治」には現職の国会議員全員のプロフィールが用意されているが、「個人政治献金サービス」に対応しているのは現在、パイロット版から参加している4名のみ。
なんじゃそれー。
》 クアラルンプール警察がSMS詐欺組織を逮捕 (エフセキュアブログ, 6/10)
》 イスラエルの「公海」襲撃を、「戦争犯罪」で仏と国際刑事裁判所に告訴 (JANJAN blog, 6/12)
》 ルモンド紙売却で仏大統領介入が浮上、政治とメディアの構図に (JANJAN blog, 6/13)
》 どこにでも埋められます! 完全防水耐震の秘密の隠れ家が地下に出現[震災対策技術展] (gizmodo, 6/14)
お値段はザッと200万円からとのことですね。
お、意外に安い。
》 AT&TのiPad顧客情報漏洩を生んだ、ある些細な機能 (gizmodo, 6/14)、 どこかで聞いたようなiPad情報流出 (水無月ばけらのえび日記, 6/10)
》 ひとつの時代の終わり:Hotmail、大人気を博した各種マーケティングプランを変更へ (techcrunch, 6/14)
》 FBIなど政府機関あての封筒に「白い粉」、2州7カ所で (CNN, 6/15)
》 アフガンに1兆ドル規模の鉱物資源 米政府機関が発表 (CNN, 6/15)。
》 子ども女性安全対策班の活動状況等について (警察庁, 6/4)
》 長年の議論の末、侵略の定義に合意:ICC (国連情報誌SUNブログ対応版, 6/15)
「国家の政治的または軍事的行動を効果的に支配するまたは指示する地位にある者により、その性質・重大さ・規模により、国際連合憲章に明らかに違反する侵略行為を計画または準備・開始・実行すること。」
(the planning, preparation, initiation or execution, by a person in a position effectively to exercise control over or to direct the political or military action of a State, of an act of aggression which, by its character, gravity and scale, constitutes a manifest violation of the Charter of the United Nations.)
計画、準備も入るんだ……
》 New Paper: Security Best Practices For Developing Windows Azure Applications (Microsoft SDL blog, 6/14)
》 Twitterが位置情報レースに参入 - Foursquare、Gowallaとも連携 (techcrunch, 6/15)
》 Xbox 360のKinectにモーションコントロールの未来が見える - もう単なるゲーム用ではない (techcrunch, 6/15)
関連: Twitter、“クジラ”多発の原因を説明 (ITmedia, 6/14)、Twitterで大規模障害、原因は「タイムラインキャッシングの強化に失敗」 (ITmedia, 6/15)
》 「閉鎖性」というアップルの強みと限界 業態を超える「高次元への競争」の号砲が鳴った《中編》 (日経ビジネス, 6/10)
このように耳目を集めるiPadだが、少なくとも市場規模という観点からすれば、前回も述べた通り、筆者は「それでもアップルが天下(市場が飽和・成熟した際にシェア1位を占める)を取ることはない」と考えている。その理由は、アップルの「閉鎖性」にある。
例えば先日も、講談社がiPhone向けに製作・販売するグラビアアイドルの電子写真集が、アップル側からの事前通告や削除の説明がないまま、一方的に配信停止されるという事態が起きた。確かにアップルは以前から「審査基準は明らかにしないが、子どもが安心して利用できるサービスを目指す」と、彼ら自身の判断で採否を一方的に決めることを明らかにしているが、一度配信がスタートしたコンテンツが突然配信停止されるのは、コンテンツプロバイダーとしてもそう簡単には納得できないところだろう。
関連: iPad版がイラン版と呼ばれてますよ。Appleにコンテンツの検閲撤廃を求める公開質問状 (memo, 5/13)。 正直、検閲がひどすぎるので Apple 製品を買う気が起こらない。
》 自民党のコスプレイベントがスゴ過ぎる件 (俺の邪悪なメモ, 6/14)。痛すぎる……。
さらにたたみかけるように、トンでもないゲストが登場します。
まさかのドクター中松ですよ?
……。終った……。しかしこれ、本当なんですか?
ActiveGeckoBrowser 全バージョンに欠陥。「ActiveGeckoBrowser には、Gecko エンジンに起因する複数の脆弱性が存在」するそうです。修正版が出るまでは使わないでください。 関連: 【重要】ActiveGeckoBrowser 公開停止 (フェンリル デベロッパーズブログ, 2010.06.11)
マイクロソフト セキュリティ アドバイザリ (2219475) Windows のヘルプとサポート センターの脆弱性により、リモートでコードが実行される
Microsoft Fix it 出ました: Microsoft KB 2219475。
LZH 書庫に「対応」している複数のアンチウイルスソフトにおいて、LZH 書庫への対応が不十分なため、特定の形式の LZH 書庫を認識できず、結果として LZH 書庫内のウイルスを見逃してしまう。福光さん情報ありがとうございます。
LZH 書庫が特定の形式のヘッダを持っている場合に、異常だと判断して処理を行わないために発生する模様。この種の欠陥は、アンチウイルスゲートウェイ (メール、Web など) において特に問題となるが、デスクトップ製品においても、「プリビュー等, メモリー上に展開イメージが作成されるような処理」で問題となるそうだ。具体的には、次のようであるという。
ヘッダー形式 | 見逃しが発生する製品例 |
---|---|
4KB を超える拡張ヘッダー | ESET NOD32 Antivirus 4 4.0.474.9 |
4KB を超えるヘッダー | Norton Internet Security 2010 17.6.0.32 ウイルスバスター 2010 17.50.1647.0000 McAfee アンチウイルス プラス 2010 13.15.117 Virus Security ZERO 10.0.0058 avast! Free Antivirus 5.0.507 |
ヘッダー CRC と整合しないヘッダー | ウイルスバスター 2010 17.50.1647.0000 McAfee アンチウイルス プラス 2010 13.15.117 CA Anti-Virus r8.1 8.1.660.0 |
h2 形式のヘッダー (h2 形式の書庫) | CA Anti-Virus r8.1 8.1.660.0 |
同様の問題は ARJ 書庫の処理においても存在するそうだ。
ヘッダー形式 | 見逃しが発生する製品例 |
---|---|
基本ヘッダーが約 2.5KB を超えるヘッダー | McAfee アンチウイルス プラス 2010 13.15.117 |
基本ヘッダーが 2.3KB を超えるヘッダー | Microsoft Security Essentials 1.0.1961.0 ウイルスバスター 2010 17.50.1647.0000 F-Secure Anti-Virus 2010 10.00 AVG Anti-Virus Free 9.0.716 Norton Internet Security 2010 17.6.0.32 |
ヘッダー CRC と整合しないヘッダー | Microsoft Security Essentials 1.0.1961.0 ウイルスバスター 2010 17.50.1647.0000 F-Secure Anti-Virus 2010 10.00 AVG Anti-Virus Free 9.0.716 |
ヘッダー中に長大なファイル名が記録されている | F-Secure Anti-Virus 2010 10.00 |
Micco さんは、Norton Internet Security 2010 17.6.0.32 については、 基本ヘッダーが 2.3KB 未満でも発生すると分類していますが、実際の量が不明なので、上記では「基本ヘッダーが 2.3KB を超えるヘッダー」に分類しています。
さて、上記の欠陥について、IPA が脆弱性として認知しなかったため、Micco さんはこれ以上の新規開発は行わないことにした、ということが話題になっています: 『LHA の脆弱性』その後 (5) と UNLHA32.DLL 等, 開発中止... (Micco's HomePage, 2010.06.02)。最終的には、
Jun.7,2010 追記
援護射撃があったからなのか, なにやら微妙に趣旨が追加・変更されて JVNVU#545953 の追加情報として扱う形に落ち着いたようです。 いや, 確かに元々「参考情報として扱う (何のとは示されていない。)」とは聞いていましたけれど。 それはともかく, CVE-2010-0098 に直接結びついた JVNVU#545953 に情報追加したのでは, ベンダーを含めて混乱するだけのような気がしないでも…。 とりあえずは様子見ですね。
だそうなのですが、
JVNVU#545953: 複数のアンチウィルス製品に脆弱性 (JVN) は CERT-FI Advisory on Antivirus Signature Evasion Using Archive Files の JVN 型番に過ぎない上、オリジナル (CERT-FI Advisory) では 「ZIP, CAB, GZIP, 7Z and RAR」が対象なのですから、 「JVNVU#545953 の追加情報として扱う」のは不適切だと、私 (小島) も考えます。 新規の脆弱性として取り扱い、分類番号も新規に起こすべきです。
CVE-2010-0098 は、 CERT-FI Advisory on Antivirus Signature Evasion Using Archive Files で述べられていることに関する ClamAV の脆弱性の番号にすぎません。 ですから、この番号を記すと、むしろ誤解を招くと思います。
さらに、Vector がこんな発表をしています: UNLHA32.DLL等の開発中止と弊社配布ソフトの安全性に関して (Vector, 2010.06.07)。リネージュ資料室さん情報ありがとうございます。
弊社では、弊社サイトにソフトをご登録いただいている作者の方に対し、今後新規公開・差し替え公開されるものに関しては、LZH以外の形式でのご登録をお願いしてゆく予定です。
そして実際に、LZH 形式の書庫ファイル・自己展開 EXE ファイルの新規受付が 2010.06.14 から停止されているそうです。
株式会社ベクターです。 平素より弊社サイトをご利用いただき、ありがとうございます。 ====================================================================== ■LZH形式書庫ファイルの新規・差し替え・追加登録停止のご案内 ====================================================================== さて、すでにニュースサイトなどで報じられている通り、書庫のヘッダ処理 における脆弱性に対してベンダー等の対応が進まないことから、 作者・Micco氏から「UNLHA32.DLL等の開発停止意向」が表明され、あわせて 「特に企業・団体においてのLZH書庫利用はお勧めしません」との呼び掛けが 行われました。 この状況に対して弊社では、ベンダー等の対応が進むまでの当面の間、LZH形 式書庫ファイルの新規・差し替え・追加登録を停止することにいたしました。 ●登録停止は6月14日(月)から実施いたします。 ●アーカイバなど、一部のファイルにつきましては、上記期日での 登録停止の対象外とさせていただきます。 詳しくは下記「登録停止の背景・詳細とご対応方法につきまして」 をご覧ください。 ●現在、弊社サイトで公開中のLZH形式書庫ファイルの(ZIP形式等) 他形式への変更をお願いするものではありません。 新規・差し替え・追加登録時の書庫形式としてLZH以外のものを お使いいただくようお願いするものです。 ライブラリ作者のみなさまにはお手数をおかけすることになりますが、何卒 ご理解・ご協力のほどお願い申し上げます。 ====================================================================== ■登録停止の背景・詳細とご対応方法につきまして ====================================================================== 現在 UNLHA32.DLL 等の作者である Micco氏による「LZH形式の書庫において ウイルススキャナーが悪意を持ったファイルの検出ができないものが存在し うるという問題点」により、特に「会社などでの使用を推奨しないこと」 及び「開発の停止意向表明」がなされました。 http://www2.nsknet.or.jp/~micco/notes/ann.htm http://www2.nsknet.or.jp/~micco/incidents/2010/inci1006.htm (ただし6月7日の追記により、多少状況の変化があります) これにともない、弊社ではLZH形式の書庫ファイル、及びその自己展開形式の EXEファイルの受け付けを停止することにいたしました。 弊社で公開前に行っているウイルス検査は、今回問題にされている見逃しは 発生しない方法で行っており、現在すでに公開しているファイルはそのまま 公開を続けさせていただきます。 ただし、バージョンアップなどによる差し替えや追加、及び新規のファイルに 関しましては、順次登録の受け付けを停止させていただくことになりました。 今後は単に書庫ファイルとしてLZH形式を使用されている場合には、至急ZIP等 の他の形式で作成していただきますようお願いいたします(既存のファイルの 形式変更だけによる差し替えの必要はありません)。 LZHの自己展開形式でインストーラーとして使用しているなどの場合、他の 形式への変更は動作環境の確認などに時間が必要かと思われますので、作業が 完了次第できるだけ速やかに移行作業を行っていただきますようお願いいたし ます。 ただし、アーカイバーそのものにつきましては既存のファイルの展開や、 インストーラーとして使用している方がいらっしゃることなどを踏まえ、 当分は今回の受付停止の対象からは外させていただきます。 ※アーカイバーそのものの内部形式がLZHのもの及びLZHの自己展開形式を作成 できるアーカイバーが対象です。WinRARのようにLZH形式に依存していない ものはそもそも公開停止の対象ではありません。 --- (株)ベクター メディア部 vector@vector.co.jp - ご案内 http://www.vector.co.jp/info/web_form/webform_info.html - FAQ http://www.vector.co.jp/for_authors/upload/faq.html
Vector の反応は激しすぎると思うけど……。
あと、IPAのせいでUNLHA32.DLLが開発停止、の誤解 (水無月ばけらのえび日記, 2010.06.07) ですが、IPA が新規案件として取り扱わなかったという意味では、誤解はないですよ。それと、
確かに問題があると言えばありますが、それほど重大な問題でしょうか。たとえば、トレンドマイクロのInterScanはメールに添付されたZIPファイルをチェックしますが、パスワードがついていたり、中身のファイルが100個以上あったりすると、「チェックできなかった」という警告メッセージを残しつつもメールは通してしまいます。
安全側に倒れるのであれば、「検証できなかったものについてはサーバで止める」というオプションがほしいところでしょう。
》 IBM ISS AlertCon が 2 になっている。 マイクロソフト セキュリティ アドバイザリ (2219475) Windows のヘルプとサポート センターの脆弱性により、リモートでコードが実行される の件みたい。
はやぶさ カプセル落下を確認 (NHK, 6/14)。うぉう、これが NHK の力か。メディアはどこでもいいので、生でやってほしかった。NHK はメディアいっぱい持ってるんだし、地デジの良さ (マルチ編成可能) を生かし切れてないよね。
Hayabusa Re-Entry airborne observing campaign. (seti.org)。NASA DC-8 部隊のページ。
ヘリコプターから撮影したカプセル本体の画像について (JAXA, 6/14)
「はやぶさ」カプセル、豪の砂漠で回収へ (読売, 6/14)
先住民アボリジニの聖地のため、14日朝、豪空軍のヘリコプターがこの地域の代表者を乗せて、現地へ向かった。カプセルを聖地から運び出す許可を先住民から得たうえで、日本人研究者らが午後、ヘリコプターで回収に向かう。
カプセルには、小惑星「イトカワ」の砂などが入っている可能性がある。カプセルは、現地で箱詰めにされ、14日午後にはウーメラ近郊の軍施設まで輸送。現地で危険な部品を取り除き、どろを落としたうえで18日にも日本へ空輸する。神奈川県相模原市の宇宙機構に新設された専用施設で、約2週間かけて慎重に開封される。中にイトカワの砂が入っているかどうかは、9月までに分かりそうだという。
奇跡生んだ粘りと技術…「はやぶさ」帰還 (読売, 6/14)
航行に不可欠な装置がほぼ全滅した状態でも帰還できたのは、NECが作ったイオンエンジンが八面六臂(はちめんろっぴ)の活躍をしたお陰だ。
(中略)
NECは、世界初の事業化に向けて米企業と提携し、来年度から3年間で20億円の受注を見込む。イオンエンジンは小型衛星の長期運用に使う「電気推進エンジン」市場で新顔となるが、「はやぶさで圧倒的な実績を示せたことで、世界最大の米国市場で占有率6割以上を狙える」と、NEC宇宙事業開発戦略室の堀内康男さん(45)。同社は今後、はやぶさに搭載したものより推進力を20%増すなど、品質をさらに高める方針だ。(科学部 本間雅江、江村泰山)
おぉ、ちゃんと商売になりそう! すばらしい。
》 グーグル:中国のネット検閲でWTO提訴準備 米欧当局と (毎日, 6/12)
》 7年ぶりに戻ってきたはやぶさが流れ星に! #hayabusa (flickr, 6/13)、hayabusa re-entry (ustream, 6/13)、星空を進む「はやぶさ」。天の川(左)の中にある南十字星の上で消えた=尾崎孝撮影 (読売, 6/13)。おかえりなさい。長い間、よくがんばったね。
関連:
はやぶさラストショット (c)jaxa (twitpic, 6/13)、 突入直前、地球を撮影 はやぶさ最後の1枚 (東京新聞, 6/13)
はやぶさ回収、待ち構える8組の追跡チーム (読売, 6/13)
「はやぶさ」分離成功、一気に沸き立つ管制室 (読売, 6/13)
「はやぶさ」大気圏突入、60億キロの旅帰還 (読売, 6/13)
NASA's DC-8 Flying Lab Heads to Australia for Hayabusa Re-entry (NASA)。NASA が DC-8 で空中撮影に挑んでいるみたい。そのうち画像が出てくるはず。
……出た: Hayabusa re-entry (YouTube, 6/13)
ギャラリー用:南天の天の川の前を右下から上方へ横切った「はやぶさ」と回収カプセル=13日午後11時21分、豪南部グレンダンボ近郊、赤道儀を使って3分露光、東山写す ( 2010年6月13日23時43分更新) (asahi.com, 6/13)、記事。
<6月14日 00時05分(日本時間)発信>ヘリコプターでカプセル本体を捜索した結果、WPA内において、目視により確認しました。 (Hayabusa_JAXA, 6/15)
》 キルギスの民族衝突、死者79人に 2度目の非常事態宣言 (AFPBB, 6/13)
》 きょうの協:府警がネット犯罪で「捜査留学」 根絶へノウハウ伝授 /京都 (毎日, 6/13)。PerfectDark × 京都府警 + 岡山県警 の件。 佐賀県警の人も協力していたんですね。
関連: P2Pは4項提供罪(不特定多数)が実態にふさわしいと思うが、公然陳列罪だと誤解している京都府警が伝授すると、誤った法令適用が伝染する。公然陳列のほうが、罪数面では被告人に有利だが、あえて言っておく。 http://bit.ly/a04s4v捜査は府警のほか、岡山、佐賀両県警の警 (okumuraosaka 奥村徹(大阪弁護士会), 6/13)
》 【衝撃事件の核心】“ショタ”サイト活発化で警察当局が本腰 歪んだ性に走るマニアたちの告白 (産経 MSN, 6/13)
》 「日銀砲」の実情が当事者の一人、谷垣自民総裁の口から語られる (【ネタ倉庫】ライトニング・ストレージ, 6/13)
》 田原総一朗×上杉隆vol.3 「鳩山マネーの秘密と小沢一郎の素顔」 (現代ビジネス, 6/11)。 現代ビジネス緊急対談「田原総一朗×上杉隆」 民主党政権について (ustream.tv, 6/3) のテキスト版のラスト。岡田イズム、鳩山献金、小沢。
上杉:最初は50万円だったんです、個人献金で。
田原:兄貴と弟は額が違うんだ。
上杉:一緒です。
田原:じゃ、 1500万円じゃない。
上杉:結果として一緒だったんです。150万円は個人献金の限度額ですよね。もっと前の1996年の改正前は限度額がなかったときもあったわけです。
田原:2002年以後ですよ。
上杉:2002 年以降、8年間の分に関しては、貰っていたという額の認識と途中で抜いて本人の手元に・・・。
田原:鳩山邦夫さんへ来る間に誰かが抜いてたんだ。
上杉:抜いてたんです。安子奥様から六甲商会に入ってそこが出すんです。そこからずっと同じ額が来てるから処理してると思っていた。ところが実は間で抜いている人がいたんです。鳩山家で、抜いている人をどうするかという議論になったんですけど、これはもう自分たちが足りない分を払おうと、検察にもいって払おうといって、それで終わったんです。
田原:自分たちが、きちんとしなかったのがよくないんだと。
上杉:やっぱり管理責任です。僕自身は、確かにその部分では脱税で追徴だろうと思うんですね。でも中で働いていた人間からすると、絶対本人は知らなかったよな、抜いたのはあの人だなってわかってますけど。
田原:あ、そう、わかるわけね。それは由紀夫さんも同じことがいえるわけね。
上杉:出てくるのは同じですから。安子さんが指示するところと、その間にポンポンと二つ入るんですけど、そこの人は一緒なんです。その人は逃げているわけですよ。
田原:相当抜いていたわけね。
上杉:とんでもなく抜いてましたね。十数億円、抜いてるんじゃないですか。でも、それを返せといったって、無いと。だったらこれは政治家としての自分たちの責任だということで払ったわけです。別に褒められたことじゃないんですよね、全然。
で、ついでに申し上げると、官房機密費とは関係なく、鳩山家もそのなかから、いろいろ政治評論家とか、学者さんとか、記者におカネが出てたわけですよね。ピタッと報道が止まっちゃうのは、自分たちも貰ってるから書き様がないわけです。これも官房機密費と同じ構図なのかなと。
》 あなたは「自炊」派? (slashdot.jp, 6/11)。ふむん……。
》 子宮がん:用語廃止を要望へ 日産婦 (毎日, 6/12)。日本産科婦人科学会が、そういう要望書を提出する予定という話 (まだ出てない模様)。 ワクチンで予防できる「子宮頸がん」と、そうではない「子宮体がん」を分離したいみたい。
小西郁生常務理事は「40〜50年前までは子宮体がんの患者はほとんどいなかったので、子宮頸がんを子宮がんとしても問題はなかったが、食生活の変化などで子宮体がんの患者が増え続け、混合が見過ごせなくなってきた。昨年、子宮頸がんのワクチンが承認されたが、死亡者数が正確に分からないと、効果も詳しく把握できない」と説明する。
金融庁による行政処分について (日本振興銀行, 5/27)
日本振興銀行株式会社に対する行政処分について (金融庁, 5/27)
II.処分の理由
(中略)
1.重大な法令違反等
(1)当行の特定の役職員らは、検査資料として検査官に業務メールを提出するに当たって、事前にメール保管先サーバーに接続し、同サーバー内に保管されていた電子メール群から、特定の電子メールを意図的に削除したものと認められた。当該削除メールからは、貸金業者からの債権買取に関する出資法違反の強い疑い等の重要な検査指摘につながる事実や親密先企業の管理実態等が確認されるなど、メール削除は当行の業務の実態把握の深度に大きな影響を与えており、当行の特定の役職員らの当該メール削除行為は、銀行法第63条第3号及び第64条第1項第2号の検査忌避等に該当する法令違反行為であると認められること。
(2)特定企業への融資の実行に関して、取締役の過半数を自らの推薦する者とすることを条件とした上で、当該条件の不履行を理由として追加担保の差入れを要求しており、銀行法第13条の3第 4号及び銀行法施行規則第14条の11の3第3号(優越的地位の濫用)に違反する行為があったこと。その他、同条に違反するおそれのある行為があったこと。
(3)貸金業者から債権を買い取るにあたり、事前に、一定期間経過後、当該債権を一括再譲渡する旨の合意を結び、これに基づき当該債権を貸金業者に再譲渡したが、当該取引は経済的には信用供与の実態を有することから、受領した買取手数料が実質金利とみなされ、出資の受入れ、預り金及び金利等の取締りに関する法律第5条第2項に違反する強い疑いがあると認められること。
(4)融資勧誘に際して、顧客に事実と異なる内容を告げており、銀行法第13条の3第1号(銀行の業務に係る禁止行為)に違反するおそれのある行為が複数あったこと。また、債務者からの定期預金の解約申出に対して不適切な説明により応じていない事案や、実行した融資からの定期預金預入(即時両建預金)が疑われる行為が複数あったこと。
(5)貸金業者から譲り受けた債権については、貸金業法が準用されるが、交付した受取証書の記載不備や督促行為を行った事実を交渉記録に記載していないなど、貸金業法第18、19、21、22 条に違反する行為があったこと。
(6)業務委託先の一部社員が、当行の融資に係る勧誘・説明といった営業行為を行っており、当該委託先が無許可での銀行代理業にあたるおそれがあるが、当該営業行為が銀行代理業に該当するかを含め、当行ではリーガル・チェックを行っていないこと。
(7)当行が保有する顧客情報について、顧客からの同意を得ずに第三者提供を行っており、個人情報の保護に関する法律第23条第1項に違反するおそれのある行為があったこと。
2.経営管理態勢、法令等遵守態勢、及び信用リスク管理態勢等に関する問題
(1)前回検査において、業務が法令及び定款に適合して執行されるための態勢や、職務執行に係る情報の保存・管理に関する態勢の整備が不十分である旨指摘されているにもかかわらず、取締役会等による業務執行部門に対する指導・監督が不十分であることから、今回検査においても、検査忌避等に該当する電子メールの削除や、大口与信先の融資審査資料、自己査定資料を管理していない等、職務執行に関する情報の保存・管理に不備が認められる。
また、資産査定等に関し十分な資料を迅速に提出しないなど、検査の実効性や効率性を阻害するような不適切な対応も行っている。
このように、当行の経営管理態勢には重大な問題があると認められる。
(2)上記1.の法令違反やそのおそれのある事案について、当行では、法令等遵守担当部門である経営管理室及び内部監査部門である経営監査室において、行内担当部署と親密先企業との関係や営業推進を重視するあまり、法令等遵守や顧客保護等管理の観点から問題がないか適切に検証されておらず、態勢上の重大な不備が認められる。
(3)大口融資先に対する融資に関しては、独立した審査部門による審査がなされておらず牽制機能が発揮されていない等、管理態勢上の重大な不備が認められる。
日本振興銀行:検査忌避容疑で家宅捜索 警視庁 (毎日, 6/11)
日本振興銀行:「法令違反のデパート」 信頼回復道険しく (毎日, 6/11)
振興銀が一部業務停止命令の際に指摘された問題点は検査忌避にとどまらない。金融庁は、融資先に特定の取締役の就任を強要する銀行法違反(優越的地位の乱用)を認定したほか、貸金業法、個人情報保護法など計7件を列挙し、「まるで法令違反のデパート」(金融庁幹部)の状況だった。
小泉純一郎首相(当時)と竹中氏による金融改革の“立役者”でもあった振興銀を金融庁は攻めあぐねた。今回の検査で刑事告発にまで持ち込めたのは、政権交代のおかげとの見方もある。振興銀は今後、外部の弁護士らによる特別調査委員会を作るほか、社内に7日設置した改善推進委員会が経営の実態把握と改善を目指すが、信頼回復の道は険しい。
日本振興銀:木村氏から事情聴き実態解明へ (毎日, 6/12)
》 イスラエル、国際調査団の参加を受諾へ ガザ支援船急襲事件 (CNN, 6/12)
》 OCZ、エンタープライズSSD「Vertex 2 Pro」と「Vertex 2 EX」をリリース 「最も過酷なコンピューティング環境向けに設計された」と同社 (ComputerWorld.jp, 6/11)
》 OllyDbg 2.0 が出ています。
》 【インタビュー】キミもこれで「そらの」になれる! そらのダダ漏れ用ガジェット徹底聞き込み (gizmodo, 6/11)。ふつうの人でも問題なく入手できるような機材しか使ってない。君も僕も (やる気さえあれば) そらのになれる。
》 口蹄疫情報Foot-and-mouth disease (FMD) (鹿児島大学 岡本嘉六教授)
》 ゼロから分かる東京都青少年健全育成条例改正問題 — 第1回 非実在青少年は、なぜ問題なのか? (ascii.jp, 6/10)
》 小惑星探査機「はやぶさ」(MUSES-C)の カプセル再突入計画について (JAXA, 6/12)。いよいよ最後の大仕事。一発勝負。うまく動いてくれ。
》 セキュリティ&プログラミングキャンプ2010。 2010.08.12〜16、首都圏某所、無料。 今年もあるよ。
イー・モバイル、帯域制限を強化。366MB/日以上で対象に (slashdot.jp, 6/10)。当然ながら、お怒りの方多数。
イー・モバイルの特長・サービス (ヨドバシ)
イー・モバイルのEMモバイルブロードバンドは最新通信技術を採用し、モバイルで下り最大21Mbps*、上り最大5.8Mbps*という通信速度を実現。簡単な手続きだけですぐにインターネットを楽しめます(※1)。
(中略)
2005年1月に、固定通信とモバイル通信の融合をめざしイー・アクセス出資の企画会社として誕生しました。2007年3月に、これまでのモバイルシーンを劇的に変える「高速で定額、低価格」のモバイルデータ通信を開始し「ブロードバンド革命」をモバイルの世界でも実現しています。
「高速」「固定通信との融合」を売りにしていたにもかかわらず、 これですから。そりゃあ怒るよね。
》 文化審議会著作権分科会法制問題小委員会「権利制限の一般規定に関する中間まとめ」に関する意見募集の実施について (文化庁, 5/25)。「日本版フェアユース」の件。6/24 まで。
》 疑惑も「世襲」 小泉進次郎事務所費「三重計上」 (日刊ゲンダイ, 6/11)
》 マカフィー、仮想化環境向けセキュリティソリューションを発表 プラットフォームのオープン化と管理の最適化により、間接費の大幅削減を実現 (マカフィー, 6/10)。McAfee Management for Optimized Virtual Environments (MOVE) の件。まだ開発中。
マカフィーが現在開発中の新プラットフォーム「McAfee Management for Optimized Virtual Environments (マカフィー マネジメント フォー オプティマイズド バーチャル エンバイロメンツ:MOVE)」は、マカフィーとパートナーが活用できるプラットフォームにより、仮想化環境向けに特化されたセキュリティを実現することを目的に、各ハイパーバイザーベンダーの開発方式を共通化し、各仮想マシンの外にセキュリティポリシーチェックなどの資源集約的作業をオフロードします。また、ハイパーバイザー全体の状態に基づいて、各作業のスケジューリングを最適化することも可能です。マカフィーは、より強固なセキュリティを目指して、パートナー各社にオープンソースを提供し、将来の仮想化に適応できるエンタープライズ市場向けサービスを加速させていきます。またMOVE プラットフォームを活用するべく、エンタープライズユーザー向け製品として「A/V Offloading」を発売する予定です。
仮想化環境におけるセキュリティ対策を、仮想化環境の外部に追い出し、全体として最適化するソリューションですか。
[TBSラジオ6/10] 岩上安身氏がメディアの偏向ぶりを徹底糾弾 「非常に危険な状態に今ある」 (★阿修羅♪, 6/11)
せっかくこうやってラジオに出させていただいているんですから、TBSラジオというラジオの媒体が非常にフェアに私に発言をさせてくれる、その証明として申し上げますけれども、先日、菅新総理の記者会見に私、出席しました。私、最後に質問を当てられたんですね。官房機密費が言論人とかジャーナリストとかメディア界の関係者に配られて、言わば言論の買収が行われていると。これは先だって野中前官房長官が曝露し、そして例えば週刊ポストで上杉隆さんが追撃し、私自身も、例えば一例として、評論家の佐藤優さんがみんなの党の江田憲司さんからお金をもらったことがあると、官房機密費をもらったことがあるということを、私は直接ご本人から聞いていて、そのことを総理に直接言いました。そしたら、しどろもどろになって明石中佐がどうだこうだと言い訳がましいことを言ったんですよ、菅総理が。これが全く新聞に載ってない。載っている新聞がありますけれども、載ってない新聞もあるんです。
菅内閣総理大臣記者会見 平成22年6月8日(火) (首相官邸)
(内閣広報官)
それでは、時間も経過しております。最後の質問を受けたいと思います。 岩上さん、どうぞ。
(記者)
フリーランスの岩上と申します。先ほど上杉さんの質問の中にありましたが、官房機密費の問題について、総理はお答えになっていなかったようですので、重ねて質問を申し上げます。
野中元官房長官が、機密費を言論人あるいはマスメディアの人間に配って、言わば情報操作、言論操作を行ったという証言をいたしました。その後、私自身も上杉氏も取材を行い、この野中さんの発言だけでなく、はっきりと私は機密費を受け取ったと証言する人物も出ております。
評論家の佐藤優さんは、かつて江田憲司さんから機密費を受け取ったと私にはっきりおっしゃいました。こうした「政治とカネ」ならぬ「報道とカネ」の問題。政治と報道とカネの問題と申しましょうか。こうした問題は大変ゆゆしき問題であろうと思います。この点について、きちんと調査をなされるか。そして、機密費の使途について、これまで使った分も、それから今後使用される分も含めて、公開されるお気持ちはあるかどうか。お考えをはっきりお述べいただきたいと思います。よろしくお願いします。
(菅総理)
この機密費という問題は、なかなか根源的な問題も含んでいるわけです。物の本によれば、いつの時代でしたでしょうか、戦前でしたでしょうか、当時のソ連の動きを明石大佐がいろいろ調査をするときに、巨額のまさにそういう費用を使って、そういう意味での情報のオペレーションをやったということも、いろいろ歴史的には出ております。
そういう意味で、確かに国民の皆さんの生活感覚の中で考えられることと、場合によっては、機密費という本質的な性格の中には、一般の生活感覚だけでは、計ることの場合によってはできない、もうちょっと異質なものもあり得ると思っております。
今この問題は、官房長官の方で検討されていると思いますが、いろんな外交機密の問題も、ある意味で、ある期間を経た後にきちんと公開するということのルールも、必ずしも日本でははっきりしていないわけですけれども、この機密費の問題も、何らかのルールは、そういう意味で必要なのかなと思いますが、現在、その検討は、官房長官御自身に委ねているところです。
報道の在り方については、これはあまり私の方から言うべきことというよりも、それは報道に携わる皆さん自身が考えられ、あるいはある種の自らのルールが必要であれば、自らの自主的なルールを考えられればいいのではないかと思います。私なども時折、ちょっと記事が違うではないか、一体だれから聞いたんだと言っても、それは取材元の秘匿はジャーナリストの言わば原点ですからと言われて、それはそれで1つの考え方でしょうが、政治とカネの問題についても、皆さん自身がどういうルールなり、倫理観を持って当たられるか、まずは皆さん自身が考え、あるいは必要であれば議論されることではないでしょうか。
金配ってたのは日本政府なのだが、他人事のような反応……。
》 6月9日夜、〈映画「ザ・コーヴ」上映とシンポ〉報告 (The Journal, 6/11)
映画を上映した後、休憩をはさんで8時50分から第2部。パネラーである森達也、綿井健陽、坂野正人、鈴木邦男、野中章弘各氏が並びました。冒頭に配給会社のアン・プラグドの加藤社長から経過説明を受けた後、突如、ゲストとしてオバリーさんを呼ぶと会場はおーっという歓声。今見たばかりの映画の主役が突然舞台に登場するということだからかなりサプライズだったはずです。で、オバリーさんは、上映中止は残念だという説明の後、持っていたフリップのようなものを掲げました。それには憲法21条の「表現の自由」の条文が書かれていたんです。で、彼は、日本は憲法で表現の自由が保証されているはずだ、と発言。私自身は隣で聞いていて、外国の人に憲法を説諭されるというこの光景が、日本の表現をめぐる情けない状況を象徴しているようで、ちょっとショックでしたね。
》 あらゆる機能を網羅したマルウエア「Sality」の概要 (日経 IT Pro, 6/11)
》 European Privacy Officials: Google, Yahoo, and Microsoft Are Still Breaking European Privacy Law (EFF, 6/10)
》 Facebook、子供の安全なネット利用で全米PTAと協力 (日経 IT Pro, 6/11)
東京地検が初の「オープン会見」 江川紹子さんらクラブ外15人 (J-CAST, 6/10)
地検、定例会見を開放 フリーや雑誌記者に (中日, 6/11)。名古屋地検など、他の地方地検の様子も。
記者会見の開放は、最高検が4月に全国の高検、地検に対して通知。中部各県の地検でも順次始まっているが、これまで新規参加の事例はない。
名古屋地検は10日に初めて定例記者会見を開き、開放した。地検によると、加盟社外から事前登録の申請があったが、地検の基準を満たさず、名古屋司法記者クラブ(加盟14社)所属の記者だけが参加した。
岐阜地検は17日、津地検は18日に最高検のオープン化通知に基づく初の定例会見を開く予定だが、加盟社外の記者からの申請はいずれもゼロ。6月上旬に1回目の定例会見を開いた長野、富山、金沢、福井の各地検でも記者クラブ外からの申請はなかった。
現実問題、地方は難しいだろうなあ。
東京地検が記者クラブ外の雑誌記者・フリーライターに定例記者会見を初公開【東京地検定例会見】 (東洋経済, 6/11)
東京地検、初のオープン記者会見…「ハードル高い」 需要は大都市だけ!? (産経 MSN, 6/11)
関連: 【新聞】ジャーナリズムを担うのは誰か 新たな段階の記者会見開放 (asahi.com, 6/10)
》 使用基準、厳しく 多用される農薬『アセフェート』 (中日, 6/10)
中国製ギョーザ中毒事件で有名になった有害物質メタミドホスに変化することで知られる。(中略) アセフェートは、「オルトラン」や「ジェイエース」の商品名で売られている。出荷額は年間約八十億円。有機リン系農薬では二番目に多く、農業の現場のほか家庭菜園でも多用されている。
》 日本振興銀行を本格捜査へ=メール削除、検査忌避の疑い−銀行法違反で警視庁 (時事, 6/11)
捜査関係者によると、同行役職員らは金融庁検査官に業務メールを提出する際、事前にサーバーへ接続し、保管されていたメールを削除し、検査を免れようとした疑いが持たれている。
金融庁によると、削除したメールには、貸金業者からの債権買い取りに関する事実や、関係先企業の管理などの内容が含まれており、同行の業務実態を把握するのに影響を及ぼしたとしている。
》 [Interop 2010]Twitterで状態を“つぶやく”BBルーター、ヤマハが参考展示 (日経 IT Pro, 6/9)。読み上げソフトとかに通すとうれしい人はいそうだなあ。
》 共有ソフトPDで人気アニメを“一次放流”の男、逮捕 (産経 MSN, 6/11)。PerfectDark × 京都府警 + 岡山県警。
パーフェクトダーク利用者の検挙は1月の京都府警に次ぎ、全国で2例目、中四国で初めて。「Share(シェア)」の約14万人、「Winny(ウィニー)」の約9万人に次いで約7万人が利用していると予想されており、送信の際の暗号化など匿名性が高いことから、「現在最も匿名性が高いファイル共有ソフト」とされているという。
この利用者数、どこから来た数字だろう。
》 ネットで500円政治献金…ヤフーが開始 (読売, 6/11)。おおっ。
》 「涼宮ハルヒ」舞台高校の憂鬱 落書き・校舎に侵入… (asahi.com, 6/11)。節度は守ってほしいなあ。
》 Google、背景画像をデフォールトにする実験を急いで打ち切る (techcrunch, 6/11)。うわ……。Google って、ほんとセンスないよなあ。 「プロ写真家の撮った」写真なら何でもいいってか。 あまりにひどいので、bing で一息つこう。
》 米CTERA、Ext3互換で高度なスナップショット機能を持つファイルシステム「Next3」を公開 (sourceforge.jp, 6/10)
》 亀井郵政相:法案先送りで辞任へ 国民新、連立は維持 (毎日, 6/10)。連立は維持することになったらしい。はぁ。
振り返れば…「連立3党首が全部自爆」 自民・谷垣氏 (asahi.com, 6/11)。にもかかわらずの現状が、自民党の行き詰まりを表している。
》 InterScan Web Security Suite Linux版/Solaris版におけるウイルス検索エンジン VSAPI 9.130緊急公開のお知らせ (トレンドマイクロ, 6/10)
2010年6月9日に公開いたしました、InterScan Web Security Suite Linux版/Solaris版のウイルス検索エンジン VSAPI 9.120について、特定の条件下で検索プロセスが異常終了する問題が確認されたため、問題を回避するVSAPI 9.130を緊急公開することをお知らせいたします。
Windows XP / Server 2003 に 0-day 欠陥。[Full-disclosure] Microsoft Windows Help Centre Handles Malformed Escape Sequences Incorrectly (Full-disclosure ML, 2010.06.10) の件。「HCP プロトコルの登録を解除する」ことで回避できる。
関連: Help and Support Center vulnerability full-disclosure posting (Microsoft Security Research & Defense, 2010.06.10)、 CVE-2010-1885
Microsoft Fix it 出ました: Microsoft KB 2219475。
in the wild になった模様です。
http://www.sophos.com/blogs/sophoslabs/?p=10045 (Sophos, 2010.06.15)
msftsecresponse によると、 今出回っている exploit は、XP には効くけど Server 2003 には効かないみたい。これとこれ。
Windows のヘルプとサポートセンターの未修正の脆弱性に関する注意喚起 (JPCERT/CC, 2010.06.28)
2010年6月28日、JPCERT/CC では「いわゆるGumblar ウイルス」によるWeb サイト改ざん攻撃において本脆弱性が使用されていることを確認しました。
関連:
Windowsのヘルプとサポートセンターの脆弱性(CVE-2010-1885)に関する検証レポート (NTT データセキュリティ, 2010.06.15)
Windowsのヘルプとサポートセンターに脆弱性--報告したグーグル社員に非難の声も (CNET, 2010.06.14)
責任ある開示とは何か--オーマンディ氏の情報開示の「責任」は (CNET, 2010.06.28)
修正に時間がかかりすぎるという問題があるわけで。
Attacks on the Windows Help and Support Center Vulnerability (CVE-2010-1885) (Microsoft Malware Protection Center, 2010.06.30)
MS10-042 - 緊急: ヘルプとサポート センターの脆弱性により、リモートでコードが実行される (2229593) (Microsoft) で修正されました。
OpenOffice.org Security Team Bulletin。 OpenOffice.org 3.2.1 で、 CVE-2009-3555 と CVE-2010-0395 が修正された、とされている。
JVNVU#245081: Accoria Rock Web Server に複数の脆弱性 (JVN, 2010.06.03)
Wireshark 1.2.9 / 1.0.14 が公開されています。bid 40728 によると、セキュリティ修正が含まれている模様です。
VMSA-2010-0009: ESXi utilities and ESX Service Console third party updates (VMware, 2010.05.27)
Multiple vulnerabilities in Wireshark version 0.8.20 to 1.0.13 (wireshark.org, 2010.06.09)。Wireshark 1.2.9 / 1.0.14 では 5 件の欠陥が修正されています。
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat
Flash Player と Adobe Air の fix 出ました: APSB10-14: Security update available for Adobe Flash Player (adobe, 2010.06.10)。Flash Player 10.1.53.64 / 9.0.277.0、Air 2.0.2.12610 で修正されています。
Flash Player 10.1.53.64: http://get.adobe.com/flashplayer/
Flash Player 9.0.277.0: http://kb2.adobe.com/cps/406/kb406791.html
Air 2.0.2.12610: http://get.adobe.com/air/
なお、Solaris 用の Flash Player 10.1 はまだ正式リリースされてません。 10.1 RC で凌ぎましょう。
しかし、修正一覧がすごいなあ。
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-1297).
Note: There are reports that this issue is being actively exploited in the wild.This update resolves a memory exhaustion vulnerability that could lead to code execution (CVE-2009-3793).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2160).
This update resolves an indexing vulnerability that could lead to code execution (CVE-2010-2161).
This update resolves a heap corruption vulnerability that could lead to code execution (CVE-2010-2162).
This update resolves multiple vulnerabilities that could lead to code execution (CVE-2010-2163).
This update resolves a use after free vulnerability that could lead to code execution (CVE-2010-2164).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2165).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2166).
This update resolves multiple heap overflow vulnerabilities that could lead to code execution (CVE-2010-2167).
This update resolves a pointer memory corruption that could lead to code execution (CVE-2010-2169).
This update resolves an integer overflow vulnerability that could lead to code execution (CVE-2010-2170).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2171).
This update resolves a denial of service issue on some UNIX platforms (Flash Player 9 only) (CVE-2010-2172).
This update resolves an invalid pointer vulnerability that could lead to code execution (CVE-2010-2173).
This update resolves an invalid pointer vulnerability that could lead to code execution (CVE-2010-2174).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2175).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2176).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2177).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2178).
This update resolves a URL parsing vulnerability that could lead to cross-site scripting (Firefox and Chrome browsers only) (CVE-2010-2179).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2180).
This update resolves an integer overflow vulnerability that could lead to code execution (CVE-2010-2181).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2182).
This update resolves a integer overflow vulnerability that could lead to code execution (CVE-2010-2183).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2184).
This update resolves a buffer overflow vulnerability that could lead to code execution (CVE-2010-2185).
This update resolves a denial of service vulnerability that can cause the application to crash. Arbitrary code execution has not been demonstrated, but may be possible. (CVE-2010-2186).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2187).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2188).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2189).
Note: This issue occurs only on VMWare systems with VMWare Tools enabled.This update resolves a denial of service issue (CVE-2008-4546).
関連: Adobe Flash Player および Adobe Acrobat/Reader の脆弱性に関する注意喚起 (JPCERT/CC, 2010.06.11)
》 韓国の衛星ロケット、発射2分17秒後に爆発 (読売, 6/10)。うわ……。前回よりもひどいじゃないですか。 やっぱり地道にノウハウを積み上げないと駄目ですかねえ。
》 警察公論65巻7号<始めてみようサイバー捜査>児童ポルノの掲示板投稿事案(その1)/大塚尚 (奥村徹弁護士の見解, 6/10)
国民新に「会期延長しない」 民主・枝野幹事長伝える (asahi.com, 6/10)
国民新党切りの菅政権〜「郵政票より無党派層」 (田中龍作ジャーナル, 6/10)
3党連立を完全リセット、 ネット選挙もなしってことですか……。いやはや。
》 荒井戦略相「違法な点ない」=事務所費問題—民主・細野氏が説明 (時事 / livedoor ニュース, 6/9)、 【ワイドショー通信簿】「荒井大臣の事務所費問題」コメンテーター陣は「今の時点では違法とまでは言えない」 (J-CAST, 6/10)。これ、読売発のネタだったのか。
みのはのみこめない。「この『主たる事務所』で493万円が……」
与良「事務所といえば、人が何人かいてというのが当たり前だとボクも思う。でも、そうではない曖昧なものが認められてる」
みのはなおも「家賃を払ったことにして、それを何かに……」
与良「(法的には)払わなくてもいいの。ルール上は違法ではない。何に使ったかはきのう公表された。それが本当かどうかは、調べればわかる」
「きのう公表された」って、どこだろう。荒井さとしホームページにはなさそうなんだけど。
……今日になってさらに、領収書が公開されたようで: 荒井戦略相:コミック、CD、衣料品にも…党が領収書公開 (毎日, 6/10)。
》 「事務所費報道について」 (renho.jp, 6/10)。蓮舫氏方面。
》 国連安保理は9日、イラン制裁採決に大多数が合意、ブラジル、トルコが反対、リビアは棄権 (JANJAN blog, 6/9)
》 防衛省行政レビュー、ミサイル防衛などにムダはないか? (JANJAN blog, 6/10)。パトリオット PAC-2 → PAC-3 改修に 641 億かぁ。
》 インターネットは我々に何を与え、奪うのか 〜 クレイ・シャーキーとニコラス・G・カーの新刊 (yomoyomoの「情報共有の未来」, 6/10)
既に出ている『The Shallows』のレビューを読むと意外に好意的に評価されていて、それはネットのヘヴィユーザであれば、マルチタスクを強いられる現代の仕事環境において、人間の思考は表層的なものになっているという主張を実感として否定できないからではないでしょうか。
そうそうそれそれって感じ。
》 オリンパス、防水デジカメ「μTOUGH-6010」の一部にウイルス混入 (マイコミジャーナル, 6/8)。autorun もの。
》 Mass Infection of IIS/ASP Sites (SANS ISC, 6/9)、 WSJ a Victim, Not the Source, of SQL Injection (ScanSafe STAT blog, 6/9)
》 イー・モバイルが帯域制限を30倍近く強化、通信速度を即日規制へ (gigazine, 6/10)。何これ……。事実上、使いものにならなくなるのでは。
》 無煙たばこ、生産追いつかず 苦情相次ぎJT謝罪 (asahi.com, 6/8)。「ゼロスタイル・ミント」の件。
》 TV局が倒産したら…テレビ東京、映画で問題提起 (asahi.com, 6/10)
》 「Safari 5」の新機能「Reader」のベースはオープンソース技術「Readability」 (sourceforge.jp, 6/9)。 Readability (Google Code)
》 UPDATED: Opt-Out Required to Prevent Your Yahoo! Mail Contacts From Being Used for Social Network (EFF, 6/7)
》 拷問に関する報告官、キューバ訪問できず (国連情報誌SUNブログ対応版, 6/10)
》 ヨーロッパのイラク難民強制帰還に懸念 (国連情報誌SUNブログ対応版, 6/9)
》 SEのためのvPro活用ガイド——第3回 実践!! iAMTのプロビジョニング (ComputerWorld.jp, 6/8)
》 検索結果の3分の1は危険なリンク——シマンテックが報告 (ComputerWorld.jp, 6/8)
同社は、こうした新たなセキュリティ問題への対策を「Norton Internet Security(NIS)2011」の目玉にする方針だ。
要は SiteAdvisor みたいなものなのかな。
》 現地で見た中国ICTセキュリティ最新事情 第1回 中国進出企業はセキュリティ対策にどう取り組むか? (日経 IT Pro, 6/10)
よくある失敗例としては、日本の本社にあるセキュリティポリシーをそのまま中国支社に展開し、日本と同じ方法で「これを読め」と配布するだけにとどまるケースだ。 (中略) 中国では、社員に情報セキュリティの必要性を訴えかけるよりも、まず社内の仕組みを作るほうが効率がよい。
》 エフセキュアブログ生誕一周年記念催事を終えて (エフセキュアブログ, 6/10)。ぬいさん……。
》 「準非常事態」宣言…口蹄疫で鹿児島県 (読売, 6/10)。関連:
宮崎県における口蹄疫の疑い事例280例目の検査結果等について (農林水産省, 6/10)。都城市の件、PCR検査陽性を確認。 当該農場の全頭処分 (208 頭) を実施中。
口蹄疫で鹿児島・宮崎県境の一般道封鎖へ (読売, 6/10)
発生場所 (農林水産省, 6/10 更新)
宮崎の口蹄疫、川南町からえびの市へと感染か (読売, 6/7)。例の件。
発表によると、川南町川南で4月24日に発生した農場と、えびの市島内で4月27日に発生した農場。二つの農場は同じ会社が運営しているという。津田部長は「二つの農場では、飼料の運搬車、動物を出荷するときの車両が同じだった。時期的にもそこが一番疑われるので調査した」と説明している。これらの車両は、口蹄疫が発生した4月20日以前に何度も両農場で使われていたという。
ただ、川南町の農場の牛を、えびの市の農場に移したかどうかは確認されていない。
》 夏の参院選を意識し、慶應金准教授らが電波・コンテンツ戦略を提言 (日経 IT Pro, 6/7)。関連:
》 NATO軍へ物資輸送の車列が襲撃され炎上、7人死亡 パキスタン (AFPBB, 6/9)。アフガンへの輸送中に。
夢の「やせ薬」作れるかも 脂肪減らすたんぱく質発見 (asahi.com, 6/10)
アレルギー抑えるたんぱく質発見 花粉症など治療に期待 (asahi.com, 6/7)。アラジン1。
》 Windowsロゴが出た後、真っ黒の画面にマウスカーソルだけ。がVistaでも。またまた。 (パソコントラブル出張修理・サポート日記, 5/19)。ウイルスではなかった事例。
》 番組きっかけの乳がん検診 TBSに医師らが中止要望 (asahi.com, 6/9)。また TBS か。
20〜30代への乳がん検診の有効性に科学的根拠はなく、不必要な検査につながるなど不利益が大きいと指摘している。 (中略) 検診を20~30代女性に限定している理由などを問う公開質問状も内容証明郵便で送った。
元ねた: TBS「余命1ヶ月の花嫁・乳がん検診キャラバン」の 内容見直しを求める要望書提出について (NPO法人キャンサーネットジャパン, 6/9)
関連: 余命1ヶ月の花嫁・乳がん検診キャラバン (TBS)
》 グリーンピース「横領」鯨肉「窃取」事件で、鯨肉を送った船員の証言が嘘であると示すDNA鑑定証拠採用 (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 6/9)
》 「確信犯があぶり出される」Winny違法利用者への警告メールが本格始動 ACCS久保田氏に聞く (Internet Watch, 6/10)。「本格的に始動」ってどういう意味なんだろう。 関連:
Winnyでの著作権侵害に警告メール、ISPと権利者団体が3月1日から (Internet Watch, 2/22)
CCIFでは既にISP5社による取り組みのトライアルを実施しており、3月1日からはまず5社との間で取り組みを進め、4月1日からその他のISPにも範囲を拡大する予定。CCIFに参加しているISP事業者4団体(電気通信事業者協会、日本インターネットプロバイダー協会、テレコムサービス協会、日本ケーブルテレビ連盟)には日本の主なISP約600社が加盟している。
「ファイル共有ソフトを悪用した著作権侵害への対応に関するガイドライン」の公表について (CCIF, 2/8)
》 Apple's Worst Security Breach: 114,000 iPad Owners Exposed (gawker.com, 6/9)、 Security leak leaves US Apple iPad owners at risk (guardian.co.uk, 6/10)。iPad オーナー 114,000 人分の情報が漏洩だそうで。 Apple がヤラれたのではなく、AT&T の web サイトがヤラれたみたい。
日本語な記事: アップル最悪のセキュリティブリーチ。iPad所有者11万4000人分のデータ流出 (gizmodo, 6/10)
》 セキュリティ重視のQubes OS、使い捨ての仮想マシンの実装を計画 (CNET, 6/9)。というか、ふつう考えるよね。
》 国内初「Teredo」技術によるIPv4/IPv6変換ルータの接続実験開始について (IIJ, 6/9)
》 なぜ日本市場が重要か: iPad騒動, クラウドコンピューティング, そしてソーシャルインテリジェンス (techcrunch, 6/9)。salesforce.com CEO による記事。
》 菅体制で民主党が名の通り、民主化される (日経 BP, 6/10)
全米レコード協会、PtoPソフトのライムワイヤーとの訴訟で大きな勝利 (CNET, 5/13)
ニューヨーク州南部地区連邦地裁のKimba Wood判事は米国時間5月11日、ソフトウェア「LimeWire」を開発するLime Wireの親会社Lime Groupおよび設立者のMark Gorton氏が、著作権の侵害、不正競争への関与、および著作権侵害の幇助を行ったとする音楽業界側の主張を支持する、事実審理なしの略式判決を下した。
RIAA、LimeWireへの恒久的差止め命令を求める裁判を起こす (P2Pとかその辺のお話, 6/6)
全米レコード協会、裁判所に「LimeWire」の閉鎖を要請 (CNET, 6/7)
「LimeWire」、2週間の準備期間を確保--RIAAの申し立てに対し (CNET, 6/8)
》 違法コピーのPCソフト業務に使用 奈良市、メーカー側に4300万円支払いで和解へ (産経 MSN, 6/4)
》 ネット犯罪捜査法、他府県に伝授 府警ハイテク対策室が受け入れへ (京都新聞, 6/4)
警察は元来、ライバル関係でもある他府県の警察に捜査の手の内を明かさない傾向にあるが、
すばらしい役人根性ですね。
》 ようやく発売開始です! (FFR Blog, 6/9)。「FFR yarai 脆弱性攻撃防御機能」、「セキュリティ可視化ソリューション」の件。今日も INTEROP の NEC ブースにいらっしゃるのかしら。
》 AppleのiPhone SDK規約変更、モバイル広告に「人工的な障壁」とGoogleが批判 (ITmedia, 6/10)、 AdMobのCEO - 「Appleの携帯広告からのライバル閉め出し規定はデベロッパーに有害」 (techcrunch, 6/10)
》 ツイッターで「行方不明」 捜索願いまで出された男性 (ascii.jp, 6/9)。スルー力を鍛えよう。
関連: 屈曲した思いやり (外野の遠吠え, 6/9)
予定どおり出ました。
MS10-032 - 重要: Windows カーネル モード ドライバーの脆弱性により、特権が昇格される (979559)
Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。Windows カーネルに 3 つの欠陥があり、local user による権限上昇が可能。
Win32k の不適切なデータ検証の脆弱性 - CVE-2010-0484
Exploitability Index: 2
Win32k のウィンドウ作成の脆弱性 - CVE-2010-0485
Exploitability Index: 1
Win32k の TrueType フォントの解析の脆弱性 - CVE-2010-1255
Exploitability Index: 2
関連: MS10-032: Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (Microsoft Security Research & Defense, 2010.06.08)
Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 Quartz.dll (DirectShow)、Windows Media フォーマット ランタイム、 Asycfilt.dll (COM コンポーネント) におけるメディアファイルの処理に欠陥があり、 攻略 Web ページを閲覧すると任意のコードが実行される。
メディア圧縮の脆弱性 - CVE-2010-1879
Exploitability Index: 1
MJPEG のメディア圧縮の脆弱性 - CVE-2010-1880
Exploitability Index: 1
MS10-034 - 緊急: ActiveX の Kill Bit の累積的なセキュリティ更新プログラム (980195)
Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。2 つの ActiveX コントロールに欠陥があり、攻略 Web ページを閲覧すると任意のコードが実行される。
Microsoft Data Analyzer の ActiveX コントロールの脆弱性 - CVE-2010-0252
Microsoft Internet Explorer 8 Developer Tools の脆弱性 - CVE-2010-0811
MS10-035 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (982381)
Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。IE 5.01 / 6 / 7 / 8 に欠陥があり、攻略 Web ページを閲覧すると任意のコードが実行されるなどする。
クロス ドメインの情報漏えいの脆弱性 - CVE-2010-0255
Exploitability Index: 2
関連: MS10-035: Cross-Domain Information Disclosure Vulnerability (Microsoft Security Research & Defense, 2010.06.08)
toStaticHTML の情報漏えいの脆弱性 - CVE-2010-1257
Exploitability Index: 3
初期化されていないメモリ破損の脆弱性 - CVE-2010-1259
Exploitability Index: 1
HTML 要素のメモリ破損の脆弱性 - CVE-2010-1260
初期化されていないメモリ破損の脆弱性 - CVE-2010-1261
メモリ破損の脆弱性 - CVE-2010-1262
Exploitability Index: 1
MS10-036 - 重要: Microsoft Office の COM の検証の脆弱性により、リモートでコードが実行される (983235)
Office XP / 2003 / 2007 に欠陥。COM オブジェクトのインスタンス化を検証する方法に欠陥があり、攻略 Web ページを開くと任意のコードを実行される。 CVE-2010-1263
Exploitability Index: 1
MS10-037 - 重要: OpenType Compact Font Format (CFF) ドライバーの脆弱性により、特権が昇格される (980218)
Windows 2000 / XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。OpenType Compact Font Format (CFF) ドライバーに欠陥があり、 local user による権限上昇を招く。CVE-2010-0819
Exploitability Index: 2
MS10-038 - 重要: Microsoft Office Excel の脆弱性により、リモートでコードが実行される (2027452)
Excel 2002 / 2003 / 2007、Office 2004 / 2008 for Mac、 Open XML File Format Converter for Mac、Excel Viewer、 Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックに、計 14 個の欠陥。
Excel レコード解析のメモリ破損の脆弱性 - CVE-2010-0821
Exploitability Index: 2
Excel オブジェクトのスタック オーバーフローの脆弱性 - CVE-2010-0822
Exploitability Index: 1
Excel のメモリ破損の脆弱性 - CVE-2010-0823
Exploitability Index: 2
Excel レコードのメモリ破損の脆弱性 - CVE-2010-0824
Exploitability Index: 1
Excel レコードのメモリ破損の脆弱性 - CVE-2010-1245
Exploitability Index: 1
Excel の RTD メモリ破損の脆弱性 - CVE-2010-1246
Exploitability Index: 1
Excel のメモリ破損の脆弱性 - CVE-2010-1247
Exploitability Index: 1
Excel HFPicture のメモリ破損の脆弱性 - CVE-2010-1248
Exploitability Index: 1
Excel のメモリ破損の脆弱性 - CVE-2010-1249
Exploitability Index: 1
Excel の EDG メモリ破損の脆弱性 - CVE-2010-1250
Exploitability Index: 1
Excel のレコード スタック破損の脆弱性 - CVE-2010-1251
Exploitability Index: 2
Excel の 文字列変数の脆弱性 - CVE-2010-1252
Exploitability Index: 2
Excel の ADO オブジェクトの脆弱性 - CVE-2010-1253
Exploitability Index: 1
Mac Office Open XML のアクセス許可の脆弱性 - CVE-2010-1254
Exploitability Index: 1
MS10-039 - 重要: Microsoft SharePoint の脆弱性により、特権が昇格される (2028554)
InfoPath 2003 / 2007、SharePoint Server 2007、SharePoint Services 3.0 に 3 つの欠陥。
Help.aspx XSS の脆弱性 - CVE-2010-0817
マイクロソフト セキュリティ アドバイザリ (983438) Microsoft SharePoint の脆弱性により、特権が昇格される の件。 Exploitability Index: 1
toStaticHTML の情報の漏えいの脆弱性 - CVE-2010-1257
Exploitability Index: 3
Sharepoint ヘルプ ページのサービス拒否の脆弱性 - CVE-2010-1264
Exploitability Index: 3
MS10-040 - 重要: インターネット インフォメーション サービスの脆弱性により、リモートでコードが実行される (982666)
IIS 7.5、および IIS で認証用の拡張保護を実装する更新プログラム (KB 973917) をインストールした IIS 6.0 / 7.0 に欠陥。 認証情報の処理に欠陥があり、認証済みユーザーがワーカー プロセス ID (WPI) 権限で任意のコードを実行できる。CVE-2010-1256
Exploitability Index: 2
MS10-041 - 重要: Microsoft .NET Framework の脆弱性により、改ざんが起こる (981343)
.NET Framework 1.0 / 1.1 / 2.0 / 3.5 に欠陥。 W3C XML 署名の構文および処理 (XMLDsig) の推奨策の実装に欠陥があり、 署名された XML コンテンツを改ざんできる。 CVE-2009-0217。 なお、 .NET Framework 3.0 / 4.0 および、 Vista SP2 / Server 2008 SP2 + .NET Framework 3.5 の場合には欠陥がない。
Exploitability Index: 3
関連: MS10-041: XML Signature HMAC Truncation Bypass Vulnerability (Microsoft Security Research & Defense, 2010.06.08)
MS10-036 - 重要: Microsoft Office の COM の検証の脆弱性により、リモートでコードが実行される (983235) では Office XP 用の修正が行われていない。 KB 983235 に Microsoft Fix it が掲載されているので、これを適用しよう。
MS10-041 - 重要: Microsoft .NET Framework の脆弱性により、改ざんが起こる (981343) の .NET Framework 1.1 SP1 用 patch をインストールしようとすると、 古いバージョンのアンチウイルスソフトが反応してしまうことがある模様。
Windows Update を実行後、シャットダウン時にフリーズする、またはウイルス対策ソフトから警告メッセージが表示される場合 (日本のセキュリティチーム, 2010.06.22)
[MS10-041] Windows 2000、Windows XP、Windows Server 2003、Windows Vista、および Windows Server 2008 の Microsoft.NET Framework 1.1 Service Pack 1 用のセキュリティ更新プログラム (2010 年 6 月 8 日) について (Microsoft KB 979906)
マカフィー旧製品を利用されている場合、Windowsのモジュール「Msiexec.exe」が不審なプログラムとして検出されます。 (マカフィー, 2010.06.16)
Windows Updateが途中で停止してWindowsが自動的にシャットダウンされない現象について (マカフィー, 2010.06.16)
警告: 「悪質なスクリプトを検出しました」 が MsiExec.exe ファイルに対して表示される (Norton 2005 以前の製品をインストールしたコンピュータで Windows Update 実行時) (シマンテック, 2010.06.15)
マイクロソフト社セキュリティ更新プログラム(MS10-036、MS10-038)の 弊社集計ソフトウエア商品への影響について (富士ゼロックス, 2010.07.02)。ApeosWare 方面で不具合が出る模様。 回避ツールが公開されている。
本現象を回避するためのツールを提供いたします。
対象商品のご使用時に本ツールを実行していただくことで、商品が正常に起動できるようになります(無効化された機能を一時的に有効にします)。
ツールは商品ご使用の都度、毎回実行していただく必要があります。
なお、本ツールは、マイクロソフト社から提供された技術情報をもとに作成しています。
マイクロソフト社セキュリティ更新プログラム(MS10-036、MS10-038)の 弊社集計ソフトウエア商品への影響について (富士ゼロックス, 2010.09.01 更新)。ApeosWare 側での対応がようやく完了。
》 アップル、グーグルの AdMobをiOSから締め出す (gizmodo, 6/9)
》 アップルの「iBooks」、電子書籍市場で22%のシェアを獲得 ジョブズCEOが同事業の好調ぶりをWWDC 2010でアピール (ComputerWorld.jp, 6/8)
》 ツイッター、システム障害でメインサイトがダウン——現在はほぼ回復 1時間以上のダウンは今年3月以来 (ComputerWorld.jp, 6/9)
》 フリーランスライター畠山理仁の「永田町記者会見日記」│第16回 (magazine9.jp, 6/9)
「荒井聡大臣は兼任が多いので、記者クラブ以外の方が会見に参加するには、3つの記者クラブの了解が必要になります」 (内閣府報道室)
そうなんだ……。
》 宮崎・都城市で口蹄疫の疑い例 牛3頭、飛び地感染か (asahi.com, 6/9)。なんてこったい。
同県は9日夜、遺伝子検査のため牛の検体を送り、動物衛生研究所海外病研究施設(東京)で遺伝子検査をする。ただ、県の家畜防疫員は検査結果を待たずに現場で判断することができる。牛の写真を見た農水省も、口蹄疫特有の症状と確認しており、検査結果を待たずすみやかに殺処分に入る。
9日夜中にも、3頭と同じ畜舎にいた6頭を埋める処分を実施し、10日朝にも出る遺伝子検査の結果を経て、同日中に同じ農場の牛をすべて殺処分する予定。
関連: 【宮崎口蹄疫情報④】都城地区での疑い例の確認は確かにショックですが、発見は早いし、えびの地区での成功例もあります。都城での封じ込めは出来るはず。心を鬼にして、近所付き合いも暫らく断つ気持ちで、徹底的な防疫をしましょう! (hideoharada 原田 英男, 6/9)
》 JR東海社員の不正乗車、他に85人 119人を処分 (asahi.com, 6/9)
》 デコンパイリングJava (オライリージャパン)。無事刊行できたようで (献本感謝)。
》 秋葉原通り魔事件から2年〜「あの頃と変わっちゃいない」 (田中龍作ジャーナル, 6/9)
》 Perl、勝手に商標登録される。「OPENSOURCE」や「RUBY」「Apache」も申請中 (slashdot.jp, 6/9)
「アヴァンス法務事務所」の件
無資格職員が債務整理交渉の疑い 大阪の司法書士事務所 (asahi.com, 4/8)
「鳥取の行政書士」の件
地で行く“カバチ” 鳥取の行政書士を非弁活動で告発 (産経 MSN, 4/14)
弁護士会と行政書士会 "職域"めぐりバトル 「非弁」で告発VS「業務妨害だ」 (産経, 4/27)
弁護士資格を持たない者による非弁活動をめぐり、大阪弁護士会から弁護士法違反罪で大阪地検特捜部に告発された鳥取県内の行政書士の男性(30)に関し、県行政書士会が「いわれなき業務妨害には会として対応する」と全会員に通知していたことが26日、分かった。男性は非弁活動を指摘した弁護士を逆に刑事告訴するなど強硬手段に出ており、行政書士会もバックアップした格好。ただ、弁護士と行政書士の業務内容の境界があいまいという指摘は双方からあり、問題を複雑にしている。
弁護士法違反:鳥取の行政書士、容疑で逮捕へ−−大阪地検 (毎日, 5/19)。当該の方は、結局、逮捕されてないんですかね。
鳥取の行政書士が弁護士法違反で告発された件 (ギター弾きの「行政書士開業準備中」, 4/17)
》 鳩山氏辞任騒動の余波で次期参院選でのネット選挙解禁はお流れに ? (slashdot.jp, 6/7)、 ネット選挙解禁、会期延長で法案成立も (読売, 6/7)
》 非実在青少年 非公式ガイドアプリ (名古屋六月亭)
》 「反貧困ネットワークあいち」結成総会開かれる (JANJAN blog, 6/8)
》 2013年5月に新たな人類の危機、巨大な太陽フレアによる「ソーラーストーム」が地球に到達する可能性 (gigazine, 6/8)
》 睡眠中に本人の意思と関係なく性行為をしてしまう睡眠障害「Sexsomnia」 (gigazine, 6/8)
最新の研究で、睡眠障害専門外来で受診する人に限って言えば、7.6%という高い割合でこのセクソムニアが発症していることが判明しました。
》 『電子書籍を考える出版社の会』を設立〜これからの電子出版や電子書籍・雑誌に取り組むための団体 (技評, 6/8)。インプレスジャパン,オーム社,技術評論社,秀和システム,翔泳社,ソーテック社,ソシム,ソフトバンク クリエイティブ,東京地図出版,日刊工業新聞社,ビー・エヌ・エヌ新社,ボーンデジタル,毎日コミュニケーションズ,ワークスコーポレーション。 日経BPさんが居ない? (極楽せきゅあ日記, 6/9)
》 「組込み・制御システムに情報セキュリティを」セミナー開催のお知らせ 〜情報セキュリティ面でも安全な製品開発に向けて〜 (IPA, 6/9)。2010.06.30 / 2010.07.22、東京都文京区、無料。
》 Twitterの月間訪問者は1億9千万、ツイートは毎日6500万 - Costolo COO語る (techcrunch, 6/9)
》 Twitter、全リンクを公式短縮サービスt.coに変換へ (techcrunch, 6/8)
t.coのややこしいところは、多くのユーザーが殆ど意識しないだろうということ。それは、Twitterが各ツイートにメタデータを挿入して、たとえ t.co を経由してルーティングされても、クライアントが原URLを表示できるようにしているからだ。例えば、私が TechCrunch.comへのリンクを共有すると、私のツイート中のリンクは、 http://techcrunch.comと表示されるが、実際にはユーザーがお気に入りのテク系ブログにたどり着く前には、静かに t.co を経由している。もう一点間違えやすいことがある。自分のツイートには展開されたリンク(かなり長いものもある)が見えている場合でも、各リンクは140 文字制限中の20文字としてしか数えられていない。それは、t.coリンクはどれも必ずぴったり20文字だからだ。
》 新インデクサーCaffeineの供用を開始: Google検索結果の’鮮度’が50%アップ (techcrunch, 6/8)
》 Updates: Autoruns v10, Process Explorer v12.04, Sigcheck v1.7, ProcDump v1.8 and a new Case of the Unexplained (Sysinternals Site Discussion, 6/8)。autoruns がメジャーバージョンアップしてます。
Autoruns v10: This major update to Autoruns introduces the ability to scan offline Windows installations, adds .exe and .cmd extension handlers, defaults to hiding Windows entries to reduce noise in the common use case, and includes bug fixes.
》 首相ぶら下がり1日1回 フリー記者に月1回会見開放案 (asahi.com, 6/9)
今回の官邸側の提示は(1)首相ぶら下がりは1日1回、正式な会見は月に1回程度開く(2)毎日午前の官房長官会見を副長官が代行。長官会見は午後だけとし、フリー記者にも開放して時間を延ばす——との内容。
関連:
会見オープン化の意味を正しく理解されている内閣官房政務のランキングを発表してみる。 1、古川元久官房副長官 2、福山哲郎官房副長官 3、仙谷由人官房長官。菅直人首相は昨日の会見の応答で一気に圏外へ。 (uesugitakashi 上杉隆, 6/9)
菅内閣総理大臣記者会見 平成22年6月8日(火) (首相官邸)
(内閣広報官)
それでは、次の質問を受けます。
真ん中の一番後ろ、上杉さん。
(記者)
96年の夏に旧民主党ができて、ここに至るまで14年間経って、菅首相がこうやってこの場に誕生したことにまず感慨深いものを思いますが、そこで振り返ってみて、当時旧民主党がディスクロージャーというのを掲げて、開かれた政治というのを打ち出しました。その精神が生きているとしたら、今回政権をとったこの時点で、例えば官房機密費、並びにこうやって開いていますが、全閣僚の政府会見、そして何と言っても菅さんが先ほどおっしゃいました官房長官の会見等を、国民のために完全に開くという御意気はあるのかどうか。鳩山前首相はそれについては約束をしてくださいましたが、菅総理はどうなのかお伺いします。
(菅総理)
開くという意味が、具体的にどういう形が適切なのか、私も総理という立場でまだ検討ということまで至っておりません。率直に申し上げますと、私はオープンにすることは非常にいいと思うんですけれども、ややもすれば何か取材を受けることによって、そのこと自身が影響をして政権運営が行き詰まるという状況も、何となく私には感じられております。
つまり、政治家がやらなければいけないのは、まさに私の立場で言えば内閣総理大臣として何をやるかであって、それをいかに伝えるかというのは、例えばアメリカなどでは報道官という制度がありますし、かつてのドゴール大統領などはあまりそう頻繁に記者会見をされてはいなかったようでありますけれども、しかしだからと言って国民に開かれていなかったかと言えば、必ずしもそういうふうに一概には言えないわけです。
ですから回数が多ければいいとか、あるいは何かいつでも受けられるとか、そういうことが必ずしも開かれたことではなくて、やるべきことをやり、そしてそれに対してきちんと説明するべきときには説明する。それについてどういう形があり得るのか、これはまだ今日正式に就任するわけでありますから、関係者と十分議論したいと思っています。
だめだこりゃ。(声: いかりや長介)
》 映画『ザ・コーヴ』上映とシンポジウム」ネット中継のお知らせ (The Journal, 6/9)。映画上映前後のシンポジウム部分をネット中継。
》 荒井戦略相:知人宅を「主たる事務所」に 家賃払わず (毎日, 6/9)。また北海道か。
》 久々登場! "アライ出し・再生"の一発目はWindowsセキュリティ (マイコミジャーナル, 6/9)。帰ってきたアライ出し (BGM: すぎやまこういち)。
》 ウイルス対策ソフトのマルウェア検知性能比較調査〜TrustPortとPandaが1位 (Internet Watch, 6/9)。 Retrospective/Proactive Test (on-demand detection of virus/malware) February/May 2010 (av-comparatives.org) の件。
このテストでは、シグネチャーを使用せずに、オンデマンドでどれだけ未知のウイルスを検出できたかが比較された。
なお、テストでは、ジェネリック、およびヒューリスティック的手法はすべて設定オフにされているため、実際に製品として使用する際の性能を表しているわけではない。むしろ最低限の状態で、スキャナーが未知の脅威をどれだけ検知できるかが試されたことになる。
えぇっ?! 次の行の記述、
このテストでは、2月10日時点で提供されていた全アップデートとシグネチャーファイルを適用し、2月11日から18日の間に現れた新種マルウェアをどれだけ検出できたかが競われた。
と、おもいっきり矛盾してますよ?
Retrospective/Proactive Test は、「ある時点で更新を終了した signature (今回は 2010.02.10)」を使って、次の 8 日間に新たに収集されたマルウェアを、on-demand detection でどれだけ検出できたか、というテスト。 on-demand detection なので、 たとえば「マルウェアを実際に動かした場合には、アンチウイルスソフトの HIPS 機能によって検出できていた」としても、それは含まれません。 あくまで、アンチウイルスソフトが持つ機能の一部分をテストしている、ということです。それでも、単なる On-demand Comparative よりはずいぶん興味深い内容です。
各アンチウイルスソフトは、基本的には「最高の検出設定」の下でテストされていますが、F-Secure と Sophos は、ベンダーからの要請により、デフォルト設定のままだそうです。また AVG と AVIRA については、パッカーの警告を「検出」とは判定していないそうです。
個人的には、Microsoft Security Essentials の成績の良さ (59%) が興味深いです。 誤検出も少ないですし。very few としか書かれていないので、具体的にいくつだったのかはわからないのですけど。
》 田原総一朗×上杉隆「私が体験した『政治とカネ』のすべて」vol.1 (現代ビジネス, 6/4)、 田原総一朗×上杉隆Vol.2「私が見た『機密費』と鳩山マネー」 (現代ビジネス, 6/9)。 現代ビジネス緊急対談「田原総一朗×上杉隆」 民主党政権について (ustream.tv, 6/3) のテキスト版 (未完)。 記者クラブ問題、記者クラブメディアの質の低さ、官房機密費とメディア。「関係者」が中抜きしていることがあるのですね。
》 「Microsoft製品ベンダーのみを対象にした調達行為は違法」、カナダ・ケベック州裁が州のMicrosoft調達を違法と判定 (sourceforge.jp, 6/7)
》 Microsoft、「Windows Phone Marketplace」の規約を改定 (ITmedia, 6/8)。「年間登録料99ドルで、有料アプリは無制限に、無料アプリは5本まで登録可能」など。
》 NEC、標的型攻撃を防止する「セキュリティ可視化ソリューション」を提供 (ZDNet, 6/8)。Yarai+ というものも使われているそうで。
Yarai+は、標的型攻撃の検知に特化したウイルス対策ソフトウェア。フォティーンフォティ技術研究所が開発した「Yarai」に企業内のセキュリティ情報管理システムとの連携機能を追加している。
》 日本インターネットドメイン名協議会が「.日本」管理運営事業者の選定基準及び公募要領を公表 (JPRS, 6/4)
》 JPRS トピックス&コラム No.15 DNSSECの円滑導入と安定運用の実現のために - 考えなければならない「対応と現実」 (JPRS, 6/9)
Google Chrome 5.0.375.70 登場。$2000 級を含む、11 種類の欠陥が修正されている。
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat
関連:
Analysis of a Zero-day Exploit for Adobe Flash and Reader (Symantec, 2010.06.08)
Mitigations for Adobe vulnerability: CVE-2010-1297 (Sophos, 2010.06.08)
TA10-159A: Adobe Flash, Reader, and Acrobat Vulnerability (US-CERT)
0day Exploit for Adobe Flash and Reader PoC (from the wild) (exploit-db.com)
》 F-Secure 方面終了。 たのしかった。http://www.ustream.tv/channel/fsecure-jp にアーカイブもあるようで。
》 『北芝健のニッポン防犯生活術』犯罪者の性向を踏まえた防衛策 (JANJAN Blog, 6/5)
》 Windows client and server operating system compatibility with DNSSEC enabled root servers (Microsoft KB 2028240)
》 ダメージクリーンナップエンジン 6.3 公開のお知らせ (トレンドマイクロ, 6/8)。自動更新は 6/15 ですか。
》 Reset your Twitter password (cNotes, 6/6)
》 Evocam Remote Buffer Overflow on OSX (offensive security, 6/4)
》 Appleが米Gizmodoのプレスパス発行を拒否、「iPhone 4」発表前に試作品をゲットしたのが原因か (gigazine, 6/8)。報復ですか。Apple はそういう会社ですからね。
》 国会図書館が米軍に対する刑事裁判権放棄のマニュアルの閲覧禁止を解除した件、報道された? (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 5/31)
》 第14回 白浜シンポジウム 〜 セキュリティで町おこし (エフセキュアブログ, 6/5)
》 Windows 7 AutoPlayおよびVirtual CD (エフセキュアブログ, 6/4)。自動再生と仮想 CD の関係。
》 Appleのモバイル広告ネットワーク「iAd」、7月1日に配信開始 (マイコミジャーナル, 6/8)
》 「電子楽器・電子文具用ACアダプターの着脱式ACプラグ」自主回収について (CASIO, 6/7)
》 Appleが「Safari 5」公開〜高速化に加え、記事だけを抜き出す機能も (Internet Watch, 6/8)。「リーダー」機能、なかなかいいですね。 しかし、セキュリティ修正についてはどこにも書かれてない記事だなあ。
》 JR京都線、人身事故で運休相次ぐ 13万人に影響 (asahi.com, 6/8)。これか……。
8日午前7時5分ごろ、京都府大山崎町大山崎のJR京都線宝寺踏切で、遮断機をくぐって踏切内に立ち入った女性が、新座貨物ターミナル駅(埼玉県)発梅田貨物ターミナル駅(大阪市)行きの貨物列車(25両編成)にはねられた。向日町署によると、女性は全身を強く打って死亡した。70〜80代ぐらいで、同署は自殺とみている。
うわ……。間近で見るハメになった人が複数いたりするんじゃないのか。
》 クラウドセキュリティアライアンスと独立行政法人 情報処理推進機構の 相互協力協定の締結について (IPA, 6/7)
》 もしや iPhoneもiPadも生産停止? 従業員怪死が止まらない渦中のFoxconn会長が激白 (gizmodo, 6/7)
》 Advisory: Malware may not be blocked by PureMessage for Exchange after update to Sophos Anti-Virus 7.6.20 or Endpoint Security and Control 9.0.5 (Sophos, 6/7)
》 プラグインによるクラッシュ防止機能を搭載した Firefox 3.6.4 近日公開! テスター募集中 (Mozilla Japan ブログ, 6/7)
》 グーグルの企業向け「App Engine」で問題が続出 グーグルは改善を約束、問題が解決されるまで料金を請求せず (ComputerWorld.jp, 6/4)
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat (Adobe) が改訂された。
Windows / Mac / Linux 版 Flash Player 10.x については、 2010.06.10 に修正版を公開予定。
Solaris 版 Flash Player 10.x については、未定。
Windows / Mac / Linux 版 Adobe Reader / Acrobat 9.x については、 2010.06.29 に修正版を公開予定。 関連: Background on APSA10-01 Patch Schedule (Adobe, 2010.06.07)
Safari 5.0 (Windows / Mac OS X 10.5 / 10.6)、Safari 4.1 (Mac OS X 10.4) 登場。大量のセキュリティ欠陥が修正されている。多くは WebKit の欠陥。
http://www.apple.com/jp/safari/ はまだ Safari 4 になっているが、ダウンロードリンクをたどると Safari 5 が出てくる。
》 仏ルモンド紙、事実上身売りへ 記者管理の歴史に幕 (asahi.com, 6/7)
》 Wikileaks にイラク民間人へのヘリ攻撃動画をタレ込んだ人物、逮捕される (slashdot.jp, 6/7)、 U.S. Intelligence Analyst Arrested in Wikileaks Video Probe (WIRED, 6/6)
》 グリーンピース「横領」鯨肉「窃取」事件で、鯨肉所有者らの証言はちゃめちゃ、そして注目のDNA鑑定は… (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 5/27)
》 国家公安委員からマスメディアをはずし弁護士任命〜これだけで民主党政権を継続させねばならない理由十分 (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 6/1)
》 民間企業SpaceX、商用ロケット「Falcon 9」の打ち上げに成功 (CNET, 6/7)
》 Google、個人情報の誤収集に関して当局にデータ提出 (ITmedia, 6/7)
》 DS/PSPの違法ダウンロード、6年間の世界被害額は3兆8160億円、CESA試算 (Internet Watch, 6/7)。CESA = 社団法人コンピュータエンターテインメント協会。
》 山谷剛史のマンスリー・チャイナネット事件簿 日本の内閣交代、ポータルサイトは特集サイトで淡々と紹介 ほか 2010年5月 (Internet Watch, 6/7)
》 ソフトイーサ、「PacketiX VPN」をオープンソース化 (Internet Watch, 6/7)
「UT-VPN」は、ソフトイーサが2010年3月に発売した「PacketiX VPN 3.0」から、権利関係の問題によりオープンソース化できなかった法人向けの一部機能を除去し、学術実験的なコードを追加したバージョン。GPL v2ライセンスでの公開となり、誰でもソースコードをダウンロードして、改造、再コンパイル、配布、販売が行える。
【口蹄疫関連情報】FAOから口蹄疫ワクチン接種家畜を食肉として利用するよう勧告があったとの報道について。報道されている勧告を受けた事実はなく、FAOの日本側窓口である在ローマ日本大使館に確認したところ、FAOは加盟国の要請に基づかず助言等を行うことはないとのこと。 (hideoharada 原田 英男, 6/6)。↓の件。
ワクチン接種の家畜利用を FAO、日本政府に勧告 (47news.jp, 6/5)。「FAO関係筋が明らかにした」?
口蹄疫関連:
【口蹄疫関連情報】口蹄疫の発生で輸出停止されている牛や豚の原皮について、フィリピン政府から、OIEコードに規定されるウイルス不活化処置を実施したものについては輸入を認めるとの回答があり、本日付けで日本からの輸出が可能となりました。あまり知られてませんが、原皮輸出も大事な問題。 (hideoharada 原田 英男, 6/6)
原皮とは (日本畜産副産物協会)
皮の場合は、その多くは皮の内側に付着している肉や脂肪のすべてをすき取り、塩をまぶして、腐敗しにくい処理を施して輸出したり、国内製革業者に販売する方法と、インド、アフリカ、中国などで行われている天日乾燥又は風乾による方法とが代表的な処理であり、これらの処理が施された牛又は豚の皮を「原皮」と呼びます。
口蹄疫発生に伴う経済的支援 (農水省)
- 輸出困難となり全国のと畜場に滞留する原皮の処理への助成を措置(豚原皮の国内利用促進100円/枚等)
》 【特報】悪マニ管理人が公開で証人尋問を受けます (悪徳商法?マニアックス, 6/7)。2010.06.11 15:00、東京地裁 708号室。
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat
関連:
0-Day Attack in the Wild for Adobe Flash, Reader, and Acrobat (Symantec, 2010.06.06)、 Trojan.Pidief.J (Symantec)
Zero-Day Flash/Acrobat Exploit Seen in the Wild (trendmicro blog, 2010.06.05)、 TROJ_PIDIEF.WX (trendmicro)
》 ウルトラセブン 第12話「遊星より愛をこめて」。 例の「封印作品」。
ウルトラセブン12話「遊星より愛をこめて」 (見学商売, 2005.11.23)。FLASH 2008.11.22 号に「総力ルポ! なぜ『スペル星人』は放送禁止になった? 闇に葬られたウルトラ怪獣を追え!」という記事があって、
そしてこの記事の目玉は、抗議の“発端”となった中島竜美と、12話の脚本を担当した佐々木守氏の対談である。中島氏は、12話の内容にやはり問題点があることを指摘しつつも、「番組を見ずに抗議の手紙を送ったことは問題だった」「表現の自由を潰してしまったという思いがある。簡単に存在をなくすことは怖いことだ」と語っている。まこと失礼ながら、中島氏が存命であることにも驚いたが、その発言内容は衝撃的だった。自分もウルトラセブンのファンとして、氏を敵のように考えていたので、申し訳ない気持ちになった。
記事は、「抗議されるのが面倒」とばかりに作品をなきものにしてしまった円谷プロと、大げさに記事を書き立てた新聞社の無責任さに大きな問題があることを主張して結んでいる。やや「作品は公開されるべき」「大新聞は悪」というバイアスがかかっているきらいはあるが、実に読み応えのある内容だった。
遊星より愛をこめて・・ (あれから40年・・アンヌのひとりごと, 2006.02.28)。脚本の佐々木守氏が亡くなられた際の記事。
私も『是非・解禁を!』と願っているひとりだ。
封印をしている円谷プロも一筋縄ではいかない難しい問題とは重々解るが、何とか解禁を方向付ける決断だけでもして貰いたい。
座談会での佐々木氏の言葉・・
『円谷プロに頑張ってもらいたい。しんどくても少し修正することで再公開できるならば、この座談会をやった価値も出る』
・・と結んでいます。
第12話は、ひし美ゆり子と桜井浩子の共演という、ファンにはたまらない回なんだよね。
中島竜美氏死去 (「1/49計画」サポートページ 掲示板, 2008.01.14)
TV で流せとは言わないので、ネットのペイパービューとかで、 註釈つきで正規に流せるようにできないものなんですかねえ。 問答無用で消すのではなく、何がまずかったのかを検証・解説した上で、史料として提示してほしいなあ。
……なんでいまごろこんな話をしているかというと、たまたま調べたから。
「一部のお客様のプレイオンラインID、プレイオンラインパスワード、その他登録情報の一部が漏洩」した模様。 該当する ID のパスワードについては、プレイオンラインが強制変更したみたい。 どの程度の規模なのかはまだ未公開。 Ilion さん情報ありがとうございます。関連:
POL鯖不正アクセスで個人情報流出 (atwiki.jp)
スクエニでのアカウント情報流出? 「担当者が不在なため一切お答え出来ません」 (ガジェット通信, 6/4)
Anyone else just get this email from SE? (bluegartr.com, 6/3)
Flash Player 10.0.x / 9.x、および Adobe Reader / Acrobat 9.x の authplay.dll に致命的な欠陥。 remote からの DoS、あるいは任意のコードの実行が可能。 Flash Player 10.1 RC、および Adobe Reader / Acrobat 8.x にはこの欠陥はない。 既に攻略ファイルが世に出ている模様。 CVE-2010-1297
修正版はまだない。 Flash Player については 10.1 RC を使用することで回避できる。 Adobe Reader / Acrobat 9.x では、authplay.dll を rename したり、authplay.dll へのアクセスを禁止したりすることで回避できる。
Flash Player 10 Prereleases (Adobe)。2010.06.06 現在、10.1 RC7 (2010.06.02) が最新の模様。
関連:
0-Day Attack in the Wild for Adobe Flash, Reader, and Acrobat (Symantec, 2010.06.06)、 Trojan.Pidief.J (Symantec)
Zero-Day Flash/Acrobat Exploit Seen in the Wild (trendmicro blog, 2010.06.05)、 TROJ_PIDIEF.WX (trendmicro)
APSA10-01: Security Advisory for Flash Player, Adobe Reader and Acrobat (Adobe) が改訂された。
Windows / Mac / Linux 版 Flash Player 10.x については、 2010.06.10 に修正版を公開予定。
Solaris 版 Flash Player 10.x については、未定。
Windows / Mac / Linux 版 Adobe Reader / Acrobat 9.x については、 2010.06.29 に修正版を公開予定。 関連: Background on APSA10-01 Patch Schedule (Adobe, 2010.06.07)
関連:
Analysis of a Zero-day Exploit for Adobe Flash and Reader (Symantec, 2010.06.08)
Mitigations for Adobe vulnerability: CVE-2010-1297 (Sophos, 2010.06.08)
TA10-159A: Adobe Flash, Reader, and Acrobat Vulnerability (US-CERT)
0day Exploit for Adobe Flash and Reader PoC (from the wild) (exploit-db.com)
Flash Player と Adobe Air の fix 出ました: APSB10-14: Security update available for Adobe Flash Player (adobe, 2010.06.10)。Flash Player 10.1.53.64 / 9.0.277.0、Air 2.0.2.12610 で修正されています。
Flash Player 10.1.53.64: http://get.adobe.com/flashplayer/
Flash Player 9.0.277.0: http://kb2.adobe.com/cps/406/kb406791.html
Air 2.0.2.12610: http://get.adobe.com/air/
なお、Solaris 用の Flash Player 10.1 はまだ正式リリースされてません。 10.1 RC で凌ぎましょう。
しかし、修正一覧がすごいなあ。
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-1297).
Note: There are reports that this issue is being actively exploited in the wild.This update resolves a memory exhaustion vulnerability that could lead to code execution (CVE-2009-3793).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2160).
This update resolves an indexing vulnerability that could lead to code execution (CVE-2010-2161).
This update resolves a heap corruption vulnerability that could lead to code execution (CVE-2010-2162).
This update resolves multiple vulnerabilities that could lead to code execution (CVE-2010-2163).
This update resolves a use after free vulnerability that could lead to code execution (CVE-2010-2164).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2165).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2166).
This update resolves multiple heap overflow vulnerabilities that could lead to code execution (CVE-2010-2167).
This update resolves a pointer memory corruption that could lead to code execution (CVE-2010-2169).
This update resolves an integer overflow vulnerability that could lead to code execution (CVE-2010-2170).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2171).
This update resolves a denial of service issue on some UNIX platforms (Flash Player 9 only) (CVE-2010-2172).
This update resolves an invalid pointer vulnerability that could lead to code execution (CVE-2010-2173).
This update resolves an invalid pointer vulnerability that could lead to code execution (CVE-2010-2174).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2175).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2176).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2177).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2178).
This update resolves a URL parsing vulnerability that could lead to cross-site scripting (Firefox and Chrome browsers only) (CVE-2010-2179).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2180).
This update resolves an integer overflow vulnerability that could lead to code execution (CVE-2010-2181).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2182).
This update resolves a integer overflow vulnerability that could lead to code execution (CVE-2010-2183).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2184).
This update resolves a buffer overflow vulnerability that could lead to code execution (CVE-2010-2185).
This update resolves a denial of service vulnerability that can cause the application to crash. Arbitrary code execution has not been demonstrated, but may be possible. (CVE-2010-2186).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2187).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2188).
This update resolves a memory corruption vulnerability that could lead to code execution (CVE-2010-2189).
Note: This issue occurs only on VMWare systems with VMWare Tools enabled.This update resolves a denial of service issue (CVE-2008-4546).
関連: Adobe Flash Player および Adobe Acrobat/Reader の脆弱性に関する注意喚起 (JPCERT/CC, 2010.06.11)
日本語版: APSA10-01: Flash Player、Adobe ReaderおよびAcrobatに関するセキュリティ情報 (Adobe)
関連:
Adobe Flash PlayerおよびReaderのゼロディ脆弱性を分析する (ITセキュリティのアライ出し, 2010.06.23)
国内企業を狙ったゼロデイ攻撃、Adobe Readerの脆弱性を悪用 政府機関をかたるメールにPDFファイル、開くとウイルスに感染 (日経 PC Online, 2010.06.23)
Adobe Reader および Acrobat のゼロデイ脆弱性を悪用するSPAMメール (IBM ISS Tokyo SOC Report, 2010.06.22)
APSB10-15: Security Advisory for Adobe Reader and Acrobat (Adobe, 2010.06.24) 出ました。現在の内容は、既報の予告編 (2010.06.29 に修正版を公開予定) だけです。
Adobe Reader, Acrobat および Flash Player のauthplay.dllの脆弱性(CVE-2010-1297)に関する検証レポート (NTT データセキュリティ, 2010.06.15 更新)
Adobe Reader / Acrobat 9.3.3 / 8.2.3 出ました: APSB10-15: Security updates available for Adobe Reader and Acrobat (Adobe, 2010.06.29)。CVE-2010-1297 は Adobe Reader / Acrobat 9.x 系にだけ影響しますが、他にも大量の修正があるので、8.x 系についても更新版 8.2.3 が出ています。
》 外務大臣会見記録(平成22年6月4日(金曜日)14時50分〜 於:本省会見室) (外務省, 6/4)。「外交文書の欠落問題に関する調査委員会の調査報告書の公表について」など。質問、ほとんどが非記者クラブだなあ。
》 177.0.0.0/8、181.0.0.0/8 - LACNICへの割り当て (cNotes, 6/5)
》 アマチュア天文家が快挙連発! 木星とISS、木星の月、極秘スペースシャトルX37-B! (gizmodo, 6/4)
》 映画「ザ・コーヴ」が次々と上映中止に。深刻な事態です。 (The Journal, 6/5)
この日本の騒動は海外でも報道されているが、アカデミー賞長編ドキュメンタリー賞を受賞して海外ではほとんど上映された映画が、日本でこんなふうに封印されていくというのは、日本の「言論表現の自由」がいかに脆弱かを世界中に知らしめているわけだ。こんなことが前例になっていくと、問題作といえるような映画作品は事実上上映できなくなってしまう。
「靖国」のときもそうなんだけど、どうして言論妨害に走っちゃうんだろう。 せっかくの機会なんだから、きちんと反論して、「正しい理解」を広めればいいだけだと思うのだが。
関連: 映画:「ザ・コーヴ」抗議予告で上映中止次々 表現の自由、萎縮に懸念 (毎日, 6/5)
》 現代ビジネス緊急対談「田原総一朗×上杉隆」 民主党政権について (ustream.tv, 6/3)。記者クラブ問題、官房機密費問題、鳩山家のお金の実態、小沢問題。 実は記者クラブ問題と官房機密費問題は根は同じ? 小泉政権時代から変化した? 塩崎官房長官の評判が悪かったのは、配っていなかったから? 平野官房長官がこれほど批判されないのは、配っているから?
》 エンジャパンから情報の漏洩? (水無月ばけらのえび日記, 5/25)
》 伊検察、地震予知失敗で捜査 過失致死容疑で (中日, 6/4)。うわ……。
》 外務省、密約文書廃棄の可能性 情報公開法施行前に指示か (中日, 6/4)
》 Facebook、Googleおよびプライバシー (エフセキュアブログ, 6/2)。Facebook や Google だけが問題なのでは全くないよ、という話。
》 A data corruption issue occurs when multiple users perform read and write operations to a shared file in the SMB2 environment (Microsoft KB 2028965)。Hotfix あるそうで。
》 あのスターウォーズ・キッド、いじめを克服して弁護士をめざす (techcrunch, 6/4)
》 米地裁、isoHuntに恒久的差止め命令 (P2Pとかその辺のお話, 5/26)
》 スウェーデン海賊党、The Pirate Bayのホスティング・プロバイダになる (P2Pとかその辺のお話, 5/28)
》 インド、ACTAに反対する諸国連合の形成を示唆 (P2Pとかその辺のお話, 6/3)
》 ハリウッド、The Pirate BayとOpenBitTorrentへの差止め命令を勝ち取る (P2Pとかその辺のお話, 6/4)
》 アイルランド高裁、スリーストライク・スキームにゴーサイン (P2Pとかその辺のお話, 5/6)、 アイルランドISP Eircom、スリーストライク・ポリシーを実施へ (P2Pとかその辺のお話, 5/26)
》 Foursquareが中国でブロックされる - 天安門広場でのチェックインが原因か (techcrunch, 6/4)
とくに、今日(米国時間6/4)は’その日’なので、中国政府はインターネット上のサービスに対する国民のアクセスを、なお一層厳しく規制しているようだ。
》 アフリカンドリーム 第3回 移民パワーが未来を変える (NHK スペシャル, 6/6 放送予定)
》 沖縄返還 “密約”の真実 〜密使・若泉敬 封印された生涯〜(仮) (NHK スペシャル, 6/19 放送予定)
》 巨大土砂崩れが日本を襲う 〜豪雨列島・頻発する深層崩壊〜(仮) (NHK スペシャル, 6/27 放送予定)
》 原口総務大臣閣議後記者会見の概要 (総務省, 6/1)。DPI ねた。
問: 日本ビデオニュースの竹内と申します。先ほど大臣から御説明のあったDPIについてなのですが、すいません、ちょっと1点確認させていただきたいのが、オプトアウトも認めるのかどうかということ。オプトインだけしか認めないのか、オプトアウトも認めるのかどうかというのを確認したいのが1点と、オプトインであれ、オプトアウトであれ、プライバシーに対する懸念というのはあると思うのですが、それについてどのような対策を盛り込むのか、具体的に決まっていることがありましたらお教えください。
答: オプトインであろうが、オプトアウトであろうが、いかなる状況についても、通信の秘密が侵害されてはならないというふうに考えています。少なくとも以下の項目について、利用者が容易に認識かつ理解できる形で利用者に通知し、又は容易に知り得る状態に置くことを整理しているわけです。アからコまでたくさんありますけれども、取得の事実、対象情報を取得する事業者の氏名又は名称、取得される情報の項目、取得方法、第三者提供の事実、提供を受ける者の範囲、提供される情報の項目、利用目的、保存期間、利用者関与の手段。少なくともこの項目については、今申し上げたような状態にする。つまり、極めて慎重で、極めて限定的でなければならないというふうに考えておりまして、これは、この研究会の考え方でございます。この研究会を受けて、私たちがどう判断をするか。今お話になったように、オプトインがなければ許されない、また、オプトアウトの機会の提供がなければならないということでございまして、政務三役で更にそこを詰めてまいりたい。今、私が申し上げたのは、研究会の今の状況で、これを受けて何かの結論を出したというわけではございません。
「アからコまで」については、平成22年6月1日 総務省政務三役会議 (総務省) の資料をベースにしての発言と思われ。
問: 週刊金曜日の瀬下です。よろしくお願いします。DPIの件についてお尋ねしたいのですけれども、この先月出た報告書をお読みするとですね、かなり透明性だとか、担保しなければいけないとか、慎重なのは分かるのですけれども、実際に業者さんに聞くと、秋からもう実験を始めるという準備を具体的に、BIGLOBEさんとかOCNさんはなさっているということですので、そうなってくると、当然これをどうやって担保するのかというのは分かりませんので、EUなどはですね、データ保護機関とかございますので、プライバシーコミッショナーとか、日本にも必要なのか。その点について御見解をください。
答: そうですね。今、国民IDの議論もしています。で、原口5原則というものを出して、情報がだれかに知らない間にストックされたり、それが加工されたり、そして、知らない間に全然別の目的に使われていたり、つまり、情報コントロール権ということを、その中に明記をしているわけでございます。今お話のような、業者さんの過程もあるかも分かりませんけれども、何よりも私たち総務行政として大事にしなければいけないのは通信の秘密。今おっしゃる個人のプライバシーでございまして、各国の制度とも整合性を取りながら、議論を詰めてまいりたい。今おっしゃるような情報コミッショナー、それは極めて重要なものであるというふうに考えています。
OCN もイケイケなのか? 関連: 番号に関する原口5原則 (総務省, 4/5)
》 口蹄疫:宮崎県えびの市で豚の出荷始める 制限解除され (毎日, 6/4)
出荷適期を過ぎた豚は100キロ前後に太った。80キロ超の豚の枝肉は脂が乗りすぎるなどの理由で「等外」の格付けになり、価格も大幅ダウンする。だが、肉豚、肉牛は出荷できるだけでもいい。子牛や子豚は家畜市場の閉鎖が続き、再開のめどさえ立たない。「仮に再開したとしても購買者が少なければ価格がどうなるか」と生産農家を気遣った。
関連: 口蹄疫:対策特措法 4日施行 (毎日, 6/3)
》 記者の目:発達障害がある人の犯罪と矯正=野沢和弘(論説室) (毎日, 6/3)
今年3月、触法障害者の矯正について英国を取材した。二つの保安病院を視察し、研究者や英国自閉症協会のスタッフに会った。殺人など重要事件を起こした障害者が収容されている高度保安病院では、患者1人に年間4000万円の予算が費やされている。再犯のリスクが低減して地域生活に戻ると、後見命令によって6〜12人のスタッフが24時間態勢で見守り支援をするという。これらは本紙くらしナビ面「障害者の『罪と罰』〜イギリスからの報告」(3〜4月掲載)で紹介した。
本家からはもう消えちゃってるみたい。ぐぐると、勝手コピーサイトが hit する。
(下) に出てくるゲイリー・マッキノン氏の件。
彼の身柄をアメリカに引き渡さないよう議員に頼んでください−−。イギリス自閉症協会(NAS)のホームページにゲーリー・マッキノンという青年の顔写真付きでこのような呼びかけ文が掲載されている。この青年は米国防総省のコンピューターシステムに侵入した容疑で米政府から身柄引き渡しを要求されているが、08年8月に発達障害の一つであるアスペルガー症候群と診断された。
アスペルガー症候群の特性として、強迫観念に駆られたように興味を注いで行ったことが、周囲にどのような影響を及ぼすのかわからない場合がある。そのような人に刑罰を科しても意味がないとして、イギリスでは医療や心理的ケアに基づいた矯正プログラムが行われている。ところが、米国にはそのような考えが希薄なため、最高で懲役70年の刑を受ける可能性があるというのだ。
日本でも発達障害の人が事件を起こすと悪質さや猟奇性を強調した報道が行われ、厳罰を求める世論が高まる。そうした事情はイギリスでも同じという。
……の関連:
The National Autistic Society: Accept difference. Not indifference. - NAS
NASA ハッカー Gary McKinnon アメリカに引き渡し (Sophos, 2009.10.09)。Sophos には、電子犯罪には一貫して厳しい態度を取る会社という印象を持っているのですが、
「McKinnon 引渡しの決定撤回を求める運動への支持率が、IT 業界では高かったため、本日のニュースは多くの人にとってショックだったでしょう」とソフォスラボのグローバルディレクターを務めるマーク・ハリスは語っています。「意見の一致するところとしては、個人情報窃取を図ったり、スパムを送信したり、更にはボットネットを作ったりする金銭目的のハッカーが卑劣な犯罪行為を犯しているときに、McKinnon のような UFO 陰謀説のようなものを唱えて国の機密情報にアクセスしてしまった人間を (ハッカーの代表として) 見せしめにするようなことは恐らく妥当なこととは思われない、といったところでしょう。」
なお、Sophos はイギリスの会社。
Gary McKinnon (Wikipedia)。日本語版はひどい内容なので注意。
ところで、山本譲司氏の「累犯障害者」(新潮社)、文庫になっていたんですね。
児童ポルノをネット公開容疑、男14人を逮捕 (読売, 5/31)
児童ポルノDVD:販売目的で所持、容疑の4人逮捕 /北海道 (毎日, 6/3)
児童ポルノDVD販売した疑い、経営者を逮捕 福岡県警 (asahi.com, 6/3)
児童ポルノ「即遮断」は誤解招く、報道や政府方針にISP業界団体がクギ (Internet Watch, 6/4)、 インターネット接続サービスをご利用の皆様へ(児童ポルノのブロッキングをめぐる一連の報道について) (JAIPA, 6/2)
》 デンマークで10代若者の同性愛嫌悪が悪化 (みやきち日記, 6/2)
》 デンマーク:インターネットの自由を奪うISPのアクセス遮断 (P2Pとかその辺のお話, 6/4)。うわ……。
》 EU、全インターネット検索の監視を実施 ? (slashdot.jp, 6/4)。うわ……。児童ポルノって、本当にありがたいですね。
》 Panda Cloud Antivirus、新しいPro版と進化した無料版、日本語版も提供開始 (Panda Security Japan オフィシャルブログ, 6/4)、 Panda Cloud Antivirus Ver.1.1の振るまい(動作)ブロック機能のルールについて (Panda Security Japan オフィシャルブログ, 6/4)
》 世界の食糧価格が急落 (国連情報誌SUNブログ対応版, 6/4)。とは言ってもまだまだ高いみたい。
》 府、331億円の補正案発表 当初予算を肉付け、地域包括ケアなど (京都新聞 / Yahoo, 6/4)
児童ポルノ規制条例の制定に向けた検討会議の設置に100万円を充てる。
結局のところ、まだ何も決まってないみたいですね。
》 みんなの党、弁護士の後藤氏擁立 参院選比例代表 (神戸新聞, 6/4)
みんなの党は3日までに、参院選比例代表に、神戸市内で法律事務所を開く兵庫県弁護士会所属の弁護士、後藤啓二氏(50)を擁立することを決めた。 (中略) 後藤氏は東大法学部を卒業後、警察庁に入り、同庁企画官、大阪府警生活安全部長、内閣官房副長官補付参事官などを歴任。2005年に退官し、弁護士登録した。
この方のことですかね: 後藤啓二の確信犯的ミスリード! (表現規制について少しだけ考えてみる(仮), 1/15)
こちら今日の白浜の資料。Virgin Killerの画像だけ外した http://goo.gl/DeUC 「ブロッキングを考える前に」講演 #sccs2010 live at http://ustre.am/iA7D (masanork, 6/4)
2010-06-04-Shirahama-Public.pdf (skydrive)。予備知識のある人は、p.55 だけでいいかも。 予備知識のない人は最初から。 講演内容がノートとして入っているバージョンをつくるともっといいのかな。白浜で ust されてたものって、録画版は公開されるのかな。
Virgin Killer (Wikipedia)
》 Twitter Meets Malware, Cybercriminals, and Gaza Situation (McAfee Labs Blog, 6/3)。 backtweets ですか。
》 YouTubeのヘルプページに[Live Stream]ボタンが…いよいよ一般ユーザもライブストリーミングできるか? (techcrunch, 6/4)
》 総務省が6月6日(日)深夜から「地デジキャンペーン15秒CM」に字幕付与トライアルを実施 〜日本テレビとフジテレビが、トライアルに協力〜 (prop.or.jp, 6/4)。地デジキャンペーン CM をテストに使うというのは、いいアイデアだなあ。
日本テレビ、フジテレビの2局が関東広域圏に放送
うぅ〜む、東京ローカルなのか……。
》 えっ、こんなに刑務所内ってダークなの? 美人職員のエッチ買収から密輸ビジネスでボロ儲けまで驚愕の実態が! (gizmodo, 6/2)。携帯電話は魔法のツール。一方日本は、みんなで相撲を見た。ある意味平和なのかも……。
》 書評:『完全教祖マニュアル』(架神恭介・辰巳一世) (JANJAN blog, 6/3)。わはは、科学最強。
》 心理面重視の取調べ『「落とし」の技術』 (JANJAN blog, 6/2)
》 今朝たまたま『GLEE』を観てたんですが (みやきち日記, 6/4)
一般的には、LGBTは「かわいそうな被害者」で「弱者」だと思われがちです。そして異性愛者は「強者」だと。でも、それはある意味、間違っているんです。
私たちLGBTは罵倒や嘲笑に慣れています。偏見にも、無理解にも。その分タフなんですよ、LGBTは。でも、私たちが大切に思っている異性愛者の人々(家族とか、友人とかね)は、そうではない。「お前の息子はホモだ!」と他人から嘲弄されれば、慣れていない分だけ私たち以上に傷ついたり、動揺したりするんです。
マックのCMの少年も、『GLEE』シーズン1第9話のカートも、やっていることは同じ。父親を守ろうとしてるんですよ。少年のそのけなげさがもっとも胸を打つんであって、カミングアウトの有無はこの際まったく関係ないんだと再確認しました。
関連:
マクドナルドがフランスでゲイ向けCMをリリース (みやきち日記, 6/2)。 上記にある「マックのCM」の件。
glee (ウィキペディア)
ドラマ『GLEE』の女優ジェーン・リンチ、パートナーと同性婚 (みやきち日記, 6/3)
》 天文愛好家の快挙! 米軍超極秘シャトル「X-37B」の現在地判明 (gizmodo, 6/3)。 関連: 米空軍、X-37B の打上成功 (memo, 4/25)
》 ガンダム、下半身立つ! (gizmodo, 6/4)。 おぉっ、このショット。むしろ今の方が見ごたえがあるかな。
》 全国児童ポルノ事犯捜査共助責任者会議を開催 〜合・共同捜査の推進で悪質事犯の取締り徹底を〜 (ポリスチャンネル, 6/4)。悪質業者取り締まり徹底を=児童ポルノ対策で全国会議—警察庁 (時事 / Yahoo, 6/2) の件かな。
関連: 児童ポルノ:放置のネット関連事業者に共犯適用も 警察庁 (毎日, 6/2)。しかし、こういう実態を聞いてしまうとねぇ……。
》 Mac OS X Spyware (F-Secure blog, 6/3)。こんなのがちょっと出るだけでニュース扱いだからなあ。Mac はまだまだ平和です。
》 Microsoft の アップデート等をアプライアンス経由で実施すると失敗する場合がある (マカフィー)
Microsoftの バックグラウンドインテリジェント転送サービス (BITS)や、他のWebトラフィック経由で自動更新を行なうサイトでは、要求に「Range」ヘッダ、応答に「Accept-Ranges」ヘッダを使用しています。しかし、アプライアンスのデフォルト設定では、「拒否する要求ヘッダ」に「Range」そして「拒否する応答ヘッダ」設定に「Accept-Ranges」が入っており(注1)、このためにアップデートが失敗する場合があります。
》 神奈川県警が次に事件が発生する場所を予測し、強制わいせつの容疑者を逮捕 (gigazine, 6/3)
容疑者逮捕につながったのは、神奈川県警が導入した犯罪事件管理システム「コムスタット」。これは過去の犯罪事例などを分析、次の事件発生場所の予測ができるというもので、「神奈川版コムスタット」は2009年11月から鎌倉署・大船署に先行導入され、今年の4月からは県下全54署での運用を開始していました。
(中略)
この「コムスタット」、すでに埼玉県でも平成14年(2002年)に埼玉版コムスタットを開発・運用していたりするようです。神奈川での事例を見ると、かなり有効そうな気がするのですが、日本全国で導入される予定はないのでしょうか。
》 今後20年間で癌患者が倍化:WHO (国連情報誌SUNブログ対応版, 6/3)。高齢化が進むため、という話。
》 海の向こうの“セキュリティ” 第45回:「無線LAN設置者にパスワード設定の義務あり」ドイツで判決 ほか (Internet Watch, 6/2)
》 【COMPUTEX Taipei 2010】 会場周辺でフォックスコンやアップルなどを非難する抗議デモ 従業員の自殺問題に関し、「社会的責任や労働環境に無頓着」と企業姿勢を批判 (ComputerWorld.jp, 6/2)
》 AppleのジョブズCEO、iPhone工場の自殺やFlash問題を語る (ITmedia, 6/3)
だがFoxconnの中国南部の工場での一連の自殺が、同製品の成功に影を投げかけている。批判派は、自殺の原因は劣悪な労働環境だと非難している。
「難しい状況だ」と、いつもの黒いタートルネックとジーンズを身にまとったジョブズ氏はステージ上で語った。「今は状況を理解しようとしているところだ。理解できてから介入し、解決策を提案する」
つまり、「とりあえず何もしない」と。
》 34時間働けますか? 従業員自殺が止まらないFoxconn、地獄の勤務体制が判明! (gizmodo, 6/3)。今度は過労死。
》 コンピュータウイルス・不正アクセスの届出状況[5月分]について (IPA, 6/3)。「深刻化する偽セキュリティ対策ソフトの被害!」だそうです。
》 男性ホルモンは人間不信を強化:研究結果 (WIRED VISION, 6/3)
》 ネット選挙解禁法案、成立は絶望的か 鳩山首相退陣で (ITmedia, 6/3)。なんじゃそりゃ……。会期延長すればいいだけじゃん。
》 海兵隊移転費70%削減 米上院委『普天間』同意要求 (東京新聞, 6/3)。「予算を通す」ことこそが「日米合意」を急いだ理由なのだろうけれど、 下院は通ったものの、上院でグアム移転予算を 70% 削減されちゃった。
委員会は報告書で、移転費計上に向けては、米軍普天間飛行場(沖縄県宜野湾市)の移設計画に関して「目に見える進展を国防総省が証明する必要がある」と強調。大幅削減の理由の一つとして、県知事の埋め立て許可が得られていない点を指摘している。
知事の同意を得た上で移設計画を進めない限り、海兵隊移転費を計上しない米議会の姿勢が明確になった。
報告書はこのほか、グアムの環境影響評価(アセスメント)手続きを完了させることを要請。グアムの訓練地が軍の要求基準を満たしていないことも指摘している。
同委員会の対応は、〇六年の日米合意に基づく一四年までの代替施設の完成と海兵隊グアム移転という目標実現は困難との認識を示したものといえる。
結局、日米共に、一旦リセットした方が幸せになれるんじゃないのかなあ。 関連:
海兵隊グアム移転費:米上院委が7割削減 (琉球新報 / 毎日, 6/4)
削減の理由は普天間だけではない。米海兵隊がグアム東部に予定する実弾射撃場の建設が、現地で大きな問題に発展しているからだ。
当初、米軍は射撃場を「基地内」に造る予定だったが、08年の内部計画で、「基地外」に建設することが明らかになった。
射撃場の建設予定地の一部は州有地。もともと土地を持たないチャモロ人や、戦後米軍に土地を接収された人々の子孫に、代わりの土地を分け与えるために用意されたものだ。
地元の状況や歴史、文化を把握せず、軍事的な価値判断だけで基地を拡大していく米軍の手法は、沖縄でも似通っている。
現地の反発を踏まえ、委員会は「射撃場ができていないのに、空軍基地内の建設を先に始める必要がない」と、緊急性のない空軍関連の3事業をばっさり削った。
グアム移転予算、普天間の進展次第で復活も 米上院委 (asahi.com, 6/3)
》 木語:滑走路はなぜ長い=金子秀敏 (毎日, 6/3)。辺野古方面。あれは第2嘉手納基地、滑走路が2本なのは土建屋利権がらみ話。関連:
防衛省疑惑と辺野古基地利権 - 小池百合子を証人喚問せよ (世に倦む日日, 2007.10.28)
辺野古「埋め立て利権」を社民が調査へ (人類猫化計画, 2009.12.09)
<記事紹介>「徳之島の土地を買った防衛族の意図」(『社会新報』6月2日号) (情報紙「ストレイ・ドッグ」(山岡俊介取材メモ), 6/2)
》 米海兵隊岩国基地、沖合滑走路の運用始まる (読売, 5/30)
関連: 米軍再編・沖縄と岩国 (平岡秀夫のブログ「至誠通天」, 5/24)
ところで、石破氏は、同時に、米軍再編問題に関し、「日本はどうあるべきか、負担を負いながら言うべきことを言ってきた岩国は1つのモデルだと思う。」と言ったそうです。石破氏は、彼が防衛大臣時代に進めた米軍再編の中で、厚木基地から岩国基地に空母艦載機59機を移駐させるために、既定の市役所建設補助金35億円をカットする等の「アメとムチ」の手法で受入れを迫って岩国市民の分断作戦を取ってきた人です。そんな過去を持つ人が言える言葉か、と怒りを感じます。
その岩国市内で、昨日、「見直せ!米軍再編 5・23岩国大集会」が行われ、大雨にもかかわらず約4000人(主催者発表)が集まりました。私は、「鳩山政権を批判することになるような集会になぜ出るのか」と指摘する人がいる中で、参加し挨拶もしました。「空母艦載機の岩国移駐」についての検証結果が住民に説明される前に、前政権が引いた路線通りに平成22年度予算計上が行われ、未だに政府が十分に説明責任を果たしてはいないと考えているからです。
私は岩国大集会の挨拶の中で、「沖縄の人々が大きな基地負担(日本の0,6%の面積しかない沖縄に、在日米軍基地の75%がある。)で苦しんでいるにもかかわらず、その負担を分かち合おうという国内の地域がない。実は、日本国民は、海兵隊や在日米軍の抑止力が必要だとは本当は思っていないのではないか。北朝鮮や中国の脅威を強調するより、むしろ、北東アジアの緊張を和らげて、日本にある米軍基地を縮小していくべきではないか。」と呼びかけました。
例えば、「普天間基地機能をグアム・テニアンに移す」との案(社民党、民主党沖縄問題議員懇談会)に対しては、「普天間基地のヘリ部隊は海兵隊地上部隊と一緒でないと移せない」、「沖縄海兵隊がグアム等に移ると抑止力が無くなる」などと説明されていますが、それなら、「岩国の海兵隊航空部隊をテニアンに移す。岩国には九州の自衛隊を移す。九州の自衛隊基地に沖縄海兵隊を移す。」という玉突きの移設案はどうでしょうか。これに類似した案は、橋本輝和・教授や田岡俊次氏が提案していますが、「米国がダメと言っている」という程度の拒否理由しか聞こえてきません。
》 広河編集長よりスタッフへ送られたメール (DAYSから視る日々, 6/3)
》 海賊版DVDオークション販売で摘発相次ぐ:映画のアバターやワンピースなど (so-net セキュリティ通信, 6/3)
計 10 個の advisory、計 34 個の欠陥。Office あり (Mac 版も対象)。
》 Older Versions of NAV/NIS Suddenly Inoperable (community.norton.com, 5/19)。個人的にはむしろ、今までよく動いてたねえと思うのだけど。cadz さん情報ありがとうございます。
》 Security Wars: エピソード 2 2-3. パトリオット ハッカーの犯罪に対する処罰 (Microsoft)。愛国無罪ですか。
》 イラク戦争に火をつけた「大量破壊兵器」スクープは 「御用記者」の誤報だった 映画『グリーンゾーン』のモデルになった米国政府の情報操作 (現代ビジネス, 6/3)
》 NTT西日本の顧客情報不正使用が投げかける現行ドミナント規制の限界 (日経 IT Pro, 5/18)、 NTT西日本による顧客情報不正使用の波紋 被害事業者は「現行ドミナント規制の限界」と指摘する (日経ビジネス, 5/18)
NTT東西の対応に進展が見られない場合は監督官庁である総務省への直訴も辞さない考えである。ある事業者は「回答の期限は指定しないが、総務省に最初の報告が行われる5月末がひとつの区切りとなるだろう。5月末まで1週間を切っても事業者に対する説明会の案内がなければ、説明する意思がないと判断し総務省に相談したい」とコメントした。
で、実施されたんですかね? 関連:
西日本電信電話株式会社に対する業務改善命令等 (総務省, 2/4)
新競争促進プログラム2010の進捗状況 (総務省)
》 沖縄が嫌悪する「国家のウソ」 (日経ビジネス, 5/17)
国が考える支援に安易に乗れば、将来ツケが回ってくる。政府は沖縄問題の本質を理解していないからだ。それを県民は肌で感じている。
例えば、観光業や建設業を中心に喧伝された「カジノ導入による復興」。このシナリオは、一時、県民の間で大きな盛り上がりを見せた。カジノ解禁の「特別区」に指定してもらうことで、観光業の起爆剤にしようというわけだ。
しかし、潮目が変わってきた。沖縄選出の糸数慶子・参院議員は韓国のカジノを視察した。そして、ギャンブル依存症や治安悪化が止まらない地域社会の現実を目の当たりにしている。
「体を売って賭博を続ける女性もいた。安易な経済対策は、最初は効果があっても、長くは続かない」
》 Wikipedia entry for the PDFCreator tool: http://bit.ly/aGUysR Be sure to read the section titled "Inclusion of malware". (mikkohypponen, 6/2)。 PDFCreator (Wikipedia)
》 カスペルスキーの定義データベース更新トラブルにつきまして (just-kaspersky.jp, 6/3)。17:45 に対応したそうで。 しかし、対応が終ってから、19:49:45 付で「カスペルスキーの定義データベース更新トラブルにつきまして」というメールが来るのはどういうことなのか。
》 静かで歩行者が気づきにくいハイブリッド車、開発中の“接近音”を動画で紹介 (日経トレンディネット, 5/18)
》 パンデミック2009H1N1再流行の可能性 上気道中心の症状になるとの予測も (日経 Medical Online, 5/18)
》 見えてきたパンデミック2009H1N1の正体 重症例にアレルギーが関与? (日経 Medical Online, 5/17)
》 ロマンシング詐欺は“ムラ的ウイルス犯罪”、G Dataがドイツの事例と対比 (Internet Watch, 6/3)
これに対してロマンシング詐欺事件は、ドイツのネット犯罪ほど大掛かりものではなく、組織的な犯罪とはいえないと指摘。実際にロマンシング詐欺事件は、首謀者が逮捕される2カ月前から掲示板などで被害報告や加害者の弾劾が行われており、マスコミや警察当局は、それほど苦もなく状況を詳細に把握できたとしている。
にもかかわらず、3 月の再犯を許してしまった、というのがねぇ……。
「Kenzero」ウイルス騒動に終止符(1) 警視庁が容疑者2人を逮捕、発端は? (so-net セキュリティ通信, 5/28)
「Kenzero」ウイルス騒動に終止符(2) まったく同じ手口で5千人が感染被害に (so-net セキュリティ通信, 5/28)
「Kenzero」ウイルス騒動に終止符(3) 実際に振り込んだ被害者数は? (so-net セキュリティ通信, 5/28)
今回の逮捕報道の中に、3月の第2期「Kenzero」騒動で5510人の個人情報が流出し、そのうちの661人が金を振り込んで削除を依頼、被害総額は最大約380万円という内容の記事があった。
元になっているのはネットエージェントが発表した数字ですね: 暴露系ウイルス(kenzero/kenzo)について (NetAgent)
悪質サイト(http://www.warezer.net/)が閉鎖されるまでの間、弊社で確認できた範囲では、被害者数5,510人のうち掲載された個人情報を削除してもらうために、悪質業者(株式会社ロマンシング)に対し支払うなどして、個人情報を削除してもらったと思われる人数は661人でした。これを1件あたりの著作権使用料相当額として請求される金額5千800円で試算すると今回の被害総額は最大383万3千800円となります。約8.3人に 1人(約12パーセント)が支払いに応じたとすると非常に高い確率であり、オレオレ詐欺(振り込め詐欺)の被害にあう確率とされる1,000人に3人(0.3パーセント)に比べると40倍となり、極めて高い数値であるといえます。
so-net セキュリティ通信の分析は:
この数字は、さらしサイトに掲載された個々の掲載情報に振られていた1からの連番を感染被害者数とし、さらしサイトに表示されていた実際の掲載件数との差を、金を振り込んで削除した数として単純計算してしまったのではないだろうか。 (中略) さらしサイトの連番には、最初から掲載されなかったか、掲載後の数分から1時間以内に何らかの事情で削除されたとみられるものが大量にあるのだ。 (中略) 振り込んでしまった人は、せいぜい数十人から百数十人程度ではないか、というのが編集部の予想だ。
》 エフセキュアブログの開設一周年を記念し、ソーシャルメディアを駆使したパネルディスカッションを開催 (エフセキュア, 6/3)。 2010.06.08、17:00〜19:00、Ustream / Twitter 中継。
》 [BL雑記]大阪府の青少年課に電話で聞きました。雑誌の「有害図書指定」は指定された号のみの効力。つまり、大阪の一部の書店で『drap』最新7月号が今も区分販売されてるのは法的根拠がないよ…! ——表現萎縮だけじゃない、販売萎縮もすでに始まってます (ネクラで眼鏡でキモオタな優等生は“受け”るとイイよ!, 5/31)。 正直、無理もないと思うが。 出版社が、販売現場にちゃんと説明してないだけの話なのでは。
》 Yahoo!BB with フレッツ光ネクストには気をつけろ (パソコントラブル出張修理・サポート日記, 5/11)。いろいろややこしいんですね。
回線は、Yahoo!BB with フレッツ光ネクスト。最近こういうお客様が多いです。
多いんだ……。
》 鳩山首相だけでは済まない! 小沢幹事長と平野長官も議員辞職が筋 (週刊・上杉隆, 6/3)
》 ネットメディアの信頼性向上対策ワークショップ (JIPDEC)。 2010.06.16、東京都中央区、無料。 「なりすまし問題」がテーマのようです。
》 改造した携帯ゲーム機と海賊版ゲームソフトのセット販売、相次ぎ摘発 (so-net セキュリティ通信, 5/27)。改造 Wii、改造 PSP。
》 ネット時代の一般市民の言論を守る「日本ペンネット」発足 (so-net セキュリティ通信, 5/26)
発足の契機となったのは、「橋爪事件(平和神軍観察会事件)」の有罪判決だった。
》 5月の国内フィッシング事情:設置サイト数は最低に/国内はYahoo!とcarview (so-net セキュリティ通信, 6/2)、 5月の国内フィッシング事情:ブラウザの偽サイト検出機能を試してみた (so-net セキュリティ通信, 6/2)
止まらぬサイト改ざん(1) ISPがガンブラー対策〜パスワードリセット敢行も (so-net セキュリティ通信, 5/31)
止まらぬサイト改ざん(2)「怪しい薬局」に続き「怪しい時計屋キャンペーン」も (so-net セキュリティ通信, 5/31)
止まらぬサイト改ざん(3)「負の連鎖」を断ち切る「3つの基本対策」実施を (so-net セキュリティ通信, 5/31)
止まらぬサイト改ざん(4)訪問の心あたりはありませんか〜新規告知サイト13件 (so-net セキュリティ通信, 5/31)
国内企業を標的としたウイルス感染調査を騙るウイルス添付メール、制御文字RLOを使った拡張子偽装を確認 (トレンドマイクロ セキュリティ blog, 2010.06.03)。堂々と .scr なのはそういうわけでしたか。
今後の攻撃に備えた対策
RLO 対策が含まれてないよトレンドマイクロ……。 たとえば、葉っぱ日記 を参照。
Adobe Reader……かと思いきや、そうではないのだそうで。
以下はGumblar攻撃が攻撃対象としているぜい弱性の一覧である。
・Java Runtime Environment (JRE)のぜい弱性(CVE-2008-5353)
・Java Web Startのぜい弱性(CVE-2010-1423)
・Adobe Readerのぜい弱性(CVE-2009-4324など)
・MDACのぜい弱性(MS06-014)
・Snapshot Viewerのぜい弱性(MS08-041)
・AOL AmpXのぜい弱性(CVE-2007-5755)
この6種類のぜい弱性のうち、最も攻撃の成功率が高い(ぜい弱性が残されたままになっている)アプリケーションは何か。答えはJava(JRE)のぜい弱性だ。Gumblar攻撃で利用されているこのぜい弱性は、Adobe Readerのぜい弱性よりも1年以上古いにもかかわらず、図1のように最も攻撃成功率が高い(Adobe Readerのぜい弱性CVE-2009-4324:2009年12月15日ぜい弱性公開、JREのぜい弱性CVE-2008-5353:2008年12 月4日ぜい弱性公開)。
記事では、Java の自動アップデート設定を、デフォルトの「毎月」から「毎週」や「毎日」に変更できると説明している。 でも Java って、更新する毎に自動アップデート設定が初期化されちゃうみたいなんだよね……。
Java exploits on the rise (Sophos, 2010.06.09)。 Verify Java Version ですか。
OpenSSL に 2 つの欠陥、OpenSSL 0.9.8o / 1.0.0a で修正されている。
Cryptographic Message Syntax (CMS) 構造体の処理に欠陥があり、 誤ったメモリアドレスへの書き込みや、メモリの二重解放が可能 (typo fixed: iida さん感謝)。 この欠陥は CMS 関連コードにのみ存在し、PKCS#7 には欠陥はない。 CVE-2010-0742
EVP_PKEY_verify_recover() 関数に欠陥があり、RSA 鍵の検証リカバリに失敗した場合に、エラーコードを返すべきなのに、未定義長の未初期化バッファを返してしまう。 この欠陥は OpenSSL 1.0.0 にのみ存在する。 CVE-2010-1633
》 日経平均先物取引で 10 兆円規模の国内最大誤発注騒ぎ (slashdot.jp, 6/2)。 幸いにも、すぐさま取り消しできたそうで。
》 「広告再ターゲティング」のFetchBack、$40MでGSI Commerceに買収される (techcrunch, 6/2)
》 映画「ハート・ロッカー」の製作会社、違法ファイルシェアリングした 5000 人を訴える (slashdot.jp, 6/2)
》 グアテマラ市内に突如現れた地獄の門 (gizmodo, 6/2)。合成写真ではないらしい。
》 元App Storeの王iFart、iPadから締め出される (techcrunch, 6/2)。息苦しい世界になってしまいました。
》 Google、Android マーケットからオリジナル以外のテトリス系ゲームを削除 (slashdot.jp, 6/2)。しょせん Google か。
》 リリース:VMware Workstation/Player/ACE 7.1およびFusion 3.1(20100526-5) (virtualization.info, 5/27)
》 論文:XenServer Performance Monitoring for Scalability Testing (20100528-2) (virtualization.info, 5/31)
》 論文:The Impact of Virtualization on Network Performance of Amazon EC2 Data Center(20100601-1) (virtualization.info, 6/2)
》 簡裁、音楽違法配信で罰金30万 ネットのライブ配信で初 (47news.jp, 6/1)
》 著作権侵害は「厳しく規制」、テレビ局も個人もカバー Ustream日本版の“全方位戦略” (ITmedia, 6/1)
》 ものづくり白書:「製造技術の流出防止を」…09年度版 (毎日, 6/1)、 「平成21年度ものづくり基盤技術の振興施策」(ものづくり白書)について (経産省, 6/1)
》 「東京都青少年の健全な育成に関する条例改正案に反対する請願署名」を始めました。 (弁護士山口貴士大いに語る, 5/20)
》 三菱東京UFJ銀行、3000台の仮想デスクトップを配備 (ITmedia, 5/31)。VMware View だそうで。 関連: Burton Group社によるVDI評価ではXenDesktopがViewに勝るが十分な能力を持つものはなし(20100526-7) (virtualization.info, 5/27)
》 6月3日、『MIAU Presents ネットの羅針盤』第2回生放送を行います (MiAU, 5/31)。明日。
》 本を書くことになりました&レビュアー募集のお知らせ (ockeghem(徳丸浩)の日記, 5/28)。 高木先生の二の舞にならないことを祈ります。
》 制御システムセキュリティの信頼性とセキュリティへの取組み強化への提言 〜「制御システムセキュリティの推進施策に関する調査報告書」の公開〜 (IPA, 5/31)
》 2010年度IPA中小企業情報セキュリティセミナー開催について (IPA, 5/25)
》 VRDA フィード 脆弱性脅威分析用情報の定型データ配信 (JPCERT/CC, 6/2)
》 見えてきたクラウドの課題解決への道筋 (日経 IT Pro)
》 Appleはウィジェットや独自デスクトップのあるiPadアプリを拒否 (techcrunch, 6/2)
》 IE6 Falls Below 5% for First Time in US and Europe (statcounter.com, 6/1)。こちらのページから確認できる。 地域ごと、国ごとの状況も見れる。 日本と US との違いが興味深い。
関連: IE6のシェア、欧米で5%を切る、IE8は上昇中、Chromeは6-7% (techcrunch, 6/2)
》 実例から分かる標的型攻撃メールの「違和感に気付くポイント」と「違和感に気付いた後の対策ポイント」 〜「脆弱性を狙った脅威の分析と対策について Vol.3」の公開〜 (IPA, 6/2)
》 「伝説」の京品ホテル闘争報告集完成、抽選で5名にプレゼント (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 6/2)。1/29 に「勝利的和解」が成立したのだそうで。関連:
京品ホテル闘争、勝利的和解を勝ち取りました! (京品ホテルの労働者は闘いつづける, 2/2)
東京ユニオン : 京品闘争解決集会 大成功御礼! (東京ユニオン, 5/23)
王城ユニオンの日記。似たような話があり、こちらは現在も継続中の模様。
》 悪質業者取り締まり徹底を(警察庁全国会議) (外野の遠吠え, 6/2)。中間管理職は厳しいですね。何をやっても誰かに恨まれる。
元ねた: 悪質業者取り締まり徹底を=児童ポルノ対策で全国会議—警察庁 (時事 / Yahoo, 6/2)。あれっ、先日も似たようなニュースなかったっけ? と思ったら、警察庁:児童ポルノ根絶を訓示 少年担当課長会議で (memo, 5/25) だった。
》 児童ポルノ:「ピンポイント遮断望ましい」原口総務相 (毎日, 6/2)。 平成22年6月1日 総務省政務三役会議 (総務省) での発言だそうで。望ましい言うのは簡単だけど、コストどうするの。 補助金くらい用意すべきだと思うのだが。
》 CGM事業者壊滅の恐れアリ (外野の遠吠え, 5/28)。児童ポルノ方面、削除要請される内容の実態例。
当方が過去に扱った内容を一つご紹介します。
児童ポルノのリンク集ということで、削除要請が某警察よりありました。確認すると、確かにリンク群と言えるような内容です。
クリックしてみると、リンク先がすでにないものばかりで、画像は1枚もありません。時折、サイトがあるものもありましたが、存在しているものと言っても、児童ポルノ画像は見つかりません。
「みつかりませんが、どこに児童ポルノの画像がありますか?」との問いに「リンクのリンクのリンクくらいにあると聞いた。私が見つけたものでないからわからない。そちらで本当に児童ポルノが存在しているかの確認をする必要がありますか?当方の言うとおり対応すればよいのでは?
リンク集を載せていると幇助になりますし、立件されてますよ。知ってますか?」という内容でした。
納得がいく話ではありませんでしたが、消さなければサービスの、というか会社が危機に瀕します。
どのような対応をしたかは伏せます。すみません。苦しい決断でした。苦い思い出です。
これはひどい……。もちろん、某警察がひどいわけですが。
》 スーパーホーネットはもう古い? ボーイング、15年後に実戦配備の次世代戦闘機を披露! (gizmodo, 6/2)。A-12 の逆襲、あるいは「ボーイング必死だな」。
》 Adware 2.0 Finds a Distribution Channel (McAfee Labs Blog, 6/1)。フリーソフトに変なものがくっついてくる。
》 ライブイベントの会場で2800人分の席が消滅、購入者が主催者側に詰め寄って大混乱に (gigazine, 6/2)。すさまじいな。
》 Spam Alert - Adobe Acrobat Reader Update Email Misleading People To Download an Alternative Product (PDF Reader Writer) (Technology South Africa, 6/1)。手元にも来た。
》 蚊の羽音やゴキブリがカサカサ動く音、虫歯の治療音などを3Dサウンド技術で再現し着信音として配信 (gigazine, 6/1)。G はやめてくれ G は……。
》 Google、「セキュリティ対策」を理由に社内でのWindowsの使用を禁止? (slashdot.jp, 6/2)。 Google Chrome も Mac / Linux を正式サポートしたしなあ。 関連:
GoogleのWindows使用中止報道、Microsoftが公式ブログで反論 (Internet Watch, 6/2)
「GoogleがWindows利用中止令」の報道、セキュリティ専門家は疑問視 (ITmedia, 6/2)
Message to Google: Aurora NOT a Technology or OS Issue (McAfee Labs Blog, 6/1)
Google abandoning Windows for Linux and MacOS (securelist.com, 6/2)
》 鳩山首相が辞任、小沢幹事長も 4日に新代表選出へ (asahi.com, 6/2)。やっちまった。北朝鮮方面で何も起こらないことを切に願います。関連:
【号外】鳩山首相が退陣表明 普天間、社民離脱で引責 (琉球新報, 6/2)、 鳩山首相辞任:毎日新聞号外を配布 (毎日, 6/2)
鳩山首相、両院議員総会での発言要旨 (asahi.com, 6/2)
私はつまるところ、日本の平和、日本人自身で作り上げていくときをいつかは求めなきゃならないと思っている。米国に依存しつづける安全保障、これから50年、100年続けていいとは思いません。鳩山がなんとしても、少しでも県外にと思ってきたその思い、ご理解願えればと思っている。その中に、私は今回の普天間の本質が宿っているとそのように思っている。いつか、私の時代は無理だが、あなた方の時代に、日本の平和をもっと日本人自身でしっかりとみつめあげていくことができるような、そんな環境をつくること。現在の日米の、同盟の重要性はいうまでもないが、一方でそのことも模索をしていただきたい。
日米安保条約と憲法9条がガンなわけです。
「日米同盟への影響心配」首相辞任に米も衝撃 (読売, 6/2)
米オバマ政権に近い知日派の一人は1日夜(日本時間2日午前)、「米国の責任で首相が辞めることになってしまった格好で、大変な事態だ。日米同盟への影響が心配だ」と深刻な受け止めを示した。
米政府には5月28日の日米共同文書によって、「普天間問題の解決にはほど遠いが、普天間によって日米関係の別の議論が進まない事態は改善されるだろう」(元政府高官)と安堵(あんど)感が広がっていただけに、鳩山首相辞任のショックは大きいとみられる。
どう考えても予想の範囲内なのに、「ショックは大きい」んですかね?
「次期政権も日米合意履行を」 首相辞任、米の受け止め (asahi.com, 6/2)、 「8月末」期限の普天間、混迷深める可能性も (読売, 6/2)。鳩山首相が辞任しただけでは何も変わらないんだよね。
辺野古、地元調整9月以降 平野長官、参院外防委で見解 (琉球新報, 6/2)。 平野博文官房長官は辞任しないのですか?
県民世論調査 北沢氏が異議 「普天間継続」問えば変わる (琉球新報, 6/2)。二択にしたいのですね。
「普天間問題が引き金に」 鳩山首相辞意表明で宜野湾市長 (琉球新報, 6/2)
鳩山総理、退陣表明を受けて〔追記〕 (保坂展人のどこどこ日記, 6/2)
Cisco Security Advisory: Multiple Vulnerabilities in Cisco Network Building Mediator (Cisco, 2010.05.26)
APSB10-13: Security update available for Adobe Photoshop CS4 (Adobe, 2010.05.26)。Photoshop CS4 11.0.2 で修正されているそうで。 CVE-2010-1296
施設情報管理システム e-Pares
JVN#36925871: e-Pares におけるセッション固定の脆弱性 (JVN, 2010.06.02)
JVN#82465391: e-Pares におけるクロスサイトリクエストフォージェリの脆弱性 (JVN, 2010.06.02)
JVN#58439007: e-Pares におけるクロスサイトスクリプティングの脆弱性 (JVN, 2010.06.02)
修正版があるそうです。
FreeBSD-SA-10:04.jail - Insufficient environment sanitization in jail(8)。 FreeBSD 8.0 に欠陥。 jail(8) 初期化時に current working directory が変更されないため、 rc.conf で jail_flags あるいは jail_jailname_flags にデフォルト (-l -U root) とは異なる設定をしていた場合、あるいは jail(8) を単独で起動した場合に問題となる。 CVE-2010-2022
patch が用意されている。また、jail_flags / jail_jailname_flags に -l -U root を追加すれば回避できる。
FreeBSD-SA-10:05.opie - OPIE off-by-one stack overflow。 OPIE の __opiereadrec() (libopie/readrec.c) に off-by-one エラーがあり、 stack protector が有効な場合、 remote から DoS 攻撃可能。 CVE-2010-1938
patch が用意されている。関連:
[SA39966] OPIE "__opiereadrec()" Off-by-One Vulnerability (Secunia)
libopie __readrec() off-by one (FreeBSD ftpd remote PoC) ( Research Advisory ) (SecurityReason.com, 2010.05.27)。FreeBSD 8 での実例紹介あり。
FreeBSD-SA-10:06.nfsclient - Unvalidated input in nfsclient。 FreeBSD 7.[23] / 8.0 に欠陥。 NFS クライアントに欠陥があり、ファイルシステムを mount できるユーザが任意のコードをカーネル内で実行できる。 vfs.usermount が有効な場合は (デフォルト無効)、任意のユーザが root 権限を取得できる。 CVE-2010-2020
patch が用意されている。
“Virus Check” Malware Attack in Japanese (Symantec, 2010.06.01) によると、当該 .scr ファイルには、にせの電子署名まであったそうで。
》 Facebook Worm - “Likejacking” (Sophos, 5/31)
グーグル、Street View撮影車が収集したデータのドイツ当局への提出を拒否 ただし当局による撮影車の調査は了承 (ComputerWorld.jp, 5/31)
米下院議員がGoogleに質問状、Street View撮影車両のデータ収集問題で (日経 IT Pro, 5/28)
Twitter、第三者による広告ツイートを禁止、タイムライン周辺部では許容 (Internet Watch, 5/25)、 「長期的ユーザー体験が第一」—Twitter、サードパーティーのタイムライン内広告を全面禁止 (techcrunch, 5/25)
Twitter用APIを悪用したJavaScriptの多重難読化 (日経 IT Pro, 6/1)
アングラでも人気のTwitter (エフセキュアブログ, 5/25)
》 スマートフォンの管理は“悪夢”と化す 「モバイル・デバイス管理」がモバイル利用の最大懸念事項に (ComputerWorld.jp, 5/20)
》 「データセンターの空調は27℃で十分」——グーグル幹部が語る省電力対策 (ComputerWorld.jp, 5/31)
》 Privacy, Add-ons, and Cookie-less HTTP Requests (IEBlog, 5/26)
》 Add-on Guidelines and Requirements in Action - Google Toolbar (IEBlog, 5/25)
》 セキュリティの新基準でクレジットカードを不正アクセスから守る (日経 IT Pro, 5/30)。PCI SSC 話。
》 取引先経由での情報漏えい事故を減らせる マカフィー マーケティング本部 吉沢建哉氏 マカフィー SE本部 倉持由紀子氏 (日経 IT Pro, 5/28)。McAfee Data Loss Prevention 9.0 ねた。
》 Google、Web解析サービスのプライバシー保護機能を強化 (日経 IT Pro, 5/27)。「Google Analytics Opt-out Browser Add-on」 をインストールする必要があるみたい。
Google Analytics Opt-out Browser Add-onをWebブラウザにインストールすると、Google Analytics用のデータ収集JavaScriptである「ga.js」が組み込まれたWebページを閲覧しても、アクセス情報がGoogle Analyticsに送信されなくなる。
》 フィッシング詐欺の新手口——「開いているタブが偽サイトに」 (日経 IT Pro, 5/27)。tabnabbing。
》 インターネット Web サーバー構築ガイドライン (ドラフト版) (MS TechNet, 5/28 更新)
》 An Overview of Exploit Packs (McAfee Labs Blog, 5/28)
》 Wireshark SMB file extraction plug-in (SANS ISC, 5/28)
》 SDL: セキュリティ デベロップメント サイクル@INTEROP (日本のセキュリティチーム, 5/31)
》 公益通報「対象外」判決のオリンパス社員に取材して (回答する記者団, 5/29)
》 Firefox と Thunderbird の法人導入事例を公開しました (Mozilla Japan ブログ, 5/31)
》 Chromeのエクステンションがアップデート通知を出せるようになった(MacのGrowlのように) (techcrunch, 5/29)
》 ウイルスバスター2010 および ウイルスバスター2009 プログラムアップデートのお知らせ (トレンドマイクロ, 6/1)
Trendツールバーが有効な環境において、Webブラウザ「Mozilla Firefox」を使用してウェブを閲覧中、 Mozilla Firefoxが強制終了する問題を修正しました。
修正モジュールの内容が本体に組み込まれるようで。
》 プラグインプロセスを分離したFirefox 3.6.4 RC版リリース (sourceforge.jp, 5/31)。正式版はもうちょっと先。
》 U.S. Indicts Ohio Man and Two Foreign Residents in Alleged Ukraine-Based “Scareware” Fraud Scheme That Caused $100 Million in Losses to Internet Victims Worldwide (FBI, 5/27)、 Congratulations to the Department of Justice, FBI and Microsoft’s Digital Crimes Unit (Microsoft Malware Protection Center, 5/28)。WinFixer 方面。
グッド・プラクティス・ガイド パッチ管理 (JPCERT/CC, 5/31)
制御システム環境におけるサイバーセキュリティ文化の支援を目的とした運用セキュリティ(OPSEC)の使用 (JPCERT/CC, 5/31)
》 C/C++ セキュアコーディングセミナー 2010 @大阪 のご案内 (JPCERT/CC)。2010.07.01〜02、大阪府大阪市、無料。
》 NHKオンデマンドから見える「ネット配信」の現状と課題 〜Flash対応の理由とこれからの展開〜 (AV Watch, 5/28)
》 ホンダ中国スト、外資系に飛び火懸念 賃金上昇で“世界の工場”転機 (産経 MSN, 5/31)
》 ローソン子会社元専務ら逮捕 チケット代金流用の疑い (asahi.com, 6/1)。ローソンエンターメディアの件。
》 イスラエル軍がガザ支援船団を公海上で襲撃、支援船団側の 10 名が死亡
ガザ支援船:イスラエル軍が攻撃 活動家ら10人死亡 (毎日, 5/31)
イスラエル軍筋は、死者の多くはトルコ人だとしている。イスラエル軍の広報担当者は「兵士はナイフやこん棒で襲われた」として「責任は船団側にある」と正当防衛を主張しているが、多数の民間人の死傷により、イスラエルへの非難が強まっている。
そりゃそうだろう。襲撃者が主張する「正当防衛」って何。
ガザ支援船攻撃:急襲された6隻がイスラエル到着 (毎日, 6/1)
ガザ支援船攻撃:友好に決定的亀裂 中東和平に暗雲も (毎日, 5/31)
イスラエル軍:ガザ支援船団攻撃 ガザで数千人抗議 ハマス最高幹部「虐殺」と糾弾 (毎日, 6/1)
ガザ支援船攻撃:米、イスラエル非難避ける (毎日, 6/1)。 あいかわらずですね。
ガザ支援船攻撃:イスラエル紙「軍側のミス」 (毎日, 6/1)
ガザ支援船攻撃:安保理、非難声明へ協議 (毎日, 6/1)、 中国、ガザ支援船急襲で国連安保理の迅速な行動求める (ロイター, 6/1)
》 セキュリティ対策ツールがユーザー登録できないのはなぜ? (パソコントラブル出張修理・サポート日記, 5/9)。こんなとこにも IPv6。
》 I'm a bit ByteDefender (Panda Security Japan オフィシャルブログ, 5/25)。にせ BitDefender。
》 ウイルス遭遇記: 会社でアダルトサイトを閲覧、全社にウイルスが広まりサイト改ざんまで! (is702.jp, 5/21)。ウイルスバスターでは被害の拡大を防ぐことが全くできませんでした、という話にしか聞こえないのだが……。 トレンドマイクロ、これで宣伝になるのか? 「URL フィルタリング」の宣伝をしたいのだろうけど、「URL フィルタリング」から洩れるサイトなんていくらでもあるわけで……。
》 JANOG26ミーティング (e-side.co.jp)。受付開始。
10.【★星に願いを★】JANOG26前日は七夕です。今回は七夕にちなみ、皆様の願いを短冊に込めたいと思います。願い事は 「hogehogeになれますように」「XXXXができますように」のいずれかの書式でご記入ください。(※文字数制限はありません)。短冊は本会議当日、会場内に笹飾りにします。願い事の一部は懇親会でもご紹介します。尚、笹飾りの短冊にお名前の記載はありません。
書式制限キツいなあ。「〜ができますように」じゃなくて「〜できますように」なら楽なのだが。 仕方なく、話題になった記念でイデオンねたにした。
》 5.27普天間問題緊急声明(最新版)と閣議決定文書 (ひらがな5文字の「はたともこ」ブログ, 6/1)
》 PC不要でUstream中継ができる「CEREVO CAM live!」 (ascii.jp, 5/31)
》 相次ぐ従業員の自殺 中国Foxconn工場の怪 (Enterprise Watch, 5/31)。個人的には「こういう状況って Foxconn だけなの?」という疑問があるのだけど、どうなんだろう。
》 児童ポルノへ誘導、“ランキングサイト”運営者に警視庁がサイト削除要請 (Internet Watch, 5/28)。ブロッキング実現への援護射撃かな。
》 小笠原に移送のアホウドリ、15羽すべて巣立つ (asahi.com, 5/31)。すばらしい。
》 アセス法改正案「基地は除外を」 法案作成中に防衛省 (asahi.com, 6/1)。
》 「グラッときたら火の始末」は非現実的 文科省審部会 (asahi.com, 5/31)。 地震防災研究を踏まえた退避行動等に関する作業部会 (文科省 科学技術・学術審議会) のことかな。
建物の耐震化など事前対策に重点を置いた報告書を31日、同審議会の委員会に示す。
web にはまだ掲載されていないみたい。
》 被害を誘発することを容易にする情報 (外野の遠吠え, 5/22)。東京都青少年健全育成条例改正案の、非実在青少年ではない部分の話。
》 わたしはこれで記者を堕落させた 「機密費」で接待、「女」も用意 平野貞夫・元参院議員に聞く (J-CAST ニュース, 5/30)
》 鳩山首相、今週一杯持たず辞任 北朝鮮情勢尻目に (田中龍作ジャーナル, 5/31)
31日夕、小沢幹事長が鳩山首相と会ったことを受けて民主党関係者は次のように話した——
「鳩山さんは7日までは何とか頑張ってくれんと困るんだけどなあ。最悪の事態になったなあ。7日までは北朝鮮問題で何が起きるか分からない。『国際情勢が分かっていない』と言われて民主党はまた笑い者になる。事が起きた時に総理不在というのでは何もできない」
Google Chrome 5.0.375.55 登場。Mac OS 用、Linux 用も正式版に。 6 件の欠陥が修正されている。
こんなメールが来ているところがあるらしい。
メール件名: 「緊急」社員全員の参加でVIRUS・悪性スクリプト用ファイルの調査 メール本文(抜粋): 添付したマニュアルに従って、社内PC上にVIRUSがあるかどうか調査を行います。 皆さんのご協力が必要です。 よろしくお願いします! 添付ファイル名: Virus Check.zip メールに添付された zip ファイルを展開すると、Microsoft Office Word の アイコンに偽装されたスクリーンセーバ (.scr) ファイルが展開されます。
この例だと .scr な時点で「アヤシイ」と認識できるはずだけど、これが攻略 .pdf や攻略一太郎ファイルだったりした日には……。
“Virus Check” Malware Attack in Japanese (Symantec, 2010.06.01) によると、当該 .scr ファイルには、にせの電子署名まであったそうで。
国内企業を標的としたウイルス感染調査を騙るウイルス添付メール、制御文字RLOを使った拡張子偽装を確認 (トレンドマイクロ セキュリティ blog, 2010.06.03)。堂々と .scr なのはそういうわけでしたか。
今後の攻撃に備えた対策
RLO 対策が含まれてないよトレンドマイクロ……。 たとえば、葉っぱ日記 を参照。
一太郎 2004〜2009、一太郎ガバメント 2006〜2009、ジャストスクール / ジャストスクール 2009 に欠陥。文字属性の処理に欠陥があり、攻略一太郎ファイルを開くと任意のコードが実行される。一太郎 2010 には欠陥はない模様。
一太郎 2006〜2009、一太郎ガバメント 2006〜2009、ジャストスクール / ジャストスクール 2009 には修正プログラムが用意されている。一太郎 2004 / 2005 については、「6月下旬」に提供される予定。
……これ、0-day なのだそうで: 一太郎のゼロデイ脆弱性、再び狙われる! (トレンドマイクロ セキュリティ blog, 2010.06.01)
「日本リージョナルトレンドラボ」は、2010年4月21日、不正な一太郎のファイル(拡張子JTDのファイル)を入手。この不正なファイルは、解析の結果、前回とは異なる新たな脆弱性を悪用する機能を備えていることが判明しました。この脆弱性が悪用されると、感染コンピュータ上で任意のコードが実行される可能性があります。
[JS10002] 一太郎の脆弱性を悪用した不正なプログラムの実行危険性について が改訂された。一太郎 2004/2005 用の修正プログラムが公開されている。