Last modified: Mon Mar 30 12:39:21 2015 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 個人情報を含むメール誤送信と対応について (龍谷大学, 10/30)
龍谷大学では、2014年10月23日(木)17時頃、10月25日(土)から2日間にわたり実施しました理工学部研究室公開の運営補助をおこなう本学学生アルバイトである理工学部および大学院理工学研究科の学生105名に対し、事務連絡をする際に、理工学部および大学院理工学研究科の学生2,634名分の個人情報(生年月日を除く、氏名、住所、電話番号、メールアドレスなど)を含んだメールを誤って送信しました。
うわー orz
どうしてそうなった……。
これを受け、本学では、学外への個人情報流出という事態を防ぐため、学生アルバイトに、個人情報を含む、誤送信したメールの削除を至急依頼し、2014年10月26日(日)午前に、すべての処理の完了を直接本人と対面して確認するとともに、2,634名の学生に対して、流出した個人情報の内容を通知しお詫びいたしました。
うーむ……。
10月30日(木)9時時点で、本件による本学学生の個人情報が第三者に流出したという情報や、不正利用された形跡は確認されておりません。
どうやって確認したんだろう。いや、確認されていないから何もしてなくてもいいのか?
再発防止策として、学生の重要な個人情報を扱っている本学としては、改めて全学的な観点から、個人情報の管理と運営に関する意識を高め、このような事案が再度発生しないよう学内情報管理体制や業務処理手順などを見直しながら、しっかりとした個人情報保護対策を構築していきます。
とりあえず何もしない、と…… orz
》 龍谷大学元教員の研究活動における不正行為について (龍谷大学, 10/31)。論文等からの盗用。龍谷大学時代だけでなく、「前任校 (京都府立大学)・前々任校 (神戸市外国語大学) 在職時にも同様の不正行為」ですか。
》 [続報]JALが情報漏洩問題で中間報告、4131件の流出が特定 (日経 IT Pro, 10/30)
》 クッキーは死んだ: ユーザベースのアトリビューションにしか未来はない (techcrunch, 10/31)
中原教育長のパワハラ発言全文 (【堺からのアピール】教育基本条例を撤回せよ, 10/30)
大阪府教委:教育長が委員に「パワハラ」 知事へ進退伺 (毎日, 10/30)
橋下氏の“盟友” 大阪府教育長「続けさせて」 高圧的発言は反省 (産経, 10/30)
松井知事、女性教育委員に〝辞職勧告〟 橋下市長の〝盟友〟教育長の高圧発言問題で (産経, 10/30)。パワハラ男を全力擁護。
中原氏は橋下徹大阪市長の大学時代からの友人で、橋下氏が府知事時代に公募で府立高校の校長に採用。平成25年4月から松井知事の任命で教育長に就任した。
類友か……。
「最後まで部下の話を聞いて」 “橋下市長の盟友”府教育長に部下からもダメ出し (産経, 10/30)
「職務全うして」女性教育委員に〝辞職勧告〟した松井知事が方針転換? 教育長高圧発言問題 (産経, 10/30)
》 福島の土壌が僅かなセシウムの取り込みにより多量のセシウムを呼び込むメカニズムを解明 (KEK, 10/31)。粘土鉱物「バーミキュライト」。
「SIMロック解除に関するガイドライン」の改正案に対する意見募集 (総務省, 10/31)、「SIMロック解除に関するガイドライン」(改正案) (総務省, 10/31)
平成27年5月1日以降新たに発売される端末について適用
「新たに発売」であって「新たに販売」ではないので注意。夏モデルから、ということになるのかな。
☪常岡浩介☪ @shamilsh さんのツイート:
06年には(無能な警視庁とメディアによって)犯罪扱いされ、冤罪逮捕者まで出したSIMロック解除が今や義務。おまいらL&K社長に死んで詫びろ RT @nhk_news SIMロック解除 来年5月から義務づけ http://t.co/p8GA3nHwdE #nhk_news
— ☪常岡浩介☪ (@shamilsh) 2014, 10月 31
当時の警視庁の無能っぷりはこちら http://t.co/SGQAt2gPzA
:06年には(無能な警視庁とメディアによって)犯罪扱いされ、冤罪逮捕者まで出したSIMロック解除が今や義務。おまいらL&K社長に死んで詫びろ RT http://t.co/p8GA3nHwdE
— ☪常岡浩介☪ (@shamilsh) 2014, 10月 31
ChangeLog: version 2.10.10 (10/22/2014) (pidgin)。5 件のセキュリティ欠陥が修正されている。
JVNDB-2014-005129: Pidgin の libpurple 内の Novell GroupWise プロトコルプラグインの nmevent.c におけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2014.10.30)。CVE-2014-3696
JVNDB-2014-005128: Pidgin の libpurple 内の Jabber プロトコルプラグインの jutil.c における重要な情報を取得される脆弱性 (JVN, 2014.10.30)。CVE-2014-3698
JVNDB-2014-005127: Pidgin の win32/untar.c 内の untar_block 関数の nmevent.c における絶対パストラバーサルの脆弱性 (JVN, 2014.10.30)。CVE-2014-3697
JVNDB-2014-005126: Pidgin の libpurple 内の MXit プロトコルプラグインの markup.c におけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2014.10.30)。CVE-2014-3695
JVNDB-2014-005125: Pidgin の libpurple にバンドルされている GnuTLS SSL/TLS および OpenSSL SSL/TLS プラグインにおけるサーバになりすまされる脆弱性 (JVN, 2014.10.30)。CVE-2014-3694
》 プロパブリカ、赤十字のハリケーン被災者支援のずさんさ暴く 「救援物資を廃棄」「性犯罪者野放し」 (ハフィントンポスト, 10/29)。 2012 年の ハリケーン「アイザック」、 ハリケーン「サンディ」 への US 赤十字の対応がひどいものだった模様。
》 Tカードの個人情報提供方針が11月より変更、オプトアウト受付も開始 (slashdot.jp, 10/29)。関連:
T会員規約改訂のお知らせ(2014年11月1日) (CCC)
T会員規約の解説(2014年11月1日) (CCC)
個人情報提供の停止 手続きガイド (CCC)
※新たに提供先が追加された場合、停止を希望される場合は、再度、お手続きいただく必要があります。
ハァ〜?! なんじゃそりゃーーーーーーーー!!!!!!!!!!!!!!!!!!!
解約(退会)には、少なくとも392円+コピー代がかかります (slashdot.jp, 10/29)
CCC は「ISMS認証」を取得していない模様 (slashdot.jp, 10/29)
TポイントのオプトアウトをYahoo! JAPAN IDなしで行う方法 (klimの独り言, 10/30)。 Tサイトトップページから [ログイン] https://tsite.jp/tm/pc/login/STKIp0001001.do を選択すると Yahoo! JAPAN ID 一択のログインページが現れるのだが、 Q. T会員ネットサービス登録解除(退会)したいのですが (T サイト) からたどれる [こちら] https://tsite.jp/tm/pc/accounts/STKIp0801001.do?MOVE_ID=yhyCo4eg8T6%2BoUYbbAWY%2FA%3D%3D&ST_SITE_ID=JjbOv0%2Fj5tf0nSZvXI7iqg%3D%3D を使うと、Yahoo! JAPAN ID の他に「T カード番号・メールアドレスでのログイン」もできるページが現れる、という話。
》 代々木公園 31日から再開へ (NHK, 10/30)。明日から。「9月下旬以降はウイルスを持つ蚊が見つかっていないことや、気温が下がり蚊の活動時期が過ぎたことなどからウイルスを持つ蚊は死滅したと考えられる」
》 朝日を笑えぬ読売新聞 ― 「吉田調書」が明かした原発誤報に頬被り お粗末誤報対応の数々 (Hunter, 10/29)
》 【追記あり】百田尚樹NHK経営委員が「エボラ対策で民主党が審議拒否」とのデマを拡散 (buzzap, 10/29)
関連: 百田尚樹さんの 10/29 22:55 のツイート:
先日「民主党がエボラに関する審議をストップさせている」とツイートしたが、厳密に言うと私の勇み足のツイートであったようだ。しかし、それ以外の重要な審議が遅らせたりストップしている状況は、エボラに関する法案に影響が出ると思われる。
http://t.co/ZjKvbmLwAr
— 百田尚樹 (@hyakutanaoki) 2014, 10月 29
「厳密に言うと」ですか……。素直に訂正すればいいだけなのに、こんな枕詞が必要な方なのですね。 人間は誰でも間違えることがあるのですから、間違いは積極的に訂正しませう。
》 欧州上空に続々ロシア軍機=「異常」と批判-NATO (時事, 10/30)。関連:
German Typhoons have intercepted 7 Russian Air Force combat planes over the Baltic Sea today (The Aviationist, 10/28)
NATO worried by an “unusual level of Russian air activity over European airspace”: 19 warplanes intercepted today (The Aviationist, 10/29)
NATO jets track 'unusual' Russian bomber sorties (Reuters, 10/29)
》 イタズラ電話? 911にかかってきた「ピザの配達をお願いします」という電話が迎える意外すぎる結末 (ロケットニュース 24, 10/28)
オペレーター 「誰かがそこにいるから、正直な話ができないの?」
こういう可能性に備えなければならない立ち位置なのだなあ。
木工用ボンドで ok だそうです。
Chrome、SSL 3.0 やめるってよ (2014.10.15)
IE も SSL 3.0 やめるってよ。
マイクロソフト セキュリティ アドバイザリ 3009008: SSL 3.0 の脆弱性により、情報漏えいが起こる (Microsoft, 2014.10.30 改訂)
マイクロソフトは、今後数か月間の間に、Internet Explorer の既定設定、およびマイクロソフト オンラインサービスで SSL 3.0 が無効になることをお知らせします。マイクロソフトは、お客様が、クライアントおよびサービスを TLS 1.0、TLS 1.1、あるいはTLS 1.2 などのより安全なセキュリティ プロトコルに移行することを推奨します。
IE の SSL 3.0 無効化を設定するための Fix it も公開されました。 KB 3009008 参照。
あと、SA 3009008 では Windows のサーバソフト全体・クライアントソフト全体の SSL 3.0 を無効化する方法も明記されました。
[回避策まとめ] セキュリティ アドバイザリ 3009008「SSL 3.0 の脆弱性により、情報漏えいが起こる」を公開 その2 (日本のセキュリティチーム, 2014.10.30)
2014 年 12 月 1 日より、Azure および Office 365 にて、SSL 3.0 を無効化します。これにより、Azure および Office 365 を利用するクライアント端末およびブラウザーは、TLS1.0 以上を有効化し、接続を行う必要がります。現時点では、サービス側への接続分析より、SSL 3.0 を利用した接続は少数であることが判明しています。Azure および Office 365 をご利用のお客様は、2014 年 11 月 30 日までに、TLS 1.0 以上を有効化してください。
》 OSSコラム 安らかな夜を迎えるために > 第7回「 sosreport ノススメ」 (NTT データ先端技術)、 第7回「 sosreport ノススメ」が掲載されました。 (熊猫さくらのブログ, 10/28)
》 ブリタニーさんの報道から日本を想う 「死の権利・世界連合大会」 (長尾和宏 / 朝日, 10/29)。米29歳女性をめぐる「安楽死」大論争:「尊厳をもって生きる」こと (ハフィントンポスト, 10/24) の件。
ブリタニーさんの一連の報道を見ていていちばん思うのは、
欧米ではたとえ意見が真反対であっても、真摯な議論をしていることです。
それに対して、日本では議論そのものが封殺されています。
国会の場、議員会館の場、法曹界の場、宗教界の場、医療界の場、
すべてにおいて、議論にさせないことが「正義」になっています。
そしてなにより、メディアがそれを封殺したり大きく歪めてきました。
》 パソナ竹中平蔵氏肝いりの労働者派遣法の規制緩和を許していいのか (渡辺輝人 / Yahoo, 10/29)
》 マイクロソフト サポート診断パッケージについて (Ask CORE, 10/29)。Portable_Diagnostic.exe
》 Wikileaksが暴露したTPP知財条文案−著作権保護期間はどうなっているのか (栗原潔のIT弁理士日記, 10/21)
》 小保方さんのSTAP国際出願がまさかの国内移行 (栗原潔のIT弁理士日記, 10/26)、 【速報】STAP細胞国際出願、米国への国内移行が判明 (栗原潔のIT弁理士日記, 10/29)
》 アップルを訴えた島野製作所が武器にした特許とは (栗原潔のIT弁理士日記, 10/29)
》 中山『著作権法』第2版必読です (栗原潔のIT弁理士日記, 10/28)
》 「教徒」だからといって信心深いとは限らない (ワールド&インテリジェンス, 10/29)
それと、これはイスラムの問題ばかりでなく、中東社会の問題という面もあるのですが、性の抑圧もそうですね。まあそれでもキリスト教徒の町ではそれほど抑圧的でもないことが多いので、イスラムのほうが顕著ではありますが。
なので、イスラム教徒には、30代で童貞などという方が、普通にたくさんいらっしゃいます。これは馬鹿にしているのではなく、社会的環境の問題なので、可哀相だなと思うのですが、それで性に対する欲求不満がもの凄く強いわけです。なので、イスラム社会では痴漢がもの凄く多くいます。イスラム社会では家族の女性をあまり人前に出さなかったりといったこともあるのですが、それは男たち全員がエロい視線で見ることを知っているからということもあります。イスラムの戒律のせいにしていますが。
うーむ、そうなのか……。
》 上半期のネットバンキング被害は1166件・17億1400万円(金融庁) (so-net セキュリティ通信, 10/28)
》 世界一ゲイフレンドリーな場所はどこ? ロンリープラネットがゲイ向け旅行先ベスト10発表 (石壁に百合の花咲く, 10/29)
》 第29回まっちゃ139勉強会。「不正アクセス禁止法について」。 2014.12.13、大阪府大阪市、一般1000円・学生無料。
》 「情報セキュリティ対策ベンチマーク バージョン4.3」と「診断の基礎データの統計情報」を公開 (IPA, 10/27)
》 セキュリティテスト「ファジング」入門セミナー開催のご案内 (IPA, 10/28)。2014.11.11、東京都文京区、1000円。
》 EMCジャパン、企業内セキュリティセンター運用向けサービス提供 (日経 IT Pro, 10/28)。RSA Advanced SOC。
》 インターネット定点観測レポート(2014年 7〜9月) (JPCERT/CC, 10/28)
》 東京五輪のセキュリティーは大丈夫? カスペルスキー来日講演 (ascii.jp, 10/28)、ソチのサイバー担当「東京五輪も警戒を」 (NHK「かぶん」ブログ, 10/28)。 【講演】ソチ2014から東京2020、情報セキュリティの現在(いま)と未来(10/28開催) (Kaspersky) の件。
》 1号機のカバー 解体に向けた作業へ (NHK「かぶん」ブログ, 10/22)、 原発の建屋カバー 強風で破れる (NHK「かぶん」ブログ, 10/28)
》 北朝鮮:潜水艦発射型弾道ミサイル(SLBM)の発射試験施設を建設 (海国防衛ジャーナル, 10/29)
》 アンタレス・ロケットが打上直後に発火して墜落・大爆発したムービー集 (gigazine, 10/29)
》 パワコン不要の太陽光、「交流」でつなぐ蓄電池 (ITmedia, 10/28)。マイクロインバーター。太陽光発電から、さらに蓄電池へ。
関連: 分散型電力貯蔵システム分野で Enphase Energy 社と提携 (エリーパワー, 10/22)
》 産経新聞の健康情報サイトにフィッシング詐欺ページがたくさん (無題な濃いログ, 10/28)
一類感染症の治療に関する専門家会議 (厚生労働省)。10/24 に開催。 資料、結果概要。
資料5 エボラ出血熱に使用することが検討されている主な未承認の治療薬・ワクチン (厚生労働省)。まっとうな在庫があるのは富山化学工業の抗ウイルス薬 T-705 (ファビピラビル、商品名アビガン。RNA ポリメラーゼ阻害薬) だけのようだなあ。他は開発中の薬だから仕方ないのだが。
資料6 ファビピラビル錠添付文書・論文概要 (厚生労働省)。今のところ、Zaire 株でのマウス試験しかされてないのか。
もし流行国に渡航し帰国した後、1か月程度の間に、発熱した場合には、万一の場合を疑い、 地域の医療機関を受診することは控えていただき、まず、保健所に連絡をし、その指示に従ってください。 (塩崎恭久厚生労働大臣からエボラ出血熱に関するメッセージ)
リベリア滞在の男性 エボラウイルス検出されず (NHK「かぶん」ブログ, 10/28)、感染疑いの男性をどう確認? (NHK「かぶん」ブログ, 10/28)
》 東京国際映画祭の広告コピーが物議 映画人から不満続々「最低だ」「恥ずかしい」 (J-CAST, 10/28)。こういうコピーをつけるのなら、「国際」の文字は外すべきであろ。「うん国際」なら認める。
今年のTIFFは総合プロデューサーに秋元康さんを迎え (中略) オープニングセレモニーには安倍晋三首相が登場するなど
このメンツにしてこのコピー、ということか。
》 悪質バイラルメディアにはどう対処すべき? BUZZNEWSをフルボッコにしてみた (スマホの川流れ, 10/28)
そんな感じでこの「ゴシップぱんだ」を訴えよう、と思ったのですが、運営元を調べてみると、なんと前述のBUZZNEWSを運営するWebTechAsiaと住所が同じでした。
(中略)
「お前ら仲間かこらーーーー!」
こんなんばっかなんですかね……。関連:
一部報道について (BUZZNEWS, 10/28)
BUZZNEWSが記事の盗用で謝罪、和解金支払いへ 悪質バイラルメディアを追い詰めたライターの執念と戦略とは (ねとらぼ, 10/28)
バイラルメディア「BUZZNEWS」、記事の剽窃・盗用で訴えられる(追記あり) (やまもといちろう Blog, 10/29)
》 【悲報】Twitterの転載許可が得られなかったバリウム速報が斬新な強行手段に出る (netgeek, 10/26)。これはひどい。
なおこの後、バリ速管理人は抗議したおおやけさんをブロックしたとのことで、やはりわざとやったものと思われる。
うへえ。関連:
まとめブログが転載拒否されたのに転載を強行!その手口がひどい (NAVER まとめ, 10/27)
硝酸速報(元バリウム速報)。バリウム速報は消滅したが、すぐさま別のものを立ちあげ。反省という概念はなさそうだな……。
》 【速報】ベトナムの最大バイラルメディアHaivlが政府の圧力を受けて永久閉鎖!これが社会主義国だ!!! (netgeek, 10/28)
JVNVU#98581917: GNU Wget にシンボリックリンクの扱いに関する問題 (JVN, 2014.10.29)。デフォルトでは「FTP サーバからの再帰的ダウンロード時に、サーバ側のシンボリックリンクに対応してローカル側にシンボリックリンクを作成」するそうで。CVE-2014-4877
GNU wget 1.16 released (GNU Project, 2014.10.27)。再帰的ダウンロード時にはシンボリックリンクの指し先をダウンロードするよう、デフォルト動作が変更された。
WordPressのプラグインCP Multi View Event CalendarにSQLインジェクション脆弱性 (徳丸浩のtumblr, 2014.10.28)
Wordpress CP Multi View Event Calendar 1.01 - SQL Injection (exploit-db.com, 2014.10.27)。これかな。
とりあえず、使用を停止するのが吉のようです。
Ruby 2.1系、2.0系、1.9系の最新版登場 (マイナビニュース, 2014.10.29)。Ruby 2.1.4, Ruby 2.0.0-p594, Ruby 1.9.3-p550。セキュリティ修正あり。
0002456: XSS Vulnerability (cacti)。Cacti 0.8.8b (最新) に XSS 欠陥 CVE-2014-5025 CVE-2014-5026。SVN 上では修正されている。また patch が示されている。
Protect Your Turbo NAS from Malware – Malware Remover (QNAP, 2014.10.17)。Shellshock でヤラレたあとに植え付けられた backdoor を削除するツール。関連: The Shellshock Aftershock for NAS Administrators (FireEye, 2014.10.01)
BlackEnergy / Sandworm の件。
NCCIC/ICS-CERT has identified a sophisticated malware campaign that has compromised numerous industrial control systems (ICSs) environments using a variant of the BlackEnergy malware. Analysis indicates that this campaign has been ongoing since at least 2011. Multiple companies working with ICS-CERT have identified the malware on Internet-connected human-machine interfaces (HMIs). (中略) ICS-CERT has determined that users of HMI products from various vendors have been targeted in this campaign, including GE Cimplicity, Advantech/Broadwin WebAccess, and Siemens WinCC.
(中略)
In addition, public reports[b],[c] reference a BlackEnergy-based campaign against a variety of overseas targets leveraging vulnerability CVE-2014-4114[d] (affecting Microsoft Windows and Windows Server 2008 and 2012).
関連:
サイバー攻撃「Sandworm」が「Blacken」へ誘導。産業制御システムが標的? (トレンドマイクロ セキュリティ blog, 2014.10.17)
UPDATE on Sandworm Team Targeting SCADA Systems (iSIGHT Partners, 2014.10.21)
エフセキュア、標的型攻撃のクライムウェア’BlackEnergy’に関するホワイトペーパーをリリース (エフセキュアブログ, 2014.10.02)
》 「L型大学って何!?」文部科学省が大学を職業訓練校化しようとしていたことが発覚し、ネット大炎上 (NAVER まとめ, 10/24)、 #L型大学で学ぶべき内容 まとめ (togetter, 10/27)
》 昨夜の上山信一顧問とのやりとりのまとめ (togetter, 10/27)。安定の大阪市行政クオリティ。
》 【嵐ライブ】ジャニーズ事務所が転売チケットを無効、再抽選!でも、行けなくなったらどうすれば…? (NAVER まとめ, 10/28)。「チケットキャンプ」や「ヤフオク!」のは無効になってるのに「チケットストリート」はそうではないと。
Advisory 01/2014: Drupal - pre Auth SQL Injection Vulnerability (2014.10.16)
Drupalの脆弱性情報と対応方法 (さくらのナレッジ, 2014.10.27)
Chrome、SSL 3.0 やめるってよ (2014.10.15)
関連:
POODLE攻撃について本当にTLSv1.0なら安全なのか? (自堕落な技術者の日記, 2014.10.25)
(続き1)POODLE攻撃について本当にTLSv1.0なら安全なのか?(OpenSSLは安全) (自堕落な技術者の日記, 2014.10.26)
》 【閲覧注意】武雄市樋渡市長のマウンティング (togetter, 2/8)
》 オススメ本:『大国政治の悲劇 改訂版』 (海国防衛ジャーナル, 10/27)
》 「LINE」から「Skype」へ、広がる電子マネー購入詐欺 (so-net セキュリティ通信, 10/27)
iTunes Storeの音楽ダウンロード販売が2014年に入って急減 (日経 IT Pro, 10/27)
やっぱり、AppleはBeats Musicを畳んでiTunesに吸収する (techcrunch, 10/27)
Beatsの買収が正式になる前に私が書いたように、iTunesの幹部がBeats Musicを買いたがったのは、彼らも音楽ダウンロードが急降下していることを知っていて、ストリーミングに美しく移行する方法が必要だったからだ。そして驚くなかれWSJはこう書いている、「Apple Inc.におけるデジタル音楽の売上は、本件に詳しい筋によると、今年に入ってから13〜14%減少しており、音楽業界の早期景気回復の難しさを浮き彫りにしている」。
》 Swiftでの文字列比較におけるUnicode正規化を巡る注意点 (Qiita, 10/27)。 「厳密な文字列比較を行うには NSString にキャストすべき」
》 【コラム 江川紹子】藤井美濃加茂市長収賄容疑事件:俄然「やる気」の裁判長、またもや検察の権威失墜か (さくらフィナンシャルニュース, 10/27)。いよいよ佳境のようです。
エボラ出血熱の国内発生を想定した行政機関における基本的な対応について(依頼) (厚生労働省, 10/24)。現時点での標準対応フロー。
エボラ対策、日本異例の「全員確認」 流行国からの入国 (朝日, 10/25)
国立感染研 エボラ出血熱の検査施設公開 (NHK「かぶん」ブログ, 10/24)。BSL-4 の能力がありますが、今のところは BSL-3 です。
エボラ出血熱 現地派遣の医師研修会 (NHK「かぶん」ブログ, 10/26)
くらし☆解説 「エボラ出血熱と日本」 (NHK 解説委員室, 10/22)
エボラ接触者に隔離を強制しない理由 (ナショナルジオグラフィック ニュース, 10/23)
(風 メリーランドから)エボラ出血熱 アメリカを覆う恐怖と政争 山脇岳志 (朝日, 10/26)
エボラ熱感染のNY医師 「深刻だが安定した状態」 (ウォール・ストリート・ジャーナル日本版, 10/27)
エボラ熱対策、NJ州知事が医療関係者の強制隔離を擁護 (ウォール・ストリート・ジャーナル日本版, 10/27)
エボラ患者と接触の入国者を強制隔離 NYなど2州発表 (朝日, 10/25)、 米2州のエボラ対策が波紋 隔離の看護師「囚人のよう」 (朝日, 10/26)
富士フイルムが米ワクチン受託製造会社を買収、エボラにも対応 (ロイター, 10/27)
大量のエボラワクチン、2015年半ばまでに利用可能に WHO (AFPBB, 10/25)
"流行地から海外へ 毎月3人ほど" (NHK「かぶん」ブログ, 10/27)
》 ここに注目! 「インドネシアの新大統領」 (NHK 解説委員室, 10/17)。ジョコ・ウィドド氏。
》 視点・論点 「アフガニスタン 新政権の課題」 (NHK 解説委員室, 10/16)。アシュラフ・ガニ政権。
》 ここに注目! 「チュニジア選挙 アラブの民主化は?」 (NHK 解説委員室, 10/24)
》 モロッコの対テロ警戒体制 (中東の窓, 10/26)
》 北シナイの非常事態宣言(エジプト) (中東の窓, 10/25)
》 AVTOKYO2014、 AVKansai2014。 2014.11.15。
》 匿名化機能付き(Tor内蔵)ルーターの顛末について (栗原潔のIT弁理士日記, 10/24)
ありものの中国製ホワイトボックスのハードウェアに独自のファームを搭載していただけなのにハードも独自開発であると主張していた点がKickstarterの規約に触れて問題とされたようです
》 ポーランド憲法記念日パレードの「女子×甲冑×有翼×おさげ」という新ジャンルに魅入られる人続出! (オレ的ゲーム速報@刃, 10/25)
GNU binutils の strings は、多くの Linux ディストリで /usr/bin/strings としてインストールされている。GNU binutils の strings には libbfd がリンクされていて、デフォルトではこれを使った処理が行われる。この処理に欠陥があり、攻略ファイルに対して strings を実行すると任意のコードを実行される。CVE-2014-8485 (typo fixed: iida さん感謝)
回避するには、strings に -a オプションをつけて実行する。
エボラ出血熱 二次感染防ぐための講習会 (NHK「かぶん」ブログ, 10/22)
日本企業のエボラ薬 仏が臨床試験へ (NHK「かぶん」ブログ, 10/21)。富山化学工業の抗ウイルス薬 T-705 (ファビピラビル、商品名アビガン。RNA ポリメラーゼ阻害薬) の件。 「来月中旬から」「ギニア南部の治療施設で」phase 1 がはじまるようです。
エボラ流行国からの全帰国者 健康状態の報告義務化 (NHK「かぶん」ブログ, 10/21)
》 ALPS 初の全系統同時稼働 (NHK「かぶん」ブログ, 10/23)。「(既設)多核種除去設備」「増設多核種除去設備」「高性能多核種除去設備」の 3 つ。後 2 つはホット試験中。
関連: 福島第一原子力発電所 高性能多核種除去設備ホット試験開始について (東電, 10/17)
》 ブラックボックスを持ち運ぶ必要はない (エフセキュアブログ, 10/23)
コミー氏の発言を、普通の、分かりやすい言葉に直してみましょう。コミー氏が言ったことの本当の意味はこうです。
「FBI長官、ジェームズ・コミーは、世界中の一人ひとりが追跡デバイスを常時携帯することを望む。このデバイスは所有者の通信内容を収集し、データが保存されているクラウドサービスに通じるものである。追跡デバイスの中身は、要請に応じて米国当局に提出されることになる。これにより人々のセキュリティが侵害されようが我々には関係ない。また、我々の目的は所有者のプライバシーよりも重要であるため、所有者もこの問題について関心を持つべきではない。」
》 iOS 8配信におけるApple独自CDN活用範囲 (Geek なぺーじ, 10/24)
》 第8回「ストーカー行為等の規制等の在り方に関する有識者検討会」 (警視庁, 10/24)
》 平成26年上半期の「インターネット・ホットラインセンター」の運用状況等について (警視庁, 10/23)
》 第3四半期のウイルス・不正アクセス届出状況〜パスワード管理に注意(IPA) (so-net セキュリティ通信, 10/24)
》 「情報セキュリティ国際キャンペーン」開催中(NISC) (so-net セキュリティ通信, 10/22)
》 ランサムウェア「TorrentLocker」の攻撃を確認、およそ4,000の機関や企業で被害 (トレンドマイクロ セキュリティ blog, 10/24)
》 短時間でも強力な分散サービス拒否(DDoS)攻撃 (シマンテック, 10/23)
》 100Gbps超のDDoS攻撃頻発、大規模化の様相に (ITmedia, 10/24)、 Akamai PLXsert's Q3 2014 State of the Internet - Security Report Released (Akamai, 10/23)
》 NECネッツエスアイ子会社の元経理部員逮捕、8年にわたって18億円着服か (日経 IT Pro, 10/23)
》 米アラスカ州&ワイオミング州で同性婚始まる (石壁に百合の花咲く, 10/24)
》 2ch.sc対策として裁判を起こすのは無意味 (楽しくないブログ, 10/23)
》 グーグル、検索結果122件ほぼ削除 地裁決定に従う (朝日, 10/23)。逆に言うと、それ以上のことはしなかった。 EU での状況とは異なるので注意。
》 特攻70年:「特攻は日本の恥部、美化は怖い」 保阪正康さんインタビュー (毎日, 10/24)
特攻は日本の恥部です。命を慈しむ日本の文化や伝統に反することです。命中率99%であったとしても、だめなんです。志願を建前としていましたが、実際には強制でした。本人が望んでいない死を要求し、死なせる。こんなものは軍事ではない。国家のため、大義のためという、自己陶酔でしかない。戦争とは人の生死をやり取りする闘争です。ロマンなどないんです。(中略)
「特攻隊員は我々である」との視点が必要です。あの時代に生きていれば、あの時代が繰り返されれば、自分も特攻隊員になるかもしれない。特攻を考える時、必要なのは同情ではなく、連帯感です。隊員の苦衷、苦悶(くもん)が分かれば、美化することなどできないはずです。「特攻で死んだ人に失礼ではないか」「彼らのおかげで今の日本がある」などと言ってくる人がいます。どうして、そんな軽々なことを言えるのか。特攻を命じた指揮官たちと変わりませんよ。
戦争指導部が間抜けなせいで生じた、壮大な無駄死にだからなあ。
》 この記事はまずいくらSNSでシェアされてもGunosyには掲載されないだろうな。Gunosyのiemoのバイラル記事がウザすぎる件。 (鈴木です。, 10/22)、 やっぱりGunosyは自社に不都合な記事は掲載しなかった (鈴木です。, 10/23)
》 香港紙:民主派の「リンゴ日報」に妨害 (毎日, 10/23)
》 カナダの銃乱射事件「犠牲となった警備兵と少し前に記念撮影をしていた…」海外掲示板投稿された写真 (らばQ, 10/24)
》 デザインがストパン監督なんだけど…… 防衛大開校記念祭のオリジナル萌えキャラが本気すぎる! (ねとらぼ, 10/23)。陸自はやっぱりそういうキャラですかそうですか。
》 日本の中小企業が訴えたアップルの“横暴”の内幕 (週刊ダイヤモンド, 10/24)
アップルは自社工場を持たないが、取引先工場に融資や投資をして、そこで培った知的財産を両社共有にすることで独自技術を掌握してきた。一方で、電子部品に強い日本企業の一部は、モノづくりの技術的ハードルの“解決策”を、率先してアップルへ提供してきた。
しかし、その技術やノウハウが、アップルを通じてアジアなどの他サプライヤーに流出し、肝心の受注段階で彼らとのコスト勝負に引きずり込まれたとみられる事態が起きていた。水面下では、そんなことの繰り返しに嫌気がさしている企業も出ていたわけだ。
ひでえ。
》 財務省に異議あり いじめ認知増で35人学級から40人学級へ? データの誤読、正反対の結論 (内田良 / Yahoo, 10/24)。35 人学級となり、これまで見逃していたいじめを見つけることができるようになった結果、財務省に「いじめは増加し、暴力行為も微増した」とコメントされる始末。ひでえ。
》 OS X YosemiteのSpotlightがAppleやMicrosoftにデータを送信しているのがよく分かる動画と、それを止めるシステム環境設定とSafariの設定。 (Apple ちゃんねる, 10/23)、 アップル、「Spotlight」のデータ収集ポリシーを説明 (CNET, 10/22)
》 謎に包まれた米空軍の宇宙往還機X-37B - その虚構と真実 (マイナビニュース, 10/21)
》 Windows 8からWindows 8.1への強制アップデートが行われている? (slashdot.jp, 10/23)、 問題のWindows Updateはこちら (slashdot.jp, 10/23)。自動更新が有効で、2871389 をインストール済の環境に 2973544 をインストールすると 8.1 に自動更新されると。
この更新プログラム (小島注: 2973544) は以前リリースされた更新プログラム 2885699 を置き換えます。
去年のポップアップ開始の時点では KB2885699 [microsoft.com]を入れなければ大丈夫、という話だったので、 皆さんあっというまに対処して無効化して安心してたと思います。
VMSA-2014-0011: VMware vSphere Data Protection product update addresses a critical information disclosure vulnerability. (VMware, 2014.10.22)。vSphere Data Protection 5.5.7 未満に影響。
PHP 5.6系、5.5系、5.4系最新版登場 (マイナビニュース, 2014.10.20)。 CVE-2014-3668 CVE-2014-3669 CVE-2014-3670
PMASA-2014-12: XSS vulnerabilities in SQL debug output and server monitor page. (phpMyAdmin, 2014.10.21)。phpMyAdmin 4.0.10.5, 4.1.14.6, 4.2.10.1 で修正されている。CVE-2014-8326
Apache HTTP Server のサービス運用妨害の脆弱性(CVE-2011-3192)に関する「GIGAPOD製品シリーズ」の対応状況 (トライポッドワークス, 2014.10.15)。CVE-2011-3192 の件 への対応ですか……
JVNDB-2014-004843: Apache HTTP Server の mod_cache モジュールにおけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2014.10.20)。Apache 2.4.x の欠陥、ということでいいのかな。 SVN 上では修正されている。CVE-2014-3581
JVNDB-2014-004962: Panasonic Network Camera View における任意のコードを実行される脆弱性 (JVN, 2014.10.24)。CVE-2014-8755
JVNDB-2014-004963: Panasonic Network Camera Recorder の NcrCtl4.NcrNet.1 コントロールにおける任意のコードを実行される脆弱性 (JVN, 2014.10.24)。CVE-2014-8756
修正版が用意されている。
JVNVU#99291862: 複数の NAT-PMP デバイスが WAN 側から操作可能な問題 (JVN, 2014.10.24)
インターネット上に、(WAN 側からの) リクエストに対して応答するNAT-PMP デバイスが大量に存在することが報告されています。報告者のレポートでは、NAT-PMP の実装 miniupnpd を使った製品における実装上の不具合や使用時の不適切な設定が、原因のひとつとして考えられると記載されています。
なお、miniupnpd バージョン 1.8.20141022 では、NAT-PMP パケットを WAN 側インターフェースから受信した場合にはこれを破棄するように更新されています。また、設定ファイル miniupnpd.conf には、より適切な設定を促すコメントが追加されています。
Vulnerability Note VU#184540: Incorrect implementation of NAT-PMP in multiple devices (CERT, 2014.10.23)
JVN#27388160: Android 版 「スマ保」における SSL/TLS サーバ証明書の検証不備の脆弱性 (JVN, 2014.10.23)
》 電話番号確認方式のユーザ認証をTwitterがデベロッパサービス(一種のAPIスイート)Digitsとして提供 (techcrunch, 10/23)
》 Amazon AWSがエンタプライズ向けディレクトリサービスAWS Directory Serviceを開始 (techcrunch, 10/23)
》 Apple渾身の決済サービス「Apple Pay」でバグ多発&二重課金も発生 (gigazine, 10/23)
》 1GB転送するごとに税金を払わせる法律が実現に向けて進行中 (gigazine, 10/23)。ハンガリーで。
北星学園大脅迫:北信越の男捜査へ 元朝日記者退職求める (毎日, 10/23)
北星学園大脅迫:新潟の60代男聴取 元朝日記者退職要求 (毎日, 10/23)
北星学園大脅迫:新潟の64歳男逮捕 元朝日記者退職要求 (毎日, 10/23)
》 その男、宮沢洋一 (経済産業大臣、参議院議員 (広島県選挙区))
SM バーに政治資金
SMバーに「宮沢会」政治活動費 経産相の資金管理団体 (共同, 10/23)
宮沢経産相 政治資金をSMバーに支出 (NHK, 10/23)
SMバーだと…宮沢経産相の政治活動費がおかしい (NAVER まとめ, 10/23)。「会員参加型のSMクラブ」……。
600 株を持つ男
新経産相に東電株主…早くも「あり得ない人選だ」と異論噴出 (日刊ゲンダイ, 10/22)
宮沢経産相、東電株式600株を保有 (ロイター, 10/23)
原発担当相は東電株主 宮沢経産相に疑問の声 (しんぶん赤旗, 10/23)
宮沢経産相の東電株保有を野党が追及しない理由 (東スポ, 10/23)
》 安倍政権 閣僚15人参加中の政治団体「日本会議」 ドメイン登録で電話番号を +99.999999999999 と虚偽記載 (エコーニュース, 10/21)
》 米ブラックウオーター元警備員4人に有罪評決、イラクで民間人射殺 (AFPBB, 10/23)。Blackwater Baghdad shootings の件。
》 元在特会幹部の団体「百人の会」運営が大阪維新の会メンバーだらけだったことが判明 (NAVER まとめ, 10/16)。結局ズブズブか。
》 McAfee 製品の OS X Yosemite への対応状況 (マカフィー, 10/15)
》 【要注意!】Mac OSX Yosemite(10.10) 新機能・不具合・バグまとめ (NAVER まとめ)。マジか……。地雷原すぎる。
》 芥川賞作家・柳美里に直撃インタビュー 〜月刊「創」原稿料未払い事件を語る〜 (ガジェット通信, 10/22)
「創」のエッセイは、2007年8月号から連載を続けています。当初、篠田博之編集長からは「400字3枚で5万円」という説明を受けました。2007〜08年は定期的に入金があったものの、2009年以降は入金が途絶えがちになり、2011年以降はほとんど支払われていません。
》 香港騒乱で「デモ潰し」に参加する若者は何を思うのか 学生と若者と、蔑視と憎悪の応酬 (日経ビジネス, 10/16)
インタビューで反デモ隊に身を投じる若者たちの言葉から感じた、デモ隊に対する憎悪、モラトリアムへの反感、教養や学歴に対する劣等感と憎悪。それは、Wikipediaの記述に見られるような、香港島的な価値観による「MK文化」に対する蔑視と表裏一体をなしている。
(中略)
デモ隊が守ろうとし、また勝ち取ろうとしている「香港」と、反デモ隊に共感を覚える若者たちが足をおろして生活する「香港」。両者には大きなズレがある。大学を出て、やがてスーツを着て、英語を話し、香港島の金融機関や大企業で働こうという若者にとって、民主主義を勝ち取ることには一定の意味がある。欧米企業からの投資環境を守ることになるからだ。だが、彼らが勝ち取ろうとしている恩恵をMK仔たちが受けることはできるのか。答えは否、かもしれない。むしろ普通語(中国の標準語)を覚え、大陸からやって来る中国人がもたらす恩恵に浴しながら、商業やサービス業に従事する方が現実的な人生なのかもしれない。
》 北朝鮮にどんどん似てきた韓国 「言論弾圧国家」を読者と考える (日経ビジネス, 10/16)
—— 結局、韓国は普通の国ではないのですね。
鈴置:日本や米国、欧州を普通の国とするなら、韓国は普通の国とは言えません。「普通の国」の水準から言って法治国家でもないし、そうなろうともしていません。
関連: 共産主義国家へと転落を始めた韓国 民主主義を守ろうとする台湾・香港に比べ、放棄するかのような視野狭窄症 (JBpress, 10/22)
日本政府が言論の自由への侵害として懸念を表明したことに対し、韓国外務省は「韓国はいかなる国よりも言論の自由がよく保障されている」と、事実と明白に齟齬することを平然として強調している。
この言い方は正しく共産主義国家に特有なもので、ついに韓国は共産主義国家に変貌しつつあるのかと疑わざるを得ない。
》 韓国政府による国民総背番号制度、全国民の80%に相当する5000万人分のデータが流出 (Business Newsline, 10/15)。 「全番号の再割り振りの実施」を検討ですか……。
》 「有働アナ号泣!?」 セクハラに堪える40代女と“男”たちのリアル NGワードに囚われず相手の気持ちを汲み取る作業を (日経ビジネス, 10/21)。イノッチの件は前フリ。
》 中国のiCloudユーザーを狙ったサイバー攻撃、中国政府が関与か (日経 IT Pro, 10/22)、 中国政府がiCloudにサイバー攻撃をしかけiPhoneユーザーを監視していると報じられる (gigazine, 10/21)
都内男性もシリア渡航計画…他にも数人連絡か (読売, 10/22)。「同庁幹部への取材でわかった」
常岡さんのツイート:
公安のデマリークが酷いので暴露すると、彼が大司教と同居してたというのは完全な嘘。シリアに渡ろうとしていたのは事実らしいが、彼は写真家で取材目的。「義勇兵流入」などという問題となんの関係もない:都内男性もシリア渡航計画…他にも数人連絡か http://t.co/spzWhc03oN
— ☪常岡浩介☪ (@shamilsh) 2014, 10月 22
》 いま何が... "イスラム国"勢力拡大のワケ (NHK ニュース深掘り, 9/20)、 【地図と解説】「イスラーム国」への参加者の出身国〜ご一緒した常岡さんのこと (Satoshi Ikeuchi / BLOGOS, 10/22)
常岡さんのツイート:
ぼくが断片的にしかこの世界のことを知らないというのは、
全くその通りで、ぼく自身が全体像を知っている人にぼくの情報を再構成して欲しいと思う。が、ロシアの専門家たちはもっと断片的にしか知らなくて、旧ソ連でのイスラム運動について、イスラムに無知なので、プーチン宣伝通り信じ込まされてる
— ☪常岡浩介☪ (@shamilsh) 2014, 10月 21
一方で、中東の専門家たちは、今度は旧ソ連の事情が分からないので、プーチンをあたかも反米のヒーローかなにかと思い込んで、バカげた解説をしてるのをしょっちゅう見掛ける。旧ソ連のイスラム運動をアラブのものと同一視して説明することも多い。横断的な研究が必要なのだと思う。
— ☪常岡浩介☪ (@shamilsh) 2014, 10月 21
うーむ……。
》 はてなブックマークボタンが改ざんされマルウェア感染を媒介していた可能性について (情報科学屋さんを目指す人のメモ, 10/17)、 はてなブックマークボタンを設置した一部サイトに対するセキュリティ警告に関して (はてなブックマーク開発ブログ, 10/18)
》 米小売チェーンから再びカード情報流出か、POSマルウェア感染の疑い (ITmedia, 10/22)
》 山市良のうぃんどうず日記(17):エメット(EMET)さん、破れたり (@IT, 10/21)。無敵のツールでは、ありません。
》 Universal 2nd Factor (U2F) protocol というのがあるのですか。
Strengthening 2-Step Verification with Security Key (Google, 10/21)、2 段階認証プロセスにセキュリティ キーを使用する (Google)
YUBICO RELEASES YUBIKEY NEO, NEO-n WITH SUPPORT FOR FIDO ALLIANCE’S UNIVERSAL SECOND FACTOR PROTOCOL (yubiko, 10/13)
関連: Google、物理的なUSBセキュリティキーによる2段階認証を導入 (Internet Watch, 10/22)
》 秘密保護法の予行練習?! (さくら通り法律事務所, 10/21)。北大生関連捜査の件。
今回の強制捜査(家宅捜索)を実行したのは公安警察だ。
目的は北大生の逮捕、起訴、有罪判決ではない。北大生の部屋の家宅捜索でもない。北大生と関わりを持った人たち、イスラム学者の中田考同志社大学教授と、イスラム圏の取材経験が豊富で最新の情報を持っているジャーナリストの常岡浩介氏、特に常岡氏が持っている情報こそ公安警察が欲しかったものだったに違いない。常岡氏の自宅の家宅捜索をしたことで、一定の成果を挙げたに違いない。
12月に秘密保護法が施行されれば、公安警察は「テロ関連で秘密保護法違反の疑いがある」と何らかの口実さえ作れば、その秘密が何かを明かすことなく、根こそぎ関連証拠を持って行くことが可能になる。今回は、秘密保護法違反捜査の予行演習だったのではないか。
》 OCNメールの一部サービス(プロトコル)提供終了について (OCN, 9/17)。MD5 さようなら、ということかな。12/19 で終了。Benjamin さん情報ありがとうございます。
》 UPnP対応機器を踏み台としたリフレクター攻撃が増加、警察庁が注意喚起 (Internet Watch, 10/20)
》 米アイダホ州とアリゾナ州で同性婚解禁(写真多数) (石壁に百合の花咲く, 10/21)
》 「アビガン錠200mg」のエボラ出血熱向け生産について (富士フィルム, 10/20)。「現時点で2万人分の錠剤を有し、原薬としてさらに30万人分程度の在庫を保有」「さらなる臨床使用が進む場合に備え、エボラ出血熱向けとしての「アビガン錠」の生産を11月中旬より行」うそうで。
エボラ出血熱への効果が期待される「アビガン錠」、ノロウイルスにも効果か (マイナビニュース, 10/22) という話もあるそうですが、抗ウイルス薬 T-705 (ファビピラビル、商品名アビガン。RNA ポリメラーゼ阻害薬) は催奇性が確認されており、気軽に使えるものじゃないことに注意。
》 SNS教育:子供のスマホ 規制派と活用派の声を聞いてみた (毎日, 10/21)
スウェーデン首都沖に外国潜水艦か、軍が大規模な情報収集作戦 (AFPBB, 10/18)
Svensk ekspert: Det er muligvis en Triton-NN vi jager (tv2.dk, 10/19)。Triton-NN?
スウェーデン軍、謎の「外国船」の写真公開 (AFPBB, 10/20)
「彼(情報筋)は、海面に何かが浮かんでいるのを見つけた。写真を撮影すると、それは再び姿を消した」
スウェーデン海軍、「謎の潜水艦」 情報収集作戦の範囲を拡大 (AFPBB, 10/21)。記事の写真はヴィスビュー級コルベット。
スウェーデン軍、外国潜水艦に「武力行使も」 目撃情報続く (AFPBB, 10/22)
ロシア潜水艦が領海侵入? スウェーデン軍が大規模捜索 (朝日, 10/22)
》 ロシアが2008年にウクライナ割譲を提案=ポーランド元外相 (ロイター, 10/21)。安定のおそロシア品質。
これは……。 MS14-060 - 重要: Windows OLE の脆弱性により、リモートでコードが実行される (3000869) (CVE-2014-4114) では直り切ってなかったということなんだろうか。それとも全くの別件? (別件の模様: 2014.10.22 追記参照)
Fix it「OLE パッケージ Shim 回避策」 が提供されているので、適用することで回避できるようだ。ただし、 64bit 版 Windows 8・8.1・Server 2012・2012 R2 + 64 bit 版 PowerPoint 2007・2010・2013 の組み合せには Fix it が効かないと明記されている。 また副作用は記載されていない。
回避策には他にも UAC を有効にする、EMET 5.0 をインストールした上で設定を追加する、などが挙げられている。 EMET 4.1 では駄目なようだ。
Windowsに新たなゼロデイ脆弱性「CVE-2014-6352」、不正なOffice文書ファイルにより攻撃可能 (トレンドマイクロ セキュリティ blog, 2014.10.22)
10月15日のブログ記事などで Office文書ファイルを利用したゼロデイ攻撃を報告していますが、今回のゼロデイ脆弱性はまた新たに確認されたものです。
関連:
CVE-2014-6352 OLE packager vulnerability and a failed patch for SandWorm (HP Security Research Blog, 2014.10.22)
【Tips】 CVE-2014-6352 (Windows OLE Object)の脆弱性について (マカフィー, 2014.10.23)
Windowsに新たなゼロデイ脆弱性「CVE-2014-6352」、不正なOffice文書ファイルにより攻撃可能 (トレンドマイクロ セキュリティ blog, 2014.10.22)
MS14-064 - 緊急: Windows OLE の脆弱性により、リモートでコードが実行される (3011443) で修正されました。Fix it で回避策を適用していた場合の指針は明記されていないのですが、更新プログラム適用後に回避策を削除しておけばいいのではと思います。
Chrome、SSL 3.0 やめるってよ (2014.10.15)
関連:
WinSCP 5.5.6 (hotfix)。 OpenSSL 1.0.1j に移行、 SSL 3.0 無効化など。iida さん情報ありがとうございます。
GNUTLS-SA-2014-4。文書化されている標準の TLS ハンドシェイク手順を踏む限り、GnuTLS クライアントは POODLE 攻撃の影響を受けない。iida さん情報ありがとうございます。
Can SSL 3.0 be fixed? An analysis of the POODLE attack. (Red Hat, 2014.10.20)
》 FC2有料動画から会員情報大量流出 FC2 VS AVメーカーの訴訟の和解条件の模様 ただ今違法UP厨に賠償金請求連発中 (軍荼利, 8/29)。FC2がついに知的財産保護団体から集団訴訟される (2013.10.20) の件、和解してたっぽいという話。 関連:
昨日、FC2動画のアップロードの件で鈴木康之法律事務所というところから封書で警告... (Yahoo 知恵袋, 8/10)
FC2に登録していた個人情報は、アメリカでの司法手続きにより開示されたものとのことです。
先日、自分のとこにも鈴木康之法律事務所からFC2の動画投稿のけんで1000万ほど... (Yahoo 知恵袋, 9/7)
》 Tor Browser 4.0 is released (Tor Project, 10/15)。Firefox 31-ESR に移行、SSLv3 無効化、meek pluggable transport を 3 種類追加塔載、など。
》 3Dプリンタ銃製造に実刑 模倣阻止へ強い姿勢 設計図公開は“野放し” (ITmedia, 10/21)、3D銃「違法認識あった」 (読売, 10/21)。横浜地裁。懲役2年の実刑。「控訴する方向で検討している」
》 製紙にベネッセ・ショック DM需要減、王子など減産 (日経, 10/21)
年315億円に上っていたベネッセHDのDM費用は半分以下に減るもようだ。製紙だけでなく配達の大半を手掛ける日本郵便などにも影響が出そうだ。
そんなの使ってたの?!
》 セキュリティベンダーの共同作戦で Hidden Lynx のマルウェアに打撃 (シマンテック, 10/17)、 MSRT October 2014 – Hikiti (Microsoft, 10/14)、 Moudoorを単純には分析しない (エフセキュアブログ, 10/15)
》 韓国国歌が歌えない? では国籍あげません-中国人女性「落第」に合法判決 (ウォール・ストリート・ジャーナル日本版, 10/20)
》 視点・論点 「抱っこで赤ちゃんはなぜ泣き止む」 (NHK 解説委員室, 10/15)
親が子を運ぶときには、マウスでも人でも、子どもはわずか数秒でおとなしくなり、リラックスする (中略) 親が子を運ぶ哺乳類には、広くこの輸送反応が備わっている (中略)
夜泣きする赤ちゃんを抱っこして歩いて、やっと大人しくなったと思って、そおっと寝かせようとすると、急にまた泣き始めてしまうことがよくあります。この現象は、輸送反応が終わっただけだと考えれば納得がいきます。(中略) 生後数か月の赤ちゃんの輸送反応は、単純に生理的な反応であって、別に悪い意図はないのです。
》 キックスケーター 子どもの転倒事故相次ぐ (NHK「かぶん」ブログ, 10/17)
ことし5月には、小学4年生の女子児童が急な坂道を下っていて側溝に引っかかり、頭を打って死亡する事故も発生しています。
エボラ熱、感染者9216人 死者は4555人 WHO (朝日, 10/18)
WHO、セネガルのエボラ終息を発表 国連は資金提供を呼びかけ (AFPBB, 10/18)
レサ・ロメロ・ラモスさん (スペイン、2次感染)、陰性反応に。富山化学工業の抗ウイルス薬 T-705 (ファビピラビル、商品名アビガン。RNA ポリメラーゼ阻害薬) を投与された模様。
看護助手がエボラを克服、検査で陰性反応 スペイン (CNN, 10/20)
エボラ感染看護師が快方に、日本の薬投与と報道 (読売, 10/20)
米国がエボラ熱で新ガイドライン、感染のスペイン看護師は陰性に (ロイター, 10/20)
ニーナ・ファムさんとアンバー・ビンソンさん (米国テキサス州、2次感染)
エボラ熱感染の看護師は軽装 米の病院、訓練不十分 (朝日, 10/17)
焦点:エボラ2次感染招いた米国、当局の説明が混乱に拍車か (ロイター, 10/20)
現地レポート(2):拡大した米国でのエボラウイルス感染 (JBpress, 10/20)
日本上陸も秒読み!? エボラウイルス 米国人看護師感染の意味 (Wedge, 10/14)
エボラ出血熱・パンデミックへの道 先進国はアウトブレイクを阻止できるか エボラ特集第2弾 (Wedge, 10/18)
エボラ出血熱 水際作戦の徹底を放棄した米国 エボラ特集第3弾 (Wedge, 10/20)
自衛隊員の連絡員派遣へ=エボラ対策、米軍司令部に—防衛省 (ウォール・ストリート・ジャーナル日本版, 10/19)
エボラ出血熱、日本では感染判断不能 ウイルス扱う施設、住民の反対で稼働できず (J-CAST, 10/17)。そりゃあ、住民からすれば、 反対するなという方がおかしいからなあ。
》 アンダーグラウンドでクレジットカード情報を販売する「Lampeduza」の偽サイトを確認 (トレンドマイクロ セキュリティ blog, 10/20)
弊社は、別のサイバー犯罪者集団が「Lampeduza」の知名度を利用し、サイバー犯罪者をだまして偽の販売サイトに誘導していることを確認しました。
》 公安捜査資料のネット流出事件は私たちに何を教えるか 弁護団メンバーの立場から流出資料を読み解く (河崎健一郎, 5/30)
》 今週の本棚:中島岳志・評 『ゆめいらんかね やしきたかじん伝』=角岡伸彦・著 (毎日, 10/19)
》 【フルーツ抹殺】デニーズのパンケーキ食べ放題が思った以上に酷いまとめ【画像差し替え】 (NAVER まとめ, 10/20)
》 熊谷千葉市長「異常さに気付かない方々と会話する気はない」家庭ごみの開封調査の質問に (togetter, 10/18)
》 香山リカ氏、「創」はしばらくは、資本主義システムの埒外の雑誌と宣言してはどうか (togetter, 10/19)
》 Sweden searches for suspected Russian submarine off Stockholm (Guardian, 10/19)、 Russia denies submarine incident off Sweden (BBC, 10/19)
》 RATが香港の民主活動家たちを脅かす (エフセキュアブログ, 10/15)、 香港の抗議者にデジタル戦争を仕掛けているのは? (エフセキュアブログ, 10/20)
》 Appleの新決済システム「Apple Pay」はどれくらい安全なのか? (gigazine, 10/19)
》 TPPの資料がまた流出、アメリカが著作権に関する戦慄の提案を推し進めていることが明らかに (gigazine, 10/17)
》 書店や出版社が「リベンジポルノ禁止法」に反対を表明する理由とは? (gigazine, 10/19)
》 Spike in Malware Attacks on Aging ATMs (Krebs on Security, 10/20)
》 Software Design 2014年11月号から短期集中連載として「Jamesのセキュリティレッスン」がスタート (Eiji James Yoshidaの記録, 10/18)
》 合法マルウェアとサイバー傭兵 (Kaspersky, 10/17)
》 FATF 関連 2 法案 (犯罪収益移転防止法改正案、国際テロリストの財産凍結法案)
焦点:マネロン対策法案提出でも「崖っぷち」、邦銀の海外業務にリスク (朝日, 10/10)
マネロン対策の関連3法案を提出、リスト入り回避へ=政府 (ロイター, 10/10)。継続審議中のテロ資金提供処罰法改正案を足すと 3 つ。
》 芳賀由香「まだ終わらない」 (青林工藝舎『放電横丁』)。「福島県郡山市在住の作者が自身の体験を元に綴る一話完結シリーズ」。5 話まで公開されている。
》 河村市長が掘り起こした、名古屋地検のデタラメ (いまにしのりゆき 商売繁盛でささもって来い!, 10/14)、 名古屋地検のデタラメ これが河村市長のブツでっせ (いまにしのりゆき 商売繁盛でささもって来い!, 10/16)。市長自ら手足を動かして get したネタなのですね。
》 Windows7向け更新プログラム(KB2952664)がインストール失敗となる件を調べてみた (piyolog, 10/16)
》 MRTで発生した顧客情報の不正取得をまとめてみた (piyolog, 10/14)、 医師情報 持ち出し容疑 求人サイト 元従業員を逮捕 1万7000件か (東京, 10/14)
マイクロソフト セキュリティ アドバイザリ 2949927: Windows 7 および Windows Server 2008 R2 で SHA-2 ハッシュ アルゴリズムを利用可能 (2014.10.15)
更新プログラムに不具合が発見され、公開が中止されています。
V2.0 (2014/10/20):マイクロソフト セキュリティ更新プログラム 2949927 のダウンロード センターのリンクを削除しました。問題が発生している場合は、マイクロソフトはお客様にこの更新プログラムをアンインストールすることをお勧めします。この更新プログラムに関連する動作を調査中であり、詳細が明らかになりましたらこのアドバイザリを更新する予定です。
Getting Windows Update Error 800004005 while installing KB2949927 (Microsoft Community, 2014.10.16)
マイクロソフト、10月のセキュリティ更新プログラムで一部ユーザーに不具合 (ZDNet, 2014.10.20)
Chrome、SSL 3.0 やめるってよ (2014.10.15)
関連:
Poodle: 古いバージョンの SSL の脆弱性がもたらす新しい脅威 (シマンテック, 2014.10.20)
Logging SSL (SANS ISC, 2014.10.16)。サーバ側設定。
様々なサーバーのPOODLE SSLv3脆弱性(CVE-2014-3566)対策のまとめ(更新1) (自堕落な技術者の日記, 2014.10.18)。iida さん情報ありがとうございます。
Advisory 01/2014: Drupal - pre Auth SQL Injection Vulnerability (2014.10.16)
DrupalのSQLインジェクションCVE-2014-3704について調べてみた (徳丸浩の日記, 2014.10.20)
》 時論公論 『みえてきた課題〜土砂災害防止法改正へ〜』 (NHK 解説委員室, 10/15)
》 視点・論点 「させていただきます症候群」 (NHK 解説委員室, 10/14)。変な用法がいっぱいあるようで。
》 イスラム国参加、私戦予備罪って? 条文「化石みたい」 (朝日, 10/17)
では義勇兵として紛争地に行く場合はどうか。「現地組織による募集などが無く、1人で勝手に行くなら当たらないのでは」。映画「ランボー3怒りのアフガン」のように、アフガニスタンに単身乗り込んで戦う主人公がもしいたとしても「当たらないでしょうし、まず一般人には無理ですよね」。
イラクなどで米軍の任務の一部を担うような民間軍事会社や、フランス軍の外人部隊に加わる場合は、「国家の戦闘行為と一体であれば、そもそも私戦とは言えないと思う」。
ただ、判断は難しい。内田教授は「議論になったことの無い条文なので……」。前田教授も「本来は判例の積み重ねで論点を解釈していくが、事例が無い」。
》 小渕氏団体の観劇会、2012年未記載 規正法に抵触か (朝日, 10/17)。ボロボロ。
》 パスワードの定期的変更はパスワードリスト攻撃対策として有効か (徳丸浩の日記, 10/16)。いいえ。
「パスワードの定期的な変更のお願い」でぐぐると大量にヒットする今日このごろ。パスワードの定期的な変更のお願いをするなとは言わないけど、本当の理由をきちんと述べるべきだと思う。例:「我が社においては、パスワードが定期的あるいは不定期に漏洩する可能性がある上に、漏洩した事実の検知についても失敗する可能性がございます。つきましては、……」
》 マカフィーサポート通信 - 2014/10/16 (マカフィー, 10/16)。OS X Yosemite 対応の McAfee Agent 4.8 for Mac Patch 2 HF 972377 リリース情報など。
Chrome、SSL 3.0 やめるってよ (2014.10.15)
関連:
CVE-2014-3566 Advisory (Amazon Web Services)
libressl-portable/portable/ChangeLog (github)。LibreSSL 2.1.1、デフォルトで SSL 3.0 を無効化。
PayPal Response to SSL 3.0 Vulnerability (aka POODLE) (PayPal Forward, 2014.10.14)。“In the coming days, we will remove support for SSL 3.0 completely.”
SSLv3 Support Disabled By Default Due to POODLE Vulnerability (CloudFlare, 2014.10.14)。 “In response, CloudFlare has disabled SSLv3 across our network by default for all customers.”
About Security Update 2014-005 (Apple, 2014.10.16)。Mac OS X v10.8.5 / v10.9.5 用。
This issue was addressed by disabling CBC cipher suites when TLS connection attempts fail.
Mac では、TLS 接続が失敗すると CBC 暗号群を無効にすることで対応。 本日正式公開された OS X 10.10 Yosemite でも同様になっているのだろう。
TLSのダウングレード攻撃を防ぐSCSVとは (あすのかぜ, 2014.10.15)
Twitter や Facebook が SSL 3.0 を無効にしたので死にかけた話 (しばやん雑記, 2014.10.15)
マカフィーセキュリティ情報 - POODLE の他3つの OpenSSL の脆弱性につきまして (マカフィー, 2014.10.16)
》 [IT 管理者向け] 古いバージョンの ActiveX コントロールをブロックする機能 (その 2): 11 月に拡張します (日本のセキュリティチーム, 10/16)。Vista / Server 2008 + IE 9 にも適用、 古い Silverlight もブロック。
》 小保方晴子が開けたパンドラの箱 アカデミアは不都合な真実に向き合えるか (Wedge, 10/7)
小保方氏は日本のアカデミアのパンドラの箱を開けた。たくさんの低品質の学位が乱発され、今も乱発されていること。そして、研究機関が、共同研究・知的財産等の多くの近代的問題を抱える中で、その管理に必要な訓練・経験を積んだ人材を育てていないこと。この2つの不都合な真実に我々はどう向き合っていくべきなのだろうか。
》 小渕氏資金管理団体:不透明支出、5年間で1000万円超 (毎日, 10/16)、小渕経産相 収支食い違いでおわび 事実確認急ぐ (NHK, 10/16)
》 イスラム国:ウェブ英字機関誌で人身売買認める記事 (毎日, 10/15)、イスラム国 奴隷制復活のねらい (NHK, 10/15)。DABIQ 最新号。
》 シリア戦闘:元自衛官が参加「政治・思想的信念なし」 (毎日, 10/9)、 【動画有】鵜澤佳史氏過去にイスラム過激派の戦闘員として戦闘に参加 (NAVER まとめ, 10/8)
》 米ロッキード、10年以内に小型核融合炉実用化へ (ロイター, 10/16)、 Lockheed Martin Pursuing Compact Nuclear Fusion Reactor Concept (Lockheed Martin, 10/15)
The Lockheed Martin [NYSE: LMT] Skunk Works team is working on a new compact fusion reactor (CFR) that can be developed and deployed in as little as ten years. Currently, there are several patents pending that cover their approach.
出たスカンクワークス! 関連: Compact Fusion (Lockheed Martin)
》 【とんだ災難】重体の女性にAEDを取り付けようと服を切る→痴漢扱いで事情聴取 (togetter, 10/16)。切る切らないでもめている場合ではない。 なにはともあれ、当該女性の生命は守られたようでよかった。
関連:
まじめな質問です。 男性が女性に対し心臓マッサージ・AEDを行う際に胸をはだけさせてもいいのでしょうか? それともできるだけ避けたほうがいいのでしょうか… (Yahoo 知恵袋, 2011.06.01)
上半身裸にしないといけないというのは、古い指導内容です、
わいせつとか配慮とか、の問題というよりも、1秒でも早く救命する為に、ワイヤー入りブラでもそのまま外さなくて良い、
と救命効率をあげるために変更になりました。
AEDを使う時、女性のブラは、はずさなくてもいいんじゃないか? (遠見のあきつしまきゅれーしょん, 2012.11.16)
AEDは、ワイヤーブラだろうがなんだろうが、電極パッドが地肌に全部くっついていれば心電図も動くし通電できるので、ブラをはずさなくても機能します。
(中略)
服を切ったらそのままブラも切るのが自然な流れなんですけど、
パッドを貼る人が冷静なら、ブラは切らないで貼れます。さっさと、右胸上部(右肩口)の地肌と、左胸斜め下(左脇下)の地肌に貼れば、大丈夫。
右肩口のブラのヒモをずらせば簡単に地肌に貼れます。
ブラジャーはどうする? (生き残れ。Annex, 2013.09.09)
実は、日本赤十字社による救急救命講習では、ブラジャーは外す前提で考えられています。その方が確実なのは確かですが、人目の事を考えると、なかなか難しい場面も考えられます。(中略)
別の問題として、胸骨圧迫や人工呼吸(CPR)を行う場合には、胸部を締め付けるものをできるだけ外さなければなりませんので、取りあえずはブラジャーのホックは外さなければなりません。でも、ブラジャーを完全に取り除き、多くの人目の中で女性の胸を露わにしないで済む方法は無いのでしょうか。
・・・という疑問を管理人も持っていたのですが、先日受講した消防署の上級救命救急講習で、その答えが得られました。AEDの電極パッドは、「ブラジャーと身体の間に入れても、ほぼ問題無い」とのことです。電極パッドは、粘着面は当然ながら導電素材ですが、上面は絶縁素材であり、そこに金属が触れても事実上問題ないそうなのです。
(7) 使ってみよう! AED !!! (Dr.テレビたん担当 松本 龍のスタッフブログ, 2013.12.08)。 「可能なら外してください」。
はななす @hananasu さんのツイート:
AEDのブラジャー問題。救急隊に質問しました。
ブラジャーは、パットさえきちんと貼れれば外さなくてよい。パットを貼った上からタオルなどかけものをしてもよい。
金具は取った方がよい、でも外せなくても火傷になるだけだから、心停止による死亡とは比べものにはならないよ、とのことです。
— はななす (@hananasu) 2014, 7月 4
BLSヘルスケアプロバイダー受講者マニュアル AHAガイドライン2010準拠 (Amazon)、 AHA ECCガイドライン2010ハイライト日本語版 (AHA ECC公式日本語サイト)
》 YAMDAS更新(Adobeのスパイウェアが(またしても)DRMの代償を明らかに:プライバシーとセキュリティ) (YAMDAS現更新履歴, 10/16)
》 “偽物の歴史”を教育に用いるのは、倫理の根幹を破壊する行為〜「江戸しぐさの正体」著者・原田実氏インタビュー (BLOGOS, 10/15)、 江戸からの伝言を信じないでください (疑似科学ニュース, 2013.07.06)。 トンデモ偽歴史ですか……。
》 YouTubeを見た11万人以上がマルウェアに感染、原因は「広告」 (gigazine, 10/16)、 YouTube上の偽広告からランサムウェア感染へ誘導、主に米国で被害 (トレンドマイクロ セキュリティ blog, 10/16)
》 中国漁船、宝石サンゴの密漁相次ぐ 小笠原諸島の近海 (朝日, 10/15)
》 韓国政府による国民総背番号制度、全国民の80%に相当する5000万人分のデータが流出 (business newsline, 10/15)
》 「ゾウのオリ」解体に着手 旧ソ通信を傍受、冷戦の象徴 (朝日, 10/15)。三沢の例のアレ。
JVNDB-2014-004525: Apple OS X の IOHIDSecurePromptClient 関数における任意のコードを実行される脆弱性 (JVN, 2014.10.07)、 (0Day) Apple OS X IOHIDSecurePromptClient Denial Of Service Vulnerability (ZDI, 2014.10.02)。まだ直ってない。CVE-2014-7861
Drupal 7.x に SQL インジェクションを招く欠陥。CVE-2014-3704
Drupal 7.32 で修正されている。
Drupal 7.32 released (Drupal, 2014.10.15)
SA-CORE-2014-005 - Drupal core - SQL injection (Drupal, 2014.10.15)
DrupalのSQLインジェクションCVE-2014-3704について調べてみた (徳丸浩の日記, 2014.10.20)
Drupalの脆弱性情報と対応方法 (さくらのナレッジ, 2014.10.27)
関連:
Drupal Core - Highly Critical - Public Service announcement - PSA-2014-003 (Drupal, 2014.10.29)
Drupal 7.32 で修正された脆弱性に関する注意喚起 (Drupal.jp, 2014.11.04)。上記 PSA-2014-003 の日本語版あり。
協定世界時での 10 月 15 日午後 11時 (日本時間 10 月 16 日午前 8 時) 以前に更新または修正パッチを適用していないすべての Drupal 7 ウェブサイトは、すでにセキュリティ侵害が行われたという想定のもとで対応するべきです。
単に Drupal 7.32 に更新しただけではバックドアは除去されません。
前述の期間内に更新またはパッチを適用していない場合は、この発表を読み進めてください。
7.32 への更新またはパッチを適用することによって脆弱性は修正されますが、すでにセキュリティ侵害されたウェブサイトは修正されません。パッチを適用した覚えがないにも関わらず、すでにパッチが適用されていた場合には、すでにセキュリティ侵害が行われた可能性があります (いくつかの攻撃では、サイトを支配できる唯一の攻撃者であることを担保する手段として、パッチを適用するものがありました)。
Drupal セキュリティチームは、ユーザー自身がホスティングプロバイダに相談することをお勧めします。前述の期間内にプロバイダによる対応 (ユーザー個別のパッチ適用またはそれ以外の方法での SQL インジェクション攻撃の阻止) がなかった場合は、2014 年 10 月 15 日以前のバックアップから復元します。
出ました、「バックアップから戻せ」。
Drupal の脆弱性に関する注意喚起 (JPCERT/CC, 2014.11.04 更新)
OpenSSL 1.0.1j、1.0.0o、0.9.8zc 公開。3 件の欠陥を修正、1 件の欠陥に対応。
DTLS SRTP 拡張の処理でメモリリークし DoS 攻撃を招く CVE-2014-3513。これは OpenSSL 1.0.1 系のみ。
セッションチケットの処理でメモリリークし DoS 攻撃を招く CVE-2014-3567
POODLE 攻撃の件 CVE-2014-3566。 TLS_FALLBACK_SCSV をサポートして対応。
no-ssl3 ビルドオプションを指定してもサーバが SSL 3.0 接続を受け付ける CVE-2014-3568
Bash ShellShock バグ (CVE-2014-6271, CVE-2014-7169, CVE-2014-6277, CVE-2014-6278, CVE-2014-7186, CVE-2014-7187) 修正情報まとめ (2014.10.03)
Buffalo の項を更新。TS5000、TS5200DS、TS-2RZ、TS-X、TS-V の各シリーズ用の修正ファームウェアが用意されている。GNU BashにおけるOSコマンドインジェクションの脆弱性を参照。
IO DATA の GNU bash の脆弱性に関する弊社調査・対応状況について、 更新ファームが用意された機種が大幅に増えている。
Chrome、SSL 3.0 やめるってよ (2014.10.15)
OpenSSL 1.0.1j、1.0.0o、0.9.8zc で TLS_FALLBACK_SCSV がサポートされました。 また、no-ssl3 ビルドオプションがうまく機能していない欠陥 CVE-2014-3568 も修正されています。
OpenSSL Security Advisory [15 Oct 2014] (OpenSSL.org, 2014.10.15)
コラム:なぜ米国でエボラ感染者は見逃されたか (ロイター, 10/3)
リベリア国籍の男性からエボラ感染が拡大するかどうかは、ハイテク化が進んだ米国医療システムにとって良いリトマス試験紙になる。(中略) もし同州で新たな感染者が見つかれば、それは、世界で最も高額かつ最先端の医療システムの構造上の問題が露呈することにほかならない。
で、拡大したと。
コラム:エボラ感染経路について知っておくべき事実 (ロイター, 10/14)
エボラ出血熱の治療にあたっていたアメリカの看護師が感染、経緯は不明で他に感染者がいる可能性も (gigazine, 10/14)
エボラ出血熱:防護すきだらけ 欧米で2次感染 (毎日, 10/14)
エボラ出血熱 米大統領が再発防止指示 (NHK, 10/14)
エボラ出血熱 週1万人新たに感染のおそれも (NHK「かぶん」ブログ, 10/15)
コラム:身近に迫るエボラ危機、米ダラスからの視点 (ロイター, 10/15)
BSL-4 が必要なウイルスとの戦いをなめてはいけない。
》 【台風19号】 13日夕〜夜に中国、近畿最接近 JR、早めの全線運休を専門家も評価 (産経, 10/12)
早めに防災対応を決める施策は「タイムライン」(事前防災行動計画)と呼ばれ、8月の広島市の土砂災害で避難勧告の遅れが指摘されて以降「空振りを恐れない対応」をとる企業や自治体が目立っている。
》 ボブとアリスがMacのOPSEC問題を発見 (エフセキュアブログ, 10/13)。.store.db
》 日本からの潜水艦導入を巡るオーストラリアの事情 (dragoner / Yahoo, 10/15)
》 「Bitcoinのナカモトサトシ」と名指しされたドリアン・ナカモトが対マスコミ訴訟の費用をネットで募集中 (gigazine, 10/15)
》 母乳成分が「脂肪燃焼遺伝子」をオンに (NHK「かぶん」ブログ, 10/15)。母乳重要。
》 Dropboxのバグでユーザーファイルが完全消去されるという事態が発生 (gigazine, 10/14)
》 [IT 管理者向け] SHA-1 からの移行を推奨しています (日本のセキュリティチーム, 10/15)。手元では、今年度更新分の証明書から SHA-2 に移行する予定。
Windows Server 2003 Service Pack 2 では、SHA-2 対応を行うためには、追加の修正モジュール (KB968730 および KB938397) をインストールする必要があります。その他のサポートされる OS には、基本的な利用シナリオでは SHA-2 の証明書は利用可能です。追加の利用シナリオについては、本日公開したセキュリティ アドバイザリ 2949927 のように、随時セキュリティ アドバイザリなどで公開され、自動更新で配信・インストールされます。
》 OSSコラム 安らかな夜を迎えるために 第6回「 Bugzilla ノススメ」 (NTT データ先端技術)、 第6回「 Bugzilla ノススメ」が掲載されました。 (熊猫さくらのブログ, 10/14)
》 ゴエモンコシオリエビは胸毛のバクテリアを食す 〜深海動物と外部共生菌の見えざる関係性を世界で初めて科学的に実証〜 (JAMSTEC, 10/14)
出ました。
リリースノート: Firefox 33.0、 ESR 31.2.0、 Android 版 Firefox 33.0。 Thunderbird 31.2.0。
セキュリティアドバイザリ: Firefox、 Firefox ESR。 Thunderbird。
ダウンロード:Firefox、 Android 版 Firefox。 Thunderbird、 Firefox / Thunderbird ESR。
Flash Player / AIR 更新。3 つのセキュリティ欠陥 (いずれも任意のコードの実行を招く) を修正。 CVE-2014-0558 CVE-2014-0564 CVE-2014-0569。 Priority rating は Linux 版と AIR が 3、他は 1。
プラットホーム | バージョン |
---|---|
Windows (ActiveX) | 15.0.0.189 |
Windows (NPAPI プラグイン) | 15.0.0.189 |
Mac | 15.0.0.189 |
Linux | 11.2.202.411 |
Google Chrome | 15.0.0.189 |
Windows 8 / Server 2012 / RT の Internet Explorer 10 | 15.0.0.189 |
Windows 8.1 / Server 2012 R2 / RT 8.1 の Internet Explorer 11 | 15.0.0.189 |
AIR | 15.0.0.293 (Windows, Mac) |
15.0.0.293 (Android) | |
AIR SDK & Compiler | 15.0.0.302 (Windows, Mac, Android, iOS) |
AIR SDK | 15.0.0.302 (Windows, Mac, Android, iOS) |
Windows / Mac 用には継続サポート版 13.0.0.250 も用意されている。
日本語抄訳版: APSB14-22: Adobe Flash Player用のセキュリティアップデート公開
APSB14-22 が 2014.11.25 付で改訂された。任意のコードの実行を招く欠陥 CVE-2014-8439 への緩和処置がされていたことが明らかにされた。 CVE-2014-8439 に対しては、APSB14-26 でさらなる対応が行われた。
関連: Out-of-Band Flash Player Update for CVE-2014-8439 (F-Secure blog, 2014.11.25)。この欠陥を Adobe に通報したのは ESET、F-Secure、kafeine 氏なのだが、 kafeine 氏は Angler exploit kit の調査をしているときに発見したのだそうで。
Kafeine reported Angler exploiting this vulnerability already in October 21st 2014, soon followed by Astrum and Nuclear exploit kits. Considering the exploit kit authors reverse engineered October’s Flash update in two days, installing the update immediately is paramount, whether you do it manually or automatically.
Angler exploit kit の作者は、Flash Player 新版が出てからたった 2 日でリバースエンジニアリングして、未公開の脆弱性に対する exploit をつくってしまったと。
An interesting case of the CVE-2014-8439 exploit (Microsoft Malware Protection Center, 2014.12.02)
ColdFusion 9.0〜11.0 に 3 つのセキュリティ欠陥 (CSRF、XSS、未認証のローカルユーザが IP アドレスによるアクセス制限を突破できる欠陥)。 CVE-2014-0570 CVE-2014-0571 CVE-2014-0572。 Priority rating は全て 2。
Hotfix が用意されているので適用すればよい。
「セキュリティ情報 4」が次回以降に順延された。
IE 6〜11 に 14 件の欠陥。内 1 件 CVE-2014-4123 は 0-day (Exploitability Index: 0)。 他は Exploitability Index: 1
.NET Framework 2.0 SP2、3.5、3.5.1、4、4.5、4.5.1、4.5.2 に 3 つの欠陥。
.NET ClickOnce の特権の昇格の脆弱性 - CVE-2014-4073。Exploitability Index: 2
.NET Framework のリモートでコードが実行される脆弱性 - CVE-2014-4121。Exploitability Index: 2
.NET ASLR の脆弱性 - CVE-2014-4122。Exploitability Index: 1
Windows Server 2003、Vista、Server 2008、7、Server 2008 R2、8・8.1、Server 2012・Server 2012 R2、RT・RT 8.1 のカーネルモード ドライバーに 2 つの欠陥。 どちらも 0-day (Exploitability Index: 0)
Win32k.sys の特権の昇格の脆弱性 - CVE-2014-4113。 関連:
CrowdStrike Discovers Use of 64-bit Zero-Day Privilege Escalation Exploit (CVE-2014-4113) by Hurricane Panda (CrowdStrike, 2014.10.14)
Two Limited, Targeted Attacks; Two New Zero-Days (FireEye, 2014.10.14)
Windows カーネルモードの脆弱性「CVE-2014-4113」を検証 (トレンドマイクロ セキュリティ blog, 2014.10.21)
TrueType フォント解析のリモートでコードが実行される脆弱性 - CVE-2014-4148。 関連:
Microsoft Windows TrueType Font parsing zero-day vulnerability used in limited attacks (Symantec, 2014.10.14)
Two Limited, Targeted Attacks; Two New Zero-Days (FireEye, 2014.10.14)
ASP.NET MVC 2.0・3.0・4.0・5.0・5.1 に XSS 欠陥。Exploitability Index: 3
Windows Vista、Server 2008、7、Server 2008 R2、8・8.1、Server 2012・Server 2012 R2、RT・RT 8.1 に 0-day 欠陥 (Exploitability Index: 0)。 OLE オブジェクトの処理に欠陥があり、攻略 OLE オブジェクトを含むファイルを開くと任意のコードが実行される。CVE-2014-4114
関連:
iSIGHT discovers zero-day vulnerability CVE-2014-4114 used in Russian cyber-espionage campaign (iSIGHT, 2014.10.14)
Windows のゼロデイ脆弱性を悪用した Sandworm による標的型攻撃 (シマンテック, 2014.10.15)
現行Windows OSのゼロデイ脆弱性「CVE-2014-4114」、諜報目的のサイバー攻撃に利用される (トレンドマイクロ セキュリティ blog, 2014.10.15)
Windows OLEの脆弱性(CVE-2014-4114)関連情報をまとめてみた (piyolog, 2014.10.15)
Windows zero-day used in targeted attacks (Virus Bulletin, 2014.10.14)。VB2014 で紹介済だったそうで。
Technical analysis of the SandWorm Vulnerability (CVE-2014-4114) (HP Security Research Blog, 2014.10.20)
Microsoft Windows のOLEオブジェクトが含まれるOfficeファイルの不具合により、リモートより任意のコードが実行される脆弱性(CVE-2014-4114)に関する検証レポート ((n), 2014.10.22)
更新プログラム公開から1週間、脆弱性「Sandworm」を利用する新たな攻撃を確認 (トレンドマイクロ セキュリティ blog, 2014.10.23)
Powerpointの2つの脆弱性のお話 (エフセキュアブログ, 2014.10.24)。日本語なファイル事例も出てますね。
Sandworm (CVE-2014-4114) は ICS を狙っていた:
サイバー攻撃「Sandworm」が「Blacken」へ誘導。産業制御システムが標的? (トレンドマイクロ セキュリティ blog, 2014.10.17)
UPDATE on Sandworm Team Targeting SCADA Systems (iSIGHT Partners, 2014.10.21)
Alert (ICS-ALERT-14-281-01) Ongoing Sophisticated Malware Campaign Compromising ICS (ICS-CERT, 2014.10.28)
Office 2007・2010、Office for Mac 2011、Office 互換機能パック SP3、SharePoint Server 2010、Office Web Apps 2010 に欠陥。Word ファイルの「特定のプロパティ」の処理に欠陥があり、攻略 Word ファイルを開くと任意のコードが実行される。 CVE-2014-4117。 Exploitability Index: 1
Windows Server 2003 に欠陥。MSMQ サービスに欠陥があり、local user による権限上昇が可能。CVE-2014-4971。 Exploitability Index: 1
Windows Server 2003、Vista、Server 2008 に欠陥。ディスク パーティション ドライバーに欠陥があり、物理アクセス可能な攻撃者によって攻略 USB ドライブを挿入されると任意のコードが実行される。CVE-2014-4115。 Exploitability Index: 2
徹底解析「CVE-2014-4115」:不正なUSBドライブが感染経路か。PC全体が制御される恐れ (トレンドマイクロ セキュリティ blog, 2014.11.04)
関連:
2014 年 10 月のセキュリティ情報 (月例) - MS14-056 〜 MS14-063 (日本のセキュリティチーム, 2014.10.15)
2014 年 10 月のセキュリティ更新プログラムのリスク評価 (日本のセキュリティチーム, 2014.10.15)
2014 年 10 月のマイクロソフト ワンポイント セキュリティ 〜ビデオで簡単に解説 〜 (日本のセキュリティチーム, 2014.10.15)
今月から、ビデオは「ゆりか先生」が担当しています。
October 2014 updates and a preview of changes to out-of-date ActiveX control blocking (IEBlog, 2014.10.15)
Microsoft 拡張認証プロトコル (EAP) で TLS 1.1、1.2 をサポートする更新プログラム 2977292 を公開。 Windows 7 / Server 2008 R2 以降用。
2949927 更新プログラムをインストールすると、Windows 7 / Server 2008 R2 の SHA-2 対応が強化されます。
この更新プログラムは、影響を受けるオペレーティング システムに以下の SHA-2 ハッシュ アルゴリズム署名および検証のサポートを追加します。
- キャビネット ファイルでの複数署名のサポート
- Windows PE ファイルでの複数署名のサポート
- 複数のデジタル署名の表示を可能にする UI の変更
- カーネルの署名を検証するコードの整合性コンポーネントへの RFC3161 タイムスタンプを検証する機能
- さまざまな API (CertIsStrongHashToSign、CryptCATAdminAcquireContext2、および CryptCATAdminCalcHashFromFileHandle2 など) のサポート
Windows 8 / Server 2012 以降では、上記は最初から実装されているそうです。
更新プログラムに不具合が発見され、公開が中止されています。
V2.0 (2014/10/20):マイクロソフト セキュリティ更新プログラム 2949927 のダウンロード センターのリンクを削除しました。問題が発生している場合は、マイクロソフトはお客様にこの更新プログラムをアンインストールすることをお勧めします。この更新プログラムに関連する動作を調査中であり、詳細が明らかになりましたらこのアドバイザリを更新する予定です。
Getting Windows Update Error 800004005 while installing KB2949927 (Microsoft Community, 2014.10.16)
マイクロソフト、10月のセキュリティ更新プログラムで一部ユーザーに不具合 (ZDNet, 2014.10.20)
更新プログラムの公開が長らく中止されていたが、 3033929 として新たに公開された。なお、手動で適用する場合には、まず MS15-025 更新プログラム 3035131 をインストールし、次に 3033929 をインストールする必要がある。
出てます。MySQL は 24 件修正されてます。
Java SE 8u25、7u71 出ました。セキュリティ欠陥 25 件修正されてます。Java SE 7 についてはさらに、非セキュリティな修正を加えた 7u72 が同時リリースされているそうです。
Java SE Development Kit 8, Update 25 (JDK 8u25) Release Notes
Area: client-libs
Synopsis: JRE 8u20 crashes while using Japanese IM on Windows
The VM crashes while using Swing controls when some Japanese or Chinese characters are input on Windows platform. The issue is now fixed.
そんな問題あったんだ……。
Java SE Development Kit 7, Update 71 (JDK 7u71) Release Notes
Java SE Development Kit 7, Update 72 (JDK 7u72) Release Notes
SSL 3.0 プロトコルに欠陥が発見されました。攻撃が成功すると平文を取得できるようです。TLS 1.0、1.1、1.2 プロトコルにはこの欠陥はありません。
This POODLE bites: exploiting the SSL 3.0 fallback (Google, 2014.10.14)、 詳細論文。
Disabling SSL 3.0 support, or CBC-mode ciphers with SSL 3.0, is sufficient to mitigate this issue, but presents significant compatibility problems, even today. Therefore our recommended response is to support TLS_FALLBACK_SCSV.
SSL 3.0 を無効化するか、SSL 3.0 における CBC モードの暗号を無効化することで回避できるけど、副作用も大きい。TLS_FALLBACK_SCSV (プロトコル ダウングレード攻撃を抑止するためのオプション) のサポートを推奨。
Google Chrome and our servers have supported TLS_FALLBACK_SCSV since February and thus we have good evidence that it can be used without compatibility problems. Additionally, Google Chrome will begin testing changes today that disable the fallback to SSL 3.0. This change will break some sites and those sites will need to be updated quickly.
In the coming months, we hope to remove support for SSL 3.0 completely from our client products.
Chrome と Google のサーバは 2 月から TLS_FALLBACK_SCSV をサポート。 また Chrome は今日から SSL 3.0 へのフォールバックを無効化する。数か月後にはクライアント製品から SSL 3.0 のサポートを完全に削除したい。 (なので SSL 3.0 やめるのは Chrome だけじゃないけど「Google のクライアント、SSL 3.0 やめるってよ」では語呂的にちょっとアレだったので)
マイクロソフト セキュリティ アドバイザリ 3009008: SSL 3.0 の脆弱性により、情報漏えいが起こる (マイクロソフト, 2014.10.15)。CVE-2014-3566。 (以下、日本語版が出たので、日本語版から引用し直した)
何が原因で起こりますか?
この脆弱性の原因は、SSL 3.0 で使用される CBC 暗号アルゴリズムの弱点です。
問題を緩和する要素:
- 攻撃者が攻撃を行うには、数百もの HTTPS リクエストを行う必要があります。
- TLS 1.0、TLS 1.1、TLS 1.2、および CBC モードを使用しないすべての暗号は影響を受けません。
攻撃のシナリオを考慮すると、これはお客様にとって高い危険性のある脆弱性であるとは考えられません。
(中略)
攻撃者はこの脆弱性をどのように悪用する可能性がありますか?
中間者 (MiTM) 攻撃では、攻撃者が暗号化された TLS セッションをダウングレードし、クライアントに SSL 3.0 を使用させ、さらにブラウザーに悪意のあるコードを実行させる可能性があります。このコードはターゲットの HTTPS Web サイトにいくつかのリクエストを送信し、その Web サイトで以前認証されたセッションが存在する場合には自動的に Cookie が送信されます。この脆弱性が悪用されるには、これが攻撃者にとっての必要条件となります。攻撃者は、この HTTPS トラフィックを傍受し、SSL 3.0 の CBC ブロック暗号の弱点を利用して、暗号化されたトラフィックの一部 (認証 Cookie など) を解読する可能性があります。
MITM かませる状況でわざわざこの攻撃を行うというのは、どのくらい現実的なんだろう。これから増えたりするのかな。
SA 3009008 にはクライアント (IE) で SSL 3.0 を無効にする方法が記載されているけど、サーバ (IIS) で無効にしたい場合はこのあたりを:
How to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll (Microsoft KB 245030)
IIS Crypto (NARTAC Software)。設定ツール。
Some POODLE notes (Errata Security, 2014.10.14)
It requires MitM (man-in-the-middle) to exploit. In other words, the hacker needs to be able to to tap into the wires between you and the website you are browsing, which is difficult to do. This means you are probably safe from hackers at home, because hackers can't tap backbone links. But, since the NSA can tap into such links, it's probably easy for them. However, when using the local Starbucks or other unencrypted WiFi, you are in grave danger from this hack from hackers sitting the table next to you.
POODLE attacks on SSLv3 (ImperialViolet, 2014.10.14)
SSL 3.0 サポートを削除するための言い訳に使われた感? しかし Google 様の意向には逆らえない。まあ、こんなことでもないと、いつまでたっても TLS に移行しないのも確かだしなあ。
Firefox も SSL 3.0 やめるってよ。
The POODLE Attack and the End of SSL 3.0 (Mozilla Security Blog, 2014.10.14)
SSLv3 will be disabled by default in Firefox 34, which will be released on Nov 25. The code to disable it is landing today in Nightly, and will be promoted to Aurora and Beta in the next few weeks. This timing is intended to allow website operators some time to upgrade any servers that still rely on SSLv3.
As an additional precaution, Firefox 35 will support a generic TLS downgrade protection mechanism known as SCSV. If this is supported by the server, it prevents attacks that rely on insecure fallback.
いまどきの Firefox で SSL/TLS の最小バージョンを設定するには about:config で security.tls.version.min を設定するか、 アドオン SSL Version Control を使います。SSL Version Control をインストールすると、デフォルトで TLS 1.0 が最小バージョンとなります (security.tls.version.min = 1)。
OpenSSL 1.0.1j、1.0.0o、0.9.8zc で TLS_FALLBACK_SCSV がサポートされました。 また、no-ssl3 ビルドオプションがうまく機能していない欠陥 CVE-2014-3568 も修正されています。
OpenSSL Security Advisory [15 Oct 2014] (OpenSSL.org, 2014.10.15)
関連:
SSL Padding Oracle On Downgraded Legacy Encryption (POODLE) Vulnerability (Cisco, 2014.10.15)
SSL 3.0 の脆弱性「POODLE 」とは? (トレンドマイクロ セキュリティ blog, 2014.10.16)
Information about SSL “Poodle” vulnerability CVE-2014-3566 (Oracle, 2014.10.15)。“Oracle recommends permanently disabling SSL v3.0.”
関連:
CVE-2014-3566 Advisory (Amazon Web Services)
libressl-portable/portable/ChangeLog (github)。LibreSSL 2.1.1、デフォルトで SSL 3.0 を無効化。
PayPal Response to SSL 3.0 Vulnerability (aka POODLE) (PayPal Forward, 2014.10.14)。“In the coming days, we will remove support for SSL 3.0 completely.”
SSLv3 Support Disabled By Default Due to POODLE Vulnerability (CloudFlare, 2014.10.14)。 “In response, CloudFlare has disabled SSLv3 across our network by default for all customers.”
About Security Update 2014-005 (Apple, 2014.10.16)。Mac OS X v10.8.5 / v10.9.5 用。
This issue was addressed by disabling CBC cipher suites when TLS connection attempts fail.
Mac では、TLS 接続が失敗すると CBC 暗号群を無効にすることで対応。 本日正式公開された OS X 10.10 Yosemite でも同様になっているのだろう。
TLSのダウングレード攻撃を防ぐSCSVとは (あすのかぜ, 2014.10.15)
Twitter や Facebook が SSL 3.0 を無効にしたので死にかけた話 (しばやん雑記, 2014.10.15)
マカフィーセキュリティ情報 - POODLE の他3つの OpenSSL の脆弱性につきまして (マカフィー, 2014.10.16)
関連:
Poodle: 古いバージョンの SSL の脆弱性がもたらす新しい脅威 (シマンテック, 2014.10.20)
Logging SSL (SANS ISC, 2014.10.16)。サーバ側設定。
様々なサーバーのPOODLE SSLv3脆弱性(CVE-2014-3566)対策のまとめ(更新1) (自堕落な技術者の日記, 2014.10.18)。iida さん情報ありがとうございます。
関連:
WinSCP 5.5.6 (hotfix)。 OpenSSL 1.0.1j に移行、 SSL 3.0 無効化など。iida さん情報ありがとうございます。
GNUTLS-SA-2014-4。文書化されている標準の TLS ハンドシェイク手順を踏む限り、GnuTLS クライアントは POODLE 攻撃の影響を受けない。iida さん情報ありがとうございます。
Can SSL 3.0 be fixed? An analysis of the POODLE attack. (Red Hat, 2014.10.20)
関連:
POODLE攻撃について本当にTLSv1.0なら安全なのか? (自堕落な技術者の日記, 2014.10.25)
(続き1)POODLE攻撃について本当にTLSv1.0なら安全なのか?(OpenSSLは安全) (自堕落な技術者の日記, 2014.10.26)
IE も SSL 3.0 やめるってよ。
マイクロソフト セキュリティ アドバイザリ 3009008: SSL 3.0 の脆弱性により、情報漏えいが起こる (Microsoft, 2014.10.30 改訂)
マイクロソフトは、今後数か月間の間に、Internet Explorer の既定設定、およびマイクロソフト オンラインサービスで SSL 3.0 が無効になることをお知らせします。マイクロソフトは、お客様が、クライアントおよびサービスを TLS 1.0、TLS 1.1、あるいはTLS 1.2 などのより安全なセキュリティ プロトコルに移行することを推奨します。
IE の SSL 3.0 無効化を設定するための Fix it も公開されました。 KB 3009008 参照。
あと、SA 3009008 では Windows のサーバソフト全体・クライアントソフト全体の SSL 3.0 を無効化する方法も明記されました。
[回避策まとめ] セキュリティ アドバイザリ 3009008「SSL 3.0 の脆弱性により、情報漏えいが起こる」を公開 その2 (日本のセキュリティチーム, 2014.10.30)
2014 年 12 月 1 日より、Azure および Office 365 にて、SSL 3.0 を無効化します。これにより、Azure および Office 365 を利用するクライアント端末およびブラウザーは、TLS1.0 以上を有効化し、接続を行う必要がります。現時点では、サービス側への接続分析より、SSL 3.0 を利用した接続は少数であることが判明しています。Azure および Office 365 をご利用のお客様は、2014 年 11 月 30 日までに、TLS 1.0 以上を有効化してください。
関連:
Firefox リリースノート バージョン 34.0 (mozilla.jp, 2014.12.01)。「SSLv3 が利用できなくなりました」。
セキュリティ アドバイザリ 3009008: SSL 3.0 の脆弱性により、情報漏えいが起こる (Microsoft, 2014.12.10)、 Update enables SSL 3.0 fallback warnings in Internet Explorer 11 (Microsoft KB 3013210)。IE 11 に SSL 3.0 フォールバック警告機能が加わりました。しかしデフォルトでは無効になってます。 有効にするには、Fix it 51028 を使うか、グループポリシーで設定します。
IE 11 方面。
マイクロソフト セキュリティ アドバイザリ 3009008: SSL 3.0 の脆弱性により、情報漏えいが起こる (Microsoft, 2015.02.11 更新)、 MS15-009 - 緊急: Internet Explorer 用のセキュリティ更新プログラム (3034682) (Microsoft, 2015.02.11)。IE 11 用の MS15-009 更新プログラムをインストールすると、SSL 3.0 へのフォールバックを無効化する更新プログラム 3023607・3036197 も同時にインストールされる。 (3036197 は Windows 8.1・Server 2012 R2・RT 8.1 専用)
[POODLE 対策] 2015 年 4 月よりInternet Explorer 11 でSSL 3.0 を既定で無効化します (日本のセキュリティチーム, 2015.02.12)。2015.04.15 から。
実装によっては TLS 1.x であっても POODLE 類似の欠陥を持つ事例:
sol15882: TLS1.x padding vulnerability CVE-2014-8730 (F5, 2014.12.08)。CVE-2014-8730
JVNDB-2014-005869: 複数の F5 製品の SSL プロファイルコンポーネントにおける平文データを取得される脆弱性 (JVN, 2015.03.03 更新)
InterstageやSystemwalker関連製品:TLS1.0実装におけるセキュリティ脆弱性の問題 (富士通, 2015.03.16 更新)
》 アメリカにとっての都合がシリア内戦の将来を決める オバマとイスラム国の戦争(その3) (JBpress, 10/14)。黒井 文太郎氏。
北大生方面
元教授、北大生にビザ不要の「経由国」教える (読売, 10/12)。ツイッターで常識的な回答をしただけでおどろおどろしい記事に。これ 5 月だし。
警視庁公安部 (中略) 幹部への取材でわかった
読売は裏取ってないのか……。
Shoko Egawa @amneris84 さんのツイート:
中田氏と当該の北大生らしき方とのツイッターやりとりって、これだけか… http://t.co/1GTj8OxQ3S
— Shoko Egawa (@amneris84) 2014, 10月 13
北大生「イスラム国」渡航未遂事件から見えてくるもの (川上 泰徳 / 朝日, 10/14)
イスラム国(IS)に対するイスラム的見解 (サイードのモーリタニア・サウジアラビア日記, 10/7)
自由主義者の「イスラーム国」論〜あるいは中田考「先輩」について (中東・イスラーム学の風姿花伝, 10/9)
https://www.facebook.com/satoshi.ikeuchi/posts/10201992410450887 (池内 恵 / Facebook, 10/9)
黒井文太郎 @BUNKUROI さんのツイート:
中田先生のような考えはアラブでは珍しいものでもない、というのが池内先生コメントの核心で、これがいちばん難しいところで、あちらでも多くの人が智恵を重ねてきたところ。これはアラブ経験者でないとわからないことだけど、アラブ経験者、他に誰も指摘しない。地雷だから
— 黒井文太郎 (@BUNKUROI) 2014, 10月 12
米軍の「イスラム国」空爆作戦は効果あるのか /軍事ジャーナリスト・黒井文太郎氏 (THE PAGE, 10/10)
対イスラム国「有志連合」 なぜポーランドやデンマークが参加? /高橋和夫・放送大学教授 (THE PAGE, 10/6)
》 「Apple Pay」のスタッフ向け研修文書が流出か--設定の詳細など記載 (CNET, 10/14)、 Apple Payは、どうやらこのように動くらしい (gizmodo, 10/14)
今週、現地時間16日に行なわれるアップルの発表会の後、噂では18日に正式リリースだと言われていますがはてさて。
》 若者が草食化した本当の理由 (Willy / BLOGOS, 10/13)
しかし、本当の理由はそんな生易しいものではない。断言しよう。「大学生は恋愛できないほど経済的に貧しくなってしまった」のだと。
》 消えたはずのSnapchat写真、サードパーティーサイト経由で流出 (ITmedia, 10/14)。Snapsaved.com。
》 米で相次ぐマルウェアのカード情報流出、今度は大手チェーン2社から (ITmedia, 10/14)。Kmart、Dairy Queen。
》 Oracleの定例セキュリティアップデート、米国時間10月14日公開予定 (Internet Watch, 10/10)。明日です。
》 欧州のプライバシーに基づく検索結果の削除リクエスト (Google)。「忘れられる権利」への対応状況まとめ。 「データの最終更新日: 2014年10月13日」では以下だったけど、 もしかして、日々更新されている?
Google が受け取ったリクエストの総数: 146,938 件
Google が削除のために評価した URL の総数: 498,830
すべて:
削除された URL: 171,214 (41.8%)
削除されなかった URL: 238,794 (58.2%)
ん? 総数が一致しない。171,214 + 238,794 = 410,008。
このグラフは処理された URL を、上記の数字は評価した URL の総数を表しています。詳しい情報が必要な URL や審査待ちの URL はこのグラフに含まれていません。
意味がよくわからない。 評価したけど未処理な URL が 498,830 - 410,008 = 88,822 件あるということか?
2014 年 10 月 15 日のセキュリティ リリース予定 (月例) (2014.10.13)
今回、NATO やウクライナ政府などへの攻撃に使われた 0-day 欠陥の修正が含まれているそうです: iSIGHT discovers zero-day vulnerability CVE-2014-4114 used in Russian cyber-espionage campaign (iSIGHT, 2014.10.14)。CVE-2014-4114
On Tuesday, October 14, 2014, iSIGHT Partners – in close collaboration with Microsoft – announced the discovery of a zero-day vulnerability impacting all supported versions of Microsoft Windows and Windows Server 2008 and 2012.
セキュリティ情報 3 (緊急) か、セキュリティ情報 5 (重要) ですか。
》 中国水泳選手孫楊「日本国歌は不快」時事通信は翻訳が不適当。結果中国人への誤解煽る。 (Baogonの中国上海〜こうなってるよ ! , 10/9)
》 PHPカンファレンス2014 対談セッション 「ウェブエンジニアに必要なセキュリティスキルとは」のつぶやき (togetter, 10/11)
》 なぜグーグルは「検索結果」削除を命じられたか?申請代理人の弁護士に聞いた「勝因」 (弁護士ドットコム, 10/11)
――日本の「忘れられる権利」も、EU判決と同じレベルまできた?
「いいえ、そうではありません。EUの『忘れられる権利』を認めた判決では、『リンク先に権利侵害の情報があるから、検索結果を削除しろ』と命じています。
しかし、日本の裁判所は今回、あくまでグーグルのサイト上に表示される情報、つまりリンク先の『タイトル』と『サイトの文章を抜粋したもの(スニペット)』を見ただけで人権侵害だといえるケースについて、検索結果を消せと命令したに過ぎません。
なるほど、そういうことですか。
》 イスラム国志願・北大生騒動は"トンデモ茶番劇"だった (DMM NEWS, 10/11)
事件の概要が明らかになると、捜査員たちは一気にトーンダウン。捜査当局が危険分子とみなした学生が、単なる〝痛いモラトリアム青年〟だったことが判明してきたからだ。
》 編集局長がKGBのスパイだった!? 産経が頬かむりする「売国」的過去 (リベラ, 9/29)。山根卓二編集局長 (当時) が KGB スパイ「カント」であると、元 KGB 少佐レフチェンコ氏が証言した件。
9月26日深夜から放映された『朝まで生テレビ!』(中略) 元産経新聞ニューヨーク支局長で安倍首相のオトモダチの山際澄夫 (中略) がなぜか黙り込んでしまった時間があった。
それは、「朝日が問題なのは特定の意図をもって報道していることだ」という山際らの主張に対して、ジャーナリストの青木理が「朝日だけじゃない。産経だってレフチェンコ事件で同じことをやっている。産経だって、編集局長がKGBのスパイだということをつきつけられたら、あっという間に知らんぷりしちゃったわけでしょう」と反論した時のことだ。山際はそれまでの勢いが嘘のように、言葉を失ってしまったのである。
関連: KGBをかばった住田良能社長-レフチェンコ事件を清算しない産経新聞(5) (産経新聞愛読者倶楽部, 2011.05.23)
》 小林よしのりも「カルト」と批判! 山谷えり子をなぜ放置するのか (リベラ, 10/6)
》 パスワードの定期的な変更を勧める企業にその根拠を聞いてみた (富永日記帳, 10/9)
》 加藤達也・産経新聞前ソウル支局長による朴槿恵大統領への名誉毀損起訴の不可解 (極東ブログ, 10/11)
私が勘違いしたかもしれないと思ったのは、この内容を韓国語で翻訳した記事(参照)が名誉毀損の対象になっていたのだと思い込んでいた点である。
(中略)
名誉毀損とされたのは、まさに、この産経新聞のサイトに日本語で記載された記事そのものだったらしい。そんなことがありうるんだろうか?
疑問に思ったのは、昨日zakzakという産経系のサイトに掲載されたコラム「「行方不明」「下品」…事情聴取で浮き彫りになった日韓の言語文化の違い 産経前ソウル支局長起訴 」(参照)を読んでからのことである。
(中略)
これが本当なら、日本語で書かれた、通常日本人向けと想定される記事について、韓国検察は、裁判のために韓国語に翻訳したもので、起訴を行っていることになる。これはどう考えても、翻訳の質の問題ではないかと思えてならない。
》 【名誉毀損で有罪判決の元「噂の真相」編集者が産経新聞問題を語る】 言論弾圧は韓国だけじゃない! 日本の検察も刑事罰で批判報道を封じ込め! (リテラ, 10/12)。ウワシン vs 検察。
ちなみに、このとき、特捜部で「噂の真相」をでっち上げ起訴した担当検事のひとりが、現在は検察を退職してニュース番組でコメンテーターもつとめる若狭勝弁護士だ。今回の産経ソウル支局長起訴に際して、若狭弁護士は「(韓国の検察の)行き過ぎという感じがする」とコメントしていたが、この人は自分が検事時代にやったことを覚えていないのだろうか。
》 陸山会事件でデタラメ捜査報告書の田代政弘元検事が弁護士登録ってホンマほんまかいな? (いまにしのりゆき 商売繁盛でささもって来い!, 10/10)
》 法務省犯罪白書でレイシスト・ネトウヨの嘘がばれる。 (textream, 10/13)。在日外国人の犯罪率は日本人よりも低い。
》 八重山日報の社長が在特会関連団体の行事で「購読のお願い」を呼びかけ 編集長の登壇も相次ぐ (NAVER まとめ, 10/12)
》 湘南・藤沢を代表する白旗神社のブログが韓国人を侮辱しまくっていたことが判明 (NAVER まとめ, 10/9)
》 御嶽山噴火:数日前から複数の異変 気象庁に届かず (毎日, 10/13)。普段とは違う場所から噴煙、普段の倍以上の高さまで噴煙。 しかし通報されず。
》 米NSA、通信データの収集で企業内に工作員を浸透させていた模様 (Intelligence News and Reports, 10/13)。スノーデン情報。極秘作戦“SENTRY EAGLE”。
(1)SENTRY HAWK
国内外の民間企業と協力し、標的となっているコンピューター・ネットワークを利用できるようにする
(2)SENTRY FALCON
コンピューター・ネットワークを防御する
(3)SENTRY OSPREY
NSAの通信情報活動をサポートするために、標的となっている企業に工作員を浸透させる
(4)SENTRY RAVEN
NSAがネットワークにアクセスしやすくするために、あらかじめアメリカ企業と交渉し、その企業の暗号システムを弱めておく
(5)SENTRY CONDOR
標的となっているコンピューター・システムを破壊、弱体化するために、積極的なサイバー攻撃を行なう
(6)SENTRY OWL
外国企業の協力を得て、NSAがその企業の製品からデータを収集しやすくする
元ねた: Core Secrets: NSA Saboteurs in China and Germany (The Intercepts, 10/10)
》 スノーデンのプライバシーに関する助言:Dropboxは捨てろ、FacebookとGoogleには近づくな (techcrunch, 10/13)
インタビューの中でスノーデンは、iOSが暗号化を強化したことが犯罪取り締りに支障を来たすとする主張を退けた。たとえ暗号化されていても、政府機関は対象者の電話機を全面調査する捜査令状を取ることが可能であり、電話機には暗号化データの解読キーが入っている。しかも、AppleやAT&T、Verizon等がデータの召喚を受ける可能性もある、と彼は言った。
》 Monthly Research 「POSマルウェアについて」 (FFRI BLOG, 10/7)。「昨年度新規販売された POS 端末のシェア約 97% を占める8つのPOSシステムベンダーがWindowsを採用」「POS マルウェアの例として、BlackPOS の亜種Trojan.POSRAMと Backoffを紹介」
》 VirusScan Enterprise 8.x での 5700 エンジン手動インストール手順 (マカフィー KB82747)
》 現代重工業、役員260人が一括で辞表提出 (中央日報, 10/13)。うひい。関連:
赤字脱出目指し操舵室のメンバー一新した現代重工業 (中央日報, 9/15)
崔吉善・権五甲体制が切り抜けて行かなくてはならない海は荒い。現代重工業は第2四半期に1兆1040億ウォンの営業赤字を出した。1973年の会社創立以来最悪の成績だった。何より船舶の注文が減った。1〜8月の世界の造船受注は2680万CGTで前年同期比24%減った。特に韓国企業の打撃は大きかった。中国の受注量が14.5%減ったのに対し、韓国は31.7%減少した。
9月の韓国造船受注量 日本に抜かれ3位へ転落 (綜合ニュース, 10/13)
英クラークソンによると、9月の国別受注は韓国が42万1528CGT(標準貨物船換算トン数)で、市場シェア20.7%を記録した。受注量トップは中国で92万2800CGT(同45.3%)、次いで日本が55万1850CGT(同27.1%)となった。(中略) 昨年までは日本の受注規模は韓国(299億8400万ドル、3兆2300億円)の6分の1の水準に当たる52億300万ドルだった。
造船受注 リーマンショック前の水準に (NHK, 10/12)。「円安などを背景に去年の同じ時期と比べてほぼ2倍に増え、リーマンショック以前の水準に回復」。
国内製造海外輸出している業界では、円安の恩恵をちゃんと受けているわけで。
》 二重国籍の実態:「ノーベル賞中村氏は日本人」とする安倍首相、「日本国籍を喪失」とする日本大使館 (ハフィントンポスト, 10/12)。 米国籍の日本人 (日系人) でしょう。
金正恩氏不在の北朝鮮、妹の金与正氏が代行就任か (CNN, 10/9)
コラム:姿を消した金正恩氏、北朝鮮の真意はどこに (ロイター, 10/9)
金正恩氏は党記念行事に姿見せず、足首負傷で歩行困難の情報も (ロイター, 10/10)
金正恩氏、平壌の邸宅に滞在か 米は政変や重病否定 (CNN, 10/11)
「金正恩は平壌の別荘でリハビリ中、1カ月前に両足首を手術」 (中央日報, 10/13)。「韓国と米国の情報消息筋が明らかにした」
》 【暴風警報発令に伴い本日終日休講します】台風19号の影響に伴う休講措置について (龍大, 10/13)。JR が止まる前に帰らないと……。 ……お、12:00 になったら出入口を施錠するというアナウンスが。
ベネッセから顧客情報 760 万世帯分が流出、名簿屋から情報を購入したジャストシステムがダイレクトメールを送付して発覚 (2014.07.09)
関連:
ファミマTポイントカード作ったみやびちゃん(仮名・10歳)、なぜかベネッセから個人情報が漏れましたとお詫びちゃれんじ貰う (市況かぶ全力2階建, 2014.10.13)。T ポイント → ベネッセ → 漏洩、の模様。
14年度中に業務終了=情報流出の子会社-ベネッセ (時事, 2014.10.09)。シンフォーム。
ベネッセの報告書を読んで浮かんだ違和感 (ZDNet, 2014.10.07)
本報告書では、調査当初は対象データが約2億1639万件であり、それを統合して約6984万件、名寄せした結果が約3504万件、個別のデータとして約4858万人分のデータになったと記載されています。
この報告から分かることは、個人データをバラバラに管理していたということです。個人情報を提供する側からすればベネッセコーポレーションに提供しているつもりで、一元的に管理されていることが期待されるところですが、残念ながらそうはなっていなかったということです。
このような状況で情報管理をしている企業では、個人情報保護法における主体(本人)の有する自己コントロール権に対して適切な対応ができない可能性が高いということです。
例えばメールマガジンの配送停止を依頼した際やデータの削除を依頼した際に、すべてのサービスについてそれが全うされないだろうということが予測されます。
緊急 x 3、重要 x 5、警告 x 1。IE あり、NET Framework あり、Office あり (Mac 版も)。
今回、NATO やウクライナ政府などへの攻撃に使われた 0-day 欠陥の修正が含まれているそうです: iSIGHT discovers zero-day vulnerability CVE-2014-4114 used in Russian cyber-espionage campaign (iSIGHT, 2014.10.14)。CVE-2014-4114
On Tuesday, October 14, 2014, iSIGHT Partners – in close collaboration with Microsoft – announced the discovery of a zero-day vulnerability impacting all supported versions of Microsoft Windows and Windows Server 2008 and 2012.
セキュリティ情報 3 (緊急) か、セキュリティ情報 5 (重要) ですか。
》 火山情報の専用ページ公開始まる (NHK, 10/10)、火山登山者向けの情報提供ページ (気象庁)
》 火山観測や情報提供を緊急提言へ (NHK, 10/10)。気象庁、御嶽の大失敗を受けて、「火山活動に変化があった場合の情報伝達の方法や、住民や登山者などへの分かりやすい情報提供の在り方について」「現在、47にとどまっている24時間態勢で監視が必要な火山の見直しや、火口周辺の観測設備の強化、それに、水蒸気噴火の兆候をいち早く把握する方法の開発などについて」検討し、「来月中に緊急の提言を取りまとめ」るそうで。
》 ウェブサイトの攻撃兆候検出ツール iLogScanner V4.0 (IPA, 10/9 更新)。要 JRE。
》 NCR社製ATMのAPIドキュメントが百度(バイドゥ)で公開される (エフセキュアブログ, 10/7)
地元のニュースで報じられたことによると、「ulssm.exe」というファイル名のマルウェアを犯人がインストールしたと警察は述べているとのことだ。このマルウェアは侵害されたATMで見つかった。ファイル名からすると、問題のマルウェアはシマンテック社が最初に発見した、「PadPin」として知られているものだと我々は考えている。このマルウェアに関する基本的な技術情報はこちらにある。
↓の“Tyupkin”も同類のように見える。
》 ATMに入っている現金を丸ごと引き出すマルウェア「Tyupkin」 (gigazine, 10/10)、Tyupkin: Manipulating ATM Machines with Malware (Kaspersky, 10/7)
The attackers copied the following files into the ATM:
C:\Windows\system32\ulssm.exe
%ALLUSERSPROFILE%\Start Menu\Programs\Startup\AptraDebug.lnk
》 「ラマディの悪魔」として恐れられた米戦史最強のスナイパーを映画化した「American Sniper」予告編 (gigazine, 10/9)
》 グーグル:検索結果の一部削除を命令 東京地裁仮処分 (毎日, 10/10)
自分の名前を検索すると、犯罪に関わっているかのような表現をした検索結果が出てくる (中略) 男性は237件の検索結果の削除を求め、地裁はうち122件について削除を認めた
認めたものと認めなかったものの差は何だろう。 関連: グーグルに「検索結果の削除」命令 国内初か、東京地裁 (朝日, 10/10)
》 「自撮り」画像は宝の山―マーケティング分析に利用する新興企業 (ウォール・ストリート・ジャーナル日本版, 10/10)
》 Apple、特許資料でApple PayのNFC機構を詳しく説明 (techcrunch, 10/10)。「iPhone 6イベントでは語られなかった技術的詳細が含まれており、一見に値する」
》 Netis製ルータに存在する不具合を修正する更新プログラムを検証 (トレンドマイクロ セキュリティ blog, 10/8)
この不具合の問題は、一体、解決されたのでしょうか。事実として、問題の UDPポートは存在したままです。そして、万が一、攻撃者が同社製ルータの Web版コンソールのパスワードを入手できルータの LAN回線を通じて接続できた場合、再び開放状態にされ不正目的で悪用される恐れがあります。また、攻撃者は、PC上に不正プログラムを侵入させ、これを実行することが可能となります。つまり、更新プログラムが公開されたとはいえ、問題の不具合を利用する攻撃には脆弱を抱えたままといえるでしょう。
とはいえ、Netis製ルータのユーザは、攻撃者ではなく「自身」が同社製ルータに接続できるように更新プログラムを必ず適用して、より安全な状態にしてください。
》 Signed Malware = Expensive “Oops” for HP (Krebs on Security, 10/9)
Earlier this week, HP quietly produced several client advisories stating that on Oct. 21, 2014 it plans to revoke a digital certificate the company previously used to cryptographically sign software components that ship with many of its older products. HP said it was taking this step out of an abundance of caution because it discovered that the certificate had mistakenly been used to sign malicious software way back in May 2010.
うわ……。
》 Symantec、セキュリティと情報管理に2社分割する計画を発表 (日経 IT Pro, 10/10)。いまさら感強いなあ。
》 運転中のハンズフリー機器使用、Siriが最も危険 米研究 (AFP / Yahoo, 10/8)
》 News from the land of patch rewards (Google, 10/9)
Webmin 狙いらしい。
TCP 10000番ポートは、ウェブベースのシステム管理ツールである Webmin の 標準ポートとして利用されることが多く、開発者によると Webmin は先日公開 された GNU bash の脆弱性の影響を受けるとのことです。
関連:
[webmin-announce] Webmin 1.710 and Usermin 1.620 released (sourceforge.net, 2014.10.01)
Webminの脆弱性+bashの脆弱性でトロイの木馬がroot権限で入る (M.C.P.C. (Mamesibori Creation Plus Communication), 2014.10.04)
》 依存症大国 日本 事前対策なしにカジノ合法化を進めるな (Wedge, 10/8)。今でさえギャンブル依存症患者が多い模様。これでカジノが解禁されたら……
日本にはパチンコによって世界のギャンブルマシーンの60%が集中し、加えて競馬等の公営ギャンブルによってギャンブル依存症有病率は成人人口の4.8%、デンマークやオランダ、ノルウェーなどが1%未満であるのとは対照的に、世界最高レベルなのだ
経済効果もよくわからない模様: カジノの経済効果は不透明 共食いでは意味がない (Wedge, 10/8)
しかし、カジノが地域振興の「魔法の杖」ではなかった現実が、いま米国で顕在化している。ラスベガスと並んでカジノによる繁栄の象徴とされてきたアトランティック・シティで、1月の「アトランティック・クラブ」閉鎖を皮切りに、3分の1のカジノが閉鎖というドミノ現象が起きたのである。
》 カカオトークの内緒会話や受信メール削除、年内導入へ (東亜日報, 10/9)
これまで、ダウムカカオは、「リアルタイムで検閲要請を受けた事実はなく、令状による要請があっても、技術的に不可能だ」と主張してきた。
が、嘘だった。
ダウムカカオは同日、昨年から今年上半期にかけて、計147回に渡って傍受令状を受けており、そのうち138回に渡って、会話内容などの個人情報を捜査機関に提供したと明らかにした。(中略) カカオトークはまた、会話内容を含め、ログ記録やニックネームなどの情報についての、捜査機関の押収捜索も、計4807回受けた。 (中略) 「リアルタイムでのモニタリングは不可能だが、令状を受ければ、サーバーの保存期間(5〜7日)中に残っている会話内容をかき集めて提供した」
関連:
カカオトーク1人のアカウントを押収して3千人を査察…「事実上の監聴」 チャットルームで話した双竜車、希望バス、取材情報すべて押収 (レイバーネット, 10/1)
警察のカカオトーク対話内訳検閲に「サイバー査察」批判=韓国 (中央日報, 10/2)
朴大統領への侮辱やデマの取締り強化、カカオトーク送信は全て監視対象に・・「カカオ離れ」が加速―中国メディア (XINHUA.JP / Yahoo, 10/8)、 Threat of government surveillance has KakaoTalk losing users to German-based app (Korea Times, 10/8)。カカオトークのユーザ 150 万人が Telegram に移行済? (韓国語版 Telegram が 10/7 に公開された) (カカオトークのユーザはまだ 3500 万人いる)
》 韓国では国内の新聞を引用した記事を執筆すると政府から起訴される (しかも、なぜか当該国内新聞は起訴されない) どうしてこうもスルー力が弱いのか。
産経前ソウル支局長を在宅起訴 「朴大統領の名誉毀損」 (朝日, 10/9)
異例の記者訴追、韓国に国内外から懸念 産経記事巡り (朝日, 10/9)
産経新聞前ソウル支局長を在宅起訴 (NHK, 10/9)
産経前ソウル支局長起訴 韓国メディアも懸念 (NHK, 10/9)
検察、前産経ソウル支局長を起訴…「朴大統領は青瓦台にいた」 (中央日報, 10/9)
産経新聞前ソウル支局長の起訴、極めて遺憾=菅官房長官 (ロイター, 10/9)
産経:
震源地: 【追跡〜ソウル発】 朴槿恵大統領が旅客船沈没当日、行方不明に…誰と会っていた? (産経, 8/3)。「朝鮮日報のコラム」からの引用とされるものだらけ。
【本紙ソウル支局長聴取】 検察捜査に疑問呈す 引用コラムの韓国紙記者 (産経, 9/17)
崔氏は自らのコラムを「大統領と大統領府の国政運営に関する批判だ」としつつ、「産経の記事は理解困難な低級な扇情報道だ」と断じた。
崔氏は、自身のコラムには「産経が書いた『男女関係』の単語もなく、特定もしていない」と強調。また「記者として生きてきた自身の名誉が毀損されたと感じなくはない。産経と結びつけられるのは不快だ」と主張した。
この観点について、誰か検証しているのだろうか。
本紙前ソウル支局長を在宅起訴 ソウル中央地検 韓国大統領の名誉毀損告発で (産経, 10/8)
【本紙前ソウル支局長起訴】 韓国、懸念無視し強権…脅かされる言論自由 (産経, 10/8)
【本紙前ソウル支局長起訴】 朴氏の“怒り”検察決定に影響か (産経, 10/9)
【本紙前ソウル支局長起訴】 国内の法曹関係者「起訴は報道に萎縮」 (産経, 10/8)
【本紙前ソウル支局長起訴】 熊坂本紙社長声明「言論の自由への明白な侵害」 (産経, 10/8)
【本紙前ソウル支局長起訴】 「引用元の韓国新聞社に処分が無いのは問題」ジャーナリストの田原総一朗さん (産経, 10/8)
【本紙前ソウル支局長起訴】 佐藤優氏「日本だけは叩く韓国ならではの構図」 (産経, 10/8)
【本紙前ソウル支局長起訴】 「民衆感情を利用、抑圧の典型」木村幹・神戸大教授 (産経, 10/9)
》 墓が捨てられる 〜無縁化の先に何が〜 (NHK クローズアップ現代, 10/8)
大量の墓石があふれ出す背景には、社会と家族の急速な変化があります。
かつて日本では、1つの墓に1人が埋葬される土葬が中心でした。
明治の民法で家の継承を重視する「家制度」が定められると、先祖代々一家がまとめて1つの墓に祭られるようになります。
それが解体されつつあるのが現状か……。
【AFP記者コラム】「イスラム国」の斬首動画が報道機関に突きつけた課題 (AFPBB, 9/23)
ISは私たちを恐怖に陥れるために、前例のないやり方でネットを駆使し、私たちに挑んできている。もはやISの支配地域に取材に入るのは不可能に近くなった。つまり、ISが公開するプロパガンダのための写真や動画だけが、私たちがあの地域で何が起きているかを知る唯一の情報源となったのだ。
中田考氏は 強く否定している。実際に IS の内部に入って取材しているからなあ。
イスラム国空爆:大規模波状攻撃 アルカイダ系組織も打撃 (毎日, 9/24)。『空爆の対象はイスラム国と国際テロ組織アルカイダ系武装組織「ホラサン」』。
シリア空爆:欧州諸国 米国支持すれど参加にためらい (毎日, 9/24)
「大爆発だ。米軍の攻撃が開始されたのかも」…シリアへの米軍空爆をライヴツイートしちゃった人がいる。 (NAVER まとめ, 9/25)
コラム:米国が踏み出した「終わりなき戦争」 (ロイター, 9/26)。「作戦はどれぐらい続くのか」「数年単位と考えている」
国際法的にグレーでも他に手段がなかったシリア空爆 オバマとイスラム国の戦争(その1) (JBpress, 9/29)。黒井文太郎氏。
イスラム国を力でねじ伏せなければならない理由 オバマとイスラム国の戦争(その2) (JBpress, 10/6)。黒井文太郎氏。
北大生は違ったフィクションに生きたかった (高世仁の「諸悪莫作」日記, 10/8)
ここに、常岡さんが問題の北大生に対して行なったインタビューを紹介しよう。
北大生Aともう一人、千葉県の青年B(23歳)の二人が、8月11日にイスラム国に向け出発予定だった。常岡さんは彼らを同行取材する予定だった。
インタビューは出発直前の5日に、都内のサイゼリヤで行われた。
マスコミでは断片的にしか紹介されていないが、通して見てみると、どういう人間かがイメージできるだろう。(Qは常岡さん)
一読して、ひどい厭世観を感じる。 強い意思じゃなくて自暴自棄でしょう。
リクルートの「張り紙」を出した「古書店主」は相当の変わり者らしく、悪戯心だったようだ。この張り紙はネットの世界では、一部で話題になっていたという。
これを見た、見知らぬ者同士が、きわめて個人的な願望をもとに応募したというのが実態ではないか。
冒頭の質問で、二人の関係も知らぬまま、インタビューに臨んでいることが分かるが、この日、常岡さんは、初めて二人に会った。
常岡さんの声の調子から、この人本気なの?と驚きながら質問していることがうかがえる。
北大生支援の元教授インタビュー 公安の事情聴取を受けた中田考氏が語る「イスラム国」 (Wedge, 10/9)
――印象に残ったことは。
中田 彼らは金銭的な余裕がなく武装面では非常に弱い組織、という印象を受けた。中東各国の富裕層などが彼らを資金面で支えている、という報道もあるが、基本的には彼らは自分たちのお金で組織を回しており、貧しい。「政府軍を追いやるぐらいなので、お金があり強いはずだ」という意見もあるが、政府軍が極端に弱いだけの話。弱い組織ともっと弱い組織の戦い。現地にいってそれを目の当たりにしてきた。そもそも停電が常態で電気もろくに通じていないような世界。
――であればアメリカが地上軍を投入すれば簡単に倒せるのか。
中田 それは無理だ。アメリカ軍は強いイメージがあるが、本当に弱い。その理由の1つとして法の縛りが挙げられる。彼らは随分ひどいことをしているが、それでもシリアのアサドやイラクのフセインの軍隊に比べれば、一応軍規がある。軍規があるとやはり弱い。
――なぜこのタイミングでこうしたことが起こったのか。
中田 非常に簡単に言ってしまえば、世界がおかしいから。イスラムの世界もおかしいし、世界全体がおかしい。イラクとシリアはイスラムの世界においても、世界レベルでみても、ほぼ最悪の残虐な政権。イラクは単に野蛮で、シリアはもっと計算された冷酷な野蛮さ。人を殺すことも、嘘をつくことも平気な人たち。そういうところを倒すには、それに対抗できるような、ある意味での強さみたいなものがなければならない。
中田考への任意の聴取及び家宅捜索に対する弊社見解 (カリフメディアミクス / Google Docs, 10/8)
中田が日本という国家の枠内で定められた「私戦準備及び陰謀」という法律においてその容疑がかけられる余地が全くないかと言えば、否定せざるを得ず、外交的見地からも、真相を究明するために公安当局の捜査が入ることもやむをえないと考えます。しかし、真実が明らかになれば、法律的見地からも、違法とはみなされず、イスラームの教えおよび国際社会の平和という観点において本件の中田の行動に非はないことが明らかになるであろうというのが弊社の見解です。公安当局の厳正で中庸な捜査とマスコミの事実を綿密に調べた上での適切な報道を希望します。
》 閲覧注意 ここ数日の池田信夫さんの発言 (togetter, 10/2)。終了。
2014 年 8 月のマイクロソフト セキュリティ情報の概要 (2014.08.16)
MS14-046 更新プログラム 2966827・2966828 で不具合が発生しているようです。 更新プログラム 3005628 で修正。
Windows 8.1 に .NET Framework 3.5 をインストールできない問題の件 (0x800f0906, 0X800f081f) (山市良のえぬなんとかわーるど, 2014.09.22)
You cannot enable the Microsoft .NET Framework 3.5 feature on Windows Server 2012 R2, Windows Server 2012, Windows 8.1, or Windows 8 after you install security update 2966827 or 2966828 (Microsoft KB 3002547)。更新プログラム 2966827 または 2966828 をインストールすると、Server 2012・2012R2、Windows 8・8.1 で .NET Framework 3.5 機能を有効にできない。3005628 ↓を適用するか、あるいは一旦 2966827・2966828 をアンインストールして .NET Framework 3.5 機能を有効にし、それから 2966827・2966828 を再適用する。
Update for .NET Framework 3.5 on Windows Server 2012 R2, and Windows Server 2012, Windows 8.1, and Windows 8 (Microsoft KB 3005628)。更新プログラム 3005628 で修正されます。
》 (メディアタイムズ)慰安婦報道 元記者の家族も攻撃 (朝日, 10/7)。テロとの戦い。
》 時論公論 「御嶽山噴火 〜なぜ大きな被害に〜」 (NHK 解説委員室, 9/30)、 時論公論 「御嶽山噴火から1週間 火山防災の見直しを急げ」 (NHK 解説委員室, 10/4)
》 もんじゅ 改革延長 「深刻な問題」 (NHK「かぶん」ブログ, 10/2)。とっとと諦めて解体しろ。
》 福島第一原発 地震の揺れの想定を1.5倍に (NHK「かぶん」ブログ, 10/3)。 「これまでの1.5倍の900ガルまで引き上げる」 「津波についてもこれまでの倍近いおよそ26メートルまで引き上げる」。 これまでが、いかに甘ちゃんだったかということでもある。
Bitcoin、300ドルを割る (techcrunch, 10/6)
大量のBitcoinが相場以下で売り出されると何が起きるかを見よ! (techcrunch, 10/7)
Bitcoinで今何が起きているのか? (techcrunch, 10/7)
》 「BBCは日本の新聞とは違って、他人のプライバシーに踏み込むような報道姿勢ではない」などというデタラメを、どこで聞きました? (tnfuk [today's news from UK+], 10/5)
》 赤崎勇・天野浩・中村修二の 3 氏にノーベル物理学賞 (青色 LED 開発)
ノーベル賞受賞、「青色LED」の産官学モデルがうまくいった理由 (日経ビジネス, 10/7)
ノーベル賞学者は10年前、「敗軍の将」として何を語っていたか (日経ビジネス, 10/7)
ノーベル賞:中村氏「日本に自由ない」、研究環境の改善を (毎日, 10/8)
米国のイノベーションと軍事予算 (Geek なぺーじ, 10/8)。超軍事大国ですからねえ。
》 ドメイン名政策委員会 報告書(案)に対する意見の募集 (総務省, 10/7)
》 スクエニ『ハイスコアガール』巡りSNKを提訴―著作権侵害の事実なし (おたくま経済新聞, 10/8)
》 破壊より笑い 陽気なウクライナのレーニン像 (朝日, 10/8)
》 カフェで写真撮ってツイートしてる人のアカウントを特定する方法 (はてな匿名ダイアリー , 10/7)。 lang:ja exclude:retweets filter:images ですか。
》 日立システムズ、セキュアブレインを完全子会社化 (日経 IT Pro, 10/7)
》 急成長する「サイバー軍需産業」を知る5つのポイント (サイバーインシデント・リポート, 10/7)
》 キメリックス社の抗ウイルス薬「ブリンシドフォビル」をエボラ患者に投与。Chimerix 社の Brincidofovir (CMX001)。 「アデノウイルスやサイトメガロウイルス」対抗として開発された薬で、第3相試験中だそうで。
米ダラスのエボラ感染者、キメリックスの治験薬投与 (ウォール・ストリート・ジャーナル日本版, 10/7)
重体のエボラ熱患者にキメリックスの治験薬投与 (ブルームバーグ, 10/6)
》 佐賀県武雄市長を詐欺罪で刑事告発 (#武雄市問題, 10/6)。交通費不正受給疑惑。
》 Adobe’s e-book reader sends your reading logs back to Adobe—in plain text [Updated] (ars technica, 10/7)。 Adobe Digital Editions。 多くの公共図書館で使われている、という観点でも問題になっているようで。 関連:
Adobe is Spying on Users, Collecting Data on Their eBook Libraries (The Digital Reader, 10/6)
Adobe Spyware Reveals (Again) the Price of DRM: Your Privacy and Security (EFF, 10/7)
》 米第9巡回控訴裁、ネバダ等5州での同性婚禁止を解除 (石壁に百合の花咲く, 10/8)。ネバダ、アイダホ、アラスカ、アリゾナ、モンタナ。
》 Twitterが真の「透明性レポート」の公開を求めてアメリカ政府を提訴 (gigazine, 10/8)。透明性レポートは透明でない件。
OpenSSH 6.7/6.7p1 出たそうです。
* sftp-server(8): サポートするプラットフォームでは prctl() を用いて sftp-server が /proc/self/{mem,maps} に アクセスするのを防ぐ.
ForceCommand internal-sftp で、かつ ChrootDirectory を設定していない場合に、 /proc/self/{mem,maps} を使ってアレできる件への対応だそうです。 [FD] OpenSSH <=6.6 SFTP misconfiguration exploit for 64bit Linux 参照。
関連: chrootされたsftp専用ユーザを作るメモ (Qiita, 2014.06.10)
Chrome 38.0.2125.101 が stable に。159 件 (!) のセキュリティ修正を含む。 内 113 件は、MemorySanitizer を使って発見した、比較的マイナーなセキュリティ修正だそうで。
同時公開:
Chrome for iOS Update (Google, 2014.10.07)
Stable Channel Update for Chrome OS (Google, 2014.10.07)
》 小保方さんの博士号「学位を取り消す」早稲田大学が「猶予付き」の決定・配布資料(全文) (弁護士ドットコム, 10/7)
》 兵庫県でデング熱感染か 関東行かず、初ケース (共同 / Excite, 10/7)。うわ……。
》 世界中のMacに感染中のマルウェア「iWorm」が数万台規模のボットネットを形成していることが判明 (gigazine, 10/7)。海賊版アプリが感染源ですか。
Doctor WebがiWormの情報を公開した後、iWormには亜種を含めて4種類のマルウェアがあることが分かりました。さらにredditの有志がiWormの感染経路の特定作業を開始したところ、PirateBayというBitTorrentのトレントファイル配信サイト経由で配布されたAdobe Illustrator CS6・Photoshop CC2014・Microsoft Office 2011などの海賊版ソフトにパッケージされていたものから広まったことが判明しています。
関連: エンジニアが知っておくべき”iWorm” (Developpers.IO, 10/5)
》 BlackEnergy 3:中級の絶えざる脅威 (エフセキュアブログ, 9/26)、 エフセキュア、標的型攻撃のクライムウェア’BlackEnergy’に関するホワイトペーパーをリリース (エフセキュアブログ, 10/2)
今回の場合、プロキシサーバ群はウクライナに設置されており、Quedagh一味がウクライナの政府組織を標的にしている有力な証拠がある。
(中略)
我々の仮説はこうだ。BlackEnergy 3のような「中級の絶えざる脅威」は市場原理によって推進され、サイバー犯罪者たちが自身の能力を諜報や商品化された情報戦争へと拡大している。
》 CryptoWallが2.0にアップデート (エフセキュアブログ, 10/2)
》 米連邦最高裁、同性婚禁止を求める上告を棄却 新たに11州で結婚可に(写真多数) (石壁に百合の花咲く, 10/7)。11州 = 「ユタ、インディアナ、ウィスコンシン、バージニア、オクラホマ」 + 「ウエストバージニア、ノースカロライナ、サウスカロライナ、カンザス、コロラド、ワイオミング」。
》 キャッチ!インサイト 「映画で難民問題を考える」 (NHK 解説委員室, 10/3)。 UNHCR 難民映画祭から 3 作品 (ボーダー 〜戦火のシリアを逃れて〜、シャングリラの難民 〜幸福の国を追われて〜、イブラヒムのミツバチ) を紹介。記事で大きく取り上げられているのは「ボーダー」だが、
【映画2:「シャングリラの難民〜幸福の国を追われて」 】
(二村)
これはブータンの難民を描いたドキュメンタリーです。ブータンは幸福の国と呼ばれていますが、ネパール系住民の人口が増え、1990年代に10万人以上が国を追われました。映画は、ネパールの難民キャンプで暮らし祖国に戻る日を夢見ている人たちやアメリカに移り住んで生きる決心をした人たちを描いています。
そんなことになっていたとは……。
》 日本人の「イスラーム国」参加未遂の報道に思う (中東・イスラーム学の風姿花伝, 10/6)
「正義の名の下での暴力や支配」という思想の「魔力」に感化されやすい若者は、どのようにして生まれるのでしょうか。
私は、例えば次のような社説によって、日々作られていっていると考えています。
「(社説)テロリスト 生まない土壌つくろう」『朝日新聞』2014年10月6日05時00分
(中略)
テロをめぐる朝日新聞の論評は、「むしゃくしゃしてやった」といったどう考えても薄弱な動機で殺人を犯す人物が現れるたびに「むしゃくしゃさせた社会が悪い」と論評しているようなものです。「むしゃくしゃした」ことと「人を殺す」ことの間を何が繋いでいるのか?という謎に正面から向き合わないのであれば、こういった論評は、テロを容認する社会規範を事実上広めているとすら言い得るものです。
「ボーダーレスのいま、日本人が攻撃に遭う可能性もある。テロと向き合う国際論議に私たちも積極的に参加すべきだ。」という結びの言も、間が抜けています。「日本人が加害者になる可能性もある」という当たり前の現実に全く気づいていない様子で、無自覚です。遠くの「欧米」の「国内問題」と断定して安心して、よく知らないのにあげつらっているので、状況が違う日本でも出てきてしまう問題であることに気づいていないのです。
》 イスラム国:警視庁、北大生ら事情聴取 私戦予備の疑い (毎日, 10/7)。「北海道大学の学生の男(26)ら複数の日本人から事情を聴くと共に、関係先数カ所を家宅捜索」。関連:
イスラム国:26歳北大生ら、参加を計画 警視庁、私戦予備容疑で家宅捜索 (毎日, 10/7)
大学生は、今回聴取を受けたメンバーの一人が東京都千代田区の古書店に掲示したシリアへの渡航を呼びかける張り紙に呼応し、シリアに渡ろうとしたとみられる。
これのことらしい。うーむ。
【開店情報】ニュー秋葉原センター内に古書店「星雲堂 秋葉PX」が4月1日オープン 医療用器具や謎の求人情報も発見 http://t.co/Ovg3NiWlz3 #akiba pic.twitter.com/rzh5xFoaqa
— 1UP情報局 (@1up_news) 2014, 4月 12
「関係先数カ所を家宅捜索」には、ジャーナリストの常岡浩介氏が含まれていたそうで。
都内の自宅の家宅捜索を受けたフリージャーナリストの常岡浩介さん(45)は毎日新聞の取材に対し、「北大生は以前から取材をしていた人物で、実際にイスラム国へ向かうのなら取材のために同行するつもりだった。任意で事情を聴きたいということだったので拒否した」と話した。
容疑の関係先として捜索を受け、ビデオカメラやパソコンなどの取材機材を押収されたという。
常岡さんによると、男子学生とはイスラム国を取材した際に知り合った友人の紹介で8月に初めて会った。その際、イスラム国に参加するためシリアへの渡航を思い立ったきっかけとして、古書店の張り紙を挙げたという。
ただ、学生は軍事マニアで本気で渡航を希望しているかは疑問に感じたという。
常岡さんは、張り紙を元に同様にイスラム国行きを希望した別のフリーターにも会ったというが「母親の反対で断念したようだ」と話した。
常岡浩介さん宅にガサ入れ! (高世仁の「諸悪莫作」日記, 10/6)
押収されたものは、
スマホ3台、PC3台、ハードディスク4台か5台、ビデオカメラ2台、デジカメ3台。
旅券と現金はいったん押収し、あらためたうえで返却したそうだ。
取材に必要な機材を押収された常岡さんは、予定していた取材をキャンセルせざるをえなくなった。
乱暴な取材妨害だと常岡さんは憤慨している。
常岡さんのPCやカメラ、携帯などのデータから、捜索対象が広がる可能性もある。また、情報が外国の公安当局に渡った場合、空港で入国を制限されたり、行動がマークされたりする恐れもある。
いま常岡さんは仲間と今後の対応を検討している。
うーむ……。現時点では、ケーサツが余計なことした感が強いなあ。
古書店の貼り紙見て渡航決める (NHK, 10/7)
イスラム過激派組織「イスラム国」に加わるためにシリアへの渡航を計画したとして、日本人の大学生の関係先が捜索を受けた事件で、大学生は、都内の古書店でシリアでの勤務を募集する貼り紙を見て渡航を決めたことが、警視庁の調べでわかりました。
張り紙をした古書店の関係者は、応募してきた複数の若者をイスラム法学が専門の大学教授などに紹介していて、警視庁はこの教授の自宅を関連先として捜索し、いきさつを調べています。
「イスラム法学が専門の大学教授」は、中田考氏のようです。常岡氏ともども、イスラム国の内部を取材できていた希有な方だけに、今後が心配。
「勤務地:シリア」アキバで求人 イスラム国参加計画 (朝日, 10/7)
求人に関わったとされる古書店関係者は日本人の男性。朝日新聞の取材に対して、求人広告を掲示したことを認め、「イスラム法学が専門の元大学教授に渡航希望者を数人紹介した」と話している。
元大学教授も古書店関係者から「『イスラム国』に行きたい大学生がいたら紹介したい」などと相談を受けたことを明らかにしたうえで、「自分から『イスラム国』行きを勧めたりはしない」と話した。元教授はこれまで数回、調査などで「イスラム国」の支配地域に入ったことがあり、現地の様子を発表している。
「元」になってる……。
(私戦予備及び陰謀) 第九十三条 (刑法)
関係者の証言 (togetter)
<イスラム国>警視庁、北大生ら事情聴取 私戦予備の疑い (弁護士 落合洋司 (東京弁護士会) の 「日々是好日」, 10/6)
警視庁としては、これで逮捕、立件まで狙っているのではなく、関係箇所に対する捜索、押収を行い必要な取調べを行って、情報を収集するとともにマスコミを通じて大きめに報道させて、日本にもこういうことを実際にやろうとしている人々がいる、ということを広く社会に知らしめ抑制を図りたいという意図なのだろうと私は推測しています。
》 今回のハッキングの事件についての調査結果のご報告 (EmEditor, 10/3)。EmEditor ホームページがハクられ、ニセの更新チェックファイルが設置された件 (8/19、 8/20) の最終報告。
更新チェッカーを作成するのに使用した Advanced Installer の次期バージョンでは、更新インストーラーに弊社のデジタル署名が無ければインストールがブロックされ、より安全になります。弊社でも Advanced Installer の RC 版のテストを行いましたが、確かに異なるデジタル署名の更新インストーラーは、インストールがブロックされることを確認しました。そこで、将来の EmEditor のバージョンでは、Advanced Installer の次期バージョンのより安全な更新チェッカーを使用して更新チェッカーの機能を復活する予定です。
[webmin-announce] Webmin 1.710 and Usermin 1.620 released (sourceforge.net, 2014.10.01)。Shellshock バグに対する保護コードが含まれているそうで。
関連: Webminの脆弱性+bashの脆弱性でトロイの木馬がroot権限で入る (M.C.P.C. (Mamesibori Creation Plus Communication), 2014.10.04)
4.0.14, 4.2.10, 4.4.5, and 4.5.5 Security Advisory (Bugzilla, 2014.10.06)。無認証でのアカウント作成を許す欠陥などが修正されている。
USB周辺機器が“悪者”に、BlackHatで実証ツール公開予定 (2014.08.01)
DEF CON 22で仕入れた悪意のあるUSBデバイス (マクニカネットワークス セキュリティ研究センターブログ, 2014.10.03)。BadUSB のわかりやすい解説。
ユーザに対する教育として以下の基本的な2点を厳守させることが最も手っ取り早い対策となるかもしれません。
- 出所が不明な「いかなる」USBデバイスを接続しない
- スマホ充電器も含む
- 離席時に画面ロックをする(攻撃者にUSBデバイスを接続されても、ログオン画面では悪いプログラムが発動できない)
Bash ShellShock バグ (CVE-2014-6271, CVE-2014-7169, CVE-2014-6277, CVE-2014-6278, CVE-2014-7186, CVE-2014-7187) 修正情報まとめ (2014.10.03)
……根津 研介さん曰く、bash 4.3.30 等は
本日GNU bash Upstreamで公開された下記のMichal Zalewskiさんのパッチですが、CVE-2014-6278の対策パッチではなく、Florian Weimer さんの緩和パッチ(問題を検出するとabort()する)を、abort()させないコードに直してGNU Upstreamが取り込んだ時にコマンドラインのパーサー状態が中途半端な状態になるエンバグの修正パッチです。
RedHatとCentOSはabort()するFlorianさんの初期パッチを取り込んでいるので関係しませんが、GNUのUpstreamを見ているディストリの類はパッチを取り込んだ方がいいみたいです。
あと、Florianさんの緩和条件について、追加のケースがあって、下記の場合もエラーになるようになります。
1.パーサーのバッファになんか残ってる(関数定義以外に何か追加されている)。
2.既に定義済みのシェル関数と同じ名前のシェル関数を環境変数で定義しようとしている。
エンバグ修正 + よりきちんと緩和されるようになったと。
》 企業秘密の窃盗犯を米当局が訴追、Xbox Oneやシミュレーターソフトなど狙う (ITmedia, 10/3)。「米国とカナダに住む18〜22歳の男4人」
証人尋問で「詐欺師」の本性をあらわにした贈賄供述者 (郷原信郎 / ハフィントンポスト, 10/5)
これだけ (小島注: 億円単位) の多額の詐欺、横領の犯罪を立て続けに行ってきた中林が、「やったことを全部話して、反省して、ゼロからやり直そう」と考えて、贈賄の自白を行ったというのである。
なお、今回争われているのは「市議時代の藤井市長に30万円の賄賂を供与した」という話。
そのことを確認した後、我々弁護人のほうから、中林の「詐欺師」の本性を示す「隠し玉」を突き付けた。
警察署の留置場で中林の隣の房にいたA氏が、名古屋拘置所に移監された後、まだ警察署にいる中林と文通を続けていたのだ。そのA氏は、中林の全く反省のない詐欺師ぶりに呆れ果て、美濃加茂市役所の藤井市長宛に手紙を送ってきてくれた。弁護団は、急遽、名古屋拘置所でA氏に接触し、証人尋問の前日に、中林の自筆の手紙を入手したものだった。
中林の手紙には、実は、起訴された2100万円分の詐欺以外は立件されず執行猶予になることを期待していたことが書かれていた。担当の検事からも、「絶対に藤井には負けないから、中林さん一緒に戦ってくださいね!」と言われ、良い情状を酌んでもらって、執行猶予になることを狙っていたが、藤井弁護団が4000万円の融資詐欺を告発したことで実刑が確実になったと弁護人から知らされ、落胆したことが書かれていた。
そして、中林は、自分の事件の裁判も終わっていないのに、外国人を店に紹介して上前をはねる人材派遣事業を目論み、手紙の中でA氏の内妻に資金管理の仕事を頼めないかと打診していた。
(中略)
反対尋問の中で、私から、中林に、主な手紙の内容とその趣旨について一つひとつ確認した。
中林は、手紙の記載をほぼ認めた。前日の主尋問での贈賄自白の経緯について訊かれた時の涙が「詐欺師」独特の演技であったこと、そのような行為を平然と行う人間であることが、公判廷で明らかになったのである。
うひゃあ。
「弁護人による告発」と「司法取引」制度の導入 〜悪質融資詐欺の告発で虚偽の贈賄自白の背景に迫る〜 (郷原信郎 / ハフィントンポスト, 9/9)。あらためて読むと味わい深い。
市長に賄賂を渡したとする贈賄側の証言は信用できるか (videonews.com, 10/4)
》 「黒子のバスケ」脅迫犯が獄中で書いた警視庁特殊班との攻防戦 (篠田博之 / Yahoo, 10/6)。『生ける屍の結末 「黒子のバスケ」脅迫事件の全真相』発売されてます。
渡邊受刑者の書いた意見陳述などはこのヤフーブログで公開してきたが、実は脅迫事件そのものの舞台裏については裁判でもほとんど明らかになっていない。渡邊受刑者は起訴事実を全て認めたため、事実関係をめぐる審理がほとんど行われなかったからである。2012年10月の上智事件から1年余、警察と彼の間でどんな攻防戦が展開されたかは、今回の著書で初めて明らかになったと言ってよい。
》 ウガンダでマールブルグ熱1人死亡80人隔離、エボラ熱と同症状 (ロイター, 10/6)。うわ、マジか……。
黒木さんから (情報ありがとうございます)。以下の「今日」は 2014.10.03 です。
CVE-2014-6277、CVE-2014-6278は、まだどのメーカも 対応できてないのではないかと思います。 MLすべて読んでないのでまちがっているかもしれせんが、 このあたりに再現方法がかかれています。 more bash parser bugs http://www.openwall.com/lists/oss-security/2014/10/01/17 bash -c "f(){ x(){ _;}; x(){ _;}<<a;}" Segmentation fault CentOS5,6,Debian7,Solaris11とやってみましたが全部落ちました。 bashメンテナーのRameyさんがパッチ準備中といってるので、 今日の昼頃出たmake_cmd.cとcopy_cmd.cのパッチで治るのかもしれないです。
野村さんから (情報ありがとうございます)
記事でCVE-2014-6277及びCVE-2014-6278の修正とされている、 例えばbash-4.1なら http://lists.gnu.org/archive/html/bug-bash/2014-09/msg00280.html は、修正ではなく軽減策です。 これを適用する事により、任意の名前の環境変数を作成できるユーザ以外には攻撃が できなくなると言う物です。 逆に言えば、任意の名前の環境変数を作成できるのならば依然として攻撃可能です。 例えばRed Hatの場合、 --- $ env a='〜略〜' bash -c : --- を --- $ env 'BASH_FUNC_a()'='〜略〜' bash -c : --- とすれば問題再現できます。 つまり、CVE-2014-6277、CVE-2014-6278は、bashオフィシャルの最新パッチでも 修正されていないと言うのが正確かと思います。 Red Hat等がCVE-2014-6277、CVE-2014-6278を修正済みとしていないのも、 おそらくこのためでしょう。 ただし前述の通り、攻撃には任意の名前の環境変数を作成できる必要がある為、 その様な事が可能な環境以外では、それ程心配する状況ではないと判断して 良いと思います。 少なくともCVE-2014-6271やCVE-2014-7169の様な、mod_cgi経由でのお手軽攻撃 などは不可能と考えて大丈夫でしょう。
de-dion さんから (情報ありがとうございます)
CVE-2014-6277 CVE-2014-6278 については 関数をエクスポートする時の環境変数名が変更された事によって CGI経由での攻撃は防げるようになっているため 実質安全なっていると言えますが 脆弱性そのものは修正されていないようです。 以下のケースの問題は起きなくっていますが # CVE-2014-6277 env 'HTTP_COOKIE=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'HTTP_COOKIE=() { _; } >_[$($())] { echo hi mom; id; }' bash -c : 以下のように環境変数を指定した場合は現象が発生します。 # CVE-2014-6277 env 'BASH_FUNC_a()=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'BASH_FUNC_a()=() { _; } >_[$($())] { echo hi mom; id; }' bash -c : 環境変数名はOSによって若干異なるようですのでご注意下さい。 export -f a の場合 BASH_FUNC_a%% (bash本家) BASH_FUNC_a() (RedHad/CentOS) BASH_FUNC_<a>() (MacOS) 以下のセキュリティエラータがリリース済みとなっていないのは このためではないかと思います。 https://access.redhat.com/security/cve/CVE-2014-6277 https://access.redhat.com/security/cve/CVE-2014-6278
うぉぅ……。また書き直さないと……書き直した。
……で、bash 4.3.30 等出てます。tjy1965 さん情報ありがとうございます。
黒木さんからの情報にある bash -c "f(){ x(){ _;}; x(){ _;}<<a;}" の例は、bash 4.3.29 で落ちなくなりました (手元の FreeBSD 8.4 でテストして、bash 4.3.28 で落ち bash 4.3.29 では落ちないことを確認)。
de-dion さんからの情報にある
# CVE-2014-6277 env 'BASH_FUNC_a()=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'BASH_FUNC_a()=() { _; } >_[$($())] { echo hi mom; id; }' bash -c :
ですが、FreeBSD ports の bash 4.3.29 ではこうなりました。(FreeBSD なので --import-functions が必要)
% env 'BASH_FUNC_a%%=() { x() { _; }; x() { _; } <<a; }' bash --import-functions -c : bash: warning: here-document at line 0 delimited by end-of-file (wanted `a') % env 'BASH_FUNC_a%%=() { _; } >_[$($())] { echo hi mom; id; }' bash --import-functions -c : hi mom uid=XXXXX(kjm) gid=XXXXX(後略)
FreeBSD ports の bash 4.3.30 だとこうです。
env 'BASH_FUNC_a%%=() { x() { _; }; x() { _; } <<a; }' bash --import-functions -c : bash: warning: here-document at line 0 delimited by end-of-file (wanted `a') % env 'BASH_FUNC_a%%=() { _; } >_[$($())] { echo hi mom; id; }' bash --import-functions -c : bash: a: line 0: syntax error near unexpected token `{' bash: a: line 0: `a () { _; } >_[$($())] { echo hi mom; id; }' bash: error importing function definition for `a'
bash 4.3.30 では CVE-2014-6277、CVE-2014-6278 に対応しているということでいいのかな。
2014.10.06 - 「CVE-2014-6277、CVE-2014-6278 対応について」を追加。 表については、bash 4.3.30 で対応するとして書き直した。 また Buffalo の項に情報を、VMware の項を VMSA-2014-0010.7 に更新。
エボラ熱の感染拡大懸念、米カカオ豆先物一時3年半ぶり高値 (ブルームバーグ, 9/23)
エボラ出血熱を懸念、ヘッジファンドのカカオ豆買い越し増加 (ブルームバーグ, 9/29)
カカオ豆価格が3年半ぶりの高値、エボラの感染拡大不安で (AFPBB, 9/29)
[FT]エボラ熱拡大、カカオ産業に警戒感 (日経, 9/30)。「コートジボワールとガーナへの波及を憂慮」
エボラ熱、死者3000人超 WHO、血清利用の指針公表へ (日経, 9/27)。「WHO幹部によると、来週前半にはWHOが血清利用について暫定的な指針を公表する」。出たというニュースがないっぽいのだが……。
エボラ出血熱 日本の薬でフランス女性快方へ 富士フイルム傘下企業が開発 インフル薬を投与 (SankeiBiz, 10/3)。富山化学工業の抗ウイルス薬 T-705 (ファビピラビル、商品名アビガン。RNA ポリメラーゼ阻害薬)。
取材の米カメラマン エボラウイルスに感染 (NHK, 10/3)
米国内でエボラ患者確認
エボラ熱、米で初の感染者 西アフリカから入国 (ウォール・ストリート・ジャーナル日本版, 10/1)
米初のエボラ熱患者、最初は抗生物質もらって帰宅-2日後入院 (ブルームバーグ, 10/1)
米のエボラ出血熱患者、最大18人と接触 本人はリベリア国籍 (ウォール・ストリート・ジャーナル日本版, 10/2)
エボラ出血熱、監視対象100人に拡大=米ダラス (ウォール・ストリート・ジャーナル日本版, 10/3)
視点・論点 「エボラ出血熱 リベリアでの支援を通じて」 (NHK 解説委員室, 9/26)
時論公論 「エボラ 拡大を防ぐには」 (NHK 解説委員室, 9/6)
》 世界も仰天 自民党がまとめた「慰安婦虐待」全否定決議 (日刊ゲンダイ, 10/2)
》 朝日新聞・慰安婦報道の訂正が韓国にインパクトを与えない理由 (WEDGE, 9/29)
》 芸人のエド・はるみがネット上の不特定多数の事実無根の書き込みに対し法的処置を検討する (楽しくないブログ, 10/3)
》 日米防衛指針:「周辺事態」削除 派遣「歯止め」焦点 (毎日, 10/1)。きてますね。
》 時論公論 「アフガニスタン 新大統領は決まったものの」 (NHK 解説委員室, 9/25)
》 どう守る?子どもの安全 〜相次ぐ“連れ去り”事件〜 (NHK クローズアップ現代, 10/1)、 時論公論 「子どもを犯罪から守るには 〜現場から読み解く〜」 (NHK 解説委員室, 10/1)
時論公論 「デング熱 教訓を生かすには」 (NHK 解説委員室, 9/24)
デング熱の国内感染事例の発生状況について (厚生労働省)。10/1 現在で 153 名。
》 時論公論 「広島土砂災害1か月 避難につなげる情報を」 (NHK 解説委員室, 9/19)
》 視点・論点 「急増する空き家」 (NHK 解説委員室, 9/19)
》 東京・新小岩に統一教会の偽装施設発見!(前編)=施設職員は統一教会との関係を完全否定、正体隠しの勧誘は続いている (やや日刊カルト新聞, 9/30)、 東京・新小岩に統一教会の偽装施設発見!(後編) 施設スタッフの原理講師が本紙記者にウソを吐いていたことを謝罪 (やや日刊カルト新聞, 10/1)
》 不動産経営者の夜逃げラッシュが招く中国経済の崩壊 (WEDGE, 10/1)
》 「iCloud」のセレブ画像流出問題がGoogleに飛び火 (日経 IT Pro, 10/3)、 有名人写真流出でグーグル提訴も、検索結果削除せず=報道 (ロイター, 10/3)
Singer弁護士によると、盗まれた写真や動画は「YouTube」や「Blogger」といったGoogleのサービスにも投稿された。Singer弁護士の事務所はGoogleを含むサイト運営者やホスティングサービスプロバイダーに画像の削除を要求する通知を送ったが、Googleは迅速な対応で削除することを怠った。
》 Apple、iOSデバイスのロック状態を確認するWebツールを公開 (日経 IT Pro, 10/3)
》 DeNAがキュレーションサイト「iemo」「MERY」を買収 (楽しくないブログ, 10/3)
》 2014年9月にdocomo IDへ行われた不正ログインについてまとめてみた (piyolog, 10/2)
》 印刷システムCUPSが15周年、最新版となる「CUPS 2.0」をリリース (sourceforge.jp, 10/3)
》 LINE乗っ取りを受けて:これだけは設定したい項目 (barlog, 10/3)。「単一のデバイスでのみ利用する (『他端末でのログインを許可する』を無効にする)」「Facebook 連携を無効にする」
USB周辺機器が“悪者”に、BlackHatで実証ツール公開予定 (2014.08.01)
Phison 2251-03 (2303) Custom Firmware & Existing Firmware Patches (BadUSB) (github)。コード公開されました。
Xen Security Advisory CVE-2014-7188 / XSA-108 version 4: Improper MSR range used for x2APIC emulation (Xen, 2014.10.01)。AWS リセットまつりの件。Xen 4.1 以降に影響、Xen 4.2 以降用の patch あり。
[MediaWiki-announce] MediaWiki Security and Maintenance Releases: 1.19.19, 1.22.11 and 1.23.4 (wikimedia.org, 2014.09.24)
PMASA-2014-11: XSS vulnerabilities in table search and table structure pages (phpMyAdmin, 2014.10.01)。phpMyAdmin 4.0.10.4, 4.1.14.5, 4.2.9.1 で修正されている。 CVE-2014-7217
JVNDB-2014-004360: Squid の snmp_core.cc の snmpHandleUdp 関数 におけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2014.09.24)、Squid Proxy Cache Security Update Advisory SQUID-2014:3 (Squid, 2014.09.15)。Squid 3.4.8 で修正されている。また Squid 3.x 用の patch が用意されている。 CVE-2014-6270
Squid Proxy Cache Security Update Advisory SQUID-2014:4 - Multiple issues in pinger ICMP processing (Squid, 2014.09.15)。Squid 3.4.8 で修正されている。また Squid 3.[1-4] 用の patch が用意されている。 CVE-2014-7141 CVE-2014-7142
UNIXとLinuxの「Bash」シェルに重大なセキュリティホール がわけわかめになったので、別途まとめます。 全ての欠陥に対応したものだけを「修正済」とします。
原則として各文書の字面しか追ってないので注意。
特に CVE-2014-6277 と CVE-2014-6278 は
「CVE-2014-6271 と CVE-2014-7169 の不完全な修正」によるもののため、場合によっては対応が明記されていないかもしれない。
製品、ベンダー | 修正済バージョン | 備考 | 更新日付 |
---|---|---|---|
Apple OS X | 不十分 | 不十分版: OS X bash Update 1.0 - OS X Mavericks、 OS X Mountain Lion、 OS X Lion | 2014.10.03 |
Barracuda | 不十分 | 不十分版: Barracuda Networks products and CVE-2014-6277, CVE-2014-6278, and CVE-2014-7169: aftershock and two related vulnerabilities。CVE-2014-7186, CVE-2014-7187 に未対応 | 2014.10.03 |
Bash | 4.3.30, 4.2.53, 4.1.17, 4.0.44, 3.2.57, 3.1.23, 3.0.22, 2.05b.13 | 2014.10.06 | |
バッファロー Buffalo | HDW-PDU3 シリーズは未修正 | 情報: GNU BashにおけるOSコマンドインジェクションの脆弱性 | 2014.10.29 |
CentOS | 不十分 | 不十分版: CentOS 5、 CentOS 6、 CentOS 7。CVE-2014-6277, CVE-2014-6278 対応は軽減策 (ソースで確認) | 2014.10.06 |
Cisco | 未修正 | 情報: GNU Bash Environment Variable Command Injection Vulnerability | 2014.10.03 |
Debian | 不十分 | 不十分版: DSA-3035-1 bash -- security update。CVE-2014-6277, CVE-2014-6278 対応は軽減策 (ソースで確認) | 2014.10.03 |
FreeBSD | 最新の ports/shells/bash で修正済 (bash-4.3.30) | 2014.10.06 | |
IO DATA | 不十分 | 不十分版: GNU bash の脆弱性に関する弊社調査・対応状況について。CVE-2014-6278, CVE-2014-7186, CVE-2014-7187 に未対応 | 2014.10.16 |
マカフィー McAfee | 一部製品は修正済 | 情報: マカフィーセキュリティ情報 – Bash Shellshock Code Injection Exploit Updates (CVE-2014-6271、CVE-2014-7169) | 2014.10.03 |
Oracle | 一部製品は修正済 | 情報: Bash "Shellshock" Vulnerabilities - CVE-2014-7169 | 2014.10.08 |
QNAP | Protect Your Turbo NAS from Remote Attackers - Bash (Shellshock) Vulnerabilities | 2014.10.29 | |
Red Hat | 不十分 | 不十分版: RHSA-2014:1306-3。CVE-2014-6277, CVE-2014-6278 対応は軽減策 (ソースで確認) | 2014.10.03 |
Synology | 不十分 | 不十分版: Synology 製品セキュリティ勧告 | 2014.10.03 |
Ubuntu | 不十分 | 不十分版: USN-2364-1: Bash vulnerabilities。CVE-2014-6277, CVE-2014-6278 対応は軽減策 (ソースで確認) | 2014.10.03 |
Vine Linux | 不十分 | 不十分版: bash にセキュリティホール。CVE-2014-6277, CVE-2014-6278, CVE-2014-7186, CVE-2014-7187 に未対応 (ソースで確認) | 2014.10.03 |
VMware | VMSA-2014-0010.7 | 2014.10.06 | |
ヤマハ Yamaha | GNU Bash 「OS コマンドインジェクション」の脆弱性について | 2014.10.03 |
関連:
新出さんから (情報ありがとうございます)
Debianが修正不十分となっていますが Debian(wheezy,squeeze-ltsで確認)のbashに9/25G時点で当たっているパッチのうち CVE-2014-6271.diff がCVE-2014-6271対応 CVE-2014-7169.diff がCVE-2014-7169対応 variables-affix.patch がCVE-2014-6277+6278対応 parser-oob.patch がCVE-2014-7186+7187対応 のようなので、Debianは「修正済」ということになるのではないかと思います。 CentOSも同様のようですが、確認はしていません。
やっぱソース読むしかなさげ (T_T) CentOS、Debian、Red Hat、Ubuntu、Vine Linux については ソースを読んだ結果を反映した。
黒木さんから (情報ありがとうございます)。以下の「今日」は 2014.10.03 です。
CVE-2014-6277、CVE-2014-6278は、まだどのメーカも 対応できてないのではないかと思います。 MLすべて読んでないのでまちがっているかもしれせんが、 このあたりに再現方法がかかれています。 more bash parser bugs http://www.openwall.com/lists/oss-security/2014/10/01/17 bash -c "f(){ x(){ _;}; x(){ _;}<<a;}" Segmentation fault CentOS5,6,Debian7,Solaris11とやってみましたが全部落ちました。 bashメンテナーのRameyさんがパッチ準備中といってるので、 今日の昼頃出たmake_cmd.cとcopy_cmd.cのパッチで治るのかもしれないです。
野村さんから (情報ありがとうございます)
記事でCVE-2014-6277及びCVE-2014-6278の修正とされている、 例えばbash-4.1なら http://lists.gnu.org/archive/html/bug-bash/2014-09/msg00280.html は、修正ではなく軽減策です。 これを適用する事により、任意の名前の環境変数を作成できるユーザ以外には攻撃が できなくなると言う物です。 逆に言えば、任意の名前の環境変数を作成できるのならば依然として攻撃可能です。 例えばRed Hatの場合、 --- $ env a='〜略〜' bash -c : --- を --- $ env 'BASH_FUNC_a()'='〜略〜' bash -c : --- とすれば問題再現できます。 つまり、CVE-2014-6277、CVE-2014-6278は、bashオフィシャルの最新パッチでも 修正されていないと言うのが正確かと思います。 Red Hat等がCVE-2014-6277、CVE-2014-6278を修正済みとしていないのも、 おそらくこのためでしょう。 ただし前述の通り、攻撃には任意の名前の環境変数を作成できる必要がある為、 その様な事が可能な環境以外では、それ程心配する状況ではないと判断して 良いと思います。 少なくともCVE-2014-6271やCVE-2014-7169の様な、mod_cgi経由でのお手軽攻撃 などは不可能と考えて大丈夫でしょう。
de-dion さんから (情報ありがとうございます)
CVE-2014-6277 CVE-2014-6278 については 関数をエクスポートする時の環境変数名が変更された事によって CGI経由での攻撃は防げるようになっているため 実質安全なっていると言えますが 脆弱性そのものは修正されていないようです。 以下のケースの問題は起きなくっていますが # CVE-2014-6277 env 'HTTP_COOKIE=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'HTTP_COOKIE=() { _; } >_[$($())] { echo hi mom; id; }' bash -c : 以下のように環境変数を指定した場合は現象が発生します。 # CVE-2014-6277 env 'BASH_FUNC_a()=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'BASH_FUNC_a()=() { _; } >_[$($())] { echo hi mom; id; }' bash -c : 環境変数名はOSによって若干異なるようですのでご注意下さい。 export -f a の場合 BASH_FUNC_a%% (bash本家) BASH_FUNC_a() (RedHad/CentOS) BASH_FUNC_<a>() (MacOS) 以下のセキュリティエラータがリリース済みとなっていないのは このためではないかと思います。 https://access.redhat.com/security/cve/CVE-2014-6277 https://access.redhat.com/security/cve/CVE-2014-6278
うぉぅ……。また書き直さないと……書き直した。
……で、bash 4.3.30 等出てます。tjy1965 さん情報ありがとうございます。
黒木さんからの情報にある bash -c "f(){ x(){ _;}; x(){ _;}<<a;}" の例は、bash 4.3.29 で落ちなくなりました (手元の FreeBSD 8.4 でテストして、bash 4.3.28 で落ち bash 4.3.29 では落ちないことを確認)。
de-dion さんからの情報にある
# CVE-2014-6277 env 'BASH_FUNC_a()=() { x() { _; }; x() { _; } <<a; }' bash -c : # CVE-2014-6278 env 'BASH_FUNC_a()=() { _; } >_[$($())] { echo hi mom; id; }' bash -c :
ですが、FreeBSD ports の bash 4.3.29 ではこうなりました。(FreeBSD なので --import-functions が必要)
% env 'BASH_FUNC_a%%=() { x() { _; }; x() { _; } <<a; }' bash --import-functions -c : bash: warning: here-document at line 0 delimited by end-of-file (wanted `a') % env 'BASH_FUNC_a%%=() { _; } >_[$($())] { echo hi mom; id; }' bash --import-functions -c : hi mom uid=XXXXX(kjm) gid=XXXXX(後略)
FreeBSD ports の bash 4.3.30 だとこうです。
env 'BASH_FUNC_a%%=() { x() { _; }; x() { _; } <<a; }' bash --import-functions -c : bash: warning: here-document at line 0 delimited by end-of-file (wanted `a') % env 'BASH_FUNC_a%%=() { _; } >_[$($())] { echo hi mom; id; }' bash --import-functions -c : bash: a: line 0: syntax error near unexpected token `{' bash: a: line 0: `a () { _; } >_[$($())] { echo hi mom; id; }' bash: error importing function definition for `a'
bash 4.3.30 では CVE-2014-6277、CVE-2014-6278 に対応しているということでいいのかな。
……根津 研介さん曰く、bash 4.3.30 等は
本日GNU bash Upstreamで公開された下記のMichal Zalewskiさんのパッチですが、CVE-2014-6278の対策パッチではなく、Florian Weimer さんの緩和パッチ(問題を検出するとabort()する)を、abort()させないコードに直してGNU Upstreamが取り込んだ時にコマンドラインのパーサー状態が中途半端な状態になるエンバグの修正パッチです。
RedHatとCentOSはabort()するFlorianさんの初期パッチを取り込んでいるので関係しませんが、GNUのUpstreamを見ているディストリの類はパッチを取り込んだ方がいいみたいです。
あと、Florianさんの緩和条件について、追加のケースがあって、下記の場合もエラーになるようになります。
1.パーサーのバッファになんか残ってる(関数定義以外に何か追加されている)。
2.既に定義済みのシェル関数と同じ名前のシェル関数を環境変数で定義しようとしている。
エンバグ修正 + よりきちんと緩和されるようになったと。
2014.10.06 - 「CVE-2014-6277、CVE-2014-6278 対応について」を追加。 表については、bash 4.3.30 で対応するとして書き直した。 また Buffalo の項に情報を、VMware の項を VMSA-2014-0010.7 に更新。
2014.10.07 - 根津 さんの解説を追記。
2014.10.16 - Buffalo の項を更新。TS5000、TS5200DS、TS-2RZ、TS-X、TS-V の各シリーズ用の修正ファームウェアが用意されている。GNU BashにおけるOSコマンドインジェクションの脆弱性を参照。
IO DATA の GNU bash の脆弱性に関する弊社調査・対応状況について、 更新ファームが用意された機種が大幅に増えている。
2014.10.29 - Protect Your Turbo NAS from Remote Attackers - Bash (Shellshock) Vulnerabilities (QNAP) が 2014.10.05 付で出ていたので更新。
Buffalo の項を更新。TS3000,LS-QVL,LS-VL,LS-WSXL,LS-WVL,LS-WXBL,LS-WXL,LS-XHLシリーズの更新ファームウェアが用意された。残るは HDW-PDU3 シリーズ。
》 ボーイングの一部旅客機、Wi-Fiで操縦画面消える恐れ 機器交換へ (AFPBB, 10/2)。 「米国内だけで737型の後期モデル1149機と777型117機」
》 第5回「 SysRq ノススメ」 (NTT データ先端技術)、 第5回「 SysRq ノススメ」が掲載されました。 (熊猫さくらのブログ, 9/30)
ちなみに、 libvirt 経由で KVM ゲストを稼働させている場合、 virsh dump コマンドを実行することで「動作中のマシンをクラッシュさせることなく kdump 相当の情報を取得できる」ので、 SysRq-t と kdump の両方の利点を得ることができます。
》 海の向こうの“セキュリティ”第97回 12年もの間継続していたサイバー諜報活動「Harkonnen Operation」ほか (Internet Watch, 10/2)
》 『嘘も百回繰り返せば真実になる』 という 嘘 (とある歴史好きオヤジの戯言, 2012.09.25)、 『ゲッベルスは「嘘も100回言えば本当になる」と言った』というのは嘘 (techpr.jp: できない、困って→問題解決, 2011.06.22)
秋に米価は暴落する (キヤノングローバル戦略研究所, 8/18)
今秋米価が暴落する。すでに、先物価格は昨年に比べ3割も下落している(10月に引き渡される米の価格は60kgあたり2013年12,350円→2014年8,810円)。大幅な過剰在庫が存在するからだ。その原因を作ったのが、農協の全国組織である全農である。
では、農協はどうする?農協の最大の経営資産は政治力である。これまで米が過剰になると、農協は永田町(自民党)に圧力をかけて、政府に過剰在庫を買い入れさせ、海外への援助や家畜の餌に処分させてきた。(中略) 今回も、農協はこの手を使ってくるだろう。(中略)
これまで備蓄米の在庫水準を積み上げるという理屈を立てて、過剰米を買い入れてきた。しかし、同じく財政資金を使うのであれば、そんなことをするよりも、主業農家にだけ直接支払い(所得補償)をすれば、米農業への影響をなくすことができる。米からの所得がゼロの兼業農家に所得補償をする必要はないからだ。少ない財政資金で済む。
すでに、米の消費者価格は低下してきている。私の自宅に、新潟県産コシヒカリ10kgあたり4,700円を3,580円に24%値下げするというチラシ広告が入っている。消費税増税による逆進性を緩和するため、軽減税率を適用しようとしている政府が、これまでのように米市場に介入して、米価を上げるようなことは、断じて行うべきではない。
生産者米価暴落 コストの半値以下も 政府が需給調整を放棄 (しんぶん赤旗, 8/26)。JA の責任は問いません!
米価暴落 「農家がつぶれる」 政府も農協もなす術しらず 何が所得倍増だ (農業情報研究所, 9/13)
【米価暴落】空前の低米価 農家経営を直撃 (JAcom, 9/22)。他人事臭半端ない。
米価暴落の衝撃 (東京, 10/2)
》 御嶽山噴火、けが人の多数が気道熱傷 症状把握難しく (朝日, 10/2)
患者の搬送の優先順位を決める「トリアージ」も難しかったという。(中略) 今回の現場では初めは「緑」とした人が、数十分後には緊急度が高い「赤」や、その手前の「黄」になった例が相次いだ。 (中略)
佐藤医師は、気道熱傷の診断に有効なファイバースコープなどの精密機械が、災害現場ではそろえにくいと話す。「初めは症状が軽そうに見えても、徐々に空気の通り道が腫れて気道が詰まり、症状が重くなることがある」と、気道熱傷の判断の難しさを語った。
》 香港デモ参加者のiOS端末を狙ったスパイウエア、中国政府が関与か (日経 IT Pro, 10/2)
》 AppleはNSAからユーザーを守ってくれるのか? (Kaspersky, 9/29)
》 Yahoo!メールで発生中のアクセス障害について(10月2日10時30分 第4報) (Yahoo! JAPAN, 10/2)
9月30日(火)午前9時20分頃より、Yahoo!メールのシステムにおいて、システムの冗長性やデータの保全性を維持できないレベルのハードウエア障害が発生し、3,794,777IDの方々にサービスを提供できない状況が続いています。(中略) 明日10月3日中をめどに再開の準備作業を進めております。
今日はまだ無理、と……。
》 さようならFacebook、こんにちはEllo。ゲイのユーザが新SNSに大移動中 (石壁に百合の花咲く, 9/30)、 FacebookがLGBTコミュニティーに謝罪 「実名主義の扱い変える」 (石壁に百合の花咲く, 10/2)
》 WEB特集・フェイスブック乗っ取り被害急増 (NHK「かぶん」ブログ, 10/2)
一方、こうしたフェイスブックなどによって誘導される手口も登場したことで、偽の通販サイトを巡るトラブルの相談も急増しています。
(中略)
偽の通販サイトは国内の通信販売事業者にも大きな被害を与え始めていて、京都府京丹後市で子ども服を扱う通販サイトを父親とともに10年にわたって運営してきた下谷拓也さんは、去年の夏から、自分の店をかたる偽のサイトを次々と作られ、廃業を余儀なくされました。
客から「商品が届かない」という問い合わせが相次いで、信用が失われ、事業を継続することができなくなってしまったのです。
下谷さんは「結局のところ、偽のサイトが減るということは、いっこうになく、増え続ける一方だった。こういう事態に追い込まれてしまったのは悔しい」と話していました。
うわ……ひでえ。
》 ITセキュリティ評価及び認証制度に関する説明会 〜CCRA/ICCC 2014報告会 新CCRAの発効に伴うITセキュリティ評価・認証制度の活用について〜 開催のご案内 (IPA, 9/26)。2014.10.22、東京都文京区、無料。
》 2014年10月の呼びかけ「 クラウドサービスからの情報漏えいに注意! 」 〜スマートフォンで撮影した写真の保存先と公開範囲を意識していますか?〜 (IPA, 10/1)
》 [開催報告] ゆりか先生のセキュリティ出張講座 〜 週末電話相談室 (日本のセキュリティチーム, 9/30)
》 アフィブログ「妹はVIPPER」のコピーノンアフィブログ「姉はVIPPER」がスパム判定を受けサイトが消滅 (楽しくないブログ, 9/26)
》 有名実況グループ「いい大人達」のメンバー「タイチョー」が違法コピーしたPhotoshopを使用していることを認め謝罪するも、Adobeが正規品を購入すれば不問にするとの回答をする (楽しくないブログ, 9/27)
》 FC2がダミー会社とみなされ、実質運営を行っているホームページシステム社が家宅捜索される (楽しくないブログ, 9/30)
》 2014年9月にクロネコメンバーズへ行われた不正ログインについてまとめてみた (piyolog, 9/27)
》 2014年9月に佐川急便のWebサービスへ行われた不正ログインについてまとめてみた (piyolog, 9/30)
》 「FACEBOOK市長」を踏み台にする海千山千の面々 ――山本一郎【香ばしい人々returns】 (ハーバー・ビジネス・オンライン, 9/30)。武雄市方面。
》 欧州の戦闘機ユーロファイターに欠陥、英独は年間飛行時間を半減 (AFPBB, 10/1)。マジか……
ドイツ国防省によると、胴体の後部に欠陥が見つかったため、ユーロファイターの納入を一時的に見合わせるとともに、同型機の年間飛行時間を現行の3000時間から1500時間に半減させることを決めたという。
関連:
Germany Reports Eurofighter Manufacturing Fault (ABC, 10/1)
The German military said late Tuesday the error involves drill holes on the rear of the planes' fuselage and results from insufficient sanding-down by manufacturer BAE Systems.
原因は BAE か……。
Germany 'erring on side of safety' regarding Eurofighter defect (AFP / Yahoo, 10/2)
BAE said in a statement it was "actively managing a recently discovered quality issue concerning one of the manufacturing processes used during the assembly of the Eurofighter Typhoon rear fuselage".
It stressed that "we would like to make clear that this issue does not affect flight safety".
BAE also said it continued to deliver aircraft to the airforces of Britain and Saudi Arabia as per "contractual requirements and in line with the schedule".
》 嘉平、編集やめるってよ (Talpa memorandum, 10/1)
株式会社KADOKAWAは、9月末をもってアスキーブランドの書籍を作っていたいくつかの編集部を廃止・解散しました。これに伴い、私(鈴木嘉平)が編集長を務めていたハイエンド書籍編集部も解散しました。この件について、株式会社KADOKAWAからは特にアナウンスなどは行わないということです。(中略) ハイエンド書籍編集部から10月以降に刊行するはずだった企画はすべて中止になっています。
関連:
ASCII_bookstech @ASCII_bookstech。「株式会社アスキー・メディアワークス/アスキーハイエンド書籍編集部の公式アカウントです」。まだあった。
「アスキー」ブランドの技術書はもう出ないのかな (Publickey, 10/2)
IT系の編集者・雑誌・記者・ライターが激減している (Geek なぺーじ, 10/2)
UNIXとLinuxの「Bash」シェルに重大なセキュリティホール (2014.09.25)
Bash: CVE-2014-7186、CVE-2014-7187 の修正が含まれているのはこちら: [REISSUE] Bash-4.3 Official Patch 28、 Bash-4.2 Official Patch 51、 Bash-4.1 Official Patch 15、 Bash-4.0 Official Patch 42、 Bash-3.2 Official Patch 55、 Bash-3.1 Official Patch 21、 Bash-3.0 Official Patch 20、 [REISSUE] Bash-2.05b Official Patch 11。iida さん情報ありがとうございます。
Red Hat: RHSA-2014:1306-3。CVE-2014-7169 + CVE-2014-7186 + CVE-2014-7187。
FreeBSD: ports の shells/bash は bash-4.3.28 になった。
VMware: VMSA-2014-0010.4。全欠陥を修正。 (link fixed: 鰈崎さん感謝)
ヤマハ: GNU Bash 「OS コマンドインジェクション」の脆弱性について。 WLX302 にのみ影響、全欠陥を修正するファームウェアが用意されている。
CVE-2014-6271 + CVE-2014-7169 段階:
OS X bash Update 1.0 - OS X Mavericks、 OS X Mountain Lion、 OS X Lion
関連: bash脆弱性(shellshock) でQNAPのNASと向き合ったひと幕のお話 (デジモノに埋もれる日々, 2014.09.30)
Synology: Synology 製品セキュリティ勧告
Buffalo: not yet
IO DATA: not yet
JVNVU#97219505 : GNU Bash に OS コマンドインジェクションの脆弱性 (JVN, 2014.10.02 更新)。日本のベンダ情報がまとまっていて有用。
緊急コラム: bash 脆弱性( CVE-2014-6271 )の影響範囲の調査方法について (NTT データ先端技術)、緊急コラム「 bash 脆弱性( CVE-2014-6271 )の影響範囲の調査方法について」が掲載されました。 (熊猫さくらのブログ, 2014.09.30)。auditd、TaskTracker、AKARI、SystemTap。
FreeBSD で bash shellshock を監視するには (Hiroki Sato, 2014.10.01)。FreeBSD で auditd を使う方法。
shellshockはPerl/CGIでsystem()にダメージありや無しや (ろば電子が詰まっている, 2014.10.01)
OpenVPN Servers Vulnerable to Shellshock (Softpedia, 2014.09.30)
》 社員が会社を辞めるのは自由なのに、転職社員をNIKKEIで罵倒し、魅力のなさを公言してしまった藤田晋氏の器 (かさこ / BLOGOS, 10/1)
》 最終処分場選定で人口密度など考慮の方針 (NHK, 9/30)。いいかげん、「地下に最終処分」なんて不可能だと認めなさいよ。 ドライキャスクで地上保管するしかない。
最終処分場に適した地域を選ぶ際の条件として、火山や活断層から離れているなどといった地質的な観点に加えて、新たに人口密度や土地の利用状況のほか輸送のしやすさなども考慮
「火山や活断層から」十分に離れた場所なんて、日本には存在しないじゃん。 どうしてもつくりたいのなら、皇居の地下でいいよ。
》 高校生でも企業サイトを落とせる時代に、「DDoS攻撃サービス」の脅威 (日経 IT Pro, 10/1)。8 ドルで楽しむべ。 関連:
Xmas商戦シーズンはDDoSで稼ごう (エフセキュアブログ, 2009.12.08)
Xmas商戦シーズンはDDoSで稼ごう #2 (エフセキュアブログ, 2009.12.25)
》 秋葉原事件・加藤智大被告からの2回目のメッセージ(上) (篠田博之 / Yahoo, 10/1)
ここで書いておきたいのだが、こんなふうに犯罪を犯した者を含めて社会的議論を行うことは、筆者はすごく大切なことだと思っている。これまで凶悪事件の公判を数々傍聴してきて思うのだが、動機もわかりにくいような複雑な事件が増えている現状で、既存の裁判のシステムではなかなか対応ができなくなっているのだ。
(中略)
「黒子のバスケ」渡邊被告の裁判でも、彼の意見陳述を裁判官は時間の都合でと法廷ではほとんど朗読させず書面で提出させた。実際には法廷でできることなど限界があり、多くの知見を結集して事件を解明していくには、被告の主張を公開したほうがよいのだが、これまでそういう場は現実には担保されていなかった。だから筆者は、「黒子のバスケ」事件については渡辺被告の主張を公開し、彼に対する意見や批判はまた本人に返していくという試みを意識的に行った。実際、渡邊被告はそういう議論の過程で、精神科医の本を読み、自分なりに事件についての分析を進化させていった。冒頭意見陳述と最終意見陳述がかなり様相を異にしたのはそのためだ。
実は犯罪を犯した側も、自分の事件については自分なりに理解し解明したいという気持ちは持っている。あの取りつく島もないように見えた池田小事件の宅間守死刑囚も、自分の精神鑑定には関心を持っていた。自分が事件をどうして起こしたのかについては自分でもわからない面があり、自分なりに理解したいという欲求は、犯人自身も持っている。動機のわかりにくい複雑な事件の解明ほど、これまでの裁判の枠組みを超えた試みをしていかないと、現実に追いついていくことは難しくなりつつあるのではないか、というのが筆者の感想だ。
》 『カレログ』系スパイアプリの配信で開発元トップが逮捕 (APPREVIEW, 9/30)。US での話。アプリ StealthGenie の開発元 InvoCode 社 CEO を逮捕、起訴。
》 CloudFlare、全ユーザーにSSL接続を無料提供 (ITmedia, 10/1)。Universal SSL。
》 Google、教育機関向けGoogle Appsのストレージを容量無制限に (ITmedia, 10/1)
》 Google、Chromeの脆弱性報告に対する賞金を増額 (ITmedia, 10/1)、Fewer bugs, mo' money (Google, 9/30)。儲かりまっか?
》 「docomo ID」で不正ログイン6000件 リスト型攻撃受け (ITmedia, 10/1)、docomo IDへの不正ログインに関するお知らせ (NTT ドコモ, 9/30)
》 livedoor Reader、12月にサービス終了 (ITmedia, 10/1)
》 Yahoo!メールでアクセス障害が発生中、約400万IDでアクセス不能に (Internet Watch, 10/1)。昨日 09:20 から不具合継続中。
9月30日の午前9時20分ごろより、Yahoo!メール全ユーザー(約5000万ID)のうち、最大で約8%のユーザー(約400万ID)でアクセス障害が発生している。現時点では、復旧の目処は立っていないとしている。
なお、障害発生中の間に送られてきたメールは受信できておらず、復旧後に受信できる状態になった場合でも、送信元から再度メールを送ってもらう必要があるとしている。
5xx を返したということか。
》 FC2 の実質運営元? 「ホームページシステム」等に家宅捜索 (9/30)
「FC2」国内会社捜索=米社ダミーか、創業者ら立件視野-わいせつ中継ほう助容疑 (時事, 9/30)
府警などは、米ラスベガスの運営法人「FC2」はHPシステムが実質運営するダミーで、利益を得るため違法動画を放置した疑いがあると判断。FC2社創業者の日本人男性(41)や実弟(38)、HPシステム社長(39)ら数人の東京と大阪の自宅も捜索し、立件を視野に調べを進める。
速報! 動画投稿サイトのFC2の関係先を京都府警がガサ (いまにしのりゆき 商売繁盛でささもって来い!, 9/30)
FC2、これまでアメリカだか海外にサーバーがあって、日本やなく
少々、やばそうなエロ動画があっても手が出せないとされてきた。
だが、京都府警は、どうも実は日本で全部やっておる、海外はダミーって感じで見ているよう。
実質的経営者と京都府警がみている、創業者兄弟に、興味あるって情報も流れている。
実際、社長の自宅もガサ入っとる。
性行為ライブ配信を手助け容疑 「FC2」運営?大阪の会社を捜索 京都府警 (産経, 9/30)
「犯罪のインフラ」FC2にメス 運営実態解明なるか (産経, 9/30)。 「捜査員約60人態勢で」
FC2 関係先家宅捜索の元になった事件: