Last modified: Mon Mar 30 12:39:22 2015 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 ピーチ・アビエーション MM252 便、那覇空港沖で重大インシデント
<お詫び>4 月 28 日 MM252 便の運航について (ピーチ・アビエーション, 4/29)
ピーチ:那覇空港で着陸を緊急回避 乗客乗員にけがなし (毎日, 4/29)
ピーチ旅客機「重大インシデント」で調査開始 (NHK, 4/29)
ピーチ機長「降下指示されたと勘違い」 (NHK, 4/29)
異常降下 管制官が高度低下を複数回注意 (NHK, 4/30)
思い込みのパワーって半端ないからなあ。
》 大臣臨時会見概要 (防衛省, 4/28)。オーストラリア訪問。防衛装備協力の件、具体的に出てきてる名前は潜水艦と F-35。
Q:防衛装備協力については、同じような装備があるということで協力していくということですけれども、先方の方から、具体的にどういった分野での協力を要請されたのでしょうか。
A:例えば、海の方であれば流体力学等の、船舶や潜水艦等にとって非常に重要な技術になりますので、そういう流体力学等の研究について今後強化していくということ。あるいは、今回オーストラリアは、戦闘機F-35の装備の追加の調達を決定いたしました。日本としても同機種を調達する方向にありますので、できればお互いにそれぞれの装備がどのような調達コストがかかるかという中で、少しでも効率的なコスト調達、防衛装備の調達について意見交換をする中で、コスト面でもいい防衛調達ができればということで今日は意見交換をいたしました。
Q:流体力学についての共同研究は、先の日豪首脳会談でも合意したところなのですけれども、具体的に潜水艦の技術の供与など、そういったことに対する要請ですとか、期待感というのは示されたのでしょうか。
A:日本の潜水艦技術は大変高いものだという評価をいただいております。その潜水艦技術に対しての関心の高さというのは感じました。極めて秘匿度の高い技術でありますので、今後事務レベルで様々な協議をすることが大切だと思っています。
》 マレーシア国際緊急援助活動の終結について (防衛省, 4/28)
関連: 大臣臨時会見概要 (防衛省, 4/29)。マレーシア訪問。
》 アナ雪はなぜ大ヒットしたのか、または、なぜオラフが映画中一番のイケメンなのか(※ネタバレあり) (みやきち日記, 4/30)
トータル10回ぐらい観た今思うのは、この映画がここまでヒットしたのは「愛vs恐怖」という人間にとってきわめて根源的なテーマを、これ以上ないほどわかりやすく衝いているからなのではないかということ。
ここで重要になってくるのが、オラフとマシュマロウの存在。メインストーリー上ではもちろんアナが愛を、(救われるまでの)エルサが恐怖を象徴しているわけですが、オラフとマシュマロウのふたり(ふたつ?)もまた対になって愛と恐怖を表しているからです。
アナ雪、日本語より英語で見た方が、上記のテーマがスカーンと頭に入ってきますよ。なんとなれば、上でつらつらと書いた「愛と恐怖」というテーマ、原語だとオープニング曲の"Frozen Heart"(邦題:『氷の心』)で思いっきり歌われているのに、日本語訳詞にはかけらも出てこないから。(中略) 「3Dを楽しむために映画館に行ったのち、おうちで北米版を英語字幕onで見る」というのが、いちばんのおすすめです。
関連:
『アナと雪の女王』日本語吹き替え3D版感想(※ネタバレあり) (みやきち日記, 4/27)。手堅い演出だと。
「アナと雪の女王」ヒットの裏に日本の独自戦略あり (オリコンスタイル / ハフィントンポスト, 4/27)。営業の話。
TOHOシネマズ日本橋でドルビーアトモス復活するも『アナと雪の女王』が上映されない嘆き (togetter, 4/27)。5/3 からドルビーアトモス上映再開だそうで。
》 突然現れるパソコンの警告表示をすぐにクリックしないこと!-その表示は、有料ソフトウエアの広告かもしれません- (国民生活センター, 4/24)。関連:
「性能が低下しています」「スパイウェアを探知しました」「クラッシュ寸前です」「エラー 直ちに削除」警告表示広告に要注意・国民生活センターが注意喚起 (ガベージニュース(PN), 4/29)。広告事例の画像はガベージニュースオリジナル。国民生活センターからの文書には載ってない。
違法な詐欺警告表示広告に対して国民センターが注意喚起を行う (楽しくないブログ, 4/29)。この企業名↓も国民生活センターからの文書には載ってない。
この広告を出している企業のサイトは一応「Systweak」と名乗っている会社だが、実態があるとは思えない。
systweak(詐欺サイトのためリンク省略)
http://systweak.com/
whois情報を見ても登録メールはなんとHotmailであり、フリーメールで企業のwhoisを登録してしまうような会社であることがわかる。少なくともまともな会社では無いだろう。詐欺前提の会社である。
Systweak でぐぐってみたら、昨年はこんなこともあったそうで。 これも増加の一因だったのかな。
あし@の広告配信サーバーが改ざんされ、Systweak製品の広告が表示される件について (ネットセキュリティブログ, 2013.09.25)
当のあし@は今年 1/31 で終了したそうで: あし@サービスやめるってよ (ここは俺に任せて先に行け, 1/2)
Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution (2014.04.28)
関連:
IE6〜11の深刻な脆弱性の対策ソフト「IE_Remove_VGX_DLL」 Ver0.1の公開を開始しました (西村誠一のパソコン無料サポートとオンラインソフト, 2014.04.29)。VGX.DLL の登録・解除を簡単に設定できるソフト。
IE Zero Day and VGX.dll (Cisco Blogs, 2014.04.28)
Given that this particular library has been implicated in six vulnerabilities and that Vector Markup Language is now deprecated in favour of SVG, maybe the best mitigation technique is to follow Microsoft’s advice and to unregister the dll for good.
VDX.dll はこれまで 6 個の欠陥が見つかってるし VML 自体が廃止予定の技術なんだから、DLL の登録解除がいちばんいいかもね、という話。
【IEの脆弱性】マイクロソフト セキュリティアドバイザリ の信頼性に疑問 (黒翼猫のコンピュータ日記 2nd Edition, 2014.04.30)。VDX.dll の登録解除って本当に回避方法たり得るの? という疑問。 個人的には、どうして Microsoft は DLL 登録解除用の Fix it を提供しないんだろう、というのが疑問なんですよね。
Windows 8.1 IE 11 の拡張保護モードの既定値が変わってた (山市良のえぬなんとかわーるど, 2014.04.30)。今はデフォルト OFF です。
……と言っている間に、Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution が 2014.04.29 付で改訂されていることに気がついた。 IE 10 でも拡張保護モード ON で ok、VGX.DLL 解除方法を更新、VGX.DLL への ACL 設定による回避方法は削除など。 また、拡張保護モード ON が筆頭手順になった。 これにあわせて、4/28 付で書いた部分を更新した。
FreeBSD 8.x〜10.x に欠陥。TCP の再構築機構に欠陥があり、複数の攻略パケットによる DoS 攻撃 (kernel クラッシュ) が可能。さらに、 カーネルメモリーの一部が露呈し、ログイン資格情報などのセンシティブ情報が漏洩する恐れもある。 while extremely difficult とあるので簡単ではなさそうだが、可能性としてはある模様。 CVE-2014-3000
patch があるので適用して kernel を再構築し再起動すればよい。 また pf を使って scrub in all を設定することで回避できる。
OpenSSL 1.0.0 以降に欠陥。SSL_MODE_RELEASE_BUFFERS フラグを設定した場合に、s3_pkt.c の ssl3_read_bytes() において競合状態が発生。 remote から、あるコネクションのデータを別のコネクションに挿入できる。 CVE-2010-5298 では「OpenSSL through 1.0.1g」となっているが、SSL_MODE_RELEASE_BUFFERS フラグが存在するのは 1.0.0 以降。
official patch: http://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=94d1f4b0f3d262edf1cf7023a01d5404945035d5
各 OS の対応:
OS | アドバイザリ等 |
---|---|
FreeBSD | FreeBSD-SA-14:09.openssl。OS 本体には SSL_MODE_RELEASE_BUFFERS を使うアプリは無い |
OpenBSD | 004: SECURITY FIX: April 12, 2014 |
SSL_MODE_RELEASE_BUFFERS を使うアプリの例としては nginx があるようだ。
出ました。iida さん情報ありがとうございます。
リリースノート: Firefox 29.0、 ESR 24.5.0。 Android 版 Firefox 29.0。 Thunderbird 24.5.0。 SeaMonkey 2.26。
この既知の問題、Firefox 27.0 から続いてますね……。 ATI Radeon で発生することがあるようで。
KB2670838 (MSIE 10 を動作させるために必要なアップデート) がインストールされた Windows 7 でのテキスト描画に不具合が生じます。Windows 8.1 での回避策はこちらをご覧ください。(Bug 812695)
「Windows 8.1 での回避策」: about:config から layout.paint_rects_separately を true に設定
セキュリティアドバイザリ: Firefox、 Firefox ESR。 Thunderbird。 SeaMonkey
ダウンロード:Firefox、 Android 版 Firefox、 Thunderbird、 Firefox / Thunderbird ESR、 SeaMonkey
Firefox 29.0.1 が公開されました。非セキュリティ fix のようです。
》 中国外交の危険すぎる「悪弊」 今なお古典の兵法を実践する中国、有効な対抗策は? (JBpress, 4/25)
》 ガスプロムは本当にウクライナを脅しているのか? キエフ側のお粗末な支払い実績とガス出荷停止を避けたいロシア (フィナンシャル・タイムズ / JBpress, 4/25)
》 食事が不要になる完全栄養食「ソイレント」がついに出荷を開始 (gigazine, 4/27)
》 Bitcoinは通貨ではないため「マネーロンダリングには該当しない」とSilkRoad創設者が主張 (gigazine, 4/27)。はぁそうですか……。
》 IPv6セキュリティテスト検証済み製品リスト (JPCERT/CC, 4/28)
》 福島県田村市のデタラメ除染 ついにガラクタがザクザク 罪深い福島県警と田村市 (いまにしのりゆき 商売繁盛でささもって来い!, 4/27)。出てきた「ガラクタ」の一部は盗品。
「いい加減にしろ、ふざけんなと言いたい。自転車やタイヤは使っていたもの。 人の所有物を税金でやっている除染で、盗まれる、捨てられるというのは許せない」
》 『「KIREILABO」1000人のキレイラボ体験!モニターキャンペーン』 応募者の個人情報に関するお詫びとお知らせ (グンゼ, 4/21)。「応募者の個人情報がインターネット上の特定状況下で閲覧可能な状態になっていた」。まる見え系の話だろうか。Benjamin さん情報ありがとうございます。
2014年4月18日(金)0時41分〜18日(金)10時51分 (中略) にご応募いただいた方(1,296名)のうち、閲覧された可能性がある740名の方の下記情報です。
・ お名前、年齢、モニター商品配送先のご住所及び連絡先(電話番号・e-mailアドレス)
・ 希望サイズの記号、アンケートのフリーアンサー
(中略)
上記の時間内に個人情報に接触があったのは、ご応募いただいた方による5件です。
》 第六回採用面接で聞かれた質問が秀逸だった (安達裕哉 / ハフィントンポスト, 3/16)
応募者 「面接官の皆さんは、入社してどのくらいですか」
(中略)
応募者 「ありがとうございます。Aさんは勤続12年ということですが、この仕事をなぜ12年も続けてこれたのですか?」
(中略)
つまりこの学生は「自分が入ろうとしている会社の、現場の声を集めた」ということだ。うちの社員より鋭い。
》 都市伝説が本当に、「ビデオゲームの墓場」で史上最低ゲーム「E.T.」が発見される (gigazine, 4/28)。考古学的発見。
》 約32億6000万年前に地球に衝突した小惑星が大陸移動のきっかけとなった可能性 (gigazine, 4/29)
》 【ためになる】元アップルストア店員が教えるiPhoneバッテリー節約術 「すぐに電池が減るのはFacebookアプリのせい」 (ロケットニュース 24, 4/17)、 【アップル】iOS 7.1.1でバッテリーの消費問題が改善か / 6時間稼働テストでの比較結果 (ロケットニュース 24, 4/27)
》 オバマ”正しくない”発言 「政府が同時通訳」は誤報 (日本報道検証機構, 4/28)。 琉球新報の『オバマ氏発言で「誤訳」が独り歩き 日本のメディア』の件、実は琉球新報も間違っていた模様。
日本政府の同時通訳は「非常に好ましくない過ち」
NHK 生中継の同時通訳は「正しくない」
だったそうで、
多くのメディアが「正しくない」と報じたのは、NHKの同時通訳をそのまま使った可能性がある。
うわ……。
Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution (2014.04.28)
関連:
マイクロソフト セキュリティ アドバイザリ 2963983: Internet Explorer の脆弱性により、リモートでコードが実行される (マイクロソフト, 2014.04.28)
EMET 4.1 は、推奨構成の場合、Internet Explorer を保護できるように自動的に構成されます。追加の手順は不要です。
セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」を公開 (日本のセキュリティチーム, 2014.04.28)
Enhanced Mitigation Experience Toolkit (EMET) の以下の構成で、現在確認されている悪用を防ぐことを確認しています。
EMET 4.1: すべての緩和策、および、deephooks/antidetour を有効化
EMET 5.0 Technical Preview: ASR および EAF+ を含むすべての緩和策、および deephooks/antidetour を有効化
念のため手元のテスト用 Windows 7 環境に EMET 4.1 をインストールしてみたところ、デフォルトでチェックされているのは「Anti Detours」と「Banned Functions」で、「Deep Hooks」はチェックされていなかったのだが……。
Chrome Stable Channel Update (2014.04.26)
Flash Player 更新は 0-day セキュリティ修正でした。APSB14-13: Security updates available for Adobe Flash Player
またまた 0-day だそうです。Flash Player 13.0.0.206 (通常版)、11.7.700.279 (延長サポート版)、 11.2.202.356 (Linux 版) 出てます。 CVE-2014-0515。 通報者は Kaspersky。
関連:
New Flash Player 0-day (CVE-2014-0515) used in watering-hole attacks (Kaspersky, 2014.04.28)。KSN というのは Kaspersky Security Network のことみたい。
KSN での最初の検知は 4/9。ヒューリスティックによる。 続いて 4/14 と 4/16 に多数の検出あり。
http://jpic.gov.sy/ に仕掛けられた。
水飲み場攻撃に悪用されたFlash Playerのゼロデイ(CVE-2014-0515)をまとめてみた (piyolog, 2014.04.28)
Technical Analysis of CVE-2014-0515 Adobe Flash Player Exploit (HP Security Research Blog, 2014.05.21)
》 THALES BUSHMASTERを防衛省が導入へ (アシナガバチの巣作り日記, 4/21)。 輸送防護車4両購入へ 防衛省、邦人搬送に投入 (産経, 2013.12.10) では
輸送防護車は、海外から購入する予定で、米国製の「M-ATV」やオーストラリア製の「ブッシュマスター」と呼ばれる機種の装甲車を想定している。
M-ATV の名前も出てましたが、結局ブッシュマスターになったそうです。
》 日豪、潜水艦関連技術を共同研究 (SankeiBiz, 4/8)。具体的にはコリンズ級代替の件ですよね。
豪が日本の「そうりゅう」をベースに新型潜水艦の開発を希望 (アシナガバチの巣作り日記, 2012.07.14)
「日本の潜水艦技術の提供を」豪が要請[政治] (NNA, 2013.12.11)
これらの記事のころは武器輸出がまだまだ制限的でしたが、先日イケイケ GO GO になりましたので、行くところまで行くのでしょう。
》 [重要]回線障害に関するお知らせ (ASJ, 4/27)。DoS 攻撃を受け、4/27 15:50〜22:50 まで顧客サイト含めて使用不可だった模様。 匿名希望さん情報ありがとうございます。
》 ウガンダ最高峰にレインボーフラッグ登場 (石壁に百合の花咲く, 4/28)
》 2014年第一四半期SR:FreeBSD Test Suite (FreeBSD Daily Topics, 4/25)
Struts 2.3.16.2 出ました。
関連:
Struts2への攻撃 S2-020 (cNotes, 2014.04.26)
cNotesサイトのアクセスログ(Struts2への攻撃 S2-020) (cNotes, 2014.04.27)
IE 6〜11 に 0-day 欠陥、攻略 Web ページを閲覧すると任意のコードが実行される。 CVE-2014-1776
いくつかの回避方法:
IE 10、IE 11 の拡張保護モードを ON にする。 IE 11 ではデフォルト ON だった時期もあるが、MS13-088 更新プログラムで一旦 OFF にされているので注意。 64bit システムでのみ有効。
EMET 4.1、4.0、または EMET 5.0 Technical Preview を使う。EMET 3.0 では回避できないので注意。
「管理者として実行」したコマンドプロンプトから以下を実行して VGX.DLL の登録を解除する
32bit:
"%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
64bit:
"%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"
"%SystemRoot%\System32\regsvr32.exe" -u "%CommonProgramFiles(x86)%\Microsoft Shared\VGX\vgx.dll"
フリーソフト 「IE_Remove_VGX_DLL」 を使うと作業が楽。
VGX.DLL の ACL を変更してアクセス不可とする
関連:
New Zero-Day Exploit targeting Internet Explorer Versions 9 through 11 Identified in Targeted Attacks (FireEye, 2014.04.26)
EMET 4.1 を公開 〜 構成ファイルや管理機能の強化 (日本のセキュリティチーム, 2013.11.15)
EMET 5.0 Technical Preview 公開しました (日本のセキュリティチーム, 2014.02.26)
InternetExplorerのゼロデイ(CVE-2014-1776)をまとめてみた (piyolog, 2014.04.27)
IEに重大な脆弱性、サポート終了のWindows XPは修正パッチの予定なし (gigazine, 2014.04.28)。そのうち Windows Server 2003 用の更新プログラムを無理矢理 XP に……みたいなネタが流行るのかなあ。
Zero-Day Internet Explorer Vulnerability Let Loose in the Wild (Symantec, 2014.04.27)
2014年4月 Microsoft Internet Explorer の未修正の脆弱性に関する注意喚起 (JPCERT/CC, 2014.04.28)
関連:
マイクロソフト セキュリティ アドバイザリ 2963983: Internet Explorer の脆弱性により、リモートでコードが実行される (マイクロソフト, 2014.04.28)
EMET 4.1 は、推奨構成の場合、Internet Explorer を保護できるように自動的に構成されます。追加の手順は不要です。
セキュリティ アドバイザリ 2963983「Internet Explorer の脆弱性により、リモートでコードが実行される」を公開 (日本のセキュリティチーム, 2014.04.28)
Enhanced Mitigation Experience Toolkit (EMET) の以下の構成で、現在確認されている悪用を防ぐことを確認しています。
EMET 4.1: すべての緩和策、および、deephooks/antidetour を有効化
EMET 5.0 Technical Preview: ASR および EAF+ を含むすべての緩和策、および deephooks/antidetour を有効化
念のため手元のテスト用 Windows 7 環境に EMET 4.1 をインストールしてみたところ、デフォルトでチェックされているのは「Anti Detours」と「Banned Functions」で、「Deep Hooks」はチェックされていなかったのだが……。
関連:
IE6〜11の深刻な脆弱性の対策ソフト「IE_Remove_VGX_DLL」 Ver0.1の公開を開始しました (西村誠一のパソコン無料サポートとオンラインソフト, 2014.04.29)。VGX.DLL の登録・解除を簡単に設定できるソフト。
IE Zero Day and VGX.dll (Cisco Blogs, 2014.04.28)
Given that this particular library has been implicated in six vulnerabilities and that Vector Markup Language is now deprecated in favour of SVG, maybe the best mitigation technique is to follow Microsoft’s advice and to unregister the dll for good.
VDX.dll はこれまで 6 個の欠陥が見つかってるし VML 自体が廃止予定の技術なんだから、DLL の登録解除がいちばんいいかもね、という話。
【IEの脆弱性】マイクロソフト セキュリティアドバイザリ の信頼性に疑問 (黒翼猫のコンピュータ日記 2nd Edition, 2014.04.30)。VDX.dll の登録解除って本当に回避方法たり得るの? という疑問。 個人的には、どうして Microsoft は DLL 登録解除用の Fix it を提供しないんだろう、というのが疑問なんですよね。
Windows 8.1 IE 11 の拡張保護モードの既定値が変わってた (山市良のえぬなんとかわーるど, 2014.04.30)。今はデフォルト OFF です。
……と言っている間に、Microsoft Security Advisory 2963983: Vulnerability in Internet Explorer Could Allow Remote Code Execution が 2014.04.29 付で改訂されていることに気がついた。 IE 10 でも拡張保護モード ON で ok、VGX.DLL 解除方法を更新、VGX.DLL への ACL 設定による回避方法は削除など。これにあわせて、4/28 付で書いた部分を更新した。
更新プログラム出ました:
マイクロソフト セキュリティ情報 MS14-021 - 緊急: Internet Explorer 用のセキュリティ更新プログラム (2965111) (マイクロソフト, 2014.05.02)。Windows XP 用もあります。
セキュリティ アドバイザリ (2963983) の脆弱性を解決する MS14-021 (Internet Explorer) を定例外で公開 (日本のセキュリティチーム, 2014.05.02)
今回の脆弱性への対応において、特例として、Embedded 含む Windows XP 上の Internet Explorer 用セキュリティ更新プログラムも公開することを決定いたしました。
Windows XP をご利用の一般ユーザーが、いまだ非常に多い状況を受けての特別な措置です。Windows XP のサポートは終了していますので、Windows 8.1 などへの最新の Windows に早急に移行することを強く推奨いたします。
回避策を実施している場合の注意:
VGX.DLL に ACL を設定している場合、更新プログラム適用前に ACL を再設定する必要がある。
VGX.DLL を登録解除している場合、更新プログラム適用後に再登録する必要がある。
関連:
IEに見つかった「ゼロデイ脆弱性」、“タイミング”と“誤解”で騒ぎ拡大 (日経 IT Pro, 2014.05.12)
なぜ、IEの脆弱性問題は過剰報道になったのか? 〜必要以上に危険性を煽った日本のメディアの問題点 (PC Watch, 2014.05.13)
実は全世界で、この脆弱性に関して、報道機関向けにMicrosoftがニュースリリースを用意したのは日本だけ。そして、個人ユーザーの問い合わせ件数は、日本だけが圧倒的に多かったという。それだけ日本での報道が過熱していたことを示す事象だと言える。
ゴールデンウィークを襲ったIE問題、金融機関での対応秘話 (ITmedia, 2014.05.09)
お手柄、エメット(EMET)さん! (@IT, 2014.05.12)
今回のIEの脆弱性に関して最初に公開されたマイクロソフトセキュリティアドバイザリ 2963983では、EMET 4.0以降を推奨設定で導入していれば、追加手順なしで今回の脆弱性の悪用を回避できたそうです。推奨設定には、IE(iexplore.exe)に対する全ての緩和策が構成済みになっています。
その後に公開されたセキュリティチームの情報によると、IEに対する全ての緩和策に加えて、「Deep Hooks」(ディープフック)および「Anti Detours」(迂回回避)という追加のROP(Return-Oriented Programming)緩和策(Anti-ROP)を有効化することが、更新プログラム公開までの間の有効な回避策とされました。
これらの緩和策がどういうものであるか、難しい話になるので説明はしません。重要なのは、次期バージョンのプレビュー版であるEMET 5.0 Technical Previewでは両オプションは既定で有効となっていますが、EMET 4.0/4.1では「Deep Hooks」は既定で無効だったということです。もしかしたら、実際に攻撃に遭った場合、EMET 4.0/4.1の推奨設定では防ぎきれなかったのかもしれません。
ここがよくわからないのですよね。Microsoft の人達がそんなミスをするとは思えないのですが、EMET 4.1 Update 1 では Deep Hooks がデフォルト ON になったわけで。
The mechanism behind Internet Explorer CVE-2014-1776 exploits (HP Security Research Blog, 2014.05.14)
》 中国、2011年から対潜水艦監視システムを導入―米と同じもの? (Intelligence News and Reports, 4/26)
》 LulzSecのSabuは米国FBIの指示に基づいてイラン政府などのシステムをハックしていた? (サイバー法ブログ, 4/26)、 FBI informant Sabu tied to foreign cyber attacks (Sophos, 4/25)
》 緊急発言:自民党の児童ポルノ単純所持禁止案、その危険な問題点 (園田寿 / Yahoo, 4/24)
関連: ついに「単純所持の禁止」導入が確定か!? 児童ポルノ法改定案が連休明けにも審議入りへ (Business Journal / Yahoo, 4/23)
大誤報か大スクープか? 読売新聞TPP報道の真相(デイリーノーボーダー編集部) (NO BORDER, 4/25)。読売 4/25 紙面。
12か国交渉に弾み…TPP、日米実質合意 (読売, 4/26)
TPP日米交渉 事実上合意、懸案項目全てで着地点 (TBS, 4/26)
》 サイバー情報共有イニシアティブ(J-CSIP) 運用状況 [2014年1月〜3月] (IPA, 4/25)
》 パーソナルコンピューターVAIO Fit 11A無償修理受付開始のお知らせ (SONY, 4/24)。受付はじまりました。 「実際の無償修理作業は2014年5月19日より順次開始させていただく予定」。
》 Apple、一部のiPhone 5でスリープボタン無償交換へ (ITmedia, 4/26)、 iPhone 5 スリープ/スリープ解除ボタン交換プログラム (Apple)
》 クラブ「NOON」風営法違反裁判、元オーナーに無罪判決。おめでとうございます。
クラブ元経営者に無罪判決 ダンス「性風俗乱さない」 (朝日, 4/25)、 ダンス規制、改正に弾み 無罪判決に支援者ら拍手 (朝日, 4/25)
元クラブ経営者に無罪判決 ダンス規制は「時代遅れ」 (スポニチ, 4/26)
クラブ無罪のダンス わいせつな演出なし (東京, 4/26)
無許可ダンス営業、元経営者に無罪判決 (壇弁護士の事務室, 4/26)
おそらく、弁護側は、有識者の意見書等を用いて、検察が、性風俗を問題にせざるを得ないように土俵を設定し、検察にラインを上げさせるとともに、裁判所に限定解釈を引き出したのであろう。
弁護側の戦略眼の良さを感じるところである。
Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)
関連:
国税庁がStruts脆弱性で確定申告書作成サービス停止、「再開までは手書きで」 (日経 IT Pro, 2014.04.25)。「国税庁がサービスで利用していたのは旧版の方」
「Strutsの脆弱性を突く攻撃を検知、早急な対策を」、ラック西本専務 (日経 IT Pro, 2014.04.25)
4/24 付の Chrome 34.0.1847.131 (Windows, Mac) および 34.0.1847.132 (Linux) はセキュリティ更新だったそうで。9 件のセキュリティ欠陥を修正。あわせて Flash Player も 13.0.0.206 に。
Chrome OS 34.0.1847.134 も出ています。
Flash Player 更新は 0-day セキュリティ修正でした。APSB14-13: Security updates available for Adobe Flash Player
フェリー沈没事故と韓国の内省 「文化」は過ちを犯した当局者の言い訳にはならない (フィナンシャル・タイムズ / JBpress, 4/25)
アングル:億万長者の写真家で宗教家、韓国沈没船オーナーの素顔 (ロイター, 4/25)
旅客船沈没 バラスト水減らし過積載か (NHK, 4/25)
積み込める貨物量は増築前の2400トン余りから987トンに大幅に減りましたが、事故当時はおよそ3600トン、安全が確保される貨物量のおよそ3.6倍を積載したうえ、その代わりにバラスト水を減らしていたと見られています。
めちゃくちゃ。
韓国旅客船 沈没事故から1週間 (NHK, 4/23)
韓国の海洋水産省は22日、沿岸部で運航されている旅客船173隻すべてを対象に安全管理の点検を始めました。
韓国 同じ航路の別の旅客船を捜索 (NHK, 4/24)
旅客船沈没事故 逮捕者11人に (NHK, 4/25)
旅客船沈没:悪質なネット掲示物、警察が捜査へ (朝鮮日報, 4/25)
旅客船沈没:「食堂に生存者」SNSのデマが捜索の妨げに (朝鮮日報, 4/25)
韓国客船沈没:安全よりも収益重視…船会社 (毎日, 4/25)
》 楽天 価格水増しで割り引く 社員が提案 (NHK, 4/25)。結局、楽天が全面的に悪かったんじゃん。
》 「燃え尽き症候群」には少なくとも3つのタイプがある (gigazine, 4/25)
》 ロシアでブログ規制拡大、政府にブログ登録・ブロガーの本名公表など (gigazine, 4/25)
》 くらし☆解説 「子どもの奪い合いを防ぐために 〜ハーグ条約〜」 (NHK 解説委員室, 4/24)
》 Speeding up and strengthening HTTPS connections for Chrome on Android (Google, 4/24)。Android 上の Chrome と Google との間の通信は、2014.02 から ChaCha20-Poly1305 になっているそうで。ChaCha20 は DJB 氏によるストリーム暗号。
ChaCha20 and Poly1305 based Cipher Suites for TLS draft-agl-tls-chacha20poly1305-04 (IETF, 2013.11)
PKI DAY 2014「IETFでのTLS関連の標準化動向」 (菅野 哲 / JNSA, 3/13)。PKI DAY 2014 の講演資料。
関連: PKI Day 2014 (togetter, 3/14)
ChaCha20 and Poly1305 in OpenSSH (djm's personal weblog, 2013.11.29)。 その後 OpenSSH 6.5 に入った。
Bug 917571 - Support ChaCha20+Poly1305 cipher suites (Mozilla)
http://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=9a8646510b。「Add support for Chacha20 + Poly1305」
NHK:人事「会長色」に 3理事に権限集中/異例の当日提案 経営委員2人、同意を保留 (毎日, 4/23)
規模こそ任期満了の4人分にとどまったが、主要な担務を再任、新任の3人に集約させており、籾井(もみい)勝人会長の意思が色濃く反映されている。再任された板野氏は元経済部長。会長就任時の発言などをめぐり、籾井会長と理事の関係が冷え込む中、会長を支持する一人。業績評価の観点から、再任への慎重論もあったが、籾井会長が押し切った格好だ。
この板野氏を放送全般を統括する放送総局長に据え、国際放送も担当させる。元政治部長の井上氏は、経営計画策定の責任者である「経営企画統括」、福井氏は「人事・労務統括」を担当。籾井会長は「適材適所を基本とした」とコメントを発表したが、経営委では、担務の説明を求める委員に対し「会長の専権事項で経営委の同意は不要」と返したという。
籾井氏「役職分担は会長専権」 NHK理事人事、紛糾 (東京, 4/23)
NHK会長:2専務理事に辞任迫る…拒否され断念 (毎日, 4/24)
NHK籾井会長「返すから」理事に辞表返却していた (スポニチ, 4/24)
経営委員会後の委員長記者ブリーフィング発言要旨 平成26年4月22日(火)(第1212回) 浜田委員長、上村代行 (NHK, 4/25)
》 ネットワーク/ストレージの処理能力をチェックするためのベンチマークツール (sourceforge.jp, 4/23)
》 エメット(EMET)、していますか? (@IT, 4/23)
》 PCI DSS - Why it works (Sophos, 4/23)、 PCI DSS - Why it fails (Sophos, 4/23)
》 何をやってもダメだった人へ〜Windows8.1でIME言語バーが表示されなくて日本語が使えなくなった時の回避策 (家庭内インフラ管理者の独り言(はなずきんの日記っぽいの), 4/23)。そうそうこれこれ、私も体験しました。「言語バーをタスクバーに固定する」で対応したような。
》 Mozilla、新しいライブラリの脆弱性情報に1万ドルの懸賞 (ITmedia, 4/25)
》 OpenSSL脆弱性の再発防止へ、業界大手が重要オープンソースプロジェクトを支援 (ITmedia, 4/25)。 Core Infrastructure Initiative。
》 セキュリティ情報、セキュリティ アドバイザリ サイトをリニューアル (日本のセキュリティチーム, 4/24)。セキュリティ情報、セキュリティアドバイザリの URL が変わりました。
》 Stable Channel Update (Chrome Releases, 4/24)
This release also contains a Flash Player update, to version 13.0.0.206.
http://helpx.adobe.com/flash-player/release-note/fp_13_air_13_release_notes.html にはまだ 13.0.0.206 の件は出てないなあ。
日米首脳会談:「尖閣に安保適用」…米大統領が明言 (毎日, 4/24)
尖閣諸島:「安保適用範囲」海外メディア反応 (毎日, 4/24)
尖閣に安保適用を明記 日米共同声明 (朝日, 4/25)
まあ、事象が発生したらいきなり US が反撃するわけでもないんですけどね。
日本国とアメリカ合衆国との間の相互協力及び安全保障条約 (外務省)
第五条
各締約国は、日本国の施政の下にある領域における、いずれか一方に対する武力攻撃が、自国の平和及び安全を危うくするものであることを認め、自国の憲法上の規定及び手続に従つて共通の危険に対処するように行動することを宣言する。
何かが起こって尖閣が日本国の施政の下でなくなったら自動的に対象外となります。
》 万能細胞:STAP論文問題 調査委員長辞任 自身論文に疑義 理研、真相究明へ (毎日, 4/25)。gdgd な様相。
》 IPA テクニカルウォッチ:「サーバソフトウェアが最新版に更新されにくい現状および対策」 (IPA, 4/25)
》 懲りない百度(Baidu)がまた日本語入力関連でやらかした件で (山本 一郎 / Yahoo, 4/25)
Wireshark 1.10.7、1.8.14 公開 (2014.04.22)。1.10.7 には 1 件のセキュリティ欠陥修正が含まれる。
wnpa-sec-2014-06: RTP dissector crash (Wireshark, 2014.04.22)。 CVE-2014-2907
SYM14-007: Security Advisories Relating to Symantec Products - Symantec Encryption Desktop Memory Access Violations (Symantec, 2014.04.23)。Symantec Encryption Desktop 10.3.2 Maintenance Pack 1 で修正されている。 CVE-2014-1646 CVE-2014-1647
JVNDB-2014-002233: rsync の check_secret 関数におけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2014.04.25)。最新 3.1.0 も影響を受ける。 patch。 CVE-2014-2855
Security releases issued (Django, 2014.04.21)。Django 1.4.11, 1.5.6, 1.6.3, 1.7 beta 2 公開。 3 件のセキュリティ欠陥を修正。 CVE-2014-0472 CVE-2014-0473 CVE-2014-0474
JVNVU#98935174: IBM Notes および IBM Domino に問題 (JVN, 2014.04.23)。32bit Linux 版が gcc -z execstack でコンパイルされていた。Domino および Notes 9.0.1 Fix Pack 1 で修正されている。また VU#350089 に execstack -c による対応方法が記載されている。CVE-2014-0892
Re: CVE request: 3 vulnerabilities in poppler and 1 in Xpdf (seclists.org, 2013.10.28)。CVE-2013-4473 は poppler 0.24.2 で、CVE-2013-4474 は poppler 0.24.3 で修正されたが、CVE-2013-4472 は未修正のようだ。Windows / 非 UNIX 環境で問題となる。
Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)
関連:
Apache struts2 0day (vulnhunt.com, 2014.04.24)
Struts2 zero day in the wild (HP Security Research Blog, 2014.04.25)。回避方法が記載されている。
Struts up to 2.3.16.1: Zero-Day Exploit Mitigation (Apache Struts, 2014.04.24)。オフィシャルな回避方法が記載されている。 HP 版とは微妙に異なる。
Apache Struts 2 の脆弱性を狙う PoC を確認 (トレンドマイクロ セキュリティ blog, 2014.04.24)
Strutsの脆弱性CVE-2014-0094について改めてまとめてみた (piyolog, 2014.04.24)
StrutsのClassLoader脆弱性はSAStrutsに影響しません (ひがやすを blog, 2014.04.25)
S2-020類似攻撃のStruts1での対策方法 (Qiita, 2014.04.25)
About the security content of iOS 7.1.1 (2014.04.23)
iOSユーザーは判明済みの深刻な脆弱性を数週間放置されていたと元社員がAppleを批判 (gigazine, 2014.04.24)
これはつまり、Safariで脆弱性が修正された後もiOSでは3週間にわたって脆弱性が放置されていたことを示しています。
マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される (2014.03.25)
Patch analysis of latest Microsoft Office vulnerability (CVE-2014-1761) (HP Security Research Blog, 2014.04.24)
》 NIST finally dumps NSA-tainted random number algorithm (ZDNet, 4/23)。Dual_EC_DRBG を削除。
》 中国海軍、21カ国承認の「行動基準」必ずしも順守せず (ウォール・ストリート・ジャーナル日本版, 4/24)。中国の常識世界の非常識。
》 千葉大から個人情報漏洩、47,000 人分。 大学から NAS を持ってきて自宅に刺したら UPnP が動いて全世界に公開しちゃった?
個人情報の流出について (千葉大, 4/23)。「個人情報が含まれているネットワーク対応型ハードディスクを自宅に持ち帰り使用」「インターネット検索サイト上でハードディスク内のファイルが閲覧可能な状態」
個人情報の流出について (千葉大学 教育学部, 4/23)。
千葉大4万人超の情報閲覧状態に (NHK, 4/23)。「教育学部の男性教授が」
4万7千人分の情報流出 成績などネットで閲覧可能に 千葉大 (千葉日報, 4/24)
ハードディスクには卒業生や在校生計約3万7500人分の学生名簿をはじめ、約3400人分の成績、教授が教える他大学の約3900人分の学生名簿などが保存されていた。千葉大は学内の規定で成績などの個人情報を研究室外に持ち出すことを禁じていたが、教授は「研究に使うためだった」と説明しており、軽い気持ちで持ち帰ったとされる。
千葉大:学生らの名簿、成績などネットに流出 (毎日, 4/23)。「教授が所属する学会の会員135人のクレジットカード番号など」
https://twitter.com/ockeghem/status/458941024899850240 からはじまるスレッド
MyCloudNAS サービス: 自動ルータ構成 (QNAP Turbo NAS)、QNAP NAS導入作戦! 〜MyCloudNAS設定編〜 (ちむどろいど, 2013.05.04)。この NAS でしたということではなく、あくまで一例として。
》 ワコール、不正アクセス受け閉鎖中だったWebサイトを一部再開 (日経 IT Pro, 4/22)。ようやく。
》 「Windows 8は高すぎる」として中国政府はWindows XPを使い続ける予定 (gigazine, 4/24)
》 マンガ「いちえふ」作者インタビュー (BLOUIN ARTINFO, 3/19)
》 Googleがログイン認証を強化、OAuth 2.0の採用促す (ITmedia, 4/24)、 New Security Measures Will Affect Older (non-OAuth 2.0) Applications (Google, 4/23)
》 ネット通販普及で単価下落 ヤマトと佐川、法人宅配強化 高付加価値で勝負 (ITmedia, 4/24)
》 Google、ストリートビューに“タイムマシン”機能を追加 震災前後の風景も (ITmedia, 4/24)
》 ARINのIPv4アドレス在庫が最後の/8に (Geek なぺーじ, 4/24)
》 Androidアプリの脆弱性の学習・点検ツール AnCoLe (IPA, 4/11)
》 IPA テクニカルウォッチ:「攻撃者に狙われる設計・運用上の弱点についてのレポート」 (IPA, 3/28)
》 脆弱性対策情報データベースJVN iPediaの登録状況 [2014年第1四半期(1月〜3月)] (IPA, 4/23)
》 ソフトウェア等の脆弱性関連情報に関する届出状況[2014年第1四半期(1月〜3月)] (IPA, 4/24)
》 2014年版 情報セキュリティ10大脅威 (IPA, 3/31 更新)。3/31 付で「簡易説明資料」が追加されてました。
》 医療機器における情報セキュリティに関する調査(2013年度) (IPA, 4/16)
》 YDN「広告配信先レポート」がアレな URL を曝した件つづき
震源地: YDN「広告配信先レポート」が「firestorage.jp」のダウンロードリンク晒して炎上案件か? (リスティング広告 運用支援, 4/23)
firestorage の対応: firestorage(未登録・無料会員)のダウンロードページURLが第三者より閲覧可能な状態におかれた件 (firestorage.jp, 4/23)。「直ちに該当するネットワーク広告を firestrage から削除」「現在は当該の YDN プレイスメントターゲティングのレポート機能は停止」「パスワード設定をお勧め」
ファイル交換サービスからURL漏えい、第三者がファイル入手可能に (日経 IT Pro, 4/24)
YDNがダウンロードサイトのURLを広告主に通知してしまったため、第三者がこのURLにアクセスしてファイルをダウンロードできるようになってしまった。
firestorageでは、未登録会員や無料会員が利用した際、ファイルのダウンロード画面にYDNの広告を掲載していた。広告が掲載されない有料会員、法人プランの利用者は影響を受けない。
しかし別の問題がある模様: ヤフーの「関連検索ワード(虫眼鏡)」にも「firestorage」のダウンロードリンクが出てる件 (リスティング広告 運用支援, 4/24)
》 商船三井所有 鉱石専用船 BAOSTEEL EMOTION 号差し押さえ事件。賠償判決後、当事者間で示談交渉中だったにもかかわらず、上海海事法院が突然介入した模様。まさにチャイナリスク。
中国当局による当社船差し押さえの件 (商船三井, 4/21)。経緯が説明されている。
中国が商船三井の船舶差し押さえ―戦時中の用船訴訟に絡み (ウォール・ストリート・ジャーナル日本版, 4/21)
【商船三井船舶差し押さえ】 「やり過ぎだ」 政府、国際司法裁判所提訴を検討 (産経, 4/21)
「戦後補償とは無関係」(ということにしたいのですね)
【船舶差し押さえ】 中国「戦争賠償と無関係」 「契約残り17年」…現地取引先も困惑 (産経, 4/22)
船差し押さえ:三井側元代理人「戦後補償とは無関係」 (毎日, 4/22)
【船舶差し押さえ】 リスク承知の中国、日中経済関係の重大な「分水嶺」に (産経, 4/22)
焦点:中国の商船三井船差し押さえ、戦後補償「先例」にも (ロイター, 4/23)
中国当局による当社船差し押さえの件(2) (商船三井, 4/24)。「今般同法院との間で本事案の解決の見込みが立ったため、本船差し押さえが解除され、出港することとなった」
船差し押さえ:商船三井が供託金…中国に40億円 (毎日, 4/24)
木語:得意技「差し押さえ」=金子秀敏 (毎日, 4/24)
日本船差し押さえが汚職だというわけではないが、差し押さえは、中国では政治的に使われることがある。では、その政治的意図はなにか。
裁判所の上級機関は、全国人民代表大会(全人代)だ。全人代のトップは保守派の張徳江・全人代常務委員長だ。
最近、全人代常務委員会は「抗日戦勝記念日」(9月3日)と「南京大虐殺犠牲者国家追悼日」(12月13日)を国の記念日として法制化した。
また、抗日戦争中の日本企業による中国人強制労働賠償請求の訴えを各地の裁判所が受理した。偶然ではない。全人代が日本に対する歴史問題で目立って強硬な立場だ。強制連行裁判原告団は、差し押さえ決定で自分たちの裁判も有利になると歓迎している。
4月8日、訪中したヘーゲル米国防長官に常万全・中国国防相が「姑息養奸(こそくようかん)」(あまやかして悪人をはびこらせる)だと食ってかかった。米国が尖閣諸島防衛の態度を見せれば日本をたたくという警告だ。米中関係が悪化すると日本たたきが起きる。その中心が軍と全人代だろう。
【船舶差し押さえ】 「和解妨げず」政府及び腰 戦争賠償訴訟 (産経, 4/24)
日本船差し押さえ 中国の意図は (NHK, 4/24)
時論公論 「中国 日本船差し押さえの衝撃」 (NHK 解説委員室, 4/24)
ゴールデンウィークにおける情報セキュリティに関する注意喚起 (IPA, 4/22)
長期休暇を控えて 2014/04 (JPCERT/CC, 4/24)
龍大は 4/29 は通常営業だし 5/6 もほぼ通常営業。
OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)
追加したもの:
Android: 4.1.1 および 4.2.2 の一部に影響がある模様 (google, gigazine)。 確認アプリ (例) で確認した上で、端末メーカーに問いあわせる。
Buffalo Technology NAS products unaffected by ‘Heartbleed’ bug (Buffalo, 2014.04.23)。標準状態では影響ないが、DD-WRT をインストールした場合は別。
Heartbleed & DD-WRT/DD-WRT Online Services (DD-WRT, 2014.04.11)
FileMaker:
松尾さん情報ありがとうございます。
QNAP が Heartbleed OpenSSL の脆弱性を修正するためのシステムアップデートを発表 (QNAP, 2014.04.18)。QNAP Turbo NAS のファーム更新。
Synology
Synology、VPN Server パッケージの脆弱性を修正するアップデートをリリース (Synology, 2014.03.21)
Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)
この欠陥、2.3.16.1 でも直り切っていないそうです。
Apache Struts2(2.3.16、S2-020の修正版)に対するゼロディを弊社エンジニアが発見いたしました。 (三井物産セキュアディレクション, 2014.04.22)
このバージョン(2.3.16.1)に対して修正が不十分であるため、未だClassLoaderを操作される脆弱性が存在しており、現在も未対応の状態です。
弊社にて調査結果、ウェブアプリケーションの動作権限内で情報の窃取や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にできることを確認いたしました。
また、攻撃者が操作したファイルにJavaコードが含まれている場合、任意のコードが実行される可能性があります。
(中略)
公式な対応が発表されるまでの暫定対応策として作成した、サーブレットフィルタのソースコードを公開致します。
添付ファイルのクラスを、サーブレットコンテナのフィルタに設定してください。
暫定対応版のソースコード▶
Re: [ANN] Struts 2.3.16.1 GA release available - security fix (fulldisclosure ML, 2014.04.20)
さらに、Struts 1 にも存在するそうです。もちろん修正されてません (サポート終了のため)。
Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響 〜国内でいまだ大量稼働するStruts 1利用企業に、直ちに緩和策を〜 (LAC, 2014.04.24)。Struts 1 の緩和策:
- 不正な文字列がパラメータに含まれる場合(正規表現:「(^|\\W)[cC]lass\\W」に合致するパラメータ名が含まれる場合等)にリクエストを拒否するフィルタ機能を実装する。
- WAF、IPSなどネットワーク側で当該攻撃を遮断する。
》 パナソニックが460万件もの攻撃をされて氏名・住所・電話番号など約7万8000件の個人情報に不正アクセスされる (gigazine, 4/23)、 パナソニックへ行われた不正ログインをまとめてみた (piyolog, 4/23)
》 「2ch.sc」騒動まとめwikiがアカウントごと凍結される (楽しくないブログ, 4/22)
》 イケてるセキュリティ男子に、俺はなる!―ソフトバンク・テクノロジー 辻伸弘さん (Enterprise Zine, 4/22)
》 ドリアン・ナカモト、Bitcoinコミュニティーに謝意。本物のサトシではないと念を押す (techcrunch, 4/23)
》 アースハート事件に判決下る、福岡地裁は被告に損害賠償を課すも原告の慰謝料請求は認めず (やや日刊カルト新聞, 4/12)
統一教会が幸福の科学に抗議文送付、3年4か月ぶり2度目 (やや日刊カルト新聞, 4/10)
統一教会と幸福の科学の場外バトルがエスカレート、幸福の科学は喧嘩腰 (やや日刊カルト新聞, 4/17)
》 神戸で霊感商法対策弁連の全国集会開催、元信者の証言から統一教会“徳野通達”の欺瞞性が判明 (やや日刊カルト新聞, 4/21)
》 新歓期を迎えた東京大学で偽装勧誘が横行 (やや日刊カルト新聞, 4/22)
次々に明るみとなる実態
<韓国旅客船沈没>航海士が証言「天気よければコンテナ固定せず…旅客船の入出港は問題だらけ」 (中央日報, 4/23)
旅客船沈没:「放送不能」はウソ、乗客の動画に音声 (朝鮮日報, 4/23)
旅客船沈没:「体を支えるのも困難だった」乗務員供述はウソ (朝鮮日報, 4/23)
旅客船沈没:逃げた船長、「早く出ろと言われた」と言い訳 (朝鮮日報, 4/23)
旅客船沈没:「80人救助は大したもの」 海警課長を更迭 (朝鮮日報, 4/23)
旅客船沈没:なりすまし「不明者家族代表」が離党 (朝鮮日報, 4/23)。「安否不明者の家族代表を務めていた男性が実際には不明者の家族ではなく野党・新政治民主連合所属の地方選挙予備候補者だったことが発覚」。
まともな旅客船も建造できない造船大国 (朝鮮日報, 4/22)
旅客船沈没:船内拡張工事、施工業者は実績ゼロ (朝鮮日報, 4/22)
韓国旅客船事故、貨物は3倍以上の重さか (TBS, 4/23)
こうした中、韓国の国会議員が、船に積める貨物の量が最大で987トンだったと明らかにしました。海運会社の説明では、事故当時、3600トンの積荷を載せていたということで、3倍以上の貨物を積んでいたことになります。さらに、セウォル号は客室などを増やす工事を行ったため総重量が239トン増え、重心の位置が51センチ高くなっていたということです。こうしたことなどから、船が傾いた際にバランスを取り戻すための「復原力」が低くなっていたという指摘が出ています。
「船自体の復原力があまりにもなくて・・・」(逮捕された船員)
詳細航跡図
韓国旅客船水没事故 出港から沈没までの全体航跡 (ワウコリア, 4/23)
旅客船沈没 詳しい航跡図を公開 (NHK, 4/22)
事故直前、右に45度旋回 沈没船、新たな航跡記録 (朝日, 4/22)
旅客船沈没:セウォル号の異常を見逃した管制センター (朝鮮日報, 4/22)
韓国客船沈没:停電直後に右急旋回…その後停止 (毎日, 4/22)
AIS の生図ってどこかで見れるのかな
カルトの影?!
旅客船沈没:船会社の実質的オーナーに汚職疑惑 (朝鮮日報, 4/23)
<韓国旅客船沈没>海運会社実質オーナーと系列会社代表の多数が「宗教団体の信徒」 (中央日報, 4/23)
http://joongang.joins.com/article/692/14513692.html (中央日報, 4/23)、 超大型倉庫...」土曜日に信徒1000人集まって礼拝 " (中央日報 / Google 翻訳, 4/23)
ブログ更新!旅客船沈没事故を引き起こした海運会社のオーナー=韓国で異端・似非(サイビ)とも評価できる宗教団体(キリスト教福音浸礼会=基督教福音浸礼会)の教祖! (弁護士紀藤正樹のLINC TOP NEWS-BLOG版, 4/23)
韓国客船沈没:食堂に遺体なく 客室中心に捜索へ (毎日, 4/23)
》 北朝鮮、短期間で核実験可能=「戦術」の可能性も-韓国国防省 (時事, 4/22)。「北朝鮮北東部・豊渓里の核実験場の動きが活発化」?
関連:
北朝鮮の核実験、差し迫った兆候はみられず=米サイト (ロイター, 4/23)。38 North の見解。
New Developments at North Korea’s Punggye-ri Nuclear Test Site (38 North, 4/22)
》 緊急起稿 パーソナルデータ保護法制の行方 その1 (高木浩光@自宅の日記, 4/22)
事務局案は、まず大前提として、ことを置いている。
- 個人情報の取扱いを現行のままとする
- 本人に係る事業者の義務は特定の個人を識別できる場合に限られる
うわ……
》 法務省幹部、盗撮容疑で送検へ=裁判官出身、女子トイレにカメラ―警視庁 (ツンデレblog, 4/21)。本人特定に至る経緯。
》 YDN「広告配信先レポート」が「firestorage.jp」のダウンロードリンク晒して炎上案件か? (リスティング広告 運用支援, 4/23)
》 熊本県で発生した高病原性鳥インフルエンザ (HPAI) (農研機構動物衛生研究所, 4/22)。韓国由来の H5N8 亜型と判明。
決定した塩基配列と公共遺伝子データベースで公開されているインフルエンザウイルス遺伝子との比較を行ったところ、8本すべての遺伝子分節が、2014年に韓国で分離されたH5N8亜型HPAIVと99%以上の相同性を持つことが明らかとなりました。また、8本の遺伝子分節のうち、4本の遺伝子分節は2010年に中国江蘇省で分離されたH5N8亜型HPAIV、残りの4分節は2011年に中国東部で分離されたH5N2亜型HPAIVとそれぞれ97%以上の相同性を示しました。
APSB14-09: Security updates available for Adobe Flash Player (2014.04.08)
2014.04.17 付で 13.0.0.201 が公開されました。 http://forums.adobe.com/thread/1450656 を参照。
OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)
追加したもの:
Opera 12.17 out (Opera, 2014.04.23)。Windows 版のスタンドアロン autoupdater が Heartbleed バグの影響を受けるそうで。
As discussed in our blog post about Heartbleed, the standalone autoupdater for Opera 12 on Windows was vulnerable to a Heartbleed attack from someone who would be in possession of a valid Opera certificate. While fixing this, we also found another issue with our autoupdate on Windows which might be exploited by someone in possession of such a certificate.
オバマケアのWebサイトがパスワードリセット、Heartbleed対策で (日経 IT Pro, 2014.04.21)
AirPort Base Station Firmware Update 7.7.3 (Apple, 2014.04.22)。AirMac Extreme、AirMac Time Capsule が対象。
(UPDATE) FBI Snort Signatures (Heartbleed) -- April 2014 (ICS-CERT, 2014.04.17)
マカフィーセキュリティ情報 - OpenSSL Heartbleed 脆弱性の影響を受ける マカフィー製品 に VirusScan Enterprise for Linux が追加されました。
some codes and notes about the backdoor listening on TCP-32764 in linksys WAG200G. (2014.01.06)
つづきがあった模様: Port 32764 Router Backdoor is Back (or was it ever gone?) (SANS ISC, 2014.04.23)。特定のパケットを送るとバックドアが復活する……。
Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)
関連: 例えば、Strutsを避ける (WAF Tech Blog, 2014.04.23)
セキュリティ的な観点から見た場合、Strutsは控えめに言っても「どうしようもない」という印象です。
Apple TV 6.1.1 公開。19 件のセキュリティ欠陥を修正。
iOS 7.1.1 公開。19 件のセキュリティ欠陥を修正。
iOSユーザーは判明済みの深刻な脆弱性を数週間放置されていたと元社員がAppleを批判 (gigazine, 2014.04.24)
これはつまり、Safariで脆弱性が修正された後もiOSでは3週間にわたって脆弱性が放置されていたことを示しています。
OS X v10.7.5、v10.8.3、10.9.2 用セキュリティ更新 2014-002 公開。 13 件のセキュリティ欠陥を修正。
SYM14-006: Security Advisories Relating to Symantec Products - Symantec Messaging Gateway Management Console Reflected XSS (Symantec, 2014.04.22)。Symantec Messaging Gateway 10.x〜10.5.1 の欠陥。 Symantec Messaging Gateway 10.5.2 で修正されている。CVE-2014-1648
JVNDB-2014-002182: F-Secure Messaging Secure Gateway におけるクロスサイトスクリプティングの脆弱性 (JVN, 2014.04.22)。F-Secure Messaging Secure Gateway 7.5.0 の欠陥。 Patch 1862 で修正されている。CVE-2014-2844
JVNDB-2014-002180: cups-filters の cups-browsed における任意のコマンドを実行される脆弱性 (JVN, 2014.04.22)。 cups-filters 1.0.51 で修正されている (最新は 1.0.52)。CVE-2014-2707
(root)/openprinting/cups-filters : 7188。 CHANGES IN V1.0.51。
cups-browsed: SECURITY FIX to prevent arbitrary code injection into the System V interface scripts generated for queues for discovered native IPP printers by a malicious IPP print service with forged make/model and/or PDL string.
(root)/openprinting/cups-filters : 7189。 utils/cups-browsed.c で generate_queue_name() を remove_bad_chars() に改訂。
JVNVU#93141759: Toshiba 4690 Operating System に脆弱性 (JVN, 2014.04.22)。PoS 用の OS、 Toshiba 4690 Operating System で使われているパスワードハッシュアルゴリズム ADXCRYPT がヨワヨワな模様。 4690 V5R1 以降では SHA1 を、4690 V6R3 以降では LDAP 認証が使えるので、 それらを使えば回避できる。
》 プライベートブランド商品も製造者記載義務化へ (NHK「かぶん」ブログ, 4/17)。マルハニチロ冷凍食品農薬混入事件への対応。
》 STAP問題で明らかになった科学評価システムの制度疲労 (上)勝者が勝ち続ける理由 (小野 昌弘 / BLOGOS, 4/20)
》 「残業代ゼロ」一般社員も 産業競争力会議が提言へ (朝日, 4/22)。搾取搾取また搾取。ほら、まだまだ絞り取れるじゃないか。
》 深海魚:海に異変? 室戸岬沖で105匹捕獲 (毎日, 4/23)。何が起きているんだろう。
》 原発事故の避難計画 市町村の約半数が未策定 (NHK「かぶん」ブログ, 4/20)
》 もし痴漢に間違われたら「駅事務室には行くな」 弁護士が教える実践的「防御法」 (弁護士ドットコム, 4/22)。 「相手の女性に自分の名前や連絡先を告げ、できれば名刺などを渡して、堂々と立ち去る」。立ち去れない場合には、弁護士に現場に来てもらう。 東部戦線の合言葉「捕虜にはなるな」を思い出した。
》 帰還の切り札だった「個人線量」半年公表せず〜支援チーム (OutPlanetTV, 4/21)。例のアレ、ようやく公開。
東京電力(株)福島第一原子力発電所事故に係る個人線量の特性に関する調査 (放医研, 4/18)
帰還に向けた安全・安心対策に関する検討チーム (原子力規制委員会)
帰還住民の被ばく量 職業ごとに推計公表 (NHK「かぶん」ブログ, 4/18)。飯舘村は厳しいなあ。
》 薬使った陣痛 同意は半分「理解得る必要」 (NHK「かぶん」ブログ, 4/20)。陣痛促進剤のことですね。
補償制度の対象になった子どもを調査したところ、子宮収縮薬を使って人工的に陣痛を起こすことについて妊婦や家族の同意を得ていたケースは半分にとどまっていたということです。
まずいことになった人に聞いたら、まずいことになり得る薬だという説明・同意がちゃんとなされていない事例が 50% あった。
委員会は、日本産科婦人科学会などと共同で薬を使用するうえでの注意点などをまとめたちらしを作成し、全国3300の医療機関や自治体などに配布しました。
子宮収縮薬は、少量でも陣痛が強すぎる場合があり、赤ちゃんが低酸素状態になって脳性まひになるケースもあるということで、委員会では、薬の使用は妊婦の十分な理解を得る必要があると呼びかけています。
これですかね: 妊産婦の皆様へ インフォームドコンセントについて (産科医療補償制度 再発防止委員会, 2014.02)
関連: 再発防止に関する報告書・提言 (日本医療機能評価機構 産科医療補償制度)、産科医療補償制度について (厚生労働省)
》 山口代表 国立追悼施設の検討を (NHK, 4/22)。安倍政権では無理だよなあ。
》 "認知症800万人"時代 追跡 埋もれた "徘徊" 行方不明者(仮) 果てなき欲望(仮) (NHK スペシャル, 5/11 放送予定)
》 エネルギーの奔流 前編 エネルギーの膨張 果てなき欲望(仮) (NHK スペシャル, 5/24 放送予定)、 エネルギーの奔流 後編 膨張の果てに 地球は持続できるのか(仮) (NHK スペシャル, 5/25 放送予定)
》 国立感染症研究所が被害を受けたActive!mailのフィッシングについてまとめてみた (piyolog, 4/20)
》 法曹の心はどこに向いている? (壇弁護士の事務室, 4/18)
最後に、京都府警の某お方には、
お前だけは金子さんの墓前で詫びろ
である。
》 1万回以上ダウンロードされたがゴミアプリだった「Virus Shield」購入者にGoogleが払い戻しと約500円を提供 (gigazine, 4/22)
》 「ワイヤレスキーボードを盗聴することはできるのか?」をハッカーが実践 (gigazine, 4/22)
》 JPCERT/CC セキュリティインシデント年表 (JPCERT/CC)
》 東京レインボーウィークのCMがハートウォーミングだと話題に (石壁に百合の花咲く, 4/22)、レインボーウィーク 2014
》 2ch.netの広告代理店がひろゆきと繋がりがあることが判明する (楽しくないブログ, 4/22)
マレーシア、フィリピンでMERSによる死者2人―東南アジアで初 (ウォール・ストリート・ジャーナル日本版, 4/18)
MERSコロナウイルスによる感染症の発生(その17) (外務省, 4/21)
サウジでMERSの患者数が急増 (TBS, 4/21)
MERSウイルスで7人死亡 サウジ (CNN, 4/22)
MERS感染急増のサウジアラビア、保健相を解任 (ロイター, 4/22)
》 【ミタマンマメガネゴーグル】小型カメラ内蔵の顔にフィットする流線型ゴーグルです。サイクリングやアクティブなスポーツ、ライフログ、様々な事柄をみたままを映像としてアーカイブできます。 (サンコーレアモノショップ)。君もタイムスクープハンター。
非正規船長、非正規船員だった
旅客船沈没:船長は契約職だった (朝鮮日報, 4/21)
イ・ジュンソク船長は満68歳と高齢のため、契約職として、清海鎮海運と1年契約を結んでいた。問題は、契約職の船長の場合、部下から無視され、実質的に船を統制するのが難しいということだ。
また、清海鎮海運は人件費を減らすため、韓国最大規模の旅客船(6000トン級)2隻を運航しながらも、交代で船長を投入することで船長の数を減らし、非正規職として契約してきた。経歴わずか1年足らずの航海士を投入していたのも、同じ理由によるものと解釈できる。
イ・ジュンソク船長は月給270万ウォン(約27万円)、航海士や機関長、機関士らは同170-200万ウォン(約17-20万円)ほどで、ほかの船会社の従業員の給与の60-70%にすぎない。船舶職員15人のうち9人が契約職で、雇用条件が不安定だ。
元記事: http://news.chosun.com/site/data/html_dir/2014/04/19/2014041900789.html (chosun.com, 4/19)、 Google 翻訳
清海海運が、今月初め、金融監督院に提出した監査報告書によると (中略)、2011年5億1000万ウォンの営業損失を出した当時の研修費は約87万ウォン、2012年に2億5000万ウォンの黒字に転換した後には約140万ウォンだったが、今年再び赤字に転じ、研修費は再び54万ウォンに減った。 1年間の船員の安全教育など研修費が50万ウォン余りないし140万ウォンに過ぎなかったのだ。
一方、接待費には、昨年だけで6060万ウォンを支出したことが分かった。 どこに勤務している一部の人々を楽しませするのに、このような接待費を使ったのだろうか。 広告宣伝費の名目では2億3000万ウォンを使ったと金融監督院の監査報告書に記録した。
日本では、ありあけ号事故のあと、荷崩れ対策として固縛方法ガイドラインができたのですね。韓国でも同様の施策が必要なのでしょう。
緊急報告 韓国船 沈没事故 (NHK クローズアップ現代, 4/21)
フェリー・RORO船の安全対策について (国土交通省)。ありあけ号事故のあと、「フェリー大傾斜事故防止対策検討委員会」というのができて議論されたようで。
旅客船に何が 沈没事故の衝撃 (NHK, 4/21)
<韓国旅客船沈没>事故対処に失望の朴大統領、「公務員退出」に言及 (中央日報, 4/22)
乗客助け亡くなった女性乗務員 告別式で遺族悲痛=韓国 (聯合ニュース, 4/22)。こういう乗務員もいたのだが、大半はまっさきに逃げた。
》 ひろゆきの妻の身元が特定され、2chにおける資金洗浄の手口の一部が明らかとなる (楽しくないブログ, 4/19)
》 南スーダンとPKOの自衛隊 (中東の窓, 4/21)。朝日の記事の件:
陸自PKO隊長が射撃許可 南スーダン「正当防衛なら」 (朝日, 4/21)
「隊員死なせるわけにいかない」 PKO隊長の一問一答 (朝日, 4/21)
PKO変化、日本板挟み 南スーダンの文民保護 国連、武器使用を容認 (朝日, 4/21)
現場の人間が苦労する、国際常識から外れた制約をつけるのはやめてほしい。
JVNDB-2014-002169: strongSwan の IKEv2 における認証を回避される脆弱性 (JVN, 2014.04.22)。strongSwan 4.0.7〜5.1.2 の欠陥。 CVE-2014-2338。 5.1.3 で修正されている。また 4.2.x〜5.1.x 用の patch が用意されている。
JVNDB-2013-006327: Winamp の gen_jumpex.dll におけるスタックベースのバッファオーバーフローの脆弱性 (JVN, 2014.04.22)。Winamp 5.64 Build 3418 で修正されている。 CVE-2013-4694。 最新は Winamp 5.666 Build 3516。
Winamp、今でも維持されていたんですね。終了するはずだった「Winamp」、AOLを離れRadionomy傘下で存続することが発表 (窓の杜, 2014.01.17)
JVNDB-2014-002168: FreeBSD の NFS サーバにおけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2014.04.22)。FreeBSD 8〜10 の新しい NFS 実装に欠陥があり、信頼されるクライアントからの攻撃で NFS サーバがデッドロックする。 FreeBSD-SA-14:05.nfsserver、 CVE-2014-1453
patch があるので適用すればよい。また、新しい NFS 実装を使わない (古い NFS 実装を使う) ことで回避できる。
Apache Struts2 の脆弱性対策について(CVE-2014-0094)(S2-020) (2014.04.17)
関連: IPAが注意喚起をしたApache Struts2の脆弱性CVE-2014-0094について調べてみた。 (piyolog, 2014.04.17)
》 北朝鮮、核実験の兆候か 韓国政府関係者「何かの動き」 (朝日, 4/21)。困った時の外国の脅威。
》 サポート切れのWindows XP搭載PCが起動不能となる問題をMicrosoftが修正 (gigazine, 4/1)。XP + MSE な環境。 XP では MSE は捨てた方がいいと思うけどね。
》 インターネット定点観測レポート(2014年 1〜3月) (JPCERT/CC, 4/21)
》 警察官の拳銃自殺 「パワハラが要因」 (NHK, 4/21)
警視庁が調査した結果、上司の52歳の係長が去年の春ごろから巡査長を含む数人の部下に対し職務質問による検挙が少ないことなどを厳しく叱責し、自殺の前の日などには「お前らはだめだ。身の振り方を家族と相談しろ」などと辞職を強要するような言動をしていたことが分かりました。
ケーサツの現実。
》 国会図書館、著作権切れ書籍をオンデマンド製本 Amazonで購入可能に (ITmedia, 4/21)
》 アートか、児童ポルノか!?世界が騒然となった美少女ヌード写真集の真相 (Walker plus, 4/21)。映画「ヴィオレッタ」。監督はヌードモデルになったその少女ご本人。映倫レーティングは R15+。近所だと、京都シネマで上映予定になっている。 (時期未定)
関連:
カンヌ映画祭を騒然とさせたフランス映画「ヴィオレッタ」。映倫問題に揺れる中、監督来日が決定!!ただし、渡航費用が十分に集まっていないため、是非皆様のご協力をお願いいたします。 (motion-gallery.net)
本作は日本語字幕付けた上で初号試写を実施した所、映倫から「指定対象外(レーティングできない)」という選定を受けました。理由としては、主に次の内容です。直接的な性行為は行っていないが、連想させるシーンがあること。配給サイドはそれに対して、直接性行為を行ったり露出しているシーンは全く無く、また他国では普通にレーティングなしで上映されていることを説明、あらためて試写を実施し協議した所やはり結論は出ませんでした。
私たち配給会社としては、世界中で一般として公開されている作品が日本国内では映倫審査外になっている状況を憂慮しております。本作はかつてヌード写真の少女モデルにされて、ある意味では被害者でもあったエヴァ・イオネスコ自身が監督であり、劇中での描写については配慮しているということは何度もインタビュー等で答えております。また、日本公開用に次のようなメッセージを寄せてくれました。
「私の映画は、娘に対しての支配、そしてこの女の子が死ぬほど戦い、そこから抜け出し成長していくところを描いています。この映画では「のぞき」のような目で見ていません。できるだけ、問題となる裸を見せないようにしました。実際、アナマリア・ヴァルトロメイは裸になっていません。この話は、私に起きたことで、それ以上は個人的な経験です。ここで、本当のテーマを見てください。アートというものの限界、どこまで行けるのか?私の映画はあくまで道徳的な映画なのです。」
レーティングって興味深いですね。
来日した主演の美少女を直撃 映画「ヴィオレッタ」の非児童ポルノ認定に監督は“ホッ” (産経, 4/19)
エヴァ監督は4歳のころから実母イリナのヌードモデルをしていたが、映画では10歳の少女の約2年間にわたる話に限定している。これは幼い子役を使いたくなかったからだ。また、「フランスでは子役にカウンセラーをつけて1週間に1回ほどカウンセリングをして心のケアに努める。本作でもアナマリアたちに同様の対応をした」と、あらゆる面で配慮を怠らなかったと強調した。さらに「母の写真集が審査に引っかかるのは分かるが、この映画が問題になるのはおかしい」と首をかしげた。幼少のエヴァ監督のヌードをイリナが撮影した作品を収めた写真集「エヴァ」は、今でも日本で購入可能だからだ。
》 Googleのストリートビューによる住所特定アルゴリズム、reCAPTCHAの99%を解読 (ITmedia, 4/17)、Street View and reCAPTCHA technology just got smarter (Google, 4/16)
新しいアルゴリズムにreCAPTCHAの画像読み取りをさせたところ、99%以上の確度で読み取れてしまったという。
》 [Upcoming] McAfee 5700 Engine (McAfee Community, 4/3)。βは 2014.05、RC は 2014.06、RTW (ダウンロード可) は 2014.06 末、RTW (自動アップデート) は 2014.09 を予定。
リモートファイルのスキャン時にMcShield.exe のスキャンタイムアウトが発生します (マカフィー, KB80921) は 5700 エンジンで改善されるそうで。
》 OpenOpenSSL。 ひどい名前w。
》 安倍総理が研究させたら南京虐殺事件の実在が明らかになった件 (togetter, 4/18)
》 法務省幹部を事情聴取 トイレで盗撮か (NHK, 4/21)
直接の沈没原因は過積載か (過積載→燃料消費により復元力低下→ちょっとした舵操作で傾斜→荷崩れ→転倒→沈没?)
韓国沈没旅客船に大型トレーラー3台 過積載の疑い (聯合ニュース, 4/18)
旅客船を運航する海運会社の18日の発表によると、事故当時、旅客船には乗用車124台、1トントラック22台、2.5トン以上の貨物車34台、貨物1157トンなど合計3608トンの車両と貨物が積まれていた。2.5トン以上の貨物車のうち1台を除く残りは4.5トン以上の中型貨物車だった。
このほか、重さが最低50トン以上の大型トレーラー3台も積まれていたことが確認された。トレーラーには約20トンの鉄製のタンクが付いていた。救助されたトレーラーの運転手は「船が急旋回し、トレーラーや貨物が倒れたため短時間で船が沈没した」と話している。
旅客船の定員は921人、積載能力は車両150台、20フィートコンテナ152個。事故当時、船に積まれていた車両は積載可能台数を30台超過していた。乗船者は定員の約半分だったが、車両の重量と乗船者の体重を比較できないことを考慮すると、過積載だった可能性が高い。
旅客船の最大積載量は3794トンで、事故当時の積載量は100トンほど少なかったが、海運業界関係者らは、過積載の取り締まりがきちんと行われていないため海運会社側の発表内容は信ぴょう性がないと主張している。
船長らの逮捕状請求 韓国・フェリー沈没 改造と過積載が一因か (東京, 4/19)
韓国旅客船沈没 ルール無視招いた惨事=死者56人に (聯合ニュース, 4/20)
「セウォル号」の船長は15日午後9時の出航前、仁川港の運航管理室に「出航前の点検報告書」を提出した。報告書では一般貨物657トン、車150台を積載したとなっていた。
しかし、事故後に船舶会社が発表した資料によると、貨物は1157トン、車は180台だった。報告書より、貨物500トン、車30台が多く積まれたことになる。
また、報告書には記載されていないが、船首に10個余りのコンテナが積まれたことが沈没当時の映像で確認された。
乗船人員も乗客450人、乗務員24人の計474人と報告したが、政府対策本部の発表では乗客447人、乗務員29人の計476人だった。
虚偽申告……。記事に添付されている写真で「船首に10個余りのコンテナ」を確認できる。
船員の大半、乗客を見捨てて我先に脱出
<韓国旅客船沈没>「船長・船員、ブリッジに集まった後全員脱出」 (中央日報, 4/21)
ある検察関係者は「船会社の危機対応マニュアルどおりならば船長は操縦室で総指揮を担当し、1等航海士は現場指揮、2等航海士は応急処置や救命艇の作動、3等航海士は船長を補佐して記録・通信業務を担当しなければならなかったが全て無視された」と指摘した。
【社説】基本を無視する韓国社会、繰り返される人災 (朝鮮日報, 4/19)
セウォル号には46隻の救命ボートが設置されていた。これは、水圧を関知すれば自動的に膨らむ25人乗りのものだ。もし自動的に膨らまなければ、乗務員がピンを外して海に落とせば良いはずだった。ところがこれら救命ボートのうち、実際に膨らんだのはわずか1隻だけだった。これについて乗務員らは「船が大きく傾いていたため救命ボートに近づけなかった」と証言している。旅客船の乗務員は、救命ボートの取り扱いを含む非常時のための訓練を10日ごとに受けなければならない。これは法律でも定められている。もしこの法律を守って訓練さえ行っていれば、救命ボートの異常はあらかじめ把握できていたはずであり、またもし非常時に膨らまなかったとしても、何らかの対応ができたはずだった。
旅客船沈没:乗員たちのあきれた言い訳に国民激怒 (朝鮮日報, 4/19)
旅客船沈没:操船していた3等航海士、名前偽り脱出か (朝鮮日報, 4/19)
<韓国旅客船沈没>船長「できることないので脱出、全員救助されると思った」 (中央日報, 4/20)。めちゃくちゃ。
旅客船沈没:乗組員、避難放送の38分前に脱出 (朝鮮日報, 4/21)
旅客船沈没:交信記録で海警の判断ミスも明らかに (朝鮮日報, 4/21)
乗客見捨てた“海の男” 自衛隊に救助された過去 (産経, 4/21)
韓国沈没船の船長、「指示に従えば船旅は安全」 4年前のPRビデオで (AFPBB, 4/21)
【コラム】韓国社会にごまんといる「セウォル号の船長」 (朝鮮日報, 4/19)
韓国政府の対応が事故に拍車をかける
【社説】国民に不信感を抱かせる韓国政府の対応 (朝鮮日報, 4/19)
<韓国旅客船沈没>死亡者名簿の前で「記念写真を撮ろう」…安全行政部局長が職位剥奪 (中央日報, 4/21)。意味がわからない。
<韓国旅客船沈没>政府、災難マニュアル作っておきながら…右往左往で作動せず (中央日報, 4/21)
マスメディアの報道ぶりが事故に拍車をかける
旅客船沈没事故で恥をさらした醜悪な韓国メディア (ハフィントンポスト, 4/18)
[捏造に終止符] 韓国記者協会がセウォル号の惨事を伝える報道に関し深く反省するだと? →「今更謝罪したところで遅い」by韓国人 (ホル韓ニュース速報「改」, 4/18)
韓国人「民間ダイバー”生存者がいる”→デマと判明しテレビ局が謝罪」 (カイカイ反応通信, 4/18)
韓国人「”生存者いる”とデマを流した女を逮捕(セウォル号沈没事故)」 (カイカイ反応通信, 4/21)
【韓国船沈没】「船内に生存者」テレビで虚言? 自称「潜水士」の女、震災直後もテレビに (ハフィントンポスト, 4/21)
ニセメールが事故に拍車をかける
不明生徒の家族「沈没船から携帯メッセージ」 韓国 (朝日, 4/17)
韓国客船沈没:生存装い偽メール多数 (毎日, 4/18)
関連
旅客船沈没:09年に日本で同様の事故、死者はゼロ (朝鮮日報, 4/19)。フェリー「ありあけ」座礁事故の件。 高波→荷崩れ→傾斜→座礁→転倒。 関連:
「フェリーありあけ」からの脱出とその後 (蒼き清浄なる海のために, 2009.11.16)
倍速再生 ありあけフェリー解体撤去作業 総集編 その1 (masahisa uemura / YouTube, 2010.03.02)。総集編 その2は無いみたいなので、 つづきはこちらからどうぞ。
旅客船沈没:大活躍の民間ダイバー、警察・軍との違いは? (朝鮮日報, 4/21)
軍・警察は酸素ボンベを背負って水中に入るため捜索時間が約15分に過ぎないが、深海潜水を専門とする民間のダイバーは空気供給ホースを付けているため30分以上の捜索活動が可能だという。
OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)
追加したもの:
OpenSSLの脆弱性に伴う弊社製品への影響について (サイボウズ, 2014.04.21)
Heartbleed Update (Adobe, 2014.04.17)
Adobe、OpenSSLの脆弱性対応について説明 (ITmedia, 2014.04.21)
OpenSSLの「心臓出血」脆弱性、悪用の疑いで逮捕者 (日経 IT Pro, 2014.04.17)
国内でもOpenSSL「心臓出血」が悪用、三菱UFJニコスから894人の情報流出か (日経 IT Pro, 2014.04.21)
三菱UFJニコスがOpenSSLの脆弱性を突かれて不正アクセスを受けた件をまとめてみた (piyolog, 2014.04.19)
コードテストの重要性が浮き彫りに:発見企業が語る、Heartbleedの残した「教訓」 (@IT, 2014.04.21)
Tor 関係
curl、libcurl 7.36.0 公開。4 件のセキュリティ欠陥が修正されている。
アドバイザリ | 影響する版 | CVE 等 | 説明 |
---|---|---|---|
libcurl IP address wildcard certificate validation | 7.1〜7.35.0 | CVE-2014-0139 JVNDB-2014-002142 |
ワイルドカード SSL 証明書を、ホスト名が IP アドレスの場合にも使えてしまう。TLS ライブラリが OpenSSL, axtls, qsossl, gskit の場合にのみ発生 |
libcurl wrong re-use of connections | 7.10.6〜7.35.0 | CVE-2014-0138 JVNDB-2014-002141 |
libcurl re-use of wrong HTTP NTLM connection と同様の欠陥が、SCP, SFTP, POP3(S), IMAP(S), SMTP(S), LDAP(S) にも存在。 |
libcurl not verifying certs for TLS to IP address / Darwinssl | 7.27.0〜7.35.0 | CVE-2014-1263 | TLS コネクションが名前ではなく IP アドレスを含む URL で指定された際、証明書のサーバ名を検証しない。TLS ライブラリが Darwinssl (Mac OS X、iOS) の場合にのみ発生。 |
libcurl not verifying certs for TLS to IP address / Winssl | 7.27.0〜7.35.0 | CVE-2014-2522 | TLS コネクションが名前ではなく IP アドレスを含む URL で指定された際、証明書のサーバ名を検証しない。TLS ライブラリが SChannel/Winssl (MS Windows) の場合にのみ発生。 |
JVNDB-2014-000038: 東芝テック製 e-Studio シリーズにおけるクロスサイトリクエストフォージェリの脆弱性 (JVN, 2014.04.18)。fix される予定なし。 CVE-2014-1990
サイボウズ リモートサービス バージョン 3.1.1 で対応。
JVN#00058727: サイボウズ リモートサービスマネージャーにおけるセッション固定の脆弱性 (JVN, 2014.04.18)
JVN#10319260: サイボウズ リモートサービスマネージャーにおけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2014.04.18)
SA-CORE-2014-002 - Drupal core - Information Disclosure (Drupal, 2014.04.16)
When pages are cached for anonymous users (either by Drupal or by an external system), form state may leak between anonymous users. As a consequence there is a chance that interim form input recorded for one anonymous user (which may include sensitive or private information, depending on the nature of the form) will be disclosed to other users interacting with the same form at the same time. This especially affects multi-step Ajax forms because the window of opportunity (i.e. the time span between user input and final form submission) is indeterminable.
CVE-2014-2983。 Drupal 7.27、6.31 で修正。修正に伴い、API の変更が含まれるので注意。
》 マレーシア機捜索、中国の非協力姿勢鮮明に―技術面でも疑問符 (ウォール・ストリート・ジャーナル日本版, 4/17)
捜索活動に近い西側の軍当局者によると、4月上旬に中国の巡視船「海巡01」が海中で370便のものである可能性がある信号を探知した際、中国の捜索隊は、インド洋南部で既に近くにいた船と飛行機に通報せず、はるか遠く離れた北京に報告した。
中国の中央集権的な命令系統を示すこの報告体制は、いたずらに情報の伝達を遅らせ、他の捜索隊をいらつかせたという。
すさまじいな……。
結局、中国が検知した信号は、英国のHMSエコーとオーストラリア運輸安全局の捜索隊の両方によって誤りだったと片付けられた。
あらら。
》 すき家、人手不足の一因が鍋メニューにあったことを認める (IRORIO, 4/17)、 「すき家」の職場環境改善に向けた施策について (ゼンショー, 4/17)
》 Massive FBI facial recognition database raises privacy fears (Sophos, 4/16)
》 戦争を立場の弱い人たちの目で捉えたフォト・ジャーナリスト、アーニャ・ニードリングハウスさん、凶弾に倒れる(大貫 康雄) (NO BORDER, 4/16)
》 ビットコイン考案者、ニック・サボ氏が最有力-英大学が著作分析 (ウォール・ストリート・ジャーナル日本版, 4/17)
》 死んでいなかったテロ首領 (中東の窓, 4/14)、 モフタール・ベルモフタール (ウィキペディア)
》 2013年度のインシデント報告件数は過去最多の2万9191件(JPCERT/CC) (so-net セキュリティ通信, 4/15)
》 侵害排除ではなく機会を逃さずに侵害を活用する柔軟な発信力が重要 (Nothing Ventured, Nothing Gained., 4/8)
》 「青少年のネット上の問題行動」について、最終報告書を公開(JISPA) (so-net セキュリティ通信, 4/8)
》 Windows 8.1 Update (KB2919355) を WSUS に公開しました。 (Japan WSUS Support Team Blog, 4/17)
》 日本国武器輸出三原則の変遷 (アシナガバチの巣作り日記, 4/14)
》 Status of dnsbl.ahbl.org: SHUTTING DOWN (dnsbl resource, 4/14)
》 東電の汚染水タンク建設計画は絵に描いた餅だった(木野 龍逸) (NO BORDER, 4/13)
》 STAP細胞の小保方晴子さん 200回はええから、ファクト出してよ(今西 憲之) (NO BORDER, 4/16)。STAP 細胞と宇宙人の関係。
》 JAFIC年次報告書(平成25年) (警察庁, 4/1)。マネーロンダリング方面。
》 LaCie Incident Notification (LaCie, 4/11)。2003.03.27〜2014.03.10 まで、クレジットカード番号を含む顧客情報が漏洩していた。
関連: Hardware Giant LaCie Acknowledges Year-Long Credit Card Breach (Krebs on Security, 4/15)
》 WinXP and/or Win2003 hanged systems because of SC Forefront Endpoint Protection faulty update (SANS ISC, 4/16)
》 【臨時配信】マカフィーサポート通信 - 2014/04/16 (マカフィー, 4/16)。ePO 用の CVE-2014-0160 hotfix の新版公開。
》 Certificates Revoked per Day (SANS ISC)
》 ModSecurity 2.8.0 が公開されてます。
》 記者たちは海にむかった 津波と放射能と福島民友新聞 (角川書店)。『死の淵を見た男』の門田隆将氏。
》 担任が入学式を休んで我が子の入学式に出てはいけないのか?〜現代版「滅私奉公」はブラック企業の始まり (佐々木亮 / Yahoo, 4/16)
》 オーストラリア政府機関が「ホメオパシーはインチキ」との声明を出す (slashdot.jp, 4/11)
》 Windows XPのカスタムサポート価格は95%の割引が可能と判明 (gigazine, 4/17)
》 ビル管理システムに対する探索行為の検知について (警察庁, 4/4)。「BACnet に基づいて構築されたシステム (BACnet システム) を探索している可能性」。
OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)
WinSCP に関する記述を追加 (4.3.8〜4.4.0 も OpenSSL 1.0.1 系だった件)。 @windsturm さん情報ありがとうございます。
証明書の失効チェックが機能しているかどうかを確認できる https://www.cloudflarechallenge.com/heartbleed の記述を追加。
2014.03.02 に出た Struts 2.3.16.1 GA で修正された S2-020 の攻略プログラムが世に出回っていているそうで。
IPA で再現検証を実施した結果、ウェブアプリケーションの動作権限内で情報の窃取や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にできることを確認しました。また、攻撃者が操作したファイルに Java コードが含まれている場合、任意のコードが実行される可能性があります。
悪の限りを尽せるようです。Struts2 ご利用の方は更新を。
関連: IPAが注意喚起をしたApache Struts2の脆弱性CVE-2014-0094について調べてみた。 (piyolog, 2014.04.17)
関連: 例えば、Strutsを避ける (WAF Tech Blog, 2014.04.23)
セキュリティ的な観点から見た場合、Strutsは控えめに言っても「どうしようもない」という印象です。
この欠陥、2.3.16.1 でも直り切っていないそうです。
Apache Struts2(2.3.16、S2-020の修正版)に対するゼロディを弊社エンジニアが発見いたしました。 (三井物産セキュアディレクション, 2014.04.22)
このバージョン(2.3.16.1)に対して修正が不十分であるため、未だClassLoaderを操作される脆弱性が存在しており、現在も未対応の状態です。
弊社にて調査結果、ウェブアプリケーションの動作権限内で情報の窃取や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にできることを確認いたしました。
また、攻撃者が操作したファイルにJavaコードが含まれている場合、任意のコードが実行される可能性があります。
(中略)
公式な対応が発表されるまでの暫定対応策として作成した、サーブレットフィルタのソースコードを公開致します。
添付ファイルのクラスを、サーブレットコンテナのフィルタに設定してください。
暫定対応版のソースコード▶
Re: [ANN] Struts 2.3.16.1 GA release available - security fix (fulldisclosure ML, 2014.04.20)
さらに、Struts 1 にも存在するそうです。もちろん修正されてません (サポート終了のため)。
Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響 〜国内でいまだ大量稼働するStruts 1利用企業に、直ちに緩和策を〜 (LAC, 2014.04.24)。Struts 1 の緩和策:
- 不正な文字列がパラメータに含まれる場合(正規表現:「(^|\\W)[cC]lass\\W」に合致するパラメータ名が含まれる場合等)にリクエストを拒否するフィルタ機能を実装する。
- WAF、IPSなどネットワーク側で当該攻撃を遮断する。
関連:
Apache struts2 0day (vulnhunt.com, 2014.04.24)
Struts2 zero day in the wild (HP Security Research Blog, 2014.04.25)。回避方法が記載されている。
Struts up to 2.3.16.1: Zero-Day Exploit Mitigation (Apache Struts, 2014.04.24)。オフィシャルな回避方法が記載されている。 HP 版とは微妙に異なる。
Apache Struts 2 の脆弱性を狙う PoC を確認 (トレンドマイクロ セキュリティ blog, 2014.04.24)
Strutsの脆弱性CVE-2014-0094について改めてまとめてみた (piyolog, 2014.04.24)
StrutsのClassLoader脆弱性はSAStrutsに影響しません (ひがやすを blog, 2014.04.25)
S2-020類似攻撃のStruts1での対策方法 (Qiita, 2014.04.25)
関連:
国税庁がStruts脆弱性で確定申告書作成サービス停止、「再開までは手書きで」 (日経 IT Pro, 2014.04.25)。「国税庁がサービスで利用していたのは旧版の方」
「Strutsの脆弱性を突く攻撃を検知、早急な対策を」、ラック西本専務 (日経 IT Pro, 2014.04.25)
Struts 2.3.16.2 出ました。
関連:
Struts2への攻撃 S2-020 (cNotes, 2014.04.26)
cNotesサイトのアクセスログ(Struts2への攻撃 S2-020) (cNotes, 2014.04.27)
関連:
無償版向けパッチは準備中:NTTデータ、「TERASOLUNA」向けにApache Struts 1の独自パッチを提供 (@IT, 2014.04.30)
関連:
Strutsの脆弱性情報公開により影響を受けたと思われる製品・サービスをまとめてみた (piyolog, 2014.05.01)
Protect your Struts1 applications (hp, 2014.05.01)。Struts 1 での回避策が述べられている。Struts 1 のは CVE-2014-0114 で分類されているそうで。
CVE-2014-0114 は Red Hat 製品に含まれる Struts 1 に影響がありますか (Red Hat)
Apache Struts1/Struts2の脆弱性(CVE-2014-0094)(CVE-2014-0112)による影響について (日立, 2014.04.25)
metasploit-framework / modules / exploits / multi / http / struts_code_exec_classloader.rb (github)
とか言っている間に Struts 2.3.16.3 出ました。セキュリティ修正を含みます。
Version Notes 2.3.16.3 (Apache Struts 2)
S2-022: Extends excluded params in CookieInterceptor to avoid manipulation of Struts' internals (Apache Struts 2)
関連:
RHSA-2014:0474-1 - Important: struts security update (Red Hat, 2014.05.07)。RHEL 5 用の Struts 1 の修正。
国税庁が申告書作成サイトなど再開、「Struts脆弱性に対する安全性を確認」 (日経 IT Pro, 2014.04.30)
InterScan MessagingSecurity シリーズ のApache Strutsの脆弱性(CVE-2014-0094)について (トレンドマイクロ, 2014.06.06 更新)。InterScan Messaging Security Suite 7.1、InterScan Messaging Security Virtual Appliance 8.5 / 8.2 用の CriticalPatch は公開済。InterScan Messaging Security Suite 7.0 用については 6 月中旬を予定。
JVN#30962312: TERASOLUNA Server Framework for Java(Web) において ClassLoader が操作可能な脆弱性 (JVN, 2014.06.17)
2014年5月23日、本脆弱性を修正した Apache Struts 1.2.9 with SP1 by TERASOLUNA を含む TERASOLUNA Server Framework for Java(Web) 2.0.5.2 が公開されました。
》 Google Glass、アメリカで一般販売開始―外国ユーザーはメーリングリストに登録 (techcrunch, 4/16)。ついに販売開始。$1,500。
》 グーグル、カメラ内蔵コンタクトレンズの特許出願が明らかに (CNET, 4/16)、 グーグルの「カメラ内蔵コンタクトレンズ」が可能にするもの (WIRED, 4/16)。Google Glass の次が既に用意されてました。
》 特許の問題でSTAP細胞作成のコツを公表できないということがあり得るのか (栗原潔のIT弁理士日記, 4/16)
ノウハウに当たる部分を隠して特許出願するのは(本来的には好ましくないですが)よく行なわれています。ただ、今回の話は効率が良いとか悪いとかの話ではなく、できるかできないかの話なので、ちゃんと実施できる方法を開示していないということは、論文としても特許出願としても問題です。なお、特許出願書類にもNature論文と同様の不適切な画像流用がされていることが指摘されています(参照記事)。
》 STAP細胞会見がえぐり出した日本社会の二極化 (ロンドン電波事情, 4/16)。リトマス試験紙状態すぎる。
》 韓国客船が沈没 死者2人に、104人行方不明 (CNN, 4/16)、韓国旅客船沈没事故 写真特集 (時事, 4/16)
ところが
104 人どころじゃなかった模様: 韓国旅客船沈没、死者2人・行方不明293人 (TBS, 4/16)
軍や海洋警察などさまざまな組織が活動しているため、救助者の数が重複していたとして、結局、行方不明者は293人にのぼることを明らかにしました。
「船の3階より下層、ほとんど逃げられなかった」 (産経, 4/16)
救助された男性(57)は聯合ニュースに「ドーンという音で船が突然傾き、外に出ると船体は(横向けに)ほとんど垂直に立っていた。船の3階より下層の食堂などにいた人はほとんど逃げられなかったようだ」。船に積まれていたコンテナが船体の傾きで動き、多数が負傷したとも話した。
旅客船沈没事故 大惨事の恐れも=不明293人に (聯合ニュース, 4/16)
救助された修学旅行生の1人は「船内が水に入ってきているのに、放送ではじっとしていろとしか言わなかった。船が傾いて滑ったり落ちたりして、腰や脚をけがした人も多かった」と事故発生時の状況を伝えた。
ひでえ。
乗務員の1人は「船が突然傾き、急いで避難した。避難するのに必死で、他の人が救助されたのか分からず、措置を取る余裕もなかった」と話した。
客放って自分だけ逃げたってか。ひでえ。
》 投資家すら知らなかった超高速取引(HFT)の秘密を暴いた超話題作『Flash Boys』 (洋書ファンクラブ, 4/14)。どこかから邦訳出る予定あるのかな。
ルイスの話を聞くと、客の買い注文が出た後(つまり価格が分かってから)、マイクロセカンド単位で先回りして高く売りつけるというハイフリークエンシートレーダーのやり口は、100%勝つギャンブルをしているようなものである。
何そのチオチモリン……
関連: 高頻度取引描いたマイケル・ルイス氏の「フラッシュ・ボーイズ」 (ウォール・ストリート・ジャーナル日本版, 4/2)
》 セキュリティ・ミニキャンプ in 名古屋 2014。 2014.05.31 / 06.01、名古屋市千種区、無料 (「ただし、交通費や宿泊費、飲食代は自己負担でお願いいたします」)。5/31 と 6/1 は参加条件が異なるので注意。
》 OCN 光ネクスト(神奈川)の速度問題について (白水啓章, 4/15)。ひでえ。
関連: Takeshi Kitamura さんのツイート:
@kjmkjm OCNが遅い件ですが、フレッツ光ネクスト全般で起きています。ビジネス+IIJ(東京)、ファミリー+So-net(東京)、マンション+So-net(神奈川)で遭遇しました。
— Takeshi Kitamura (@t_kita_xx) April 16, 2014
うわ、マジですか…… orz。 しかし Kitamura さんの事例は回線そのものの問題ではない? (1、2、3) なお、神奈川のSo-netは問題が解消しているそうで。
ゆやりんさんのツイート:
フレッツ側の増速ポリシー問題なのでOCNを責めても何も出来ません。同じNTTだからってOCNだけ特別扱いすることも出来ません。しばらくは別のプロバイダに移りましょう。おすすめはIIJmioのFiberAccess/NFです。 http://t.co/GTd67JEtQh
— ゆやりん (@yuyarin) April 16, 2014
エボラウイルス 「これ以上の感染拡大を阻止した」 ギニア外相 (AFPBB, 4/15)
西アフリカのエボラ出血熱、複数の国際組織が緊急対応 (AFPBB, 4/11)
西アフリカのエボラ出血熱、一連の死者111人に (AFPBB, 4/9)
エボラ熱流行、WHO「最も深刻」 死者110人超 (日経, 4/9)。「これまでのエボラ出血熱の流行で最も深刻なものの一つ」。
国境なき医師団のページ
ギニア:エボラ対策を支えるロジスティシャンたち (国境なき医師団, 4/11)
装備の在庫と管理も重要です。隔離施設に持ち込んだ物はすべて、持ち帰らないように徹底する必要があるからです。先日、私のセロテープが隔離施設のある区画に転がっていってしまいました。これはもう、区画の外では使えないのです。ここは首都から800kmも離れているため、補給線は長く延びてしまっています。しかし、MSFの通常の援助活動よりもはるかに多くの物を必要としています。
ある患者さんから、朝ごはんに熱いカフェオレを飲みたいとの要望がありました。なかなかの難題で、チームは1時間かけて会議しました。熱いカフェオレを運ぶには魔法瓶を使う必要がありますが、隔離施設内に入れたものは施設外には出せません。どうやって毎朝カフェオレを持っていけばよいのか……?
私たちが出した答えはこうです。防護服を来たスタッフが、魔法瓶を持って隔離施設内で待機します。別の人が、別の魔法瓶にカフェオレを入れて施設前まで運び、そこで移し替えます。そうすれば、熱いカフェオレを、隔離区画内の人や物と接触することなく注げるわけです。
ギニア:エボラから回復して退院、一方で課題も (国境なき医師団, 4/8)
MSFの健康教育担当であるエラ・ワトソン=ストライカーは「元患者への偏見は難しい問題です」と指摘する。「家族や近所の方に、退院した人は検査結果が"陰性"で、感染リスクはまったくないと説明しています。キスしたり、ふれたり、ハグしたりしても大丈夫ですよ、と」
ギニア:エボラの流行地域で活動したMSFスタッフの報告 (国境なき医師団, 4/7)
》 マウントゴックス、再建を断念-東京地裁に会社清算申請 (ウォール・ストリート・ジャーナル日本版, 4/16)
》 ゾンビXPを撃ちまくれ! 米Microsoft謹製の「XP撃退ゲーム」が話題に (やじうま Watch, 4/16)
》 水産庁・資源管理のあり方検討会 世界から取り残される日本の漁業 いまだに続く資源管理への自画自賛 (WEDGE, 4/15)
》 DARPA ロボティクス・チャレンジ、昨年 12 月に予選あったんですね。完全に見逃してた。 東大スピンオフの SCHAFT 社 (Google が買収) のマシンが予選 1 位通過。
DARPAロボティクス・チャレンジ、「Team SCHAFT」が予選一位通過 DRC記事まとめ (森山和道, 2013.12.24)
日本のSCHAFTが1位で決勝へ:DARPAロボコン「8つのチャレンジ」(動画) (WIRED, 2013.12.23)
DARPAロボコンで勝利した日本のヴェンチャー企業が、グーグルに買収された理由 (WIRED, 2013.12.23)
空港会社 無断でグーグル社に図面提供 (NHK, 4/15)
空港ビルを管理する北海道空港会社は、非公開とすべき部分を加工せず、グーグル社にそのまま図面を提供していたということですが、その際、国からの通知に反して、国土交通省の空港事務所に事前に相談していなかったということです。
空港会社は当初「事前に空港事務所の許可を得て提供した」と説明していましたが、その後の調査で相談は提供後だったことが分かったということです。
新千歳空港図面、グーグルに…テロ対策規程違反 (読売, 4/15)
》 生活保護費2億6000万円着服に使われた課内の「印鑑550本」の“異様”…弁護士「職場は異常な雰囲気だった」、公費不正の“闇” (産経, 4/15)
》 ガーディアンとワシントン・ポストの、スノーデン情報に基づく NSA 報道がピューリツァー賞を受賞
ピューリツァー賞、スノーデン氏の報道が受賞 (ロイター / ハフィントンポスト, 4/15)
ピュリツァー賞にCIA元職員提供の機密文書報道 (NHK, 4/15)
審査に当たったコロンビア大学は、「個人情報と安全保障の問題についてバランスを取った形で報じており、この問題の重要性について議論を巻き起こしたことも評価した」と説明しています。
》 NHK-Eテレ「クラシック音楽館」で放映された「カトゥリ・カルミナ」「カルミナ・ブラーナ」の反響が大変なことになっているwwww (togetter, 4/14)。歌詞がアレらしい。
[重要] 6.0.3、5.2.10、5.17 セキュリティアップデートの提供を開始 (Six Apart, 2014.04.09)。2 件の XSS を修正。
JVN#93004610: Redmine におけるオープンリダイレクトの脆弱性 (JVN, 2014.04.16)。Redmine 2.5.1 / 2.4.5 で修正。 CVE-2014-1985
Android 版 Adobe Reader Mobile 11.1.3 以前に欠陥。Javascript API の実装に欠陥があり、任意のコードを実行される。CVE-2014-0514。Priority rating: 2
Android 版 Adobe Reader Mobile 11.2 で修正されている。
WordPress 3.8.2 セキュリティリリース (2014.04.10)
WordPress 3.8.2 の、ダッシュボード画面の「クイックドラフト」がうまく動かないバグを修正するため、WordPress 3.8.3 が公開された。日本語版も公開されている。
WordPress 3.8.3 メンテナンスリリース (WordPress, 2014.04.15)
OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (201404.08)
WinSCP 5.5.3 が公開されたので記述を変更。akamai 追加。解説等に 6 件追加。
(緊急)キャッシュポイズニング攻撃の危険性増加に伴う DNSサーバーの設定再確認について(2014年4月15日公開) 〜問い合わせUDPポートのランダム化の速やかな確認・対応を強く推奨〜 (2014.04.15)
実はとてつもなくデカい毒入れ可能話の存在が背景にあった模様です。榎本さん情報ありがとうございます。
キャッシュポイズニングの開いたパンドラの箱 (鈴木常彦, 2014.04.15)。「委任インジェクション攻撃」
以上の手法を用いて、以下の重大な毒入れが可能となる。
i) co.jp などに毒が入る
ii) jp などに毒が入る / com などに毒が入る
iii) . (root) に毒が入る仕様(RFC2181など)、実装、運用をすべて見直す必要がある。
* 今回さらに危険な問題 (移転インジェクション攻撃)が見つかっている。
キャッシュポイズニングの開いたパンドラの箱 -2- (鈴木常彦, 2014.04.15)。 RFC2181: Clarifications to the DNS Specification (IETF) におけるキャッシュの優先度設計に欠陥があり、 「移転インジェクション攻撃」が可能。
キャッシュの優先度設計が DNS の階層構造設計と分離されている (権威の有無しか考えてないので、権威を偽装するだけで悪の限りを尽せる)、というのがそもそもの問題なのかなあ。
開いたパンドラの箱 - 長年放置されてきた DNS の恐るべき欠陥が明らかに (インターノット崩壊論者の独り言, 2014.04.15)
強烈なDNSキャッシュポイズニング手法が公開される (Geek なぺーじ, 2014.04.16)
定期 Oracle 製品更新出ました。次回は 2014.07.15 (US 時間)。
Java SE は 5.0u65, 6u77, 7u55, 8u5 に更新されました。後者 2 点が一般公開品。
》 バイドゥのIPアドレスから短時間のうちに30万回を超える不審なアクセス (togetter, 4/14)。事故なのか、意図された行為なのか。
》 ネットバンクであっさり目のログイン画面は“不正送金ウイルス”を疑え? (Internet Watch, 4/15)
》 地方自治体が保有するPCの13%がXPを搭載、総務省が注意喚起 (Internet Watch, 4/14)。26万5143台。
》 mixi脆弱性報告制度:評価対象外になったもの (WEB系情報セキュリティ学習メモ, 4/15)。「弊社において既知の脆弱性であると判断、よって脆弱性報告制度の対象外」。すさまじいなあ。報告時点では実際に脆弱性が存在したのであろうに。
》 プライバシーフリークカフェ 「個人を特定する情報が個人情報である」と信じているすべての方へ (プライバシーフリークの会, 4/11)。第1回プライバシーフリークカフェ (2/24) の様子。
》 揺れを増幅させる地盤の複雑構造 (ZAKZAK, 4/11)。恐怖! 浜岡原発 5 号機。
2009年8月に静岡県御前崎沖の駿河湾でM6・3の地震が起きて震度6弱を観測した。
近くにある中部電力の浜岡原発では5号機の原子炉建屋で488ガルを記録して原発は緊急停止した。耐震設計指針の基準値を超える加速度だった。数百メートルしか離れていないほかの原子炉よりも5号機だけが2倍も揺れたのだ。
地震の後でボーリングなど詳しい調査が行われた。そして地下300〜500メートルのところにレンズ状の軟らかい地層が見つかった。下から上がってくる地震波を、凸レンズが太陽の光を集めるように5号機に向かって集中させたのだった。
》 ドルビーアトモスシアターに観に行ったらドルビーアトモスじゃなかった件。なんじゃそりゃー。被害者にはギフト券とかで対応しているようです。
TOHOシネマズ日本橋、実は「ドルビーアトモス」上映じゃなかった被害者まとめ (togetter, 3/26)
TOHOシネマズ日本橋・くずはモール、実は他の日も「ドルビーアトモス」上映じゃなかった被害者まとめ (togetter, 4/10)
オフィシャルアナウンス
TOHOシネマズ日本橋にて3月20日(木)及び21日(金)に「アナと雪の女王 (3D・字幕版・*ドルビーアトモス) 」をご鑑賞のお客様へ (TOHO CINEMAS, 4/9)。「原因については、アトモス音響再生のために必要なライセンスの有効期限が切れていたことが原因によるものでございます」
この度の機器障害についてのお問い合わせ窓口
ソニービジネスソリューション株式会社
業務用機器コールセンター
ソニービジネスソリューションには何の案内もないみたい。
TOHOシネマズ日本橋にて3月22日(土)〜3月31日(月)に「アナと雪の女王(3D・字幕版・*ドルビーアトモス) 」をご鑑賞のお客様へ (TOHO CINEMAS, 4/9)。「ドルビーアトモス音響の再生に不具合が発生していた」「引き続きの究明中」
TOHOシネマズくずはモールにて3月20日(木)及び21日(金)に「アナと雪の女王(3D・字幕版・*ドルビーアトモス)」 「ゼロ・グラビティ(3D・字幕版・*ドルビーアトモス)」「パシフィックリム(3D・字幕版・*ドルビーアトモス)」をご鑑賞のお客様へ (TOHO CINEMAS, 4/9)。「原因については、アトモス音響再生のために必要なライセンスの有効期限が切れていたことが原因によるものでございます」
TOHOシネマズくずはモールにて3月12日(水)〜19日(水)及び3月22日(土)〜31日(月)に「アナと雪の女王 (3D・字幕版・*ドルビーアトモス) 」「ゼロ・グラビティ(3D・字幕版・*ドルビーアトモス)」「パシフィックリム(3D・字幕版・*ドルビーアトモス)」をご鑑賞のお客様へ (TOHO CINEMAS, 4/9)。「ドルビーアトモス音響の再生に不具合が発生していた」「引き続きの究明中」
TOHOシネマズ日本橋にて3月19日(水)12:45〜の上映回において、「アナと雪の女王 (3D・字幕版・*ドルビーアトモス) 」をご鑑賞のお客様へ (TOHO CINEMAS, 4/15)。「アトモス音響を再生する機器、システムの一部に障害があった可能性があり、引き続きの究明中」
Benjamin さん情報ありがとうございます。幸いにも、私が観た回はドルビーアトモス ON だった模様。
しかし、なぜ気づかない。上映システムに警告表示とか出ないってことなのかなあ。不具合が早朝に集中している理由もよくわからない。
》 4月18日〜25日まで東京主要駅のコインロッカーが使用中止に【速報ニュース】 (NAVER まとめ, 4/14)。オバマ大統領来日への対応。 ゴミ箱もなくなっているようで。
関連: 「国賓」オバマ大統領来日に伴う警備に御協力をお願いします (警視庁)。コインロッカー使用中止は、事業者の皆様にお願いします (警視庁) にある「点検個所の封印」にあたるのかな。
》 映画『オール・ユー・ニード・イズ・キル』本予告【HD】 2014年7月4日公開 (YouTube, 4/14)。人生とは、no death clear しか許されない FPS。
》 Bitcoin を要求するランサムウェア BitCrypt (日本語対応)
BitCryptウイルス感染被害 日本語の要求文も ファイル暗号化ランサムウェア (無題な濃いログ, 3/8)。翻訳品質は低いと。
日本語で脅迫するランサムウェアを初めて確認 (トレンドマイクロ セキュリティ blog, 3/27)。 Ransomware and Bitcoin Theft Combine in BitCrypt (trendmicro blog, 3/24) の邦訳版。
トレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network」のフィードバックによると、「CRIBIT」の犠牲者の 40% は米国からのユーザです。また 11% が日本からとなっています。
身代金型ウイルス 日本語で脅迫文 「PCファイル暗号化」3万円要求 (産経, 4/15)
》 Listening:<特集ワイド>「反日」じゃない?もうひとりの「朴槿恵」 (毎日, 4/14)
かつての朴大統領を知る日本人はそろって、彼女の強硬な「反日」に首をかしげる。歴史問題は譲れないにしても、もっと柔軟性があったはず、と。「親日派のレッテルを貼られた父を意識しすぎている。彼女は学生時代、中国語を勉強した。中国はそれなりに知っている。それに比べて、日本を知らない。知人はいても、心を通わせる人までは」(若宮さん)。そうだとすればなお、自身も書いた通り、たびたび会ってこそだろう。なぜ膝詰めで話し合わないのか? ソウルの書店をのぞけば、村上春樹の小説が積まれているのに。
》 Listening:<地球ING・進行形の現場から>原発輸出 (毎日, 4/15)。フランスの場合。
2ch乗っ取り騒動のまとめ (temporary tokage notes)
西村博之による「2ch.sc」の公開と同時にアフィブログ群がこの期に及んで「2ch.sc」のステマをする (楽しくないブログ, 4/12)
2chブラウザ「JaneXeno」が「2ch.sc」に対応するも即座に対応取り消しを行う (楽しくないブログ, 4/14)
【通報】 Googleに2ch,scをコピペサイトとして淡々と通報するスレ (2ch.net)
262 :番組の途中ですがアフィサイトへの転載は禁止です:2014/04/14(月) 00:50:40.41 ID:aQGsq3sC0
アフィサイトにはこれが効く
指定したサイトを検索に表示させないブラグイン
Firefox用
https://addons.mozilla.org/ja/firefox/addon/hide-unwanted-results-of-go/?src=api
Chorome用
https://chrome.google.com/webstore/detail/personal-blocklist-by-goo/nolijncfnkgaikbjbdaogikpmpbdcdef
こんなのあるんだ。へぇ……。
APSB14-09: Security updates available for Adobe Flash Player (2014.04.09)
アドビ サポート担当さんのツイート:
Mac版Flash Player13の最新アップデート(4/9リリース)でプラグインエラーが発生する問題ですが、日本時間4/17に修正アップデート公開予定です。申し訳ありませんが、しばらくお待ちください。フォーラムでも情報を提供中です。http://t.co/d2d0E1gnvS
— アドビ サポート担当 (@AdobeSupportJ) April 15, 2014
OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)
マイクロソフト セキュリティ アドバイザリ (2915720) Windows Authenticode 署名検証の変更 (2013.12.11)
Windows Authenticode 署名検証の変更は 6 月に自動更新で有効化 (日本のセキュリティチーム, 2014.04.15)。開始 2 か月前となったので改めて告知。
Authenticode 署名に関する情報は、Public-Key Cryptography Standards (PKCS) #7 の署名データおよび X.509 証明書を使用しており、署名対象のバイナリ (Windows Portable Executable) のデータの一部として保存されています。署名されたバイナリを利用する際は、Windows の WinVerifyTrust 機能を利用し、この保存されているデータを利用して、署名が正しいものであるか検証が行われます。
より厳格な署名の検証においては、この署名データや証明書を格納しておく部分に、無関係なデータが含まれているかをチェックするようになります。もし、無関係なデータが含まれている場合は、署名は非準拠とみなします。(署名がされていないバイナリとして判断します) 非準拠のバイナリを使用している場合は、例えばバイナリがアプリケーションの場合は警告が表示されたり実行不可となる、インストーラーの場合は、インストールが行えないなどが発生する可能性があります。
何はともあれ、まずは Web-based DNS Randomness Test (DNS-OARC) を実施しましょう。結果のどこかが POOR や GOOD だった場合は対処が必要と。
現状を考慮した場合「GOOD」と表示された場合も十分ではなく、適切な対策が必要になります。
だそうです。
上原哲太郎さんのツイート:
今カミンスキーが来るというのは、要はその値打ちが攻撃者にとって上がったということで。特にHeartbleedで盗んだ秘密鍵との合わせ技とかかなり嫌なシナリオだな。
— 上原 哲太郎 (@tetsutalow) April 15, 2014
うわ、なるほど……。
JPCERT/CC からも来てました: DNS キャッシュポイズニング攻撃に関する注意喚起 (JPCERT/CC, 2014.04.15)
実はとてつもなくデカい毒入れ可能話の存在が背景にあった模様です。榎本さん情報ありがとうございます。
キャッシュポイズニングの開いたパンドラの箱 (鈴木常彦, 2014.04.15)。「委任インジェクション攻撃」
以上の手法を用いて、以下の重大な毒入れが可能となる。
i) co.jp などに毒が入る
ii) jp などに毒が入る / com などに毒が入る
iii) . (root) に毒が入る仕様(RFC2181など)、実装、運用をすべて見直す必要がある。
* 今回さらに危険な問題 (移転インジェクション攻撃)が見つかっている。
キャッシュポイズニングの開いたパンドラの箱 -2- (鈴木常彦, 2014.04.15)。 RFC2181: Clarifications to the DNS Specification (IETF) におけるキャッシュの優先度設計に欠陥があり、 「移転インジェクション攻撃」が可能。
キャッシュの優先度設計が DNS の階層構造設計と分離されている (権威の有無しか考えてないので、権威を偽装するだけで悪の限りを尽せる)、というのがそもそもの問題なのかなあ。
開いたパンドラの箱 - 長年放置されてきた DNS の恐るべき欠陥が明らかに (インターノット崩壊論者の独り言, 2014.04.15)
強烈なDNSキャッシュポイズニング手法が公開される (Geek なぺーじ, 2014.04.16)
》 「ワコール」Webサイト改ざん、閲覧者にウイルス感染の恐れ 32サイト停止、サーバ移転へ (ITmedia, 4/14)
》 データ流出:高2が教諭になりすまし LINEで流す (毎日, 4/14)。滋賀県。
県教委などによると、教諭が2月28日、卒業式のリハーサルに使うパソコンを操作させるため、パスワードなどを書いた紙を生徒らに渡した。うち1人が3月中旬、校内の生徒用パソコンから校務用サーバーにアクセス。取得したクラス編成一覧などの画像を3月末にLINEで流した。この他、春休み明けのテスト問題もダウンロードしていたため、同校はテスト問題を作りかえた。
ひでえ。
熊本県における高病原性鳥インフルエンザの疑似患畜の確認及び「農林水産省鳥インフルエンザ防疫対策本部」の設置について (農水省, 4/13)
<更新>県内における鳥インフルエンザ疑似患畜の確認について (熊本県, 4/14)
殺処分を実施
熊本県内で鳥インフル検出 11万羽殺処分へ (朝日, 4/13)
養鶏、夜通し殺処分約11万羽、陸自が災害派遣 県が要請 (産経, 4/14)
徹夜の殺処分にぐったり「疲れた」 対応の職員 (産経, 4/14)
熊本県において発生した鳥インフルエンザへの対応に係る災害派遣について(16時30分現在) (防衛省, 4/14)
》 Oracle、米国時間4月15日提供の定例アップデートの事前情報を公表 (Internet Watch, 4/14)。「103件 (中略) のうち37件はJava SEに関するもの」
》 FileZilla Server 0.9.44 と Client 3.8.0 が出ています。 iida さん情報ありがとうございます。
》 XP への MSE ダウンロード提供終了、MSEInstall.exe に資格なし (山市良のえぬなんとかわーるど, 4/14)
》 Oracleが定例アップデートを予告、Javaに深刻な脆弱性が多数存在 (ITmedia, 4/14)
法人向けネットバンキングでも不正送金、シマンテックが注意喚起 (日経 IT Pro, 4/10)
法人向けネットバンキングの標準的な認証手段として、パスワードと電子証明書による2要素認証を採用している。(中略) 電子証明書には、証明書と秘密鍵のエクスポートを禁止できるフラグがあるが、国内銀行のポリシーによっては、このフラグが無効になっている場合がある。(中略) この場合、PCに侵入したマルウエアが管理者権限を取得すれば、マルウエアは容易に電子証明書を盗み取れる。
シマンテックは当面の対策として、国内銀行に対し、電子証明書のエクスポート禁止フラグを有効にするようアドバイスしたという。
インターネットバンキングを悪用した不正送金への注意喚起 (LAC, 4/14)
ネットバンキング 法人口座の被害が急増 (NHK「かぶん」ブログ, 4/14)
個人と違い、法人では被害が補償されないケースが多く、全国銀行協会は対策の強化を呼びかける注意喚起を行いました。
法人向けインターネット・バンキングにおける不正送金にご注意! (全国銀行協会)
パスワード盗むウイルス 約4万台感染 (NHK, 4/14)
》 Chromeは既定だとオンラインで証明書の失効確認していないので設定方法を調べてみた (piyolog, 4/13)。マジですか……。
》 Google Glassを着用した男性が暴行される事件が発生、その理由とは? (gigazine, 4/14)。とばっちり。
》 マルウェアを使用して大金を盗み出した複数のウクライナ人ハッカーが初出廷 (gigazine, 4/14)、 米司法省、マルウェア「Zeus」による数百万ドル窃盗で犯行グループを起訴 (Internet Watch, 4/14)
》 砲弾を音速の約7倍の速さで撃ち出すレールガンの世界初艦上実験の実施をアメリカ海軍が発表 (gigazine, 4/9)。電磁レールガン、着実に実用化に向かっているようで。
》 Bitcoin、400ドルを割る。ピーク時から60%以上のダウン (techcrunch, 4/11)
》 Appleのデベロッパに広告識別子の規則遵守が義務化, 違反者はApp Storeから拒絶される (techcrunch, 4/12)
》 Google、Androidアプリのセキュリティーを強化、インストール後もチェック可能に (techcrunch, 4/11)
》 韓国でまた個人情報流出 カード大手3社から約10万人分 (yonhapnews.co.kr, 4/11)。POS ハッキング。
これまで顧客情報流出がなかった業界1位の新韓カードからは最多となる3万5000人の顧客情報が流出した (中略) 情報が流出した金融機関は10社で、そのうち、新韓カードが3万5000件で最多だった。次いでKB国民カードが3万3000件、NH農協カードが3万件で、これら3社から約10万件が流出した。
そのほか、光州銀行から1万7000件、企業銀行(IBK)と韓国シティ銀行(シティバンク系)からも数千件の情報が流出したという。
OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)
大幅に書き直し・追加した。
APSB14-09: Security updates available for Adobe Flash Player (2014.04.09)
特定の環境において、Mac 用 13.0.0.182 で不具合が発生している模様です。
Flash Player 13.0.0.182 プラグインエラーについて (Adobe, 2014.04.11)
Flash Player 13.0.0.182 をインストール後にウェブサイト上の動画を再生しようとすると、「プラグインエラー」などのエラーやシステムクラッシュが起こる場合があります。
これは、2006年から2007年に製造された古いアーキテクチャのMac環境で起こることが確認されています。
Adobe は回避策として、大穴がある 12.0.0.77 へのダウングレード (!) を推奨している。拡張サポート版 11.7.700.275 では駄目なのか?! と思ったが、拡張サポート版は Safari でうまく動かないそうで。Firefox なら大丈夫だそうで。
ATTENTION MAC CUSTOMERS - Flash Player 13 "Plugin Failure" Workaround (Adobe, 2014.04.12)
Unfortunately, the ESR (extended support release) version will not work with Safari. If you primarily use Firefox, then the ESR version should work great.
On a related note, we are working to fix the ESR / Safari compatibility problem with cooperation from Apple in an upcoming release. The ESR is typically used by our enterprise customers that require a stable version of Flash Player with the latest security updates. The downside of the ESR is that is does not contain bug fixes or new features.
うへえ。
》 焦点:急接近のフィリピン・ベトナム、「中国包囲網」強化へ共闘 (ロイター, 4/10)
ロシア軍、ウクライナ国境で即応体制=NATO軍 (ウォール・ストリート・ジャーナル日本版, 4/11)。いつでも行けます。
Imagery Reveals Destabilizing Russian Forces Near Ukraine Border (NATO, 4/10)
NATO Defends Accuracy of Satellite Images With Additional Proof (NATO, 4/11)
プーチン露大統領、ウクライナ向けガス供給で欧州に警告 (ウォール・ストリート・ジャーナル日本版, 4/11)。いつでも絞れます。
米イージス艦が黒海入り (産経, 4/11)。ドナルド・クック。
》 三菱地所は円満解決に向けオプション権を付与――東京青山「億ション工事失敗事件」第5報 (日経BP, 4/1)。ザ・パークハウスグラン南青山高樹町の件。
》 特集ワイド:安倍首相の露出戦略 一気に集団的自衛権容認まで? (毎日, 4/10)
》 エネルギー基本計画:「原発に回帰」閣議決定 (毎日, 4/11)
》 2ch転載禁止で露呈した人工ネトウヨという構造 (楽しくないブログ, 4/8)
ニュース速報板+の書き込み数が減ったことは、まさに今までネトウヨが世論を作るために仕事として書き込みを続けていたということを表している。つまり近年増えているネトウヨは自然なものでは無く、人工的に作られたものだったのだ。
》 企業向けWindows 8.1 Update、WSUS経由は問題解決まで提供延期 (ITmedia, 4/10)、WSUS における Windows 8.1 Update (KB 2919355) の配信について (Japan WSUS Support Team Blog, 4/10)。Windows 8.1 Update 適用済 PC と、https な WSUS 3.0 SP2 (Windows Server 2003 SP2、2003 R2 SP2、2008 SP2、2008 R2 SP1 で稼働する場合)との相性が悪い模様。 回避するには:
WSUS 3.0 SP2 が稼働する OS | 回避方法 |
---|---|
Server 2008 R2 SP1 | TLS 1.2 を有効にする (デフォルト: 無効)。
KB245030 参照 あるいは、WSUS での https を無効にする |
Server 2003 SP2、2003 R2 SP2、2008 SP2 | WSUS での https を無効にする |
関連: Windows 8.1の今後の修正パッチ適用には「Windows 8.1 Update」の適用が必須 (クラウド Watch, 4/10)。あらら、WSUS で回せないのに大丈夫なのでしょうか。
》 「あなたがレズビアンと出会ったら:ヘテロ女性へのヒント」 (石壁に百合の花咲く, 4/10)
》 “閖上の悲劇”の原因に「新事実」も 名取市、防災無線メーカーへの厳しい指摘が並んだ検証委報告案の全容 (ダイヤモンド オンライン, 4/9)。関連:
東日本大震災第三者検証委員会。 検証結果概要版(案)は、 第5回委員会資料(2014.3.24 開催) から読める。
東日本大震災‐第三者検証委最終報告・兵庫の委員に聞く(下) (神戸新聞, 3/8)
危機意識の薄さ指摘 閖上検証委最終報告 (河北新報, 3/25)
閖上地区の住民犠牲 第三者検証委最終報告書案 宮城 (産経, 3/25)
》 Google、中部国際空港と新千歳空港の詳細図面を誤って公開。Google 自ら、「Google グループで全世界に公開」ねたを実践。
空港詳細図、グーグル日本法人社員が「公開」 (読売, 4/11)
空港の図面、ネットに流出=グーグル「公開」-中部と新千歳・国交省が調査 (時事, 4/11)
それだけでは済まなかった模様:
グーグルから情報流出、東京駅も新大阪駅も… (読売, 4/11)
東京駅では、JR東日本の子会社が運営し、駅に隣接するグラントウキョウサウスタワー(地上42階、地下4階)の地下1階部分が公開状態になっていた。外部には非公開の特別高圧線の位置や、ビルの心臓部とも言える「中央管理室(防災センター)」などの施設が詳細に記入されていた。同駅の改札内の地下1階にある商業施設「グランスタ」の図面には、「中央配線室」「機械室」などの各部屋のほか、各店舗が売上金を入れる「入金機室」の場所も明記されていた。施設を運営する別のJR東日本の子会社は「外部に場所を公開することはあり得ない」と驚く。
さらに広がる Google グループワールド。
ららぽーと・イオン…グーグル流出130か所超 (読売, 4/12)
》 ブラック企業で働いていたら日本年金機構から差し押さえ予告が来た (ガジェット通信, 4/11)
》 パーソナルコンピューターVAIO Fit 11A使用中止のお願いとお詫び (SONY, 4/11)
設計生産委託先から供給を受けているバッテリーパックの不具合により、当該バッテリーパックが過熱してPC本体の一部が焼損に至る可能性があることが判明 (中略) PC本体の電源を切り、ACアダプターの電源プラグをPCから抜いて、ご使用を中止していただきますようお願い申し上げます
対象となるシリアル番号は調査中。修理・交換受付はその後になると思われ。
小保方氏、記者会見を実施するも、肝心な部分は一切公開せず
しなちょうさんのツイート。これがいちばんまとまってると思う。
小保方氏会見の三行まとめ
・実験ノートはほかにもある→公開せず
・実験にはコツがある→公開せず
・STAP細胞再現できた人もいる→公開せず
— しなちょう (@wetfootdog) April 9, 2014
小保方氏会見:「STAPは200回以上成功」説得力なく (毎日, 4/10)
STAP細胞:小保方氏会見 主な一問一答(上) (毎日, 4/9)、 STAP細胞:小保方氏会見 主な一問一答(下) (毎日, 4/9)
小保方氏会見:若山教授「ミス多い論文、撤回すべきだ」 (毎日, 4/9)
「謝罪で前進」と若山氏 STAP論文の共著者 (産経, 4/10)
【衝撃】理研・小保方晴子氏のお涙頂戴会見に対する、著名研究者らの絶句ツイートまとめ (NAVER まとめ, 4/10)
3年で2冊はありえない? 科学者の命、「実験ノート」 卒研で週1冊使い切ることも (ITmedia, 4/10)
》 理研の優遇法案、今国会成立を断念へ STAP問題受け (朝日, 4/10)、理研 改革不十分なら法案提出見送りも (NHK, 4/11)。「特定国立研究開発法人」の件。関連:
独立行政法人改革等に関する分科会 (首相官邸)
研究開発法人について (第3回 独立行政法人改革等に関する分科会 配布資料, 2013.12.20)。 理研のゴタゴタがおさまるまでは、 「別法」の部分を実施しません (できません) ということかな。
》 血液型:病気リスクに差 膵臓がんになりにくいO型 (毎日, 4/10)。蚊には刺されやすいけどな!
臓器の表面にある血液型糖鎖が、ウイルスや細菌との結合のしやすさを左右するとみられている。細菌やウイルスから見れば、好きなタイプの血液型があるわけで、この性質を利用して人の血液型糖鎖を認識する乳酸菌の研究も進む。
》 そろそろ Windows Server 2003 の更新を考えよう
マイクロソフト プロダクト サポート ライフサイクル: Windows Server 2003 (Microsoft)。US 日付。
Windows Server 2003 SP2 support for McAfee Enterprise Endpoint Products (McAfee KB81563)
今年度中には終えておきたいですね。カウントダウンタイマー、XP から 2003 Server に書き直しました。
》 ガレージキットは“児童ポルノ”? 「外部機関の通告あったのでブログ近日削除」の通告が管理者より届く (togetter, 4/1)。外部機関 = 広告主だそうで。
》 汚染水タンク:433基の水位計 異常警報が「消音」状態 (毎日, 4/9)。433/1000 で警報音が鳴らない設定になっていたそうで。
》 東大 全学生に研究倫理教育へ (NHK, 4/9)
》 「さくらのレンタルサーバ」における「Gmail」および「Google Apps」宛てのメール遅延に関するお知らせ(追記あり) (さくらインターネット, 4/7)
》 山口組がFacebookを駆使!? 日本のヤクザが今、海外で話題! (tocana, 4/7)
》 Microsoftとの交渉の裏側などをWindows XPの「草原」壁紙の撮影者が語る (gigazine, 4/10)
》 顔認証万引き防止システム LYKAON の件つづき。 前ねた
万引き犯共有ネットワーク報道のその後(追記あり) (山本 一郎 / Yahoo, 4/10)。実は導入店舗は最大でも 13 店舗?! 共有犯罪者情報はゼロ?!
結論としては、リカオン社の導入実績を「盛った」数字を真に受けた人が、読売新聞に情報を提供しただけなんじゃないかという気もします。
》 統合失調症治療薬、発売から4カ月半で17人死亡 (日経, 4/9)。ゼプリオン。
》 自公「脱原発」公約破棄 政府エネ計画 正式了承 (東京, 4/9)。公約が軽すぎる。
》 女性のスマホ遠隔操作 不正アクセス罪で起訴の教諭 (中国新聞, 4/9)
広島県警 (中略) は、不正な目的で取り込まれたアプリは、女性の意図に反して操作される「ウイルス」に当たると判断。不正指令電磁的記録供用(ウイルス供用)の疑いがあるとみて慎重に捜査している。
》 全ドライバー必読!明日は我が身の交通警察による「公務執行妨害でっち上げ&19日間拘束」、元築地署員2名が驚愕の法廷証言 (My News Japan, 4/6)
》 Dropbox炎上? 非公開ファイルが著作権法違反で削除されたと話題に (appllio, 3/31)
簡単に言うと、共有されたファイルのハッシュ値(ハッシュ値の意味が分からないなら、暗号のようなものだと考えてほしい)を、著作権侵害の報告がなされているファイルのハッシュ値と照合し両者が一致していれば、共有リンクが無効になるという処理がおこなわれているものと思われる。元のファイルが削除されるわけではない。
》 なぜか数字を塗りつぶしたグラフをクレベリンゲルの実験結果として公開する大幸薬品(追記あり) (Not so open-minded that our brains drop out., 4/3)
予定どおり出ました。
MS14-017 - 緊急: Microsoft Word および Office Web Apps の脆弱性により、リモートでコードが実行される (2949660)
Word 2003・2007・2010・2013、Word Viewer、Office 互換性パック、Office for Mac 2011、Word Automation Services (SharePoint Server 2010・2013)、Office Web Apps 2010、Office Web Apps Server 2013 に 3 つの欠陥。
Microsoft Office File Format Converter の脆弱性 - CVE-2014-1757
対象は Word 2007・2010、Office 互換機能パックのみ。 Exploitability Index: 3
Microsoft Word のスタック オーバーフローの脆弱性 - CVE-2014-1758
対象は Word 2003 のみ。 Exploitability Index: 1
Word RTF のメモリ破損の脆弱性 - CVE-2014-1761
マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される の件。Exploitability Index: 1
FAQ にこんな記述が:
Microsoft Word 2010 をインストールしています。なぜ、更新プログラム 2863919 が提供されないのですか?
更新プログラム 2863919 は、特定の構成の Microsoft Office 2010 を実行しているシステムにのみ適用されます。それ以外のシステムにこの更新プログラムは提供されません。
2010 用 hotfix は (2863926) と (2863919) があり、後者は特定の構成にしか適用されない模様。
MS14-018 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2950467)
IE 6〜9 および 11 に 6 件のメモリ破壊の欠陥 CVE-2014-0235 CVE-2014-1751 CVE-2014-1752 CVE-2014-1753 CVE-2014-1755 CVE-2014-1760。 IE 10 には影響しない。 Exploitability Index はいずれも 1。
MS14-019 - 重要: Windows のファイル操作コンポーネントの脆弱性により、リモートでコードが実行される (2922229)
Windows XP、Server 2003、Vista、Server 2008、7、Server 2008 R2、8・8.1、Server 2012・2012 R2、RT 8・8.1 に欠陥。.bat および .cmd ファイルの処理に欠陥があり、攻略 .bat・.cmd ファイルを「信頼できる、または部分的に信頼されるネットワークの場所」から実行すると任意のコードが実行される。 CVE-2014-0315。 Exploitability Index: 1。
MS14-020 - 重要: Microsoft Publisher の脆弱性により、リモートでコードが実行される (2950145)
Office 2003・2007 に欠陥。Publisher コンバーター (pubconv.dll) における .pub ファイルの処理に欠陥があり、攻略 .pub ファイルを開くと任意のコードが実行される。 CVE-2014-1759。 Exploitability Index: 1。
今回、1 件を除いて Exploitability Index は 1 ですね……。
マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される
MS14-017 - 緊急: Microsoft Word および Office Web Apps の脆弱性により、リモートでコードが実行される (2949660) (Microsoft) で修正されました。Fix it 51010 を適用している場合は、 MS14-017 patch 適用後に Fix it 51011 を適用して無効にしましょう。 (RTF 処理をひきつづき無効にしたい場合はそのままでもいいです)
WordPress 3.8.2 公開。 2 件のセキュリティ欠陥が修正されている。
認証 cookie を偽装できる欠陥 CVE-2014-0166
寄稿者が投稿を公開できてしまう欠陥 CVE-2014-0165
また 3 件のセキュリティ強化が行われた。
不正な可能性のあるリクエストを判別しやすくなるように、 pingback を処理する際に追加の情報を渡すようにした。
信頼できるユーザーによる、影響度の低い SQL インジェクションを防止。
Plupload を経由するクロスドメインスクリプティングの可能性を排除。 Plupload は、WordPress がファイルのアップロードに使っている 3rd パーティーライブラリ。
WordPress 日本語版 3.8.2 はまだ公開されていない。
WordPress 3.8.2 の、ダッシュボード画面の「クイックドラフト」がうまく動かないバグを修正するため、WordPress 3.8.3 が公開された。日本語版も公開されている。
WordPress 3.8.3 メンテナンスリリース (WordPress, 2014.04.15)
》 Windows XP のサポートは本日で終了致しました。長らくのご愛顧、本当にありがとうございました。ひきつづき Windows 8.1 でおたのしみください (BGM: 蛍の光)
本日 4 月 9 日 Windows XP と Office 2003 のサポートを終了させて頂きます (Microsoft)
「Windows XPはインターネットから切断して」継続利用者にMSがお願い (Internet Watch, 4/9)
日本マイクロソフトは9日、同社最高技術責任者の加治佐俊一氏が (中略) 以下のような対策をとってほしいとお願いした。
- 今日公開されたパッチを含む、すべてのセキュリティ更新プログラムを適用
- セキュリティ製品(ウイルス対策ソフトおよび定義ファイル)も最新の状態に
- インターネットからの切断
- USBメモリなどの利用停止
「セキュリティ製品(ウイルス対策ソフトおよび定義ファイル)も最新の状態に」と「インターネットからの切断」は両立しないんですけどね……。定義ファイル更新するときだけネットワークONにする、みたいな運用はありかなあ。 って、そんなことができるスキルがある人は、既に OS 移行していると思うけど。
国内Windows XP搭載PC稼働台数の実績および予測を発表 (IDC, 4/7)
・ 2014年6月末の法人向け稼働台数は、全体の6.6%、241万台まで減少と予測
・ 2014年6月末の家庭向け稼働台数は、全体の8.7%、351万台と予測
6月末でもまだ 600 万台もあるだろうと……。
ウィンドウズXP、遂にサポート終了 5億台のPC影響 (ウォール・ストリート・ジャーナル日本版, 4/9)
「Windows XP」サポート終了問題 世界の銀行ATM、3分の2が未対応 (ロイター / ハフィントンポスト, 4/8)。XP Embedded ならまだ猶予が残っているのだけど、世の中の ATM には素の XP を使っているものも少なくないと聞きますね……。
サポート ライフサイクル検索: Windows XP Embedded (Microsoft)。Windows XP Embedded の延長サポート終了日は 2016.01.12 です。
Windows XP システム 延命サービス (NEC)。Windows XP SP3 ベースの Windows Embedded Standard 2009 を使って、XP をさらに長く使おうぜという話。 Windows Embedded Standard 2009 の延長サポート終了日 は 2019.01.08。
しかし、値段がすごいなあ。 あと、IE は 6 じゃなくて 7 です。
サポート終了後のWindows XP対応策 (エフセキュアブログ, 4/9)
Windows XPのサポート終了──Googleが企業向けスイッチキャンペーン (ITmedia, 4/9)
もりりん@凛党首さんのツイート:
今までありがとう…おまえのことは忘れない😭 pic.twitter.com/KUACqivucU
— もりりん@凛党首 (@RegunmMoririn) 2014, 4月 9
》 Upcoming changes to Flash Player’s extended support release (Adobe, 3/5)。5/13 以降、Flash の extended support 版は 11.7 から 13 へ。 12 じゃないんだ……。
OpenSSLに脆弱性、クライアントやサーバにメモリ露呈の恐れ (2014.04.08)
patch:
Debian: DSA-2896-1 openssl -- security update。wheezy、jessie、sid に影響。squeeze は影響なし。
Ubuntu: USN-2165-1: OpenSSL vulnerabilities。Ubuntu 12.04 LTS、12.10、13.10 に影響。
Red Hat: RHSA-2014:0376-1 - Important: openssl security update。 RHEL 6 に影響。
Fedora: Status on CVE-2014-0160, aka "Heartbleed"。 Fedora 19、20 に影響。
CentOS: [CentOS-announce] CESA-2014:0376 Important CentOS 6 openssl Update 。CentOS 6 に影響。
FreeBSD: FreeBSD-SA-14:06.openssl。 FreeBSD 10.0 に影響。FreeBSD 8 / 9 用の patch も用意されているのは、 CVE-2014-0076 もあわせて修正されているから。
FreeBSD ports: openssl-1.0.1_10 で修正されている。
OS X Mavericks: 未対応 OS 本体は影響なし。
MacPorts を使っている場合は必要に応じて更新を。
mod_spdy: New mod_spdy binary bugfix release (v0.9.4.2) - SECURITY FIX。v0.9.4.2 で修正されている
OpenVPN: OpenSSLのTLS heartbeat extensionに関連した脆弱性について。TLS-Auth オプションが有効な場合は影響を受けない。TLS-Auth オプションが無効な場合は、「OpenSSLのアップグレードに加え、念のためサーバー/クライアントの鍵と証明書の再発行も検討してください」。
FFFTP: 未対応。
脆弱性対応済みのFFFTP新バージョンを公開するにはまだしばらく時間がかかるため、可能であれば直ちにFileZilla(OpenSSLではなくGnuTLSによる実装)への移行をおすすめします
— 川本優 (@s_kawamoto) 2014, 4月 9
OpenSSL ベースではない FTP クライアントとしては、 CarotDAV もありますね。こちらは .NET Framework 2.0。
WinSCP: Recent Version History。 5.0.7 beta から OpenSSL 1.0.1 系に移行したみたい。 5.5.3 (未リリース) で OpenSSL 1.0.1g を採用。
Bitcoin Core (Bitcoin 公式クライアント): Bitcoin Core version 0.9.1 released
解説:
Patch Now: OpenSSL "Heartbleed" Vulnerability (SANS ISC, 2014.04.08)
Check if you are vulnerable. "openssl version -a" will return the version information. If your version is 1.0.1, you MAY be vulnerable. Only version 1.0.1g is NOT vulnerable. Other major versions (0.9x, 1.0.0 ...) are not vulnerable.
Rule of thumb: If you are using OpenSSL, and if you are supporting TLS 1.2 (check ssllabs.com) , then you are vulnerable unless patched.
OpenSSL 1.0.1 系 (1.0.1g を除く) + TLS 1.2 対応の場合、欠陥の影響を受ける。
nginx, after being patched, logs the following from the PoC exploit:
2014/04/08 12:37:18 [info] 4151#0: *724561 peer closed connection in SSL handshake while SSL handshaking, client: 70.91.145.11, server: 0.0.0.0:8443
patch 後、nginx が攻撃を受けると、上記のようなログが残るそうだ。
CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ (めもおきば, 2014.04.08)。超まとまってる。
脆弱性のあるバージョンを使っていた場合、最悪でSSL証明書の秘密鍵が奪取されている可能性があります。この場合、現在使っているSSL証明書を失効(revoke)させ、再発行する必要があります。
ですよねえ……。各 CA で対応されているようです。
[ビデオ]OpenSSLのバグ“Heartbleed”ってどんなの? (techcrunch, 2014.04.09)
Hijacking user sessions with the Heartbleed vulnerability (Matt's Life Bytes, 2014.04.08)。メモリ内容を取得できることの恐しさの一例。
Chrome 34.0.1847.116 が stable に。セキュリティ欠陥 31 件の修正と Flash Player の更新を含む。
Flash Player および AIR の更新版登場。Pwn2Own 2014 でヤラレたものを含め、4 件のセキュリティ欠陥 CVE-2014-0506 CVE-2014-0507 CVE-2014-0508 CVE-2014-0509 を修正。Priority rating は Linux 版と AIR が 3、他は 1。
プラットホーム | バージョン |
---|---|
Windows | 13.0.0.182 |
Mac | 13.0.0.182 |
Linux | 11.2.202.350 |
Google Chrome | 13.0.0.182 |
Windows 8 / Server 2012 / RT の Internet Explorer 10 | 13.0.0.182 |
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 | 13.0.0.182 |
AIR | 13.0.0.83 (Android) |
AIR SDK & Compiler | 13.0.0.83 (Windows, Mac) |
AIR SDK | 13.0.0.83 (Windows, Mac) |
Windows / Mac 用には拡張サポート版 11.7.700.275 も用意されている。 しかし 5 月には、拡張サポート版は 11.7 から 13 になるそうだ。
特定の環境において、Mac 用 13.0.0.182 で不具合が発生している模様です。
Flash Player 13.0.0.182 プラグインエラーについて (Adobe, 2014.04.11)
Flash Player 13.0.0.182 をインストール後にウェブサイト上の動画を再生しようとすると、「プラグインエラー」などのエラーやシステムクラッシュが起こる場合があります。
これは、2006年から2007年に製造された古いアーキテクチャのMac環境で起こることが確認されています。
Adobe は回避策として、大穴がある 12.0.0.77 へのダウングレード (!) を推奨している。拡張サポート版 11.7.700.275 では駄目なのか?! と思ったが、拡張サポート版は Safari でうまく動かないそうで。Firefox なら大丈夫だそうで。
ATTENTION MAC CUSTOMERS - Flash Player 13 "Plugin Failure" Workaround (Adobe, 2014.04.12)
Unfortunately, the ESR (extended support release) version will not work with Safari. If you primarily use Firefox, then the ESR version should work great.
On a related note, we are working to fix the ESR / Safari compatibility problem with cooperation from Apple in an upcoming release. The ESR is typically used by our enterprise customers that require a stable version of Flash Player with the latest security updates. The downside of the ESR is that is does not contain bug fixes or new features.
うへえ。
アドビ サポート担当さんのツイート:
Mac版Flash Player13の最新アップデート(4/9リリース)でプラグインエラーが発生する問題ですが、日本時間4/17に修正アップデート公開予定です。申し訳ありませんが、しばらくお待ちください。フォーラムでも情報を提供中です。http://t.co/d2d0E1gnvS
— アドビ サポート担当 (@AdobeSupportJ) April 15, 2014
2014.04.17 付で 13.0.0.201 が公開されました。 http://forums.adobe.com/thread/1450656 を参照。
昨日からヤマハルーターの古いファームウェアに対する攻撃パケットがそこかしこに流れており、あちこちで再起動したりハングったりする現象が発生していた模様。
【通信安定】(4月9日 00:00現在)インターネット通信がつながりにくい事象について (NTT Communications, 2014.04.08)。「攻撃パケットを破棄することにより、現在通信が安定しております」
故障発生/回復のお知らせ(東日本エリア全域) (NTT 東日本, 2014.04.08)
故障発生のお知らせ(取り消し) (NTT 西日本, 2014.04.08)
障害情報 – KDDIインターネット・常時接続サービス – (KDDI, 2014.04.08)
攻撃対象となる一般販売品は RT58i、RTX3000、RTX1100、RTX1500、RT107e、RT250i、RTX1000、RTX1000、RTX2000、RT57i、RTV700。最新ファームウェアに更新することで対応できる。
なお、特定事業者様向けで一般のお客様には公開していないファームウェアにおいて、最新リビジョンにおいても一部修正が不十分だったことが判明しており、対応を進めております。
「特定国立研究開発法人」
STAP論文:理研の特定国立研究開発法人指定は先送り (毎日, 4/1)。「今月中(の閣議決定)は難しい」。 来月なら ok ok なんですかね。
特定法人へシャカリキ 理研&文科省が怪しい“自民党詣で” (日刊ゲンダイ, 4/4)
理研、新法人の認可獲得はイバラの道 問題の再発防止策不透明と指摘 (ZAKZAK, 4/4)
STAP 細胞検証計画について、 丹羽仁史氏らが記者会見 (4/7、記者クラブメディアのみ)
STAP現象の検証の実施について (理研, 4/7)
「STAP細胞」論文の共著者・丹羽仁史氏が「記者クラブ」向けに会見 (弁護士ドットコム, 4/7)
参加メディアを限定した理由について、理研の広報担当者は「会見の都合と、科学的・専門的なブリーフィングであるため、内容をご理解いただけるかという観点で絞った」と話している。これまで、理研はSTAP細胞問題について、東京で2回にわたり記者会見を開いたが、そのときは参加できるメディアに制限のない「フルオープン」の形でおこなっていた。
STAP細胞:再現実験、7月に中間報告 理研が工程表 (毎日, 4/7)
STAP細胞:「目の前で確認」論文共著の丹羽氏 (毎日, 4/7)
STAP細胞:「常に自問自答」論文共著者が会見 (毎日, 4/7)
「STAPは一つの仮説」 共著者・丹羽氏が疑惑後初会見 (産経, 4/7)
存在は「やってみないと分からない」 理研の検証チーム (産経, 4/7)
小保方氏を検証に加えず 理研チームが会見、「協力は得たい」 (産経, 4/7)
小保方氏、理研に不服申し立て (4/8)
【岩上安身のIWJブログ】小保方晴子氏の代理人が激白!「委員会の勝手な推論」と正面から反論し不服申立て (IWJ, 4/8)
小保方氏、理研に不服申し立て 捏造、改竄を否定 (産経, 4/8)
理研 10年前にも研究員2人辞職させ上層部は責任逃れた過去 (NEWS ポストセブン, 4/6)
STAP細胞論文捏造 単独犯説には研究者からも疑問の声上がる (NEWS ポストセブン, 4/8)
》 「子どもの巨大肖像」で米無人機攻撃に警鐘、パキスタン (AFPBB, 4/8)
》 トレンドマイクロとヤフーの失敗から考える、アルゴリズム依存の功罪 (日経 IT Pro, 4/1)
今後、IoT(Internet of Things)の普及や、アルゴリズム自体を自動生成する機械学習技術の発展で、社会のアルゴリズム依存はますます高まることになる。アルゴリズムの受益者である企業が「自動化のため、一部の不具合は仕方ない」と責任を放棄しては、企業の信用は落ちるばかりだ。アルゴリズム依存の時代だからこそ、「人による誠実な対応」がますます重要になることを、二つの案件を通じて改めて実感した。
》 セキュリティ・キャンプキャラバンin大阪 2014 (まっちゃ139)。2014.05.10、大阪府大阪市、無料。
Windows PowerShellを利用しWordおよびExcelファイルに感染する新たな不正プログラムのファミリを確認 (トレンドマイクロ セキュリティ blog, 4/1)
The Dark Power of Windows PowerShell (Symantec, 4/7)
》 日本政府のオープンデータのやる気のなさは異常 (栗原潔のIT弁理士日記, 4/8)。安倍内閣ですから。
》 集団的自衛権、砂川判決の非常識解釈で乗り切ろうとする自民党
公明・山口代表「砂川判決は個別的自衛権を認めたものと理解」 (産経, 4/1)
高村氏、集団的自衛権「悠長なこと言っていられない」 公明の慎重論に (産経, 4/2)
記者の目:集団的自衛権の行使容認論議=朝日弘行(東京経済部<前政治部>) (毎日, 4/2)
古賀氏、集団的自衛権「限定行使」容認 高村氏が理解求める (毎日, 4/3)
高村氏が「限定行使論」 集団的自衛権 公明は慎重姿勢 (東京, 4/4)
集団的自衛権:与党協議スタート 「限定容認」に公明反論 (毎日, 4/4)
集団的自衛権 「限定容認」という詭弁 (中日, 4/5)
集団的自衛権―砂川判決のご都合解釈 (朝日, 4/6)、 落合弁護士のコメント
砂川判決って何?=集団自衛権めぐり脚光-ニュースを探るQ&A (時事, 4/6)
風知草:高村は何を説いたか=山田孝男 (毎日, 4/7)
安倍首相が目指す「集団的自衛権」、近隣国からも反対の声 (ウォール・ストリート・ジャーナル日本版, 4/8)
集団的自衛権が必要なら、素直に憲法変更しようよ。
関連: いま集団的自衛権を考える(仮) (NHK スペシャル, 4/12 放送予定)
》 台湾立法院議場占拠事件 (中台サービス貿易協定への抗議活動: ひまわり学生運動) 方面
台湾学生が議会占拠の終了に同意、議長の譲歩案受け (ロイター, 4/8)
王金平院長は、立法院がサービス貿易協定を承認する前に、中国との貿易関連協定の「審査メカニズム」を承認すると約束。学生側は、主要な要求が受け入れられたとして、占拠を終了することを決めた。学生の代表は、11日に立法院の審議が行われるよう、10日夕に退去すると記者団に述べた。
【台湾の反応】速報!!!台湾立法院占拠の学生らが撤退を発表!!!台湾人「これは終わりではなく始まり」「学生たちの勇気は私たちの勇気になった」「台湾加油」!!! (台湾の反応ブログ, 4/8)
台湾「抗議デモ」の本質はなにか (野嶋剛: 私は書きたい, 4/7)。『つまり主従関係でいえば、「反馬」が主で、「反中」が従という構図だ』。
》 学校法人の元課長、1.1億円着服 公表恐れ告訴せず (朝日, 4/8)、 東京福祉大職員が1億円余着服 解雇 (NHK, 4/8)。なんかすさまじいな。
》 「アイホンにバグが出た」→どこからどう見てもバグなツイートが話題に (やじうまWatch, 4/7)。パタパタ。
》 京都市職員がP2Pで得たファイル&役所の内部資料を世界中に公開していた!? (Hagex-day.info, 4/5)
》 PEStudio 8.18, Wireshark & VirusTotalを使いマルウェア調査ガイドビデオを作りました
》 パスワード「123456」を設定できてしまうECサイトが半数以上 ほか (Internet Watch, 4/7)
》 新着有料アプリでDL数1位のセキュリティアプリが何もしないゴミアプリだったことが判明 (gigazine, 4/8)。うへえ。
》 「Appleで働くのは最悪だ」とAppleの元社員たちが告白 (gigazine, 4/7)
》 北朝鮮 権力とカネの謎(仮) (NHK スペシャル, 4/13 放送予定)
3/24 に登山客が発見したものは韓国大統領府 (青瓦台) を撮影
青瓦台を撮影した無人航空機が山で発見…「国家安保に問題」=韓国 (中央日報, 3/27)
軍と警察は無人航空機が特定地域を集中撮影せず、飛行動線に沿って撮影している点、ナビゲーション地図を製作する際には主に無人航空機を使うという専門家の言葉、カメラに撮られた写真の画質が落ちる点などから推測してひとまず北朝鮮とは関連性はないものと見ている。
韓国、北方限界線付近で墜落した無人機を発見―北朝鮮の無人機か (ウォール・ストリート・ジャーナル日本版, 4/1)
北朝鮮の用語が書かれた無人機、韓国大統領官邸を撮影(1) (中央日報, 4/2)、(2) (中央日報, 4/2)
先月24日に京畿道坡州市奉日川の野原に墜落した無人航空機は、北朝鮮で製造されたとみられる。軍当局は当初、この無人機について「北の対南工作容疑は確認できなかった」と説明した。しかし中央日報の取材の結果、この無人機の部品から北朝鮮式の表記が発見されたことが確認された。
無人機の核心センサーは北朝鮮製…日本製部品を使って製作 (中央日報, 4/4)
3/31 に発見されたものは白リョン島 (ペクリョン島、ペクリョンド) を撮影
韓国で無人機の墜落相次ぐ 北朝鮮の偵察か (NHK, 4/2)
韓国で墜落した無人機、北朝鮮から飛来した可能性―写真を公開 (ウォール・ストリート・ジャーナル日本版, 4/2)
北朝鮮の白リョン島無人機、韓国海兵隊を撮影していた (中央日報, 4/4)
4/6 に三陟で発見されたもの (2013.10 に住民に発見され、6 か月後に申告された) は蔚珍原発・東海第1艦隊を撮影か
無人機 新たに韓国東部で発見 (NHK, 4/6)
また北朝鮮の無人機…前方の防空システムに問題=韓国 (中央日報, 4/7)
今回の無人機は、昨年10月4日にイさんが薬草を採取しに山に登った際に発見したという。イさんは最近、無人機に関する報道を見て、3日に軍に申告した。
当時無人機に接近したイさんは無人機に入っていたカメラに手をつけ、メモリーチップを取り出してリサイクルしたと、軍に伝えた。イさんは軍の調査で「カメラは水にぬれて使えない状態だと考え、廃棄処分した後、メモリーチップを取り出した」と話した。機体に搭載されていたカメラをイさんがすでに廃棄処分したため、北朝鮮の無人機がこの地域にいつどのように入ったかについては把握するのが難しくなった。
三陟無人機、蔚珍原発・東海第1艦隊を撮影した可能性(1) (中央日報, 4/7)、(2) (中央日報, 4/7)
墜落した無人機、韓国でもう1機見つかる―全部で3機に (ウォール・ストリート・ジャーナル日本版, 4/7)
いずれも民間人が発見した。おまけに当局の扱いは杜撰。
【社説】登山客・住民の申告で北の無人機を把握する韓国の安保 (中央日報, 4/8)
北無人機の送信機をめぐり混乱深めた韓国の軍と警察(1) (中央日報, 4/4)、 (2) (中央日報, 4/4)
関連: 中央日報特集ページ
マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される (2014.03.25)
関連:
A Closer Look at CVE-2014-1761 (Stop Malvertising Malware Reports, 2014.04.07)
Technical Analysis of CVE-2014-1761 RTF Vulnerability (HP Security Research Blog, 2014.04.07)
DocuWorks 8 (バージョン:8.0.3) において、特定の条件下でPDF から DocuWorksへの変換をおこなうとファイルが消失する不具合についてのお詫びと対処のお願い (2014.03.19)
富士ゼロックスが「DocuWorks 8.0.3」回収開始、ファイル消失被害約50件 (日経 IT Pro, 2014.04.07)
OpenSSL 1.0.1 系列、1.0.2-beta 系列に欠陥。 TLS/DTLS Heartbeat Extension の実装に欠陥があり、領域チェックが行われていなかったため、最大 64k バイトのメモリ内容が、接続しているクライアントあるいはサーバーに漏洩する。 OpenSSL 1.0.0 系列以前にはこの欠陥はない。 CVE-2014-0160
OpenSSL 1.0.1g で修正されている。また -DOPENSSL_NO_HEARTBEATS を設定し Heartbeat Extension を無効化して再構築することで、この欠陥を回避できる。1.0.2-beta 系列は 1.0.2-beta2 で修正される予定 (まだリリースされていない)。
オフィシャル:
OpenSSL Security Advisory [07 Apr 2014]: TLS heartbeat read overrun (CVE-2014-0160) (OpenSSL, 2014.04.07)
patch:
本欠陥の影響があったサイトについては、OpenSSL を更新した後で、サーバ証明書を再発行・再設定し、さらに古い証明書の失効処理を行ってください。
調査手法:
ssl-heartbleed.nse (nmap.org)。サーバ用。nmap と組みあわせて nmap -sV -p 443 --script=ssl-heartbleed www.example.jp のように使う。
Tenable Facilitates Detection of OpenSSL Vulnerability Using Nessus and Nessus Perimeter Service (tenable.com)。Nessus。多分サーバ用。
[Openvas-nvts-commits] r367 - / scripts scripts/2014 (intevation.org)。OpenVAS。多分サーバ用。
SSL チェックツール (グローバルサイン)。公開サーバ用。
Heartbleed脆弱性検査 (ネットエージェント)。公開サーバ用。
Reverse Heartbleed Tester (Meldium)。クライアント用。
https://www.cloudflarechallenge.com/heartbleed。 証明書の失効チェックが機能しているかどうかを確認できる。 Web ブラウザでアクセスしてみて、エラーが発生するのが正しい。 ページが閲覧できたら、失効チェックが機能していない証拠。
IE は、インターネットオプション → [詳細設定]タブの「サーバーの証明書失効を確認する」をチェック。 Windows XP だとデフォルト OFF みたい。XP でも IE 8 インストールかつ SmartScreen フィルター有効だと、「サーバーの証明書失効を確認する」が OFF の場合でも接続拒否されるようだ。
Firefox は、オプション → [証明書]タブの [検証] → 「OCSP を利用してデジタル証明書の有効性をリアルタイムに確認する」をチェック。
Chromeは既定だとオンラインで証明書の失効確認していないので設定方法を調べてみた (piyolog, 2014.04.13)
攻略手法:
OpenSSL TLS Heartbeat Extension - Memory Disclosure (exploit-db.com, 2014.04.08)
Hijacking user sessions with the Heartbleed vulnerability (Matt's Life Bytes, 2014.04.08)。メモリ内容を取得できることの恐しさの一例。
Heartbleed OpenSSL - Information Leak Exploit (2) - DTLS Support (exploit-db.com, 2014.04.24)
攻撃の検知:
Patch Now: OpenSSL "Heartbleed" Vulnerability (SANS ISC, 2014.04.08)
nginx, after being patched, logs the following from the PoC exploit:
2014/04/08 12:37:18 [info] 4151#0: *724561 peer closed connection in SSL handshake while SSL handshaking, client: 70.91.145.11, server: 0.0.0.0:8443
patch 後、nginx が攻撃を受けると、上記のようなログが残るそうだ。
Openssl Heartbleed 攻撃の検知について (エフセキュアブログ, 2014.04.11)。iptables や snort を使う例。
関連: heartbleedをiptablesで止めることについて (yasulib memo, 2014.04.13)
(UPDATE) FBI Snort Signatures (Heartbleed) -- April 2014 (ICS-CERT, 2014.04.17)
まとめページ:
CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ (めもおきば, 2014.04.08)
OpenSSLの「Heartbleed」脆弱性は2年前から存在、「最悪のケースを想定して対処を」と専門家 (@IT, 2014.04.10)。高橋睦美氏の記事。
OpenSSLの脆弱性(CVE-2014-0160)関連の情報をまとめてみた (piyolog, 2014.04.10)
NSA:
暗号化ソフト欠陥、NSAは2年前から認識-情報収集に利用 (ブルームバーグ, 2014.04.11)
NSA、「Heartbleedを2年前から悪用してきた」報道を否定 (ITmedia, 2014.04.14)。そりゃあ、「もちろん知ってましたよ! ざまぁ」とは言わんわなあ。
被害事例だとされるもの
OpenSSLの脆弱性で初の被害、カナダや英国で発覚 (ITmedia, 2014.04.15)。カナダ歳入庁、英Mumsnet。と主張しているけど、実際はどうなんだろう。
カナダ歳入庁の件、逮捕者出ました: OpenSSLの「心臓出血」脆弱性、悪用の疑いで逮捕者 (日経 IT Pro, 2014.04.17)
三菱UFJニコス
国内でもOpenSSL「心臓出血」が悪用、三菱UFJニコスから894人の情報流出か (日経 IT Pro, 2014.04.21)
三菱UFJニコスがOpenSSLの脆弱性を突かれて不正アクセスを受けた件をまとめてみた (piyolog, 2014.04.19)
米病院チェーン Community Health Systems(CHS)社
米病院チェーンに不正アクセス、患者450万人の個人情報が流出 (ITmedia, 2014.08.21)
患者450万人の個人情報流出、発端はOpenSSLの脆弱性だった (ITmedia, 2014.08.21)
攻撃者はHeartbleedの脆弱性を突いてCHSのJuniper製デバイスのメモリからログイン情報を収集し、それを使って仮想プライベートネットワーク(VPN)にログインしていた。そこからCHSのネットワークをかぎ回り、データベースに保存されていた患者450万人の情報を入手したとみられる。
解説等:
Staying ahead of OpenSSL vulnerabilities (CloudFlare, 2014.04.07)
OpenSSLの重大バグが発覚。インターネットの大部分に影響の可能性 (techcrunch, 2014.04.08)。大部分って……。OpenSSL 1.0.1 系って、そんなに普及してるんですかねえ。そうは思えないんだけど……。
OpenSSL の脆弱性に関する注意喚起 (JPCERT/CC, 2014.04.08)
Alert (ICS-ALERT-14-099-01B) Situational Awareness Alert for OpenSSL Vulnerability (UPDATE B) (US-CERT, 2014.04.12)
Patch Now: OpenSSL "Heartbleed" Vulnerability (SANS ISC, 2014.04.08)
Check if you are vulnerable. "openssl version -a" will return the version information. If your version is 1.0.1, you MAY be vulnerable. Only version 1.0.1g is NOT vulnerable. Other major versions (0.9x, 1.0.0 ...) are not vulnerable.
Rule of thumb: If you are using OpenSSL, and if you are supporting TLS 1.2 (check ssllabs.com) , then you are vulnerable unless patched.
OpenSSL 1.0.1 系 (1.0.1g を除く) + TLS 1.2 対応の場合、欠陥の影響を受ける。
[ビデオ]OpenSSLのバグ“Heartbleed”ってどんなの? (techcrunch, 2014.04.09)
OpenSSLの脆弱性を標的としたアクセスが増加、警察庁が注意喚起 (Internet Watch, 2014.04.11)
なぜTheo de RaadtはIETFに激怒しているのか (本の虫, 2014.04.11)。そもそも Heartbeat 拡張は不要だという話。
このHeartbeatという機能は、基本的に誰からも必要とされておらず、事実、さっくりと無効にしても誰も困らない機能である。だからOpenBSDでもさっくりと無効にした。なぜそんな誰からも必要とされていない無用の機能を規格化するのか。規格化された以上、規格準拠のソフトウェアは実装しなければならない。新しく実装した機能には不具合が含まれる可能性が高い。誰からも使われない機能は、不具合が発見されにくい。無駄な機能を規格化するとは、いったいIETFは何をしているのか。
脆弱性「Heartbleed」、トップ100万ドメインから選別されたTLDの5%に影響 (トレンドマイクロ セキュリティ blog, 2014.04.11)
「Heartbleed」について (Moneytree, 2014.04.10)。対応事例。
BitcoinユーザはOpenSSLのHeartbleedバグについて何を知るべきか (techcrunch, 2014.04.10)
管理者達へ:Heartbleedの修正するときに設定基準を見直そう (エフセキュアブログ, 2014.04.09)
パッチ未適用のサーバーに深刻な脅威となる Heartbleed 脆弱性 (シマンテック, 2014.04.11)
脆弱性「Heartbleed」、モバイルアプリにも影響 (トレンドマイクロ セキュリティ blog, 2014.04.14)。モバイルアプリがアクセスするサイトに欠陥があれば、という話。
巷を賑わすHeartbleedの脆弱性とは?! (Mobage Developers Blog, 2014.04.15)。はるぷ氏による技術解説。
Heartbleed bug による秘密鍵漏洩の現実性について (IIJ-SECT, 2014.04.16)
秘密鍵ファイル全体を復元するために膨大な数のアクセスを行うという力ずくな方法ではなく、実際にはもっと少ない試行回数で断片情報から秘密鍵が復元されてしまう可能性があります。そのため、SSL サーバへの Heartbleed bug を突いた攻撃回数が少ないからといっても安全とは言い切れません。攻撃の痕跡がある場合には、秘密鍵を作り直しサーバ証明書を再発行することをお勧めします。
Heartbleed bug によるサーバ設定の状況変化 (IIJ-SECT, 2014.04.16)
Heartbleed - 調査報告 (シマンテック, 2014.04.15)
ユーザーがパスワードを変更すべきかどうかについては、相反する情報が飛び交っています。シマンテックが上記の人気のある Web サイトを調べたかぎりでは、オンラインアカウントのほとんどはパスワードを変更したほうが安全と言えそうです。
(中略)
万一 Web サイトに脆弱性が残っている場合、まだそのサイトのパスワードは変更しないでください。
パスワードを変える場合は、穴を塞いでから。
コードテストの重要性が浮き彫りに:発見企業が語る、Heartbleedの残した「教訓」 (@IT, 2014.04.21)
Heartbleedを巡るさまざまな議論、現実的な攻撃シナリオは? (@IT, 2014.04.25)
一般ユーザーのための“Heartbleed処方箋” (日経 IT Pro, 2014.05.07)
OpenSSL脆弱性対策の「致命的なミス」、秘密鍵を変更せず (ITmedia, 2014.05.12)
西本逸郎のIT社会サバイバル術: 「心臓出血」の影響はあるのかないのか、説明責任を課されるサイト運営者 (日経 IT Pro, 2014.05.12)
OpenSSL:事前調整間に合わず 欠陥公表の舞台裏 (毎日, 2014.05.13)。JPCERT/CC では早期警戒パートナーシップに基づく事前通報を用意したが、開始前に OpenSSL.org が予定前倒しで公開してしまったそうで。
欠陥に誰がいつごろ気付き、公表前にどこまで伝わっていたかについては、欧米メディアによる詳細な検証がある(シドニー・モーニング・ヘラルド)。(中略) グーグルだけでなく、コードノミコンも欠陥を発見するなど、情報が広がり、攻撃者に知られる可能性が高まったため、開発者は予定より早く情報を開示した、という。
グーグルは、CERT/CCやUS−CERTに欠陥の情報を伝えたか否かについては明らかにしていない。(中略) JPCERTの久保氏は「グーグルは今回、我々のような組織より、直接に開発者に連絡する方が適切と考えたのかもしれない」と推測する。今回の欠陥が非常に深刻だっただけに、高い技術力を持つグーグルが問題を発見し、開発者に修正パッチも提供したことで修正対応が早く進んだことを「不幸中の幸い」と評価した。
Heartbleedはまだ生きている、多くの零細サイトが無手当のまま (techcrunch, 2014.06.24)
大幅に書き直し・追加した。
FileMaker、コモドジャパンの情報を追加した。松尾さん情報ありがとうございます。
WinSCP 5.5.3 が公開されたので記述を変更。akamai 追加。解説等に 6 件追加。
WinSCP に関する記述を追加 (4.3.8〜4.4.0 も OpenSSL 1.0.1 系だった件)。 @windsturm さん情報ありがとうございます。
証明書の失効チェックが機能しているかどうかを確認できる https://www.cloudflarechallenge.com/heartbleed の記述を追加。
追加したもの:
Heartbleed Update (Adobe, 2014.04.17)
Adobe、OpenSSLの脆弱性対応について説明 (ITmedia, 2014.04.21)
OpenSSLの「心臓出血」脆弱性、悪用の疑いで逮捕者 (日経 IT Pro, 2014.04.17)
国内でもOpenSSL「心臓出血」が悪用、三菱UFJニコスから894人の情報流出か (日経 IT Pro, 2014.04.21)
三菱UFJニコスがOpenSSLの脆弱性を突かれて不正アクセスを受けた件をまとめてみた (piyolog, 2014.04.19)
コードテストの重要性が浮き彫りに:発見企業が語る、Heartbleedの残した「教訓」 (@IT, 2014.04.21)
Tor 関係
追加したもの:
Opera 12.17 out (Opera, 2014.04.23)。Windows 版のスタンドアロン autoupdater が Heartbleed バグの影響を受けるそうで。
As discussed in our blog post about Heartbleed, the standalone autoupdater for Opera 12 on Windows was vulnerable to a Heartbleed attack from someone who would be in possession of a valid Opera certificate. While fixing this, we also found another issue with our autoupdate on Windows which might be exploited by someone in possession of such a certificate.
オバマケアのWebサイトがパスワードリセット、Heartbleed対策で (日経 IT Pro, 2014.04.21)
AirPort Base Station Firmware Update 7.7.3 (Apple, 2014.04.22)。AirMac Extreme、AirMac Time Capsule が対象。
(UPDATE) FBI Snort Signatures (Heartbleed) -- April 2014 (ICS-CERT, 2014.04.17)
マカフィーセキュリティ情報 - OpenSSL Heartbleed 脆弱性の影響を受ける マカフィー製品 に VirusScan Enterprise for Linux が追加されました。
追加したもの:
Android: 4.1.1 および 4.2.2 の一部に影響がある模様 (google, gigazine)。 確認アプリ (例) で確認した上で、端末メーカーに問いあわせる。
Buffalo Technology NAS products unaffected by ‘Heartbleed’ bug (Buffalo, 2014.04.23)。標準状態では影響ないが、DD-WRT をインストールした場合は別。
Heartbleed & DD-WRT/DD-WRT Online Services (DD-WRT, 2014.04.11)
FileMaker:
松尾さん情報ありがとうございます。
QNAP が Heartbleed OpenSSL の脆弱性を修正するためのシステムアップデートを発表 (QNAP, 2014.04.18)。QNAP Turbo NAS のファーム更新。
Synology
追加したもの:
Heartbleedを巡るさまざまな議論、現実的な攻撃シナリオは? (@IT, 2014.04.25)
一般ユーザーのための“Heartbleed処方箋” (日経 IT Pro, 2014.05.07)
Heartbleed OpenSSL - Information Leak Exploit (2) - DTLS Support (exploit-db.com, 2014.04.24)
追加したもの:
OpenSSL欠陥:国内のスマホ6機種 OSに問題 (毎日, 2014.05.12)。Android スマホの情報あり。記事によれば、対象となるのは
【NTTドコモ】
(1)ギャラクシー・ネクサスSC−04D(2011年12月)※
(2)ギャラクシー・ノート2SC−02E(12年11月)
(3)ギャラクシーS3αSC−03E(12年12月)
【KDDI(au)】
(4)HTC−JバタフライHTL21(12年12月)
(5)インフォバーA02(13年2月)
【ウィルコム】
(6)ディグノデュアルWX04K(12年6月)※
(1)は昨年5月、(2)と(3)は4月17日、(4)と(5)は4月30日、問題解消可能に。(6)は未対応。
※は元々は問題のないOSだが、発売後「アンドロイド4・1・1」にバージョンアップ可能に。バージョンアップした場合のみ該当
関連:
GALAXY NEXUS SC-04Dの製品アップデート情報 (NTT ドコモ)
GALAXY Note II SC-02Eの製品アップデート情報 (NTT ドコモ)
GALAXY S III α SC-03Eの製品アップデート情報 (NTT ドコモ)
INFOBAR A02 アップデート情報 (KDDI)
Alert (ICS-ALERT-14-099-01E): Situational Awareness Alert for OpenSSL Vulnerability (Update E) (ICS-CERT, 2014.04.29)
OpenSSL脆弱性対策の「致命的なミス」、秘密鍵を変更せず (ITmedia, 2014.05.12)
西本逸郎のIT社会サバイバル術: 「心臓出血」の影響はあるのかないのか、説明責任を課されるサイト運営者 (日経 IT Pro, 2014.05.12)
追加したもの:
OpenSSL:事前調整間に合わず 欠陥公表の舞台裏 (毎日, 2014.05.13)。JPCERT/CC では早期警戒パートナーシップに基づく事前通報を用意したが、開始前に OpenSSL.org が予定前倒しで公開してしまったそうで。
欠陥に誰がいつごろ気付き、公表前にどこまで伝わっていたかについては、欧米メディアによる詳細な検証がある(シドニー・モーニング・ヘラルド)。(中略) グーグルだけでなく、コードノミコンも欠陥を発見するなど、情報が広がり、攻撃者に知られる可能性が高まったため、開発者は予定より早く情報を開示した、という。
グーグルは、CERT/CCやUS−CERTに欠陥の情報を伝えたか否かについては明らかにしていない。(中略) JPCERTの久保氏は「グーグルは今回、我々のような組織より、直接に開発者に連絡する方が適切と考えたのかもしれない」と推測する。今回の欠陥が非常に深刻だっただけに、高い技術力を持つグーグルが問題を発見し、開発者に修正パッチも提供したことで修正対応が早く進んだことを「不幸中の幸い」と評価した。
追加したもの:
Android 4.1 ソフトウェア更新情報: DIGNO DUAL (WX04K) (京セラ, 2014.05.27)
追加したもの:
HIRT-PUB14005:日立製品における OpenSSL 情報漏えいを許してしまう脆弱性(CVE-2014-0160) への対応について (JVNVU#94401838, JVNDB-2014-001920, CVE-2014-0160) (日立, 2014.05.12 更新)
Heartbleedはまだ生きている、多くの零細サイトが無手当のまま (techcrunch, 2014.06.24)
「被害事例だとされるもの」に「米病院チェーン Community Health Systems(CHS)社」を追加。
米病院チェーンに不正アクセス、患者450万人の個人情報が流出 (ITmedia, 2014.08.21)
患者450万人の個人情報流出、発端はOpenSSLの脆弱性だった (ITmedia, 2014.08.21)
攻撃者はHeartbleedの脆弱性を突いてCHSのJuniper製デバイスのメモリからログイン情報を収集し、それを使って仮想プライベートネットワーク(VPN)にログインしていた。そこからCHSのネットワークをかぎ回り、データベースに保存されていた患者450万人の情報を入手したとみられる。
》 足利銀行のネットバンクに15件の不正ログイン、不正送金は確認されず (日経 IT Pro, 4/7)
》 第10回 IPA「ひろげよう情報モラル・セキュリティコンクール」2014 (IPA)。9/8 締切。
》 Windows XPの延長サポート契約をイギリスとオランダの政府がMicrosoftと締結 (gigazine、 4/7)。UK 政府はまとめ契約で 2000 万ポンド節約できたと言ってるようだけど、そんなに XP 残ってたのか……。
XP 関連:
サポート終了以降のWindowsXPサポート対応について調べてみた。 (piyolog, 4/6)
2014 年 4 月 9 日にサポートが終了する製品に関する技術サポート受付終了時間について (Microsoft)。4/9 16:00 だそうです。
念のため予告: MS 純正マルウェア対策ソフトは、4 月 8 日から XP サポート終了を警告するツールと化す (山市良のえぬなんとかわーるど, 4/3)
》 CryptoLocker を模倣して 1 カ月で 34,000 ドルを稼いだ CryptoDefense (シマンテック, 4/2)。儲かるんですねえ。
》 マクロを有効にした文書ファイルが再び悪用 オンライン銀行詐欺ツール「ZBOT」などの感染に誘導する (トレンドマイクロ セキュリティ blog, 4/4)
》 広告主は広告代理店が違法サイトに広告を掲載していることを知っている (楽しくないブログ, 4/7)
》 NHK籾井会長に「NO!」 受信料支払い拒否100万件へ (日刊ゲンダイ, 4/3)。みなさまの、NHK。
》 臨界から20年で運転3カ月 もんじゅ延命 政権固執 (東京, 4/7)
》 すばらしき日本原電救済事業。 どうしてそんなに原発輸出に熱心なんだろうと思っていたら、こういうこともあったのね。
原発事業化調査:入札資格あったのは日本原電のみ…落札 (毎日, 4/6)
トルコへの原発輸出に伴い、建設予定地の地質などを調べる「事業化調査」の入札が、事実上「日本原子力発電」(東京都千代田区)だけが受注できる条件だったことが、毎日新聞が情報公開で入手した文書で分かった。発注者の経済産業省資源エネルギー庁が要件を「過去に同様の実績を持つ」事業者に限定しており、国内唯一の有資格業者である日本原電1社が昨年の入札に参加し、11億2000万円で受注した。不透明な経緯に識者から批判の声が上がっている。
原発事業化調査:震災後、2度増額8.5億円…原電救済? (毎日, 4/6)
》 2400万台の家庭用ルーターがDNSベースのDDoS攻撃に悪用可能、Nominum調査 (Internet Watch, 4/4)
》 アンチゲイ団体、クラッカーのCMに激怒 (石壁に百合の花咲く, 3/24)、 ハニーメイドがCMへのバックラッシュに動画でお返事 (石壁に百合の花咲く, 4/5)。
》 アフィブログ「netgeek」管理人がひろゆき擁護記事を乱立させ嫌儲板にて炎上する (楽しくないブログ, 4/7)
》 オンラインバンキングを狙うトロイの木馬: 日本のインターネットユーザーに対して執拗に続く攻撃 (シマンテック, 4/7)
被害者のコンピュータからのアクセスログを記録してサーバーを監視し、この攻撃の拡散状況も概算しました。シマンテックがこれを実行したのは 3 月中旬のある 1 週間ですが、その結果によると最大 20,000 台のコンピュータが感染していたことになります。
》 週刊朝日に『安倍帝国vs宗教』が掲載。創価学会や統一教会についても言及 (やや日刊カルト新聞, 4/5)
》 弾道ミサイル防衛:米第七艦隊のイージスBMD艦を増強へ (海国防衛ジャーナル, 4/6)
》 アメリカの電子書籍“ブーム”は終了しましたので (本とマンハッタン, 4/6)
詳しいレポートは有料でAAPのサイトからダウンロードできるが、フォーマットやジャンルによる内訳が大部分である。みんなが知りたいEブックについては、売上げが全体の27%という数字。
要するに、あれだけ騒がれてきたEブックですが、アメリカでさえも3割いかないわけですよ。何年か前はIT関連の予想屋が「数年のうちに本の8〜9割がEブックになる」などと言っていましたが、そいつらがいかに自分たちで本を読んでいないか、PV稼ぎに大げさなことをいっていたか、わかろうというもの。出版社の中の人たちは3割いかない、という数字にけっこう安堵してたりします。
》 Oracle Java SE Support Roadmap (Oracle, 3/18 更新)。Java 7 の Public Updates は、今のところ 2015.04 に終了する予定。 日本語の Oracle Java SEサポート・ロードマップ はまだ更新されてない。 その段階でも 2015.03 だったわけですが。
Oracle Java SEサポート・ロードマップ、3/18 版に更新されました。
》 顔認証万引き防止システム LYKAON。 現場がこういうものを使いたくなる気持ちはよくわかるのだけど……
客の顔情報「万引き対策」115店が無断共有 (読売, 4/5)
各店舗は、防犯カメラで全ての客の顔を撮影。万引きされたり、理不尽なクレームを付けられたりした場合、該当するとみられる客の顔の画像を顔認証でデータ化した上で「万引き犯」「クレーマー」などと分類し、ソフト開発会社のサーバーに送信、記録される。他の店舗では顔の画像そのものは閲覧できない仕組みだ。
いったん登録されると、再び来店した場合、店員に分かる形で警報が発せられる。登録されたのとは別の店舗を訪れても、サーバーに記録された顔データで照合され、警報が出る。システムを導入する店舗では、「顔認証監視カメラ設置」などのシールを店内に貼って撮影していることを周知しているが、他の店舗と顔データを共有していることまでは知らせていない。
読売新聞朝刊掲載記事について重要なお知らせです。 (LYKAON, 4/6)
当社製品リカオンにおいて、他の導入店との間で共有するデータベース(リカオンシェア)の対象者は万引き常習者です。リカオンシェアは、万引き犯を現行犯人として拘束し、注意を促した際等に、本人からの同意等を得ることによって、他店間との共有が可能となります。 (中略) リカオン導入店が顔認証の対象とするのは、万引き常習者、及び店舗管理者又は責任者が登録すると判断した注意人物となります。ただし、リカオンシェアとして他のリカオン導入店と共有されるのは、本人同意を得たものに限られます。 (中略) 導入店の一般スタッフの悪意によって一般のお客様が登録されることを排除するため、データベースに登録できるのは、店舗責任者・管理者等に限るようにしております。
注意人物(クレーマー)として登録する場合とは、当社顧問弁護士及び防犯専門家が策定した運用ガイドラインに従い、来店者の故意・過失によって店舗に損失が発生していることが明らかな場合です。店舗の不適切な応対に対して来店者がご意見を仰る場合には、クレーマーには該当しないと考えます。クレーマーに分類されるのは、来店する度に暴力暴動を起こす、他の来店客をトラブルに巻き込む、迷惑行為をする等、客観的にクレーマーに該当することが明らかな場合です。
この運用ルールが常に適用されていることをどうやって担保しているんだろう。「常習者」の定義もよくわからないなあ。
……と思っていたら、こんなページがあるそうで: 顔認証軽犯罪人物特定システム LYKAONについて: 事務所・オフィスの場合 (LYKAON)。……あれ?! 「ブラック従業員」「悪徳業者」?! 結局なんでもありなの?
私刑に走るリスクも「顔認証万引き防止システムLYKAON」に批判続出 (NAVER まとめ, 4/6)
米国における万引き犯情報共有システムについて(+リカオン社特許について) (栗原潔のIT弁理士日記, 4/6)
万引き犯共有ネットワークが物議を醸しております (山本 一郎 / Yahoo, 4/7)
#リカオンの検索結果 (twitter)
LINE電話で発信者番号通知の偽装ができる件 (2014.03.19)
対応に動くことになったようです。
「LINE電話」における端末・電話番号確認プロセスの強化について (LINE, 2014.04.04)
防止策を、段階的に実施していくことを決定 (中略) 第一弾として、4月中を目処に現行バージョンのアップデートを行い、下記の端末・電話番号確認プロセスを追加適用いたします。上記の確認要件のうち、いずれかもしくは複数が確認されない場合、電話番号を利用した再認証を行います。再認証が完了しない場合、当該アカウントからの「LINE電話」での発信は全て非通知となります。
- 端末のSIM情報の確認
- ネットワーク接続状況の確認
- 不正使用検知アルゴリズムによる確認
「LINE電話」の悪用防止策発表、番号偽装の懸念に対応 (日経 IT Pro, 2014.04.05)
file コマンドで使用している magic ファイルには awk スクリプトの検出において DoS 状態となる欠陥 CVE-2013-7345 があった。PHP の fileinfo モジュールではコンパイルした magic ファイル (file -C の出力) を使用しているため、この欠陥の影響を受ける。 PHP 5.4.27、5.5.11 で修正された。
ChangeLog: Version 5.4.27 (php.net, 2014.04.03)
ChangeLog: Version 5.5.11 (php.net, 2014.04.03)
【臨時配信】マカフィーサポート通信 - 2014/04/04 (マカフィー, 2014.04.04)。McAfee Application Control 6.0.0 build 340 に欠陥があり、「特定のシナリオにおいて管理者権限を保持する認証されたユーザーが MAC の書き込み保護および実行防止機能をバイパスする事が可能」。 MAC 6.0.0 Build 9703 で修正されている。また MAC 6.1.[012] にはこの欠陥はない。
JVNDB-2014-001900: Postfix Admin の functions.inc.php の gen_show_status 関数における SQL インジェクションの脆弱性 (JVN, 2014.04.04)。 PostfixAdmin 2.3.7 (sourceforge.net, 2014.02.20) で修正されている。 CVE-2014-2655
》 カスペルスキー氏「韓国はハッカーの遊び場」 (朝鮮日報, 4/1)
》 駐車場綜研、自動車ナンバープレート解析し「町名」を把握するサービス開始 (日経 IT Pro, 3/31)。うわ……。
》 セクハラか否か、裁判官たちを悩ませた“被害者・女子学生”8000通のメールの「中身」 (産経, 4/3)
》 平時でも有事でもない「グレーゾーン事態」激化懸念 防衛研が「東アジア概観」 (産経, 4/4)、 東アジア戦略概観 2014 (防衛研究所)
》 国内にF35整備拠点 防衛省が基盤戦略の概要提示 (産経, 4/3)。さっそくアクセル全開。
安倍政権から漏れる「韓国にはうんざり」の嘆き 首脳会談実現も遠い日韓の雪解け (日経ビジネス, 3/31)
時論公論 「動き出した日朝・日韓関係」 (NHK 解説委員室, 4/3)
Bitcoinは計算量理論から見て「無限連鎖講」である (日経 IT Pro, 4/2)
Bitcoinは「ノイズ」に過ぎない、“新型マネー”の未来は明るい (日経 IT Pro, 4/3)
ビットコイン安全性の表と裏、根幹は揺らいでいないが周辺が狙われる (日経 IT Pro, 4/4)
》 木語:主席の選んだ人民服=金子秀敏 (毎日, 4/3)
オランダのハーグで3月、核安全保障サミットが開かれた。この時、中国の習近平国家主席が人民服を着用する場面があった。
日本のメディアは関心を示さなかったが、中国人は「習主席は毛沢東になろうとしている」と直感したようだ。
STAP論文:極秘研究…捏造生んだ密室 助言役機能せず (毎日, 4/2)
不正の舞台となった理研発生・再生科学総合研究センター(CDB)で、新たな万能細胞と脚光を浴びることになった「STAP細胞」の研究が始まったのは2010年7月。だが、詳細を知る人は発表までわずかだった。CDB創設にかかわった研究者は「すごい仕事があるとは聞いていたが、研究所内でも極秘で進められていた。論文を見て『これだったのか』と(思った)」。科学史上に名を刻む不正論文が世に送り出された背景には、「極秘プロジェクト」という異例の経緯があった。
11年に博士号をとったばかりでリーダーとなった小保方氏の助言者に、笹井芳樹・副センター長と丹羽仁史プロジェクトリーダーというベテラン研究者がついたことが、秘密主義を加速させたとみられる。
あるCDB研究者は「秘密主義は笹井先生の方針だった」と指摘する。「極秘にするのが笹井先生のやり方。共同研究者にすら自分のデータを渡さない。その悪い面が出てしまった」。笹井副センター長は、日本を代表する再生医学研究者。研究資金も多く、英科学誌ネイチャーなど一流科学誌に毎年のように論文が掲載される実力者で、表立った批判は少なかった。
当然ながら、国内外の研究者が参加する学会で発表したこともなかった。人工多能性幹細胞(iPS細胞)を作製した山中伸弥・京都大教授でさえ論文発表の約1カ月前、一部のデータは伏せたものの、研究成果の概要を国際学会で発表している。
STAP論文:極秘研究…サインだけの共著者 議論どこに (毎日, 4/2)
理化学研究所発生・再生科学総合研究センター(CDB)は、全国9カ所に散らばる理研の研究エリアの中でも「理想的な研究所」として知られる。若手や女性の研究リーダーを積極的に採用し、有名科学誌に数多くの論文が発表されてきた。中でも、研究室間の風通しの良さが特徴だ。CDB出身で、若手登用の「成功例」とも言われる斎藤通紀・京都大教授は「いろんな分野の人とオープンに議論でき、共同研究もしやすい」と語る。だが、STAP細胞研究は例外だった。
さらに、研究チーム内でも、研究内容やデータを議論する機会が少なかったとみられる。発表されたSTAP細胞の論文2本には14人の研究者が名を連ねるが、中には論文の実験や解析に全くかかわっていない「共著者」がいたことが、取材で明らかになった。
その研究者は「自分はSTAP細胞研究には携わっていず、論文中のデータにも一切貢献はしていない。草稿も見ていない。共著者の一人に頼まれて(論文投稿に必要な著者としての)サインをした」と明かす。疑惑だらけの論文になってしまった今、後悔する。「(サインを)迷うべきだったかもしれない」
「オープンな議論」が売りだったはずのCDBの共著者らは、ずさんな論文を見逃した経緯について取材に応じていない。再生医療に詳しい研究者は「若手研究者を育てるため、論文の原稿を仕上げる部分は協力していたものの、データのチェックが十分でなかった可能性がある」と話す。
STAP細胞:「不正は小保方氏単独で?」会見一問一答 (毎日, 4/1)
STAP論文:小保方リーダー代理人「撤回の意向ない」 (毎日, 4/1)
STAP細胞:小保方さん「不正認定2点、承服できない」 (毎日, 4/1)
実験ノート
STAP細胞:小保方さん姿なく 実験ノート3年で2冊 (毎日, 4/1)
小保方さんのラボノートについて (栗原潔のIT弁理士日記, 4/4)
特にSTAP細胞の研究に関しては、実際に小保方さんを発明者の一人とする特許が実際に出願されている(PCT出願以前にもそれの優先権の基礎出願が2012年4月24日に米国に出願されてます)ので、ラボノートがちゃんとしていないということは、研究プロセスが相当いい加減だったか、何かを隠しているかのいずれかだと思います。
実験ノートには何を記録するのか? (ハフィントンポスト, 4/3)
香港中文大学の李嘉豪教授の件
香港中文大学、STAP細胞作製の再現に成功か【4/3 更新】 (WIRED, 4/2)
「わたしはSTAP細胞が存在していると主張しているわけではない。わたしがResearchGateで掲載した実験結果は非常に初期のものだからだ。わたしはヴァカンティ教授の手法を応用した。それは、小保方氏の手法とは非常に異なるものだ」
李氏は、自分がメディアでSTAP細胞の擁護者として扱われたことについて、自分はそのような主張を行っていないと強調した。李氏は、別の研究所が追試を行うことを期待している。
香港中文大学の李教授「STAP細胞は存在しない。これ以上の実験は無駄」 (弁護士ドットコム, 4/3)
とばっちり: 窮地に立つ「科学者の楽園」理研 他研究にまで“疑惑の目” 批判続々 (ITmedia, 4/3)
産経「STAP再現に成功か」 訂正せずに削除 (gohoo, 4/5)
》 「顔のたるみ除去」でトラブル急増 (NHK「かぶん」ブログ, 4/4)
》 違法同人誌DLサイト「uratora.net」管理人が警察に逮捕されサーバが押収される (楽しくないブログ, 4/3)
》 台湾立法院議場占拠事件 (中台サービス貿易協定への抗議活動: ひまわり学生運動) 方面
台湾学生運動リーダー・林飛帆氏に直撃 なぜ学生は、中国との貿易協定に反対なのか (東洋経済, 4/3)
木語:ユリとヒマワリ=金子秀敏 (毎日, 3/27)
続・「台湾ひまわり学運」のゆくえ カリスマ学生リーダーの登場はアジアを変えるか (日経ビジネス, 4/2)
【ドキュメント台湾国会占拠(7)】歩み寄りを演出できない馬政権 〜サービス貿易協定は「大資本による収奪」危険性の周知進む (岩上安身 / BLOGOS, 3/27)
【ドキュメント台湾国会占拠(8)】占拠続く立法院内の取材に成功 〜学生リーダーに単独インタビュー「日本の人たちと交流続けたい」 (岩上安身 / BLOGOS, 3/28)
【ドキュメント台湾国会占拠(9)】「協定は撤回せず」強硬姿勢崩さぬ馬政権に反発は数十万人規模に 〜日本では「馬政権が歩み寄り」と対照的な報道も (岩上安身 / BLOGOS, 4/1)
一方で、日本の大手メディアはこの馬総統の会見について、「学生らに歩み寄り・一部譲歩」「馬総統が対話を呼びかけたが学生らが拒否」などと、「理性的かつ柔軟に要求に応じる馬総統」と、「それでも強硬姿勢を崩さない学生ら」という構図で報じた。この日本の大手メディアの報道については、台湾メディアも「日本では馬総統が一部譲歩したというように報道された」と、驚きをもって報じている。
これか: 台湾の馬総統、学生に一部譲歩=立法院占拠で (時事, 3/29)、 台湾 馬総統が学生に一部譲歩も不透明 (NHK, 3/29)
【ドキュメント台湾国会占拠(10)】台北で示された50万人の民意「馬総統は対話を、サービス貿易協定への答えを」 〜総統府周辺で大規模デモ (岩上安身 / BLOGOS, 4/1)
【ドキュメント台湾国会占拠(11)】暴力団に雇われた労働組合員らが「協定賛成」と「立法院奪還」を掲げデモ 学生側「ヤクザは帰れ!」 (岩上安身 / BLOGOS, 4/2)
》 ここに注目! 「脱法ドラッグ 所持や使用も禁止に」 (NHK 解説委員室, 4/2)
原発「反省」後回し エネ計画案 自公了承 (東京, 4/4)
忘れられた福島 (河野太郎, 4/4)
クローズアップ2014:エネルギー基本計画 数値、経産省が抵抗 (毎日, 4/4)
》 「同性婚を認めると少子化が加速」のウソ(追記あり) (みやきち日記, 4/3)
人口統計調査を見る限り、「同性婚を認めたら少子化が加速する」説にはエビデンスがありません。
》 同性愛のカップルが親になる課題とは (NHK「かぶん」ブログ, 4/4)。映画「チョコレートドーナツ」公開にあわせて、シンポジウムつき試射会が開かれたそうで。
映画「チョコレートドーナツ」 試写会を開催します! (Rainbow Foster Care)。「映画『チョコレートドーナツ』に見る“LGBTが親になること”」。
今年のミニシアター“台風の目”は『チョコレートドーナツ』? 感動の声続々 (cinemacafe.net, 4/3)
》 同性愛者から反発されていたMozillaのCEOが就任から10日ほどで辞任 (gigazine, 4/4)
飯塚事件の再審請求棄却 福岡地裁 弁護側、即時抗告へ (朝日, 3/31)
飯塚事件、再審の扉開かず 弁護団「結論ありきの内容」 (朝日, 3/31)
飯塚事件で弁護側が即時抗告 (朝日, 4/3)
時論公論 「袴田事件"国家機関が無実の人を陥れた"」 (NHK 解説委員室, 3/28)
埋もれた証拠 〜“袴田事件”当事者たちの告白〜 (NHK クローズアップ現代, 4/3)
二つの大きな冤罪事件を追った『NNNドキュメント』の功績 (現代ビジネス, 4/2)
やっと再審の扉が開かれた「袴田事件」も、この番組では22年も前に決着が付いていた。92年2月に放送された『NNNドキュメント/袴田事件の謎を追う』の中で、スタッフは袴田巌さんの"無実"をすでに証明していたのだ。司法はそれを黙殺していただけに過ぎない。
》 Build 2014 Day 1 興奮のDay1 キーノート (高橋 忍のブログ, 4/3)
後半でも少し触れていたのですが、Windows 8 と Windows Phone 8 のAPIの互換性が 約30%だったのに対して、Windows 8.1 と Windows Phone 8.1 の APIの互換性は約90%にも進んでいます。これは驚異の進化です。残りの部分は積み残しというよりもそれぞれのプラットフォーム固有の機能です。ですのでほぼ共通化されました。
そしてそれにより実現されたのが、Universal Windows Application の開発です。Windows 8.1 と Windows Phone 8.1 のどちらの環境でも動作するアプリケーションを作ることができます。このアプリケーションモデルは様々な技術の進化やサービスのアップデートによってなしえたものです。ストアアプリのパッケージ形態も新しく共通化しそれに合わせてストア自体も変わって来たなどです。
欠陥があったら、同じように攻撃できるようになったってことかしら。
緊急 x 2、重要 x 2。Office あり、IE あり。 マイクロソフト セキュリティ アドバイザリ (2953095) Microsoft Word の脆弱性により、リモートでコードが実行される の件も修正される予定。
2014 年 4 月 9 日のセキュリティ リリース予定 (月例) (日本のセキュリティチーム, 2014.04.04)
》 銅価格急落で懸念される、中国バブルの崩壊 いま、中国で何が起きているのか① (東洋経済, 4/2)
》 医師主導の白血病治療薬 (タシグナ) 臨床試験、実はノバルティスファーマが丸抱え。 前ねた。
まず、3/14 に、東大病院が中間報告の記者会見をしたみたい。
白血病薬試験:患者情報ノ社に提供 東大病院、重大な過失 (毎日, 3/14)
東大病院の不正は患者情報流出だけではない ノバルティス白血病薬の臨床研究で患者に虚偽の説明 (東洋経済, 3/16)
深刻なことに、臨床研究への不正関与の形跡はほかにも次々と見つかっている。東大病院によれば、ノバルティスの医薬品を用いた医師主導臨床研究のうち、「SIGN研究のほかにも新たに4件で同社による役務提供があったとの報告がある」(齋藤延人副院長)。そのすべてがSIGN研究と同じく東大病院の血液・腫瘍内科(黒川峰夫教授)を舞台にしているという。
東大病院 SIGN研究でノバルティス側に患者情報流出「医師主導研究として適正性を欠く」 (ミクス online, 3/17)
東大病院が初会見 白血病治療薬タシグナの臨床研究SIGN研究へのノバルティス社の不正関与について (ハフィントンポスト, 3/18)
このように東大病院が描いているストーリーと、実際の黒川教授の行動にはかなりの乖離が有る。(中略) なぜ東大病院がそこまでして黒川教授を守りたいのかは不明であるが、少なくとも若手のA医師に全ての責任を押し付けて、トカゲの尻尾切りをするという定番の流れは許容されるべきではない。
その後、ノバルティス ファーマが 4/2 に外部調査委員会の報告書を公開。
「慢性骨髄性白血病治療薬の医師主導臨床研究であるSIGN研究に関する社外調査委員会」のご報告を受けて (ノバルティス ファーマ, 4/2)、 調査報告書。
ノバルティス白血病試験:副作用、国に報告せず (毎日, 4/2)
ノバルティス白血病試験:厚労省「かなり悪質」 (毎日, 4/2)
ノバルティス、副作用報告怠る 隠蔽工作も (産経, 4/2)
臨床研究「製薬会社丸抱え」 ノバルティス調査委が報告書 (日経, 4/2)
ノ社、臨床研究丸抱え 副作用伝えず 薬事法違反の恐れ (東京, 4/3)
そして日本法人 3 役員が辞任。
医師主導臨床研究における不適切な行為への対応について (ノバルティス ファーマ, 4/3)
ノバルティス:社長ら役員3人辞任 スイス本社主導で一新 (毎日, 4/3)
関連:
製薬会社“お抱え”の臨床研究を助長する医師側の「鈍感」 (産経, 2/15)
臨床試験をめぐるノバルティスと東大の「不適切な関係」 (集中, 3/1)
》 くじらの博物館 鯨などの冥福祈り供養祭 和歌山・太地町 (産経, 4/3)
》 国際司法裁判所、南極海の調査捕鯨に不許可の判決の件つづき。 前ねた。
くらし☆解説 「調査捕鯨国際司法裁判所判決の意味は」 (NHK 解説委員室, 4/1)
楽天市場で鯨肉販売禁止 英NGOが「世界最大の鯨肉取引市場」と批判 (ITmedia, 4/3)
クジラ判決と“捕鯨トライアングル”の将来 (東スポ, 4/3)
水産庁、2014年度の「調査捕鯨」を中止の発表を受けて (グリーンピース, 4/3)
日本政府が科学を重視するのであれば、調査捕鯨に固執するのではなく、国際的な協力のもとでより包括的な生態系調査を南極海で行うべきだ。この分野で国際的なリーダーシップを取ることによって、海洋生態系保護における国際的な理解や協力関係を得られるだろう
》 クラウドサービス提供における情報セキュリティ対策ガイドラインの公表 (総務省, 4/2)
》 「2013年下半期脅威レポート」 日本語版を公開 (エフセキュアブログ, 4/3)
》 2014年4月より、BitTorrentユーザー、Gnutellaユーザーに対する啓発活動を開始 〜ファイル共有ソフトユーザーに対する啓発メール送付活動の拡充について〜 (ファイル共有ソフトを悪用した著作権侵害対策協議会, 4/1)
麻疹 (国立感染症研究所)。「海外からの輸入麻しんが急増しています」
はしかの患者が急増 海外で感染した人が帰国後に発症し拡散か (FNN, 3/5)
はしか患者増加 ワクチン接種を (NHK「かぶん」ブログ, 3/18)
国立感染症研究所によりますと、ことし全国の医療機関から報告されたはしかの患者は172人で、去年の同じ時期のおよそ3倍に上り、過去6年間で最も多くなっています。
ことしのはじめは、はしかの流行が起きているフィリピンから帰国した若者が発症するケースが目立っていましたが、その後、感染は、子どもを中心に広がり、都内の大学病院では集団感染が起きて小児科の病棟が一時閉鎖される事態も今月、起きています。
はしかの予防接種、県が呼び掛け 3月県内4人発症 (山陽新聞, 3/29)
こうした状況について、厚生労働省は「原因は不明」としながらも、可能性として二つの要素を指摘する。一つは、昨年末から東南アジアで流行し、渡航機会の比較的多い20、30代がウイルスを持ち帰った可能性。もう一つは、2005年までは1回だけの予防接種だったため「免疫が不十分だった可能性がある」と結核感染症対策課は推測する。
》 LINEが4億ユーザー突破、4カ月で1億増、アメリカでも1000万に (techcrunch, 4/2)。着実に増えてます。
》 Appleの歩きスマホ対策発明について (栗原潔のIT弁理士日記, 4/1)
》 忘れてた、サポートが終了する Windows はまだあった (山市良のえぬなんとかわーるど, 4/2)。Windows Fundamentals for Legacy PCs。
》 Forefront/System Center Endpoint Protection からも終了のお知らせ (の予定) (山市良のえぬなんとかわーるど, 4/2)
》 【Windows XP、Office 2003 サポート終了まであと 6 日】あらためて、「使い続けるリスク」のまとめ (日本のセキュリティチーム, 4/3)
》 US Navy tests robotic fire-fighters (BBC, 4/2)。艦載の自律型ロボット消防士。
エジプト・カイロ大学付近で連続爆発、警官6人が死傷 (CNN, 4/3)
カイロの爆発事件(反響等) (中東の窓, 4/3)
関連か:
エジプト大統領選、5月26・27日に第1回投票 選管発表 (産経, 3/31)
シシ国防相がエジプト大統領選出馬を表明、当選は確実か (ニューズウィーク日本版, 3/27)
》 ワコールのWebサイトが改ざん被害、全面閉鎖状態が5日間続く (日経 IT Pro, 4/2)。今日も止まってます。
》 Windows Server 2012 にて WSUS のインストールに失敗する事象について (Japan WSUS Support Team Blog, 4/3)
》 WSUS 4.0 (Windows Server 2012) ポート番号変更について (Japan WSUS Support Team Blog, 4/3)
WSUS 3.0 SP2 までは既定のポートは 80 番であり、インストール中に変更可能でしたが、Windows Server 2012 にて WSUS 4.0をインストールすると、既定のポートは 8530 番となりインストール中に変更することは出来ません。
運用環境上、既定の 8530 番から 80 番へ変更する必要がある場合には、この手順をご活用ください。
》 HP Security Research Threat Intelligence Briefing episode 12 - The evolution of credit card crime (HP Security Research Blog, 4/2)
》 Reverse engineering NAND Flash for fun and profit (HP Security Research Blog, 3/19)
》 Snortから派生したネットワークパケット編集ツール「NetVI」が公開される (sourceforge.jp, 4/2)
NetVIがキャプチャしたパケットはvi風のエディタに表示され、そこでパケットを編集した後に送出できる。このエディタではviの編集および検索/置換、ナビゲーション、挿入および削除といった一般的なコマンドが利用できるという。
》 パーソナルデータに関する検討会 第6回会合 (3/27)。第三者機関に関して検討されたみたい。
個人情報保護法の権限などを第三者機関に移管、パーソナルデータ検討会で事務局案提示 (日経 IT Pro, 3/27)
パーソナルデータに関する検討会 決定等 (首相官邸)、第6回 パーソナルデータに関する検討会 議事次第・配付資料 (首相官邸)
》 Using FuzzDB for Testing Website Security (Mozilla Security Blog, 3/25)
Oracle Java Cloudサービスに脆弱性情報、セキュリティ企業が公開 (ITmedia, 2014.04.03)、SE-2013-01 Press Info (2) (Security Explorations, 2014.04.01)。PoC つき。
QiitaにXSS脆弱性 (Qiita, 2014.04.01)
Androidのカスタムパーミッションで顧客情報流出のおそれ (トレンドマイクロ セキュリティ blog, 2014.03.24)。 当該アプリのつくりがあれなだけだと思うけど、「トレンドマイクロでは、この脆弱性の危険にさらされているアプリケーションが約1万個あることを確認してい」るそうで。
「Galaxyシリーズ」にデータの閲覧・削除が可能なバックドアが発見される (2014.03.13)
サムスンのスマホに付いていたバックドア IoT時代に問われる説明責任 (日経 IT Pro, 2014.04.03)
》 JVNが脆弱性の深刻度評価尺度表示に国際標準の共通脆弱性評価システム(CVSS)を採用 (JPCERT/CC, 4/1)。独自方式から CVSS 2.0 に移行。
》 武雄市長他3名を虚偽有印公文書作成及び同行使の疑いで刑事告発 (サーバ管理者日誌, 4/2)
》 ひろゆきが2chを乗っ取られたことに対して民事訴訟をちらつかせ、新2chを立ち上げることを発表 (楽しくないブログ, 4/2)
Jimからすれば、書類上の権利と実際の権利を合わせただけである。これを乗っ取りというのであれば、2chの権利はそもそも全てひろゆきにあることを認めなければならない。だから今回ひろゆきは上記のような発言をし、2chの権利は全てひろゆきとパケットモンスター社にあることを認めたのだ。訴訟リスク回避のための行動を全て投げてまで2chの権利にしがみつくあたり、よほど美味しい汁を吸っていたものと思われる。だが、結局真正面から戦うと「書類上の権利」がJim側にあるという事実から、どうやっても勝つことはできない。だから新サイトを立ち上げて「俺が作るのが正しい2chだよ」と外野から騒ぐことしかできないのだ。本当に自分に権利があるのであればもっと堂々と戦えばいいのに、結局は自身に何の権利も無いので、それができないのである。
》 ハーグ条約 「国際結婚破綻」に限らず日本人同士にも (日本報道検証機構, 4/1)、国際的な子の奪取の民事上の側面に関する条約(ハーグ条約) (外務省)
》 Windows 8.1クロスロード:第9回 UEFIサポートとセキュアブート (@IT, 3/27)
》 中東でサイバー犯罪社会の成立を煽るシンプルな njRAT (シマンテック, 4/1)
》 @IT Security Live UP! 詳細レポート:セキュリティの達人が語るこれからの対策と課題 (@IT, 3/27)。大成建設さんの CSIRT の話出てた。
一般的なCSIRTの体制は、大きく分けると
- 専門の組織に専門の人材
- バーチャルな組織で、インシデント発生時に集結する
- 1人CSIRT
などが挙げられるだろう。大成建設はこのうち2番目の形態を取る。その名も「Taisei-SIRT」(以下、T-SIRT)だ。このバーチャル組織は6名で構成され、各運用チームのリーダーが集まることになる。これは指示を行ったときに末端まで届くよう、効率のいい運用を行うためのものだ。
T-SIRTは社内の仮想的な組織であるため、「言いたくても言えないこともある」脆弱性を持った組織になりがちだ。大成建設では組織内CSIRTとしての機能を担保するため、情報規定を2013年1月に改正。社内規定(第3階層に相当)にT-SIRTが有事/平時にすべきことを明示し、動きやすくしているという。
》 60台のHDD/SSDを一斉に上書き消去する専用装置 (日経 IT Pro, 4/1)。オリエントコンピュータ。EM-SE10、EM-SE60。
》 新型マルウェア、54%は対策ソフトで検知できず――NTTグループが分析 (ITmedia, 3/28)、 NTT Innovation Institute Announces the Availability of the 2014 Global Threat Intelligence Report (NTT Innovation Institute, 3/27)
Windows XP に対するサイバー脅威、および中小企業と個人消費者へのガイダンス (日本のセキュリティチーム, 4/2)
サポート切れまで残り1週間しかないWindows XPのシェアは依然高いことが判明 (gigazine, 4/2)
Windows XPの壁紙になった草原は現在はこんな感じになっている (gigazine, 4/2)
「 あなたのパソコンは4月9日以降、大丈夫? 」 〜 使用中パソコンの判別方法、乗り換えプランを紹介 〜 (IPA, 4/1)
42 days to go for XP - 8 tips if you aren't going to make it (Sophos, 4/1)。5/13 までの日数。
JVNDB-2014-001856: 複数の Allied Telesis ルータ製品における権限を取得される脆弱性 (JVN, 2014.04.02)、 [GTA-2014-01] - Allied Telesis AT-RG634A ADSL Broadband router hidden administrative unauthenticated webshell. (Full Disclosure ML, 2014.03.26)。AT-RG634A の他、AT-iMG624A、AT-iMG616LH、AT-iMG646BD の名が挙がっている。 隠しページ cli.html が存在し、 そこから無認証かつ管理者権限で CLI コマンドを実行できる。 CVE-2014-1982
[GTA-2014-01] によると、ファームウェアバージョン 3.8.05 で修正されているとの情報があるそうだ。しかし未確認と。
vendor reports that the version 3.8.05 of the firmware has already addressed this issue, but we where unable to test nor confirm this information.
SYM14-005: Security Advisories Relating to Symantec Products - Symantec LiveUpdate Administrator Unauthenticated/Unauthorized Account Access Modification and SQL injections (Symantec, 2014.03.27)。LiveUpdate Administrator 2.3.2.110 で修正されている。CVE-2014-1644 CVE-2014-1645
Safari 6.1.3、7.0.3 公開。WebKit のセキュリティ欠陥 27 件を修正。 内 15 件は Google Chrome Security Team から。 Pwn2Own でやられた件も修正されている。
佐村河内氏問題、「かなり特異なケース」-認定方法の変更には慎重意見、有識者検討会 (医療介護CBニュース / Yahoo, 3/26)
聴覚障害者:佐村河内氏問題で「誤解される」と会見 (毎日, 3/27)、 佐村河内氏の聞こえに関する問題についての声明 (東京都中途失聴・難聴者協会, 3/26)
新垣隆さんが大学講師退任 佐村河内さんの代作者 (産経, 4/1)、 お知らせ (桐朋学園大学, 3/28)
》 See new world――振り返るとセキュリティ・ダークナイトはいるよ(後編) (@IT, 3/31)
》 セキュリティ製品の検出をかわすテクニック横行、企業に多額の損害も (ITmedia, 4/1)。Advanced Evasion Techniques
》 インターネット定点観測レポート(2013年 10〜12月) (JPCERT/CC, 3/31)
Robbing ATMs by SMS: Not in the real world (ZDNet, 3/25)。 ATM への SMS 送信で現金を引き出すサイバー犯罪者の巧妙な手口 (シマンテック) の件。
For ATMs, why not Windows 8? (ZDNet, 3/27)
ATM of the future: No cards, no buttons (ZDNet, 3/31)
研究論文(STAP細胞)の疑義に関する調査報告について (理化学研究所, 4/1)
研究論文(STAP細胞)の疑義に関する調査報告について(その2) (理化学研究所, 4/1)
研究論文の疑義に関する調査報告書(全文) (理化学研究所, 4/1)
研究論文の疑義に関する調査報告書(スライド) (理化学研究所, 4/1)
小保方晴子研究ユニットリーダーコメント (理化学研究所, 4/1)
若山照彦山梨大学教授コメント/理研客員主管研究員コメント (理化学研究所, 4/1)
「小保方氏はねつ造・改ざんに当たる研究不正を行った」 理研の調査委が判断 (ITmedia, 4/1)
STAP細胞:理研「研究不正は小保方氏単独で」 (毎日, 4/1)
武器輸出:新たな「防衛装備移転三原則」決定 (毎日, 4/1)
防衛装備移転三原則を閣議決定 (NHK, 4/1)
武器輸出の新原則を閣議決定、歯止めに不安も (ロイター, 4/1)
まあ、今日からは武器もバリバリ売るふつうの国になります! というだけなんですが。F-35 ALGS の件 (平成25年版防衛白書第III部 3-4-4) みたいなのも大手を振って ok になると。
》 人工知能学会誌、Amazonで一般販売 表紙問題の特集記事をネット公開 (ITmedia, 4/1)
》 マックロソフト、延長サポート終了後のXPの壁紙「草原」を「焼け野原」に (窓の社, 4/1)
XPの延長サポートが終了する4月9日未明のWindous Updateで、XPデフォルトの壁紙である「草原」を焼き討ちして「焼け野原」へと差し替え、“XPは終わコン”感をビジュアルで演出する。
BGM: 「翔べ!ガンダム」。♪も、え、あ、が、れ〜もえあが〜れ〜燃え上が〜れ〜
また4月9日以降に「システムの復元」を実行すると、復元しすぎてWindous Meにまで戻ってしまう「システムの先祖返り」機能を実装。
な、なんと恐しい機能! メルモちゃんもびっくり。
日本の調査捕鯨 現状では認められない (NHK, 3/31)
国際司法裁判所は「大きな枠組みで見れば日本の調査捕鯨は科学的な調査だといえるものの、裁判所に示された証拠からは、調査の計画や実施方法が目的を達成するのに妥当なものではないと考える」と述べ (中略) このままの形で捕鯨の許可を与えることは、認められないとする判決を言い渡しました。
調査捕鯨という名の商業捕鯨モドキだからねえ。 妥当な判決でしょう。
国際司法裁判所は判決の中で、「鯨を殺すこと自体は条約違反ではない」としながらも、日本が捕獲するミンククジラの数が年間850頭前後に達していることなどをあげ、「調査の目的を達成するためには妥当な量とは言えない」と指摘しました。
さらに裁判所は「提出された証拠を見るかぎり、日本は殺さずに調査する可能性を十分に検討していない」として日本の姿勢を批判しました。
数が多過ぎる、はじめに殺しありきと。
日本政府 調査捕鯨の見直し検討へ (NHK, 4/1)
農水相 現行の調査捕鯨中止を表明 (NHK, 4/1)
調査捕鯨中止:「クジラ文化消えるのか」基地、広がる懸念 (毎日, 3/31)。正直、一時期の全国的な「食文化」についてはとっくに廃れてると思うし、 TPP 時代になればさらに廃れるでしょう。
調査捕鯨中止:政策見直し必至 消費者影響は限定的 (毎日, 3/31)
一方、商業捕鯨停止が長期化するなか、消費者の鯨肉離れも進んでいる。鯨肉は戦後の貴重なたんぱく源で、国内流通量は62年に約23万トンとピークをつけたが、2012年は5000トンに減少。このうち、北西太平洋の調査捕鯨が3割、輸入が2割を占め、南極海の調査捕鯨は992トンと全体の2割に過ぎない。ここ数年は消費の伸び悩みによる鯨肉在庫の増加が問題になったほか、IWCの商業捕鯨モラトリアムを受け入れず、商業捕鯨を行っているアイスランドやノルウェーからの輸入も可能なため、関係者の間では「南極海捕鯨の停止で鯨肉の供給量が不足する可能性は少ない」との見方もある。
鯨の街「食文化失う」 調査捕鯨中止命令に業界衝撃 (朝日, 3/31)。南極海の捕鯨がなくなったら失われる「文化」っていったい何なんだろう。沿岸伝統捕鯨で培われた文化は尊重すべきだと思うけど、南極海のはそれとは関係ないよね。
というか、日本政府としては、調査捕鯨をやめる理由ができて、実は超ハッピーなんじゃ?
》 開発者のためのセキュアガイダンス解説 (IPA, 3/31)。マニュアルの書き方。
》 SNSの裏で暗躍するネットストーカー、公開した写真で何が分かる (日経 IT Pro, 3/31)
》 モバイル端末を狙った不正アプリおよび高リスクアプリが200万を突破 (トレンドマイクロ セキュリティ blog, 4/1)
》 Caution: Malware pre-installed! (Kaspersky, 3/31)
》 ルートサーバへのIPv6アドレス追加が表面化させたIPv6インターネットの断絶 (Geek なぺーじ, 3/31)
米国のdns-operationsメーリングリストであるように、c.root-servers.netに対してIPv6で到達不能なネットワークが発生している主な原因は、Cogent社とHurricane Electric社が接続されていないためです。(中略) IPv6においてもIPv4と同様に、営利企業同士の競争がインターネットの断絶が発生するということが表面化した事例のひとつに過ぎません。
ではここで 1 曲、音楽をどうぞ。つボイノリオ「断絶の壁」。
》 インフルエンザ 依然患者多く注意を (NHK「かぶん」ブログ, 3/28)、 インフルエンザ流行レベルマップ (国立感染症研究所)。確かに警報レベルが続いてますね。