Last modified: Mon Oct 12 14:39:24 2020 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
Twitter 著名人アカウント大規模ハッキング方面 (2020.07.20)
関連:
Twitterの大規模攻撃、特定の従業員を狙うスピアフィッシング攻撃が判明 (PC Watch, 2020.07.31)
》 維新、尊厳死PT設置へ (時事, 7/29)。Go To T4 作戦キャンペーンですか。
日本維新の会の馬場伸幸幹事長は (中略) れいわ新選組の舩後靖彦参院議員が「生きる権利」の大切さを訴えるコメントを公表したことに関し、「議論の旗振り役になるべき方が議論を封じるようなコメントを出している。非常に残念だ」と語った。
舩後靖彦議員が「議論の旗振り役になるべき方」だと?! めちゃくちゃだ。
関連: 事件の報道を受けての見解 (舩後靖彦 Official Site, 7/23)
私も、ALSを宣告された当初は、出来ないことが段々と増えていき、全介助で生きるということがどうしても受け入れられず、「死にたい、死にたい」と2年もの間、思っていました。しかし、患者同士が支えあうピアサポートなどを通じ、自分の経験が他の患者さんたちの役に立つことを知りました。死に直面して自分の使命を知り、人工呼吸器をつけて生きることを決心したのです。その時、呼吸器装着を選ばなければ、今の私はなかったのです。
「死ぬ権利」よりも、「生きる権利」を守る社会にしていくことが、何よりも大切です。どんなに障害が重くても、重篤な病でも、自らの人生を生きたいと思える社会をつくることが、ALSの国会議員としての私の使命と確信しています。
》 コロナ対策のせいかも 別の熱病がシンガポールで大流行 (朝日, 7/29)。デング熱。既存の病気がなくなるわけではないからなあ。
》 Twitterで「スパムをブロックすると自分が規制される」現象が発生 運営に原因を聞いた (ねとらぼ, 7/30)。「スパムボットが誤って作動しました」。
》 モスバーガー、分身ロボットによる遠隔レジ「ゆっくりレジ」 (Impress Watch, 7/13)。おぉ、OriHime が実店舗に。
実証実験は、7月27日から8月下旬までの約1カ月間、モスバーガー大崎店で平日14時〜18時の時間帯に実施される。実証実験の遠隔スタッフ(パイロット)には、関西在住の酒井麻椰さんと竹久滉人さんが参加。
行ってみたいなあ。関連:
withコロナ時代にも対応した新しいリモートレジ分身ロボットを活用した「ゆっくりレジ」を実験導入 (モスフードサービス, 7/13)
当社では、今回の「ゆっくりレジ」の成果をもとに、ドライブスルー注文への応用や、自走式ロボットによる配膳業務などを検討していく計画です。これらについても、2020年度内の実験開始を視野に入れてまいります。
「自走式ロボットによる配膳業務」。 OriHime-D もスタンバってる感じ。
モスバーガーに“分身ロボット”活用リモートレジ、人手不足対応と外出困難者の社会参画支援、大崎店で実証実験 (食品産業新聞, 7/24)
》 東芝など12機関、盗聴不可能な暗号技術「量子暗号通信網」の共同開発へ (ITmedia, 7/29)、 グローバル規模の量子暗号通信網構築を進める総務省研究開発委託事業を開始 -世界に先駆けて広域・大規模な量子暗号通信網の実用化・普及を目指す- (東芝, 7/29)
》 TikTokの新CEO、「われわれは連邦法に従う米コミュニティの一員」と主張 (ITmedia, 7/30)、 Fair competition and transparency benefits us all (Kevin Mayer / Tiktok, 7/29)
》 無観客なのに満員に見せる技術「バーチャルファン」 大リーグ中継に採用も、おおむね不評 (岡田有花 / ITmedia, 7/29)
7月25日の試合中継でデビューしたが、バーチャルファンが写らないシーンが多かったり、写るまでにタイムラグがあったり、ファンの反応が数秒遅れるて不自然に見えたりと粗さが目立ち、視聴者からはおおむね不評だったようだ。
うーん、これは、βどころかα品質なのでは。
》 Microsoft、ダウンロードセンターでの“SHA-1”コンテンツを8月3日に廃止 (窓の杜, 7/29)
》 Twitterの迷惑なアカウントをブロックしただけでアカウントが逆に凍結させられる理由 (Yamada_nt / BLOGOS, 7/29)
マルウエア Emotet の感染に繋がるメールの配布活動の再開について (追加情報) (JPCERT/CC, 7/29 更新)
「Emotet」と呼ばれるウイルスへの感染を狙うメールについて: 攻撃再開の観測状況(2020年7月28日 追記) (IPA, 7/28)
なお、IPAでは、7月20日頃、ある国内企業のメールアカウントが攻撃者に悪用され(乗っ取られ)、外部へEmotetの攻撃メールがばら撒かれてしまったという事案も確認しています。2020年2月以前にEmotetへ感染していた場合、その時に窃取されたIDとパスワードが今後も悪用される可能性があります。被害の拡大を防ぐため、システム管理部門等においては、改めて職員へ不審なメールへの注意を呼びかけるとともに、メールアカウントが不正に使用された場合は、速やかに停止できるよう留意してください。
》 ラオックス、全店舗の半数を閉店。コロナ禍で訪日客減少 (やじうまPC Watch, 7/28)。「対象となるのは、北海道の3店舗、東京の1店舗、近畿の1店舗、九州の6店舗、沖縄の1店舗」。
》 ビジネスメール詐欺は“第3段階”へ、進化する攻撃を防ぐための対策方法は? TwoFiveがセキュリティセミナーを開催 (Internet Watch, 7/27)
》 Garminがサービスダウンはランサムウェアによるものと認める(一部機能は未復旧) (techcrunch, 7/28)
Garminはトラブルを単に「事故」と発表していた。しかしTechCrunchの取材に対し、情報源は「サービスのデータを暗号化するマルウェア攻撃よるものだ」と明かした。
TechCrunchは事情を直接知る情報源を引用して「この攻撃はWastedLockerと呼ばれるランサムウェアによるものと報じた。WastedLockerは2019年に米財務省が制裁措置を適用したロシアのハッカーグループであるEvil Corp.が使っていることが知られている。
制裁措置により米国企業は対象グループとの取引を一切禁じられた。これによりファイルを取り戻すために身代金を支払うことも違法となっていた。
関連:
Garmin Outage (Garmin)
Garmin Connect System Status (Garmin)
》 欧米間の個人情報移転ルール「プライバシーシールド」に欧州司法裁が無効判断--これまでと展望 (ZDNet, 7/22)
「Python 3.8.5」が公開、“.tar”ファイルの処理で無限ループに陥る脆弱性を修正 (窓の杜, 2020.07.22)
JVNVU#96390265 - Apache Tomcat における複数のサービス運用妨害 (DoS) の脆弱性 (JVN, 2020.07.15)。 DoS になるセキュリティ欠陥 2 件。 Tomcat 10.0.0-M7 / 9.0.37 / 8.5.57 / 7.0.105 で対応されている。
出てます。
Security Updates Available for Magento | APSB20-47 (Adobe, 2020.07.28)。Priority: 2
Magento Commerce 2 / Magento Open Source 2 2.3.5-p1 以前に 4 件のセキュリティ欠陥。2.3.5-p2 / 2.4.0 で修正されている。
出ました。セキュリティ修正を含みます。ESR 68 系列はこれで終了のはずです。
Firefox 79 がリリースされた (mozillaZine, 2020.07.29)
Firefox 79 は macOS バージョン 10.9, 10.10, 10.11 をサポートしない。これらのバージョンの macOS を利用している場合には、延長サポート版 (ESR) 78.x が来年まで継続してリリースされるためそちらへ移行されたい。
Firefox for Android 68.11 がリリースされた (mozillaZine, 2020.07.29)
本リリースは現行バージョンの Android 版 Firefox (コードネーム Fennec) の最終版となり、今後セキュリティ修正やバグ修正は行われない。従来の Gecko レンダリングエンジンを Android 向けにパッケージ化した GeckoView エンジンと刷新された UI を搭載した新しい Firefox (コードネーム Fenix) が、今後数週間のうちに Android 5.0 以降を対象に公開される予定である。
関連:
「Firefox 79」が正式リリース ~Windowsで新レンダラー「WebRender」の適用を拡大 (窓の杜, 2020.07.29)
また、“target”属性に“_blank”が指定されている“A”要素および“AREA”要素の扱いが変更され、“rel”属性が設定されていない場合、暗黙的に“noopener”が適用されるようになった。“rel=noopener”を指定せず“target=_blank”を利用するとリンク元のURLをスクリプトで勝手に書き換えられる恐れがあるため、最近では“rel=noopener”を併記することが推奨されている。しかし、今回の仕様変更によりメンテナンスされていない古いWebページでも“rel=noopener”を追記したのと同等の効果が得られ、セキュリティ向上の恩恵が受けられる。一方で、URLの書き換えが意図した動作である場合、Webページの動作不具合につながることもあるので注意したい。
》 次期戦闘機、日本主導に 開発へ国内1社と単独契約 (日経, 7/28)。F-2 は「平成のゼロ戦」なんて呼ばれましたが、 F-3 は令和のゼロ戦になるのかどうか。
日米共同開発をうたったF2も組み立ては三菱重工業が担ったが、基幹部分であるエンジンは米ゼネラル・エレクトリック(GE)製だった。
ちょっとちょっと。F-2 (当時の呼称は FS-X) のエンジンは、日本独自開発だった場合でも米国製でしたよ。当時の日本には戦闘機のエンジンをつくる技術がなかったからね。 で、 米国が「共同開発しないのならエンジン売らんもんね」と言ったから、仕方なく共同開発したわけで。
今回日本主導で開発できるのは、IHI が戦闘機用エンジン技術を確立できたから。結果として米国製エンジンを採用する可能性は、もちろんある。
》 奈良・宇陀市職員がパワハラ?自殺 業務過大 前市長と議会の対立も要因に (毎日, 7/21)。関連:
宇陀市立病院がランサムウエア被害、テープ未挿入でデータ復元できず (日経 xTECH, 2018.10.24)。事象発生は 10/16。
[医療]宇陀市立病院、電子カルテシステムがランサムウェアに感染 (宇陀新聞社, 2018.10.28)
業者への支払いに反発 - ウイルス感染で 市会「動作確認を」/宇陀市立病院電子カルテ (奈良新聞, 2019.09.11)
資質 (宇陀市議会議員 山本 ゆうきのブログ, 2019.09.12)
昨年10月に市立病院担当職員より100%納入業者の人的ミスでおこったウィルス感染により電子カルテシステムが不具合を起こしたにもかかわらず、2018年3月に前市長が取り交わしていた契約書とは別に、突然、現市長が(議会や市民にも説明や報告など一切なく)2019年2月に業者と再契約を取り交わし本年3月29日に契約金額(約4億3千万円)の80%2も及ぶ約3億2100万円を支払ってしまう決済をしたにもかかわらず契約業者との関係性が悪化し状況によっては約5億円の損害を市にもたらす可能性が出てきたことについて質疑をさせていただきました。
吐いた唾は飲めぬ(一度口から出した言葉は取り消すことはできない、というたとえ。 ) (宇陀市議会議員 山本 ゆうきのブログ, 2019.09.13)。 この時点までの状況が詳述されている。市長側の対応が謎すぎる。
真実の情報を公開しようと思いいつも長文になるのですが、なかなかうまく表現することが出来ていないように思っております。申し訳ございません。報道関係、市民の皆様方の中で、もしもっと詳細をお知りになりたいと思われるようでしたら昨年10月からのこの件に関する議事録を役所でお読みいただければ二転三転している市長部局の答弁内容、議員がいかに真剣にこの問題について質疑、提言をしていたか、どのように市長の方針が変わり行政運営を行い、それによって宇陀市にどのような状況をもたらしているのかよくご理解いただけると思います。
関連: [市立病院電子カルテ契約問題] 「吐いた唾は飲めぬ」 (宇陀新聞社, 2019.09.22)。上記ブログの部分引用。
[市議会]宇陀市長の「辞職勧告決議案」を可決 (宇陀新聞社, 2019.09.30)
宇陀市立病院コンピューターウイルス感染事案に関する「報告書」 (宇陀市, 2/28)、 概要版 (宇陀市, 2/28)
[宇陀市立病院]電子カルテのウイルス感染問題、「安全宣言」を発表 (宇陀新聞社, 2/28)
ランサムウェア被害を受けた奈良県宇陀市、インシデント対応を報告 (ZDNet, 3/4)
病院の電子カルテシステムがランサムウェア感染、報告書公表(宇陀市) (Scan NetSecurity, 3/9)
[独占取材]宇陀市職員、自殺。パワハラ死か? (宇陀新聞社, 3/2)
[市議会]宇陀市長の「不信任案」を可決 (宇陀新聞社, 3/24)、 [市議会]宇陀市長の「不信任案」、全文公開 (宇陀新聞社, 3/26)
奈良)議会を解散 不信任議決された高見市長 宇陀市 (朝日, 3/31)。3/30 で解散、市議会選挙に。
[2020選挙]市議会議員選挙、定数14、8名超過の選挙 (宇陀新聞社, 4/27)、 [2020選挙]宇陀市議会議員選挙【結果】 (宇陀新聞社, 5/3)
市長失職。新議会で「市長不信任案」が可決 (宇陀新聞社, 5/15)。新議会もひきつづき不信任可決、高見市長が失職。 退職金は、852万8,000円。
令和2年6月28日宇陀市長選挙投開票結果 (宇陀市)。金剛 一智氏が当選、高見 省次氏 (前市長) は落選。
[行政]宇陀市、パワハラ自殺を認める(動画あり) (宇陀新聞社, 7/21)
》 中東で相次ぐ不審な爆発 インフラ狙ったサイバー攻撃か イランとイスラエルにくすぶる関与の疑念 (毎日, 7/21)
マルウエア Emotet の感染に繋がるメールの配布活動の再開について (JPCERT/CC, 7/20)
ウェブサイトに仕込まれたマルウェアを何者かが無害なGIFアニメに置き換えていることが判明 (gigazine, 7/27)
Emotetウイルスの第2波を防げ、絶対にクリックしてはいけない「あのボタン」 (piyokango / 日経 xTECH, 7/28)
》 ログ分析トレーニング用コンテンツの公開 (JPCERT/CC, 7/28)。「インシデント対応ハンズオン」をオープンコンテンツ化だそうです。 Log Analysis Training (GitHub) そのうち、誰かが「やってみた」系の動画をアップロードしたりするかしらん。
》 伝説の創刊号も。「ラジオライフ」80年以降のバックナンバーをKindle Unlimitedで公開中 (やじうま Watch, 7/27)。 現時点では 2000.01〜2016.11 がごっそり抜けているみたい。 そのうち増えるのかな。
ふと思って「ラジオライフ 小森まなみ」でぐぐると、2006年5月号がひっかかったのだが、 上記のように入ってない。 ラジオ番組表とかも unlimited に入ればいいのに。
Chrome 84.0.4147.105 公開。8 件のセキュリティ修正を含む。
》 奈良・宇陀市職員がパワハラ?自殺 業務過大 前市長と議会の対立も要因に (毎日, 7/21)
》 Subdomain Takeover(サブドメインテイクオーバー) (JPRS)
関連: Azure が提供するデフォルトドメイン名を狙った改ざんについて注意喚起 (しばやん雑記, 7/7)
》 中国政府による香港への国安法適用に対するテクノロジー企業たちのそれぞれの対応 (techcrunch, 7/22)
》 中国が傲慢な理由で強行した「モンゴル語教育停止」の衝撃 (ニューズウィーク日本版, 7/22)
》 重症患者が倍増。「医療体制、“ひっ迫していない”は誤り」 都の会議で専門家が苦言【新型コロナ】 (ハフポスト, 7/22)
》 「景気後退」認定へ、戦後最長ならず 回復は18年10月まで (日経, 7/22)。ただでさえ超低空飛行だったのに、それすら一昨年に終っていたと。関連:
ツイート
「景気回復」は、2018年10月時点で終わってた、とさ。
— 田崎 基(神奈川新聞 記者) (@tasaki_kanagawa) July 22, 2020
明確にしておきたいのは「コロナは無関係」ってことです。
安倍政権が消費増税したのは2019年10月。景気後退に拍車をかけたことは間違いない。 https://t.co/QSx5llGOkr
》 静岡市長、NHK記者に会見で謝罪 面会時の発言めぐり (朝日, 7/22)。関連:
ツイート
静岡市の田辺信宏市長はNHK静岡局の三浦記者に対し「僕はNHK幹部と友だちだ。組織の中でやりたいことができなくなるリスクがあるよ」と発言。
— 島 契嗣(SHIMA, Keishi) (@SHIMAKeishi) July 22, 2020
発言をめぐるやりとりは下記動画の22分から。
三浦記者は社会部で一緒だったけど良い意味でヒル。笑https://t.co/jkdMk1rx5G
静岡市の広報担当が。。 https://t.co/8PEmWobaKS
》 GoTo受託団体から二階幹事長らにわたったのは4200万円献金だけではなかった! 二階派のパーティ券を巨額購入 (リテラ, 7/22)。わかりやすい構図ですね。
》 仏、5Gからファーウェイ事実上排除 免許更新せず=関係筋 (ロイター, 7/23)。フランスもですか。これは厳しい。
》 「ノストラダムスの大予言」、作家の五島勉さん死去…90歳 (読売 / livedoor, 7/21)。当のご本人がここまで長生きだったわけで。
》 暗号鍵管理ガイドライン (IPA, 7/7)。「暗号鍵管理システム設計指針(基本編)第1版」が公開されている。
》 暗号化は? 認証方式は? 「ウェブ会議サービス」利用時のチェックポイントをIPAが公開中 (Internet Watch, 7/17)、 Web会議サービスを使用する際のセキュリティ上の注意事項 (IPA, 7/14)
》 恐ろしくリアルな「アポロ11号失敗」のディープフェイク動画、MITが公開 (ZDNet, 7/22)
》 画像のリツイートで著作者の署名消えた──Twitterの仕様でも投稿者の権利侵害行為に 最高裁が判決 (ITmedia, 7/21)。頭がおかしい判決。「コメントをつけてリツイート」は日本では要注意機能となった模様。
ITmedia NEWS編集部がTwitter Japanに、判決をどう受け止めているか、またTwitterの仕様変更を検討するかを尋ねたところ「コメントを差し控える」という返答だった。
関連:
写真の無断投稿、リツイートだけでも権利侵害 最高裁 (朝日, 7/21)
》 Advisory: APT29 targets COVID-19 vaccine development (NCSC, 7/16)。関連:
ワクチン研究にサイバー攻撃か──米英カナダがロシアの「APT29」を非難 (ニューズウィーク日本版, 7/17)
ロシアのハッカーが、新型コロナウイルスのワクチンを狙っている (WIRED, 7/20)
》 米司法省、中国人2人を新型コロナ関連情報窃盗目的のサイバー攻撃で起訴 (ITmedia, 7/22)、 Two Chinese Hackers Working with the Ministry of State Security Charged with Global Computer Intrusion Campaign Targeting Intellectual Property and Confidential Business Information, Including COVID-19 Research (justice.gov, 7/21)
》 “はるかぜちゃん”こと春名風花さん、SNS誹謗中傷の示談成立 被告が示談金315万円支払いへ (ITmedia, 7/20)
》 「OpenPGP」対応を追加した「Thunderbird 78.0.1」がリリース (窓の杜, 7/22)
》 マカフィー、教職員1人につき40ライセンスを生徒などに適用できる教育機関向け新ライセンスを提供 (クラウド Watch, 7/22)
》 半沢直樹の続編、監修と考証がガバガバで突っ込みどころ満載に (市況かぶ全力2階建, 7/20)。ログ全削除は、さすがにありえないよなあ。
出てます。
Security Updates Available for Adobe Bridge | APSB20-44 (Adobe, 2020.07.21)。Priority: 3
Adobe Bridge 10.0.3 以前の Windows 版に、任意のコードの実行を招く 3 件のセキュリティ欠陥。Adobe Bridge 10.1.1 で修正されている。
Security updates available for Adobe Photoshop | APSB20-45 (Adobe, 2020.07.21)。Priority: 3
Photoshop CC 2019 20.0.9 以前、Photoshop 2020 21.2 以前の、いずれも Windows 版に、任意のコードの実行を招く 5 件のセキュリティ欠陥。 Photoshop CC 2019 20.0.10、Photoshop CC 21.2.1 で修正されている。
Security Updates Available for Adobe Prelude | APSB20-46 (Adobe, 2020.07.21)。Priority: 3
Adobe Prelude 9.0 以前の Windows 版に、任意のコードの実行を招く 4 件のセキュリティ欠陥。Adobe Prelude 9.0.1 で修正されている。
Security update available for Adobe Reader Mobile | APSB20-50 (Adobe, 2020.07.21)。Priority: 2
Adobe Reader Mobile 20.0.1 以前の Android 版に、情報漏洩を招く 1 件のセキュリティ欠陥。 Adobe Reader Mobile 20.3 で修正されている。
オフィシャル
このツイートからはじまる一連のツイート
We are aware of a security incident impacting accounts on Twitter. We are investigating and taking steps to fix it. We will update everyone shortly.
— Twitter Support (@TwitterSupport) July 15, 2020
An update on our security incident (twitter, 2020.07.17)。「In this post we summarize the situation as of July 17 at 8:35p Pacific Time」
At this time, we believe attackers targeted certain Twitter employees through a social engineering scheme. (中略) The attackers successfully manipulated a small number of employees and used their credentials to access Twitter’s internal systems, including getting through our two-factor protections. As of now, we know that they accessed tools only available to our internal support teams to target 130 Twitter accounts. For 45 of those accounts, the attackers were able to initiate a password reset, login to the account, and send Tweets. We are continuing our forensic review of all of the accounts to confirm all actions that may have been taken. In addition, we believe they may have attempted to sell some of the usernames.
関連報道
Twitterへの大規模ハッキングは、もっと問題が深刻化していた可能性もある (WIRED, 2020.07.19)
ある点において問われるべきは、著名なTwitterユーザーがハッキングされたかどうかではなく、「いつ」ハッキングされたのかになりそうだ。ドナルド・トランプ大統領は今回の一連のハッキングの攻撃の対象ではなかったようだが、彼のアカウントからのツイートひとつで地政学的な破滅がもたらされる可能性もあった。なお、数年前にある従業員が大統領のアカウント「@realdonaldtrump」を数分にわたって削除した“事件”の影響もあって、トランプのアカウントには複数の保護が設定されているようだ。
ツイッターのハッキング、最大8アカウントから情報流出 パスワード変更被害は45件 (BBC, 2020.07.19)
さらに米紙ニューヨーク・タイムズは、チャットアプリ「Slack」を使いツイッター関係者が共有していた認証情報がハッカーの手に渡り、ハッカーはそれを使ってツイッターを攻撃をしたようだと書いている。Slackは一部企業がメール代わりに使用しているサービスだ。
同紙はまた、少なくともイギリス出身者2人が事件に関与しているとも示唆している。
NYTimes:
A Brazen Online Attack Targets V.I.P. Twitter Users in a Bitcoin Scam (NYTimes, 2020.07.15)
Twitter Struggles to Unpack a Hack Within Its Walls (NYTimes, 2020.07.16)
Hackers Tell the Story of the Twitter Attack From the Inside (NYTimes, 2020.07.17)
Twitter: Hack Hit 130 Accounts, Company 'Embarrassed' (NYTimes, 2020.07.19)
The Week in Business: Twitter’s Mystery Hackers (NYTimes, 2020.07.19)
関連:
Twitter社内管理ツールの不正アクセスについてまとめてみた (piyolog, 2020.07.22)
Twitterへの大規模ハッキング、議員含む36人のDMにも不正アクセス (PC Watch, 2020.07.27)
An update on our security incident (Twitter, 2020.07.22 更新)
We believe that for up to 36 of the 130 targeted accounts, the attackers accessed the DM inbox, including 1 elected official in the Netherlands. To date, we have no indication that any other former or current elected official had their DMs accessed. [Added on July 22, 2020]
関連:
Twitterの大規模攻撃、特定の従業員を狙うスピアフィッシング攻撃が判明 (PC Watch, 2020.07.31)
容疑者が逮捕されたそうです。
Twitterアカウント大規模乗っ取り犯逮捕 主犯は米在住の17歳 (ITmedia, 2020.08.01)。現時点では容疑者のはずなので、「乗っ取り犯」は言いすぎだと思います。
ツイッターのハッキング事件、17歳の男を逮捕-米司法省は3人訴追 (ブルームバーグ, 2020.08.01)
Twitter大規模ハック、17歳はなぜたった2週間で逮捕されたのか? (平和博 / Yahoo, 2020.08.03)
Three Individuals Charged For Alleged Roles In Twitter Hack (justice.gov, 2020.07.31)
Florida Teenager Is Charged as ‘Mastermind’ of Twitter Hack (NYTimes, 2020.07.31)
From Minecraft Tricks to Twitter Hack: A Florida Teen’s Troubled Online Path (NYTimes, 2020.08.02)
関連:
FBIはいかにしてTwitterハッキングの容疑者を突き止めたのか (CNET, 2020.08.05)
》 Security Update Validation Program (SUVP) のご紹介 (Microsoft Security Response Center, 7/6)
Security Update Validation Program は、マイクロソフトが毎月第二火曜 (米国時間) に公開するセキュリティ更新プログラムの品質を確保するための事前検証プログラムです。SUVP では、動作検証や互換性テストを目的に、通常の公開よりも最大で 3 週間前倒しでセキュリティ更新プログラムを入手するできることができます。 (中略)
SUVP に参加することのメリットは、マイクロソフトのセキュリティ更新プログラムが一般に広く展開される前に、お客様のビジネスに影響を及ぼす可能性がある問題を特定することができることです。
》 System hardening in Android 11 (Google Security Blog, 6/30)
出ました。
About the security content of iOS 13.6 and iPadOS 13.6 (Apple, 2020.07.15)
iOS 12.4.8 も出ているそうです。
About the security content of tvOS 13.4.8 (Apple, 2020.07.15)
About the security content of watchOS 6.2.8 (Apple, 2020.07.15)
watchOS 5.3.8 も出ているそうです。
About the security content of macOS Catalina 10.15.6, Security Update 2020-004 Mojave, Security Update 2020-004 High Sierra (Apple, 2020.07.15)
About the security content of Safari 13.1.2 (Apple, 2020.07.15)
この他に Xcode 11.6 が出ているそうです。
Chrome 84.0.4147.89 が stable に。38 件のセキュリティ修正を含む。 関連:
「Google Chrome 84」が正式公開 ~SameSite Cookieの仕様変更が再開、TLS 1.0/TLS 1.1は削除 (窓の杜, 2020.07.15)
出てます。先月の Adobe 方面 (Campaign Classic, After Effects, Illustrator, Premiere Pro, Premiere Rush, Audition) で番号飛んでた奴が出てますね。
Security update available for Adobe Creative Cloud Desktop Application | APSB20-33 (Adobe, 2020.07.14)。Priority: 2。
Creative Cloud Desktop Application 5.1 以前 Windows 版に 4 件のセキュリティ欠陥。5.2 で修正されている。
Security Updates Available for Adobe Media Encoder | APSB20-36 (Adobe, 2020.07.14)。Priority: 3。
Media Encoder 14.2 以前 Windows 版に 3 件のセキュリティ欠陥。14.3 で修正されている。
Security Updates Available for Adobe Genuine Service | APSB20-42 (Adobe, 2020.07.14)。Priority: 3。
Genuine Service 6.6 以前 Windows/macOS 版に 3 件のセキュリティ欠陥。7.1 で修正されている。
Security updates available for Adobe ColdFusion | APSB20-43 (Adobe, 2020.07.14)。Priority: 2。
ColdFusion 2016 Update 15 以前 / ColdFusion 2018 Update 9 以前に 2 件のセキュリティ欠陥。ColdFusion 2016 Update 16 / ColdFusion 2018 Update 10 で修正されている。
Security Updates Available for Adobe Download Manager | APSB20-49 (Adobe, 2020.07.14)。Priority: 3。
Download Manager 2.0.0.518 Windows 版に 1 件のセキュリティ欠陥。 2.0.0.529 で修正されている。
あと、セキュリティ修正は含まれないようですが、Flash Player も 32.0.0.403 に更新されてます。
ClamAV 0.102.4 出ました。3 件のセキュリティ欠陥が修正されています。 内 1 件 (CVE-2020-3350) は Exploiting (Almost) Every Antivirus Software (RACK911 Labs, 2020.04.20) 関連のようです。
出たのは先月です。セキュリティ修正を含みます。
PuTTY Change Log (PuTTY, 2020.06.27)
Security fix: if an SSH server accepted an offer of a public key and then rejected the signature, PuTTY could access freed memory, if the key had come from an SSH agent.
Security feature: new config option to disable PuTTY's dynamic host key preference policy, if you prefer to avoid giving away to eavesdroppers which hosts you have stored keys for.
前者は CVE-2020-14002 だそうです。PuTTY 0.68〜0.73。 後者は機能の追加。
PuTTYjp (跡地) (hdk の自作ソフトの紹介)。バイナリ配布終了が案内されています。
iceiv+putty。0.74 対応版が出ています。
PuTTYrv (PuTTY-ranvis)。 0.74 対応版が出ています。
》 コロナ接触確認アプリ、陽性者からの通知を15日に再開。Android版更新 (Impress Watch, 7/15)。7/11 から処理番号発行を停止していた件、再開されたそうで。「通知を受けるにはバージョン1.1.2へのアップデートが必須」。
》 Adobe Flash Player 32.0.0.403公開 (ニッチなPCゲーマーの環境構築Z, 7/14)
出ました。今回の大物はこれだそうです: Windows Server 2003〜2019 の Microsoft DNS サーバーに buffer overflow する欠陥、攻略 DNS 応答を使って remote から無認証で local SYSTEM 権限を取得できる。
Windows DNS サーバーの脆弱性情報 CVE-2020-1350 に関する注意喚起 (Microsoft, 2020.07.15)
17年前から存在 ~「Windows Server」のDNS機能に致命的なリモートコード実行の脆弱性 (窓の杜, 2020.07.15)
SIGRed – Resolving Your Way into Domain Admin: Exploiting a 17 Year-old Bug in Windows DNS Servers (Check Point, 2020.07.14)
とっとと patch をあてるのが吉ですが、 レジストリ設定による回避方法も紹介されています。
KB4569509: DNS サーバーの脆弱性に関する説明–2020-1350 (Microsoft KB 4569509)。TcpReceivePacketSize を 0xFF00 にすることで回避できるそうです。デフォルトは 0xFFFF。
Oracle 四半期定例更新出ました。
VirtualBox: 6.1.12 / 6.0.24 / 5.2.44 で対応。
Java SE: 7u261, 8u251, 11.0.7, 14.0.1 で対応。
JDK 14.0.2, 11.0.8, 8u261, and 7u271 Have Been Released! (The Java Tutorials Blog, 2020.07.14)
Java SE Downloads (Oracle)
Downloads for Amazon Corretto 8 (Amazon)。JavaFX を含みます。
Downloads for Amazon Corretto 11 (Amazon)。JavaF は含みません。
Download Zulu Community (Azul Systems)。JavaFX は含みません。 JavaFX を含むバージョンは ZuluFX として別途用意されています。
AdoptOpenJDK。 JavaFX は含みません。
JVN#62161191 - JavaFX の WebEngine コンポーネントに任意の Java メソッド実行が可能になる脆弱性 (JVN, 2020.07.28)
OracleJDK 8 update 251 に同梱されている JavaFX および OpenJFX プロジェクトが提供する JavaFX 14.0.1 では、JavaScript から呼び出せる Java メソッドに制限を加えています。詳細はリリースノートを確認してください。
「FFmpeg」に2件の脆弱性 ~修正版の「FFmpeg 4.3.1」が公開 (窓の杜, 2020.07.13)
複数の BIG-IP 製品の脆弱性 (CVE-2020-5902) に関する注意喚起 (2020.07.06)
関連:
F5 Networks「BIG-IP」の脆弱性を狙う攻撃を観測、最新版の適用を (Internet Watch, 2020.07.09)
》 iOSの一部アプリが起動しない障害が発生中 原因はFacebook SDKの不具合【追記あり】 (ITmedia, 7/10)。現在は解消済。
》 さようなら Master / Slave、Blacklist
Linuxカーネルでの「master/slave」と「blacklist」禁止、トーバルズ氏が承認 (ITmedia, 7/13)
IT用語も「奴隷」廃止の動き 「slave」は「フォロワー」や「レプリカ」に (ITmedia, 7/13)
Blacklistd もそのうち変わるかな?
Windows版「Zoom」に未修正の脆弱性 ~システムからの警告なしに任意のコードが実行可能 (窓の杜, 2020.07.10)。Windows 7 以前で発症。
Windows版「Zoom」v5.1.3が公開、旧版Windowsで任意コードが実行できる欠陥に対処 (窓の杜, 2020.07.13)
》 新型コロナの治療薬 デキサメサゾン、レムデシビルなど 現時点でのエビデンス (忽那賢志 / Yahoo, 7/11)。最新の情報が反映されているまとめ記事。
》 なぜ首相は「痛感」した責任を取らない? 安倍流処世術、軽さの原点 (吉井理記/統合デジタル取材センター / 毎日, 7/12)
問題起こればあっさり切り捨て「『責任』と言いながら、責任を取ったことが一度もない」
》 なぜ台湾人は香港国安法第43条実施細則を恐れるのか? (黒色中国BLOG, 7/9)
つまり、台湾において中共を批判したり、香港デモ支援の声を挙げた人はたくさんいたわけですが、香港警察が「国家安全に危険を及ぼす人物なので情報を提供しなさい!」と言い出して、従わなければ香港にいる台湾政府関係者が処罰される可能性がある。
それと、台湾人としては、2017年の李民哲事件があったので、今後は中国に行かずとも、香港へ行くだけで李民哲さんのように逮捕される可能性がある…のを恐れているわけです。
でも、これらは今後、日本人にも起こり得ることですよね。
九大と九国大に“爆破予告”、学生ら立ち入り禁止に (九州朝日放送, 7/9)。 掲示版サイト。予告日 7/8、実施日 7/10。 ueno さん情報ありがとうございます。
九州国際大学に対する爆破予告への対応について (九州国際大学, 7/8)、 九州国際大学に対する爆破予告とその後の対応について (九州国際大学, 7/10)
九州大学に対する爆破予告に伴う学内への立入制限について (九州大学, 7/9) ( Google キャッシュ)、 【重要】九州大学に対する爆破予告に伴う学内への立入制限について (九州大学芸術工学部, 7/9)、 九州大学に対する爆破予告に伴う学内への立入制限について/Campus entry restriction due to bomb threat notice targeting Kyushu University (九州大学工学部, 7/9)
九州大学にはさらに、7/10 付で放火予告がされているそうで:
九州大学に対する放火予告に伴う学内への立入制限について (九州大学, 7/10)。大学ホームページ投稿欄。予告日 7/9、実施日 7/14。
福岡大学に対する爆破予告に伴う学内への立入制限について (福岡大学, 7/10)。掲示版サイト。予告日 7/9、実施日 7/16。 ueno さん情報ありがとうございます。
岩手大学に爆破予告 学内立ち入り禁止 「5カ所爆破」インターネット掲示板に書き込み【岩手県】 (FNN, 7/12)。掲示版サイト。予告日 7/10、実施日 7/13。
岩手大学における臨時入構禁止措置について(7月12日(日)18時~13日(月)17時まで) (岩手大学, 7/12)
》 在日米軍横田基地、非常事態宣言を継続 (高橋浩祐 / Yahoo, 7/3)、 #CoronavirusUpdate 【検証】在日米軍横田基地司令官が新型コロナ対策の『立ち入りが禁止される場所』で #首都圏は立入禁止区域 とした経緯と背景 (カツミタカヒロ / note, 7/4)
関連: 横田基地ニュース (YOKOTA AIR BASE)。
》 『スマブラ』プロシーンの、大量のハラスメント告発が界隈を大きく揺るがす。時を同じくして「EVO Online」が中止に (Mizuki Kashiwagi / AUTOMATON, 7/3)、 スマブラのコミュニティがプレイヤーによる性的ハラスメントだらけであることが問題に (gigazine, 7/10)
東京大学、フサン (ナファモスタットメシル酸塩) とアビガン (ファビピラビル) 併用の観察研究を実施 (重症患者 11 例、患者年齢中央値 68 歳)
新型コロナ 「フサン」と「アビガン」併用投与で症状改善 東大 (NHK, 7/8)。10/11 が改善。1/11 が死亡。
【東大病院】アビガンとフサン併用療法、9割でコロナ症状が軽快 (薬事日報, 7/10)
集中治療室での治療を必要とした重症新型コロナウイルス感染症に対する ナファモスタットとファビピラビルによる治療 (東京大学, 7/6)
フサン単独で効果があるのか、併用してはじめて効果があるのかは今後の研究が必要。
アビガン単独での効果は確認できず (藤田医科大学、軽傷患者向け)。
アビガン「有意差なし」 藤田医科大、新型コロナで検証 (日経, 7/10)。「ウイルスの消失や減少、解熱が早まる傾向はあったが、有意差はなかった」「患者数が少ないため有効性の有無が確認できなかった」「200人程度が参加すれば有意差が得られたかもしれない」
「アビガンは特効薬ではなさそう」 現場で患者を診てきた救急医が語るウィズコロナの時代 (岩永直子 / BuzzFeed, 6/9)
世間が言う特効薬という印象は僕はないです。土井教授も言っていますが、8割以上は自然に回復する病気で効果を見るのは本当に難しい。
インフルエンザの時の抗インフルエンザ薬も、症状のある期間を1日ぐらい短縮できるかもしれないというだけですが、新型コロナに対するアビガンもおそらくそれぐらいのものではないかなという印象です。これは何の裏付けもない直感ですが。
(中略)
ただ、それが症状がある期間を短縮することができるのか、残念ながらそれさえも示せないのかということを、研究でしっかり検証することは意味があると思います。
今回の治験では、「残念ながらそれさえも示せな」かった模様です。 軽傷患者多数の東京第2波で治験すれば、もうちょっと何か出るのかもしれません。
【薬害オンブズ会議】観察研究の登録中止を‐アビガン高致死率に懸念 (薬事日報, 7/8)
》 「香港国家安全維持法」施行 (6/30)、一国二制度完全終了
「香港国家安全維持法」が施行 最高刑は無期懲役 (BBC, 7/1)
抗議活動再燃で370人逮捕、香港国家安全法制の全貌 (石井 大智 / 日経ビジネス, 7/3)
香港国家安全維持法(全66条)、全訳しました 中国当局がなんでもできる体制ができた (NewsSocra, 7/5)
香港の図書館から「民主主義活動家の著作」が撤去されている (gigazine, 7/6)
Google・Facebook・Twitterが香港国家安全維持法に反発、香港政府のデータ要求を拒否する構え (gigazine, 7/7)
習近平はなぜ香港国家安全維持法を急いだのか? (遠藤誉 / Yahoo, 7/7)
香港は死んだ…国家安全法施行の中国が見据える「次なる一手」 (近藤 大介 / 現代ビジネス, 7/7)
香港で国安法施行から1週間 進む言論統制、ネット規制 (産経 / ITmedia, 7/8)
中国政府、香港に治安維持機関を新設 国安法で (BBC, 7/8)
香港・国家安全維持法、条文で読む深刻事態 「一国二制度」と「人権」は完全に消え去った (東洋経済, 7/8)
香港の財閥が「国家安全法」を支持する理由 (WEDGE Infinity, 7/9)
「香港問題」は公約違反の国際問題~国家安全維持法が施行 (田中秀征 / 論座, 7/9)
白紙に国歌引用…創造力で国家安全維持法に立ち向かう香港人たち (AFPBB, 7/9)
香港民主派の予備選、国家安全法に抵触の恐れ-香港政府幹部が警告 (ブルームバーグ, 7/9)
習近平の大失敗…香港併合の悪手で世界制覇の「最強カード」を失った 鄧小平が編み出した長期戦略は崩壊一途 (川口 マーン 惠美 / 現代ビジネス, 7/10)
香港国家安全維持法、暗号資産取引にも影響か──アジアの金融ハブで高まる米中緊張 (David Pan / coindesk Japan, 7/10)
【解説】香港国家安全維持法 警察に新たに付与された権限 (時事, 7/10)。 「令状なしの捜索」「インターネット検閲」「資産の押収と渡航制限」 「通信傍受と監視活動」「外国や台湾の政治的組織や代理人に対して特定の情報の開示を請求できる」。
TikTokは米国での締め出しに直面し、香港からの撤退を発表 (techcrunch, 7/7)
米国での禁止が本当になったならば、最近最大の市場であるインドを失ったTikTokにとって、それに劣らぬ大きな打撃となるだろう。
TikTok禁止、アメリカ政府が検討。インドはすでに禁止、オーストラリアは検討中との報道 (ハフポスト / Yahoo, 7/8)
TikTok、香港から撤退すると発表〜中国の国家安全法の導入が原因 (iPhone Mania, 7/8)
TikTokが香港からやむなく事業撤退、アメリカ政府もTikTokの禁止を検討 (gigazine, 7/8)
TikTok、香港からの撤退を計画--米政権は禁止措置を検討 (CNET, 7/8)
アメリカ政府がTikTokなどの使用禁止を検討…中国ではIT系企業のデータも政府のもの? (ABEMA TIMES, 7/9)
TikTokが政治の渦中へ 方針転換の深謀 (Wall Street Journal, 7/9)
TikTok、改革で「中国色」払しょくへ 海外新本社など検討急ぐ (Wall Street Journal, 7/10)
TikTokは米国の脅威となるのか?危険性について専門家がコメント (iPhone Mania, 7/10)
中国バイトダンス、TikTokの組織改編を検討 (ロイター, 7/10)
TikTok、透明性レポートを公開 (7/9)
TikTok透明性レポート (TikTok, 7/9)
各国政府からTikTokへのユーザーデータ要求は今年上半期だけで500件 (techcrunch, 7/10)
TikTok、半年で4900万件以上の動画を削除 (CNET, 7/10)
Firefox 78 / ESR 68.10.0 公開 (2020.07.02)
関連:
Firefox 78.0.2 がリリースされた (mozillaZine, 2020.07.10)。セキュリティ修正を含む。Firefox ESR 68 系列には影響しない。
SeaMonkey 2.53.3 がリリースされた (mozillaZine, 2020.07.07)
ユーザープロファイルの構成の変更に伴い、バージョン 2.49.5 以前からのアップグレードに際して以下の注意点がある。
- マスターパスワードを利用している場合にはバージョン 2.53.1 以降へのアップデートの前にこれを解除する必要がある。設定メニューの「マスターパスワードを変更」から、パスワード欄を空白にすることでマスターパスワードを解除できる。「パスワードのリセット」機能を使うと、保存されているすべてのログイン情報が削除されるため注意が必要である。
- アップデートの完了後には、プロファイルフォルダー内の key3.db および cert8.db の 2 つのファイルを削除する必要がある。これはログイン情報を含む古い形式のファイルである。
》 大雨 被災地域を対象に食品表示の一部緩和へ 消費者庁など (NHK, 7/7)。アレルギー持ちの人が死んでも ok ok ってことですかね。 (アレルギー対策品も同時に送付されると思いたい)
これによって、ラベルを付ける前の商品や業務用に箱詰めで販売されるため個別に表示がされていないレトルト食品なども被災地に届けることができるようになるということです。
関連:
ツイート
何これ。なんでこんなことになるの?
— 小杉美保@Sotoe代表/食物アレルギーがあっても自由に外へ (@mihokosugi) July 7, 2020
アレルギー表示だけじゃダメな人たくさんいるよね。は????
【被災地に限って原材料の表記が無くても良い】だなんて。
28品目以外のアレルギーある人どうすんの?
くやしい。見捨てられた気分。https://t.co/QmH6HbtzLv
なんかもうめっちゃくやしいから、私が備蓄している食物アレルギー対応非常食一気に公開するで〜!!
— 小杉美保@Sotoe代表/食物アレルギーがあっても自由に外へ (@mihokosugi) July 8, 2020
(28品目以外や卵乳アレ以外の人には参考にならないかもしれないけれど許して!)
みんなそれぞれ頑張って備蓄しよう😭
ほないきます!(ツリー読んでね)
決壊・氾濫は「重要水防箇所」 球磨川12カ所 危険性は事前に指摘されていた (西日本新聞 / Yahoo, 7/6)
当社代表取締役社長 北村精男著 『国土崩壊-「土堤原則」の大罪』加筆版を発売 (PR WIRE, 5/20)。その堤防が決壊する、そもそもの原因。
河川法に基づく国の政令は「堤防は、盛土により築造するものとする」と定めています。堤防内に土以外のものは入れてはいけないというこの決まりが「土堤原則」です。(中略) しかし、ここでは国民の生命財産を守るために不可欠な「壊れてはいけない」という大原則が欠落しています。近年の豪雨災害で相次ぐ決壊は、土堤が自然の力に勝てない科学的要因を内包していることを証明しています。
6月の倒産件数『大阪府が全国最多163件』飲食業や観光業以外にも倒産の波 (MBS, 7/7)
【大阪市天王寺区・阿倍野区】「大阪市の給付金」7月7日で累計30万件、19.8%の給付率へ。 (号外NET, 7/7)。「7月7日で累計30万件、19.8%の給付率へ」というのは、あくまで予定。 特別定額給付金について (大阪市) の「給付スケジュール」を参照。 まだ 2 割ですか。
新型コロナ、3カ月で抗体減少 集団免疫困難か―スペイン保健省 (時事, 7/7)。米空母乗員の抗体保持 60% も、3 か月したらこうなってしまうのだろうか。
抗HIV薬、コロナ研究中止 致死率、効果見られず WHO治験 (朝日, 7/6)
世界保健機関(WHO)は4日、新型コロナウイルスに効果のある治療薬を見つけるための「連帯治験」で、抗HIV薬の「ロピナビル」と「リトナビル」の併用について研究を中止すると発表した。連帯治験では抗マラリア薬ヒドロキシクロロキンと合わせ、同日付で2部門の研究が打ち切られた。
オフィシャル: WHO discontinues hydroxychloroquine and lopinavir/ritonavir treatment arms for COVID-19 (WHO, 7/4)。ロピナビル・リトナビルはカレトラ配合錠。 WHO の陰謀だ、とおっしゃる方は、独自に治験してくださいませ。 関連:
WHO 抗マラリア薬・ヒドロキシクロロキンの臨床試験を一時中断 (ミクス online, 5/27)。例の論文のせいで治験が中断されたときの記事。
ヒドロキシクロロキン、WHOがコロナ臨床試験を再開 (AFPBB, 6/4)。例の論文が撤回されて治験が再開されたときの記事。
新型コロナウイルス感染症で期待のヒドロキシクロロキン 米・FDAが緊急使用許可を一転取り消し (ミクス online, 6/17)、 米政府、抗マラリア薬の緊急使用許可を撤回 新型ウイルス治療に効果なしと (BBC, 6/16)。FDA が緊急使用許可を撤回。
WHO、抗マラリア薬「ヒドロキシクロロキン」の新型コロナ向け治験を停止 (マイナビニュース, 6/19)。WHO の治験が中止に。
抗マラリア薬「ヒドロキシクロロキン」の治験中止、新型コロナに効果みられず 米 (CNN, 6/21)。NIH の治験が中止に。
トランプ大統領、ヒドロキシクロロキンを再び推奨-FDA警告でも (ブルームバーグ, 7/8)
コロナ空気感染の可能性、世界の科学者239人が警鐘 (AFPBB, 7/7)
ブラジル大統領、新型コロナ陽性 「これが人生」、経済再開を強調 (時事, 7/8)
》 米大学の留学生、オンラインのみの授業に移行なら出国迫られる可能性 (CNN, 7/7)。めちゃくちゃだ。
米移民税関捜査局(ICE)は (中略) 6日の発表の中で、特定のビザ(査証)を保有する留学生について、「オンラインで全講座を受講して米国にとどまることはできない」と説明。「米国務省は、秋季の授業が完全にオンラインになる学校やプログラムに在籍する学生にはビザを発給しない。米税関・国境警備局(CBP)も、そうした学生の米国への入国を許可しない」とした。
》 TLS暗号設定ガイドライン~安全なウェブサイトのために(暗号設定対策編)~ (IPA, 7/7 更新)。iida さん情報ありがとうございます。 バージョン 3.0.1 になっています。
以前のSSL/TLS暗号設定ガイドライン(version 1.x/2.x)から一段階高い安全性を求めるようになった要求設定項目も多いため、SSL/TLS暗号設定ガイドライン(version 1.x/2.x)を利用している場合には、本ガイドラインでの要求設定に基づいた見直しを行い、必要に応じて設定変更を実施することを強く推奨します。
》 宮藤官九郎『なぜ君は総理大臣になれないのか』を語る (miyearnZZ Labo, 7/6)
「大阪公立大学の英語名に報復」大阪府立大学と大阪市立大学に対する爆破予告 キャンパス立ち入り禁止 爆発物なし (ABC / Yahoo, 7/1)。メール。予告日 6/26、実施日 7/1。
長崎大学と長崎県立大学に爆破予告 (FNN, 7/3)。メール。予告日 7/1、実施日 7/7。
長崎大学に対する爆破予告について (長崎大学, 7/3)
長崎大学に対する爆破予告とその後の対応について (長崎大学, 7/7)
長崎県立大学に対する爆破予告にかかる状況について (長崎県立大学, 7/7)
滋賀大と滋賀県立大に爆破予告 両大学とも7日は終日立ち入り禁止 (京都新聞, 7/6)。掲示版サイト。予告日 7/1、実施日 7/7。
滋賀大学における臨時入講禁止措置について(7月7日) (滋賀大学, 7/7)
滋賀県立大学に対する爆破予告とその後の対応について (滋賀県立大学, 7/8)
静岡県立大学と静岡大学に爆破予告 全国でも同様の事件 (静岡朝日テレビ, 7/7) メール。予告日 7/4、実施日 7/7。 「今月4日に大学の問い合わせフォームに差出人不明のメールが届き」なので、メールで、と書かれている他のものも、 実は Web 経由だったり?
静岡県立大学に対する爆破予告における本学の対応について (静岡県立大学, 7/6)
静岡県立大学に対する爆破予告とその後の対応について (静岡県立大学, 7/7)
静岡大学に対する爆破予告について (静岡大学, 7/6)
高知大、県立大の爆破予告 大阪公立大の英語名巡り「報復」 (共同, 7/6)。メール。予告日 7/5、実施日 7/7。
高知大学に対する爆破予告について (高知県立大学, 7/5)
高知大学に対する爆破予告とその後の対応について (高知県立大学, 7/7)
高知県立大学に対する爆破予告とその後の対応について (高知県立大学, 7/8)
島根大学に対する爆破予告に伴う構内立入制限について (島根大学, 7/7)。掲示版サイト。予告日 7/5、実施日 7/10。
島根県立大学を爆破する旨の書き込みについて (島根県立大学, 7/7)。掲示版サイト。予告日 7/5、実施日 7/10。
熊本大学に対する爆破予告について (熊本大学, 7/6)。メール。予告日 7/6、実施日 7/10「までに」。
熊本県立大学に対する爆破予告について (熊本県立大学, 7/7)。メール。予告日 7/6、実施日 7/10「までに」。
ueno さん情報ありがとうございます。
》 気象庁、公式サイトにWeb広告掲載で収益確保へ 「持続的・安定的な情報提供を維持するため」 (ITmedia, 7/7)。なんじゃそりゃあ。武器ばっか買ってないで、こっちに予算を追加しろ。
》 無償のファイル送信サービス“Firefox Send”が一時停止中 ~マルウェアによる悪用が増加 (窓の杜, 7/8)
》 富士通が原則テレワークへ移行――、新常態の働き方「Work Life Shift」を推進 (クラウド Watch, 7/7)。でかい会社が舵を切ったなあ。
テレワークの環境整備については、通信料、光熱費といった自宅で発生する費用や、机やいすなどの費用補助として月額5000円を、全社員に支給。
しょぼいなあ。環境整備一時金として 10 万円をボーナスに追加、 くらいほしいよね。机と椅子と外付けディスプレイだと 10 万円でも足りないだろうけど。
》 ゆりかもめを25年間支えた「PC-9801NS」が引退。「頼れる一台でした」 (PC Watch, 7/3)。NS は使った覚えがある。なつかしい。
》 「May 2020 Update」へ更新すると「OneDrive」のファイルオンデマンドが機能しなくなる不具合 (窓の杜, 7/6)
》 Microsoft、「May 2020 Update」の“記憶域スペース”問題に新たな対策 (窓の杜, 7/6)。記憶域スペースでパリティモードを使っていると、バージョン 2004 へのアップデートでヤバいことになる可能性ありだそうで。
この問題はOSのバージョンを元に戻しても解決しない。トラブルシューティングツールか手動の緩和策を実施し、完全な解決や修正プログラムが提供されるまでそのまま待つことが推奨されている。
とくに「ディスクの管理」でストレージが“未割り当て”と表示されている場合、推奨の方法以外をとるとファイルが破損する可能性がある。この問題の影響を受けるデバイスで「chkdsk」コマンドを実行することも推奨されていないので注意したい。
うひー。
なお、パリティストレージスペースにアクセスでき、かつ「ディスクの管理」で“未割り当て”と表示されていない場合は、「Windows File Recovery」(WinFR)ツールで回復を試みることもできる。
まさか、このために WinFR 公開したの?
》 Microsoft、ファイル復元ツール「Windows File Recovery」をリリース (@IT, 7/3)。なぜか Windows 10 バージョン 2004 以上のみ対応。
》 マイナポイント予約、PCから申し込みはIE11のみに対応 (スラド, 7/5)。そもそも論で言うと、ICカード、というのがもはや、スマホ時代に合ってないんだろうなあ。
みんなの「アマビエ」 商標登録出願に批判 お菓子やマスク、電通は取り下げ (毎日, 7/7)
電通が受注法人の広報を担う 実体の乏しさ裏付け 持続化給付金 (東京, 7/7)。一般社団法人サービスデザイン推進協議会 (例の中抜き団体) の件。
文書入手・実名証言 電通が幽霊法人トップに1000万円を“還流”の疑い (文春オンライン, 7/1)
「持続化給付金」癒着疑惑の前田長官 妻も電通と“三密” (デイリー新潮 / Yahoo, 7/3)
電通と政府・官僚が癒着した理由とは? 博報堂出身の作家が解説 (本間龍 / WEZZY, 7/2)
極端に言えば、事業概要を電通の担当者1人に説明して金を渡せば、あとは電通が必要なスタッフを集め、孫請け・ひ孫請けなどの組織構築を全部やってくれて、予算内で粛々と業務を遂行してくれる。その間、委託側は詳細を知らなくても事業は完遂される。今回の件が発覚し、野党による追及を受けた経産省側が、最初はこの業務の組織構造を知らず、まったく答弁できなかったことが、このことを証明している。
なんでも丸投げできる便利な会社、ですか。「おーい でてこーい」 (星新一) なんじゃないのか。
》 財務官僚も嘆いた「めちゃくちゃだ」 巨額補正の舞台裏 (朝日, 7/6)
国債の発行残高は今年度末に初めて1千兆円を超える見通しだ。ある財務省幹部は「戦略もなければ力もなく、全く機能しなくなってしまった。財政再建なんてもう無理だ」と話す。
》 hylomの日記: 退職(およびスラド編集長からの退任)のご挨拶 (スラド, 7/1)
今から10年前の2010年ごろは、ネット広告プラットフォームに多様性のある時代でした。(中略) しかし、2020年現在、スラドやOSDNが過去に採用していた、もしくは利用を検討したことのある広告配信ネットワークのうち、少なくない数のサービスが消滅しています。今では広告代理店経由での受注もほとんどありません。その代わりに幅を利かせているのがGoogleの広告ネットワークです。
GoogleはスラドやOSDN上のコンテンツに対したびたび「不適切なコンテンツである」との警告を出し、修正しないと広告をすべてブロックすると要求してきました。(中略) Googleはこういったコンテンツの審査に対しAIを活用していると言われており、その結果としてこういった誤検出が発生することは理解しています。しかし、こういったAIの誤りによって、突然すべての広告がその収益とともに消え去ってしまうという懸念は常に感じています(なお、こうした警告は日本時間では深夜に通知されるため、弊社広告担当者は一時夜から朝にかけてよく怯えていたそうです)。
また、Googleの広告配信ネットワークではほぼリアルタイムに広告掲出回数やクリック数といった成果を確認できますが、これまで表示されていた成果の数字が突然「なかったこと」にされるといったこともたびたび発生しています。(中略) これらに関しては、Googleの言っている数字をそのまま受け入れるしかない状況なのです。
Google は、いよいよ暴君と化しているなあ。
関連:
ツイート
うちのサイトでも、なんの変哲もない小説ページの2ページ目が「悪意あるサイトへ誘導している」ページであるとGoogleのAI?に指定されてブロックをかけられて「問題を排除したら連絡すること」とされて何もできなかった。2日後に急にその指定がなくなったりした。Googleの判定は基本的に信用できない。 https://t.co/aUIB8TgGDb
— INASOFT 矢吹拓也 (@inasoft_ayacy) July 6, 2020
フリーのネットワーク解析ツール「Wireshark」v3.2.5/v3.0.12/v2.6.18が公開 (窓の杜, 2020.07.02)
システムコンポーネントに致命的な脆弱性 ~Google、Androidの2020年7月セキュリティ情報を発表 (窓の杜, 2020.07.07)
“LINE”のタイムライン機能に設定ミス、意図しないユーザーに投稿を閲覧される 日本時間4月29日午後5時から5月4日午後3時にかけて発生 (窓の杜, 2020.07.06)
特定期間におけるLINEタイムライン「友だちの公開設定」反映不具合について (LINE, 2020.07.02)。なぜ発表に 2 か月もかかっているのだろう。
》 欧州警察が暗号化チャットアプリ「EncroChat」にマルウェアを仕込み犯罪者1000人以上を逮捕 (techcrunch, 7/3)、 How Police Secretly Took Over a Global Phone Network for Organized Crime (vice.com, 7/2)
》 首相官邸ネット発信「中の人」は電通マン 前任者も 政権のSNS戦略と深いかかわり (毎日, 7/3)。また電通か。
》 6月に出現、謎の白い球体は「所有者、目的不明」 宮城県危機対策課が結論 (琉球新報, 7/3)。 宮城県危機対策課のページ には何もないっぽいなあ。
関連: 仙台上空「謎の白い球体」で危機管理能力の欠如露呈 宮城県、「本命」疑われる在日米軍への確認は「思い至らず」 (吉村 剛史 / JBpress, 7/4)
実は、新型コロナウイルス感染症のパンデミックでは民間航空機の運航が激減するなか、軍の展開の上で必要な気象データの不足が生じている。例の「白い球体」はこれを補うための観測装置であることなどが推測されるのだが、宮城県では「在日米軍とは日ごろおつきあいがなく、問い合わせ先として念頭になかった」と説明している。
米軍かどうかはともかく、確認していないのは問題だなあ。
一連の経緯は内部文書にまとめられている。(中略) しかし県では「あくまで内部文書」と説明。公式に結論づけたものでないことを強調している。
隠す必要がある文書だとも思えないのだが、情報公開請求すれば出てくるのかなあ。
》 多機能トイレに使用制限、神奈川 JR、運行時間内に10駅で施錠 (共同, 7/3)
》 新システム稼働したのに…都内なおファクス報告 コロナ感染、進まぬ情報共有 (毎日, 7/5)。世界よ、これが日本だ。 orz
これは、政府が5月に運用を始めた新型コロナウイルス感染症の情報管理システム「HER-SYS(ハーシス)」の普及が遅れているためだ。(中略) 運用開始から1カ月以上が経過しても、ハーシスの普及は進んでいない。厚生労働省によると、7月3日時点で、都道府県や政令指定都市・中核市など保健所を設置する155自治体のうち、43自治体(28%)がまだ利用していない。既存の情報把握システムからの切り替えや、システム上で個人情報を国などに報告することについて個人情報保護審議会への諮問が必要なためだ。
特に感染者が急増する東京都は「23区でも既存の情報把握システムからの移行準備が整っていない自治体がある」(感染症対策課)状態で、試行的に一部利用している文京区を除いてハーシスを利用していない。このため、医療機関から保健所、保健所から都への報告は依然としてファクスが中心だ。
大半の自治体では医療機関からファクスで患者の報告を受けた後、保健所がハーシスへの入力を代行しており、保健所の業務軽減につながっていない。自治体からは「全ての自治体や医療機関が利用して初めて意味のあるシステムだ」(関係者)との声も上がる。
》 「賭け麻雀」をこれで終わらせていいのか ジャーナリズムの意味を再確認し、「報道と権力」の関係を見直す絶好の機会をいかせ! (高田昌幸 / 論座, 7/5)
》 産業制御システム狙う「EKANS」ランサムウェア、FortiGuardが手法などレポート (ZDNet, 7/3)、 EKANS Ransomware Targeting OT ICS Systems (FortiNet, 7/1)
BIG-IP の Traffic Management User Interface (TMUI) に RCE だそうです。 無認証で行けちゃうみたい。
K52145254: TMUI RCE vulnerability CVE-2020-5902 (F5, 2020.07.01)。修正版、および緩和策が記載されています。
RIFT: F5 Networks K52145254: TMUI RCE vulnerability CVE-2020-5902 Intelligence (nccgroup, 2020.07.05)
OVER 1,800 F5 BIG-IP ENDPOINTS VULNERABLE TO CVE-2020-5902 (BAD PACKETS, 2020.07.05)
CVE-2020-5902 F5 BIG-IP Exploitation Attempt (SANS ISC, 2020.07.05)
関連:
F5 Networks「BIG-IP」の脆弱性を狙う攻撃を観測、最新版の適用を (Internet Watch, 2020.07.09)
Windows 10に画像ファイルを開くだけでコード実行が可能になる脆弱性が2件 (2020.07.01)
》 正体は気象観測用気球? 消えた“謎の飛行物体”が残した課題 (産経 / ITmedia, 7/3)。アレは結局、依然として正体不明の模様。
謎の飛行物体を巡っては、警察当局や防衛省も情報収集に追われた。河野太郎防衛相も6月19日の閣議後記者会見で「レーダー、その他で警戒監視を続けております」と明かしたが、結局、脅威とは判断しなかったとみられる。
国土交通省運航安全課も航空法上の「航空機の飛行に影響を及ぼすおそれのある行為」に該当する可能性があるとして警戒したが、現時点で「安全への影響は生じていない」ため、特に追加の対応はしていない。
明らかな危険物ではない場合、強制排除という判断にはならないみたい。
》 長大・県立大に爆破予告メール (NHK, 7/3)
》 NTT Comへの不正アクセス、BYOD端末からの経路も判明 (ZDNet, 7/2)
当社への不正アクセスによる情報流出の可能性について(第2報) (NTTコミュニケーションズ, 7/2)
》 海保の通信工事情報なども流出か、NTTコムへの不正アクセスで (日経 xTECH, 7/2)
》 毎日新聞のハイオクスクープ「他社のと混ぜて売ってました」。なんじゃそりゃー! ブランド意味ねー!
ハイオクガソリン、実は混合 「独自開発」のはずが…20年前から各地で (毎日, 6/27)。うひー
物流コスト削減を目的に貯蔵タンクを他社と共同利用するようになったためだが、各社は公表していない。複数の関係者は「混合出荷」は約20年前から各地で行われていると証言する。
「青天のへきれき。ごちゃ混ぜだったなんて」 ハイオク混合 ブランド信じた消費者を裏切り (毎日, 6/27)
「30年以上、スタンドの責任者をしてきたが、性能に差がなかったとは……」。大阪府で「ENEOS」の看板を掲げるスタンドの所長も驚く。(中略) 「車好きは他社のハイオクが混ざることを嫌う」と話し、「どのハイオクも同じとは他のスタンドの経営者も知らないだろう。ましてやお客さんは。これから何と説明すればいいのか。食品ならば産地偽装ではないか」
コスモがハイオク虚偽表示 洗浄添加物なし、10年以上サイトに 景品表示法違反恐れ (毎日, 6/28)。偽善も満タンに。
「使い続けるほどきれいに」は虚偽 消費者に怒り「コスモ一筋だったのに…」 スーパーマグナム (毎日, 6/28)
「エンジンを長持ちさせようと、コスモ一筋だったのに」。20年以上、スーパーマグナムを入れる大阪府内の建設会社の会長(53)はショックを受ける。(中略) 「こだわって給油してきたのは何だったのか。なぜ、うその宣伝をするようになったのか説明すべきだ」
キグナス、ハイオクを「オクタン価100」と虚偽の宣伝 指摘受けHP修正 (毎日, 6/29)
キグナスは自前の製油所を持たず、2001年から東燃ゼネラル石油(現ENEOS)▽17年からJXTGエネルギー(同)▽20年からはコスモから、主に仕入れている。ENEOSとコスモは取材にオクタン価が100ではないと答えたのに、100としている矛盾を指摘すると、キグナスは「100ではなかった。消費者の誤解を招きかねないと受け止めている」と回答し、修正した。
ハイオク問題 「消費者の誤解招かぬ対応を」 梶山経産相が要請 (毎日, 6/30)
パリダカの名誉は今は昔?「独自ハイオク 実態は混合」 (毎日, 7/3)
実際に今、独自ルートを守っているのは旧昭和シェル石油(現出光昭和シェル)が生産し販売する「Shell V-power」だけだ。エネオスはじめ他の元売り各社はどうして混合やバーター取引に走ったのか。次回報告する。
中身は同じだった!?【ガチ比較】ガソリンで出力は変わるのか、4社のハイオクをNSR250Rでパワー測定 (ヤングマシン, 6/29)
嘘だろ!「ハイオクガソリン、どこで買っても中身が同じ!?」(水上バイク)ジェットスキー (ワールドジェットスポーツマガジン, 6/28)
この話を、ビールで例えると分かりやすい。 メーカーが物流コストを削るため、「スーパードライ」「一番搾り」「ヱビスビール」など、違うブランドの商品を、同じ貯蔵タンクに保管していたという内容だ。そして、混ざり合ったせいで「同じ味」になったビールが、各ブランドのラベルを貼られて、それぞれ「別の商品として」販売されていたという話だ。
そして、誰かが文句を言ったら、「ビール」の定義である、麦芽比率50%以上は満たしているので正真正銘のビールである」と言われているようなモノなのだ。
》 米国の香港優遇措置解除で半導体メーカーの戦略に難局 (PC Watch, 7/3)
》 「CVEのデータだけに頼った脆弱性管理」では不十分 (山賀 正人 / Internet Watch, 7/2)
US 政府、「国家安全保障上の脅威」に指定
米FCC、ファーウェイとZTEを「国家安全保障上の脅威」に指定 (CNET, 7/1)。結局 ZTE もですか。
米連邦通信委、ファーウェイとZTEを安全保障上の脅威に指定 (ブルームバーグ, 7/1)
FCCがファーウェイとZTEを「安全保障上の脅威」に指定した背景 (techcrunch, 7/2)
5G 方面など。
ここまで強いかファーウェイ、米中分離が長期化するこれだけの理由 (日経 XTECH, 6/30)
ファーウェイ問題で様相が変わる無線通信機器業界 「最後のチャンス」で世界に向かうNEC (ascii.jp, 7/1)
英政府、5G網からのファーウェイ排除は時間の問題-デジタル相 (ブルームバーグ, 7/1)
対ファーウェイ国産5G連合で蘇る、日本メーカー中国携帯市場「惨敗」の記憶 (ダイヤモンド online / Yahoo, 7/2)
》 Windows Update による新しい Microsoft Edge の配信について (Japan Developer Support Internet Team Blog, 7/1 更新)
Chromium ベースの Microsoft Edge の Windows Update による配布を、いままで対象外だった Education や Enterprise に対しても実施する予定となりました。早くても 7/30 以降で、最初は Education エディションを対象に開始します。
Windows Update for Business (WUfB)/WSUS で管理している端末は対象外です。
もし WUfB や WSUS で更新管理していなくて、急に新しい Edge に置き換えられてしまうと困る環境があれば、早めに Blocker Toolkit の設定を実施ください。
関連:
Microsoft、新しい「Microsoft Edge」の提供範囲を教育・ビジネスデバイスへ拡大 (窓の杜, 7/1)
Chromium版「Edge」の自動配信を拡大--教育&ビジネス分野のユーザーも対象に (ZDNet, 7/2)
再審無罪判決 (3/31)
元看護助手に再審無罪判決 患者死亡事件で大津地裁 (朝日, 3/31)
無罪の西山さん「普通の人生送りたい」 警察は謝罪なし (朝日, 3/31)
「警察は組織として恋心利用」無実の罪、晴らした弁護士 (朝日, 4/8)。弁護団長・井戸謙一氏インタビュー。
湖東記念病院事件、西山美香さんに再審無罪判決 (週刊金曜日, 4/30)
無罪判決から 2 か月
呼吸器事件の再審無罪から2カ月、謝罪や検証の公表なし (中日, 6/7)
再審無罪の「呼吸器事件」、本紙の調査報道が冊子に 6月9日発売 (中日, 6/9)。「私は殺ろしていません−無実の訴え12年 滋賀・呼吸器事件」
「呼吸器事件」県警が公文書開示 苦情・意見190件以上 (中日, 6/12)
記者の目 滋賀・元看護助手再審無罪 冤罪の検証機関創設を=諸隈美紗稀(大津支局) (毎日, 6/26)
滋賀県警・滝沢依子本部長が謝罪 (6/29)
滋賀県警本部長に滝沢氏 近畿初の女性トップ (産経, 2019.12.17)。2019.12.25 から本部長。 この段階で既に再審無罪は確実だった。
再審無罪の西山さんに謝罪 滋賀県警本部長、議会で (日経, 6/29)
呼吸器事件で滋賀県警本部長が初めて謝罪 県議会で答弁 (中日, 6/29)
》 新型コロナウイルス接触確認アプリ(COCOA) COVID-19 Contact-Confirming Application (厚生労働省)。iOS / Android 版共に、バージョン 1.1.1 になりました。
新型コロナウイルス感染症(COVID-19)予防の漢方について (タナココ, 4/17)
中国新型冠状病毒肺炎診療方案第七案の中医治療ガイドラインについては何度か紹介してきました。(中略) 特に「清肺排毒湯」は一気に有名になりました。
「清肺排毒湯」そのものを、また中国の量で使うことは、日本の法律上できませんが、同様の効果がでるように調整した、日本で使用できる処方がありますのでお問い合わせください。
【緊急寄稿】新型コロナウイルス感染症(COVID-19)に対する漢方の役割(渡辺賢治ほか) (日本医事新報, 4/18)
コロナへの「治る力」に作用する漢方薬の選び方 (竹田 貴雄, 5/8)、 「総合COVID-19漢方薬」はどうコロナと闘うか (竹田 貴雄, 5/13)
》 大山鳴動した「アビガン」の行方 (薬事日報, 6/12)
ただ、そもそもアビガンは「タミフル」との比較で非劣性が示せず、プラセボと比較した有効性の証明にも失敗して季節性インフルエンザの適応で承認を取得できなかった薬剤である。
日本医師会の有識者会議からも「有事だからエビデンスが不十分でも良いということには断じてならない」として、「治験結果を待つべき」と警鐘が鳴らされたのも当然だったと言える。
》 新型コロナウイルス感染症治療薬の海外展開に向けて インド大手製薬企業および世界的な医療物資・医薬品提供会社と提携 -抗インフルエンザウイルス薬「アビガン錠」の開発・製造・販売に関するライセンス契約を締結- (富士フィルム, 7/1)。印ドクター・レディーズ社と UAE グローバル・レスポンス・エイド社。
富士フイルム、アビガン海外展開 インド製薬大手に製造・販売権 (時事, 7/1)
アビガン、2社にライセンス供与 (日経, 7/1)
》 [緊急寄稿]新型コロナウイルス(SARS-CoV-2)の院内感染防止対策─全入院患者にPCR検査が必要(菅谷憲夫) (日本医事新報, 6/27)
》 「テクテク」復活 日本をぬるゲームになって年内配信へ βテスター募集 (ITmedia, 7/1)。テクテクテクテクからテクテクライフへ。
ゲームデザイナーの麻野一哉さんが公式サイトに寄せたメッセージによると、「テクテクライフは、テクテクテクテクと同じものではない」という。(中略) 「開発スタッフ一同、悩みました。そして、かなり悩んだ末に決断しました。『地図をぬる』ことに特化しようと」(麻野さん)
》 Googleのセキュリティスキャナー「Tsunami」、名称がGitHubで議論呼ぶ 関係者が参加し釈明 (ITmedia, 7/1)。
》 NAVERまとめ終了 11年の歴史に幕 (ITmedia, 7/1)
9月30日にまとめ記事の作成機能を停止し、下書きや非公開の記事も含め全ての記事を閲覧できないようにする。
》 香川県のゲーム規制条例、高校生が“違憲”と県を提訴へ クラウドファンディングで資金調達を完了 (ITmedia, 7/1)
》 神奈川のAmazon倉庫で窃盗疑い、社員の男逮捕 「商品が1000万円分ほど足りない」 (産経 / ITmedia, 7/2)
》 TLSサーバ証明書の最大有効期間、13カ月に短縮 GoogleやMozillaもAppleに追随 (ITmedia, 6/30)。これなあ。CA/Browser Forum で議論して決定、という話ならわかるのだけど、CA/Browser Forum では否決されたのに Apple がつっ走って、 Google と Mozilla がついてったという話だからなあ。
出ました。Firefox ESR 78 も出てます。
Firefox 78 がリリースされた (mozillaZine, 2020.07.01)、 Firefox 78.0.1 がリリースされた (mozillaZine, 2020.07.02)
Firefox for Android 68.10 がリリースされた (mozillaZine, 2020.07.01)
Thunderbird 68.10 がリリースされた (mozillaZine, 2020.07.02)
関連:
Firefox 78.0.2 がリリースされた (mozillaZine, 2020.07.10)。セキュリティ修正を含む。Firefox ESR 68 系列には影響しない。
SeaMonkey 2.53.3 がリリースされた (mozillaZine, 2020.07.07)
ユーザープロファイルの構成の変更に伴い、バージョン 2.49.5 以前からのアップグレードに際して以下の注意点がある。
- マスターパスワードを利用している場合にはバージョン 2.53.1 以降へのアップデートの前にこれを解除する必要がある。設定メニューの「マスターパスワードを変更」から、パスワード欄を空白にすることでマスターパスワードを解除できる。「パスワードのリセット」機能を使うと、保存されているすべてのログイン情報が削除されるため注意が必要である。
- アップデートの完了後には、プロファイルフォルダー内の key3.db および cert8.db の 2 つのファイルを削除する必要がある。これはログイン情報を含む古い形式のファイルである。
》 『UNIXという考え方』新人エンジニアにオススメする技術書 (IIJ Engineers Blog, 6/29)
》 Internet Infrastructure Review(IIR)Vol.47 (IIJ, 6/25)
》 セキュリティエンドポイント脅威レポート 2019 で脅威の動向と対策を知る (Microsoft Security Response Center, 6/17)
Microsoft Windows Codecs Library に欠陥があり、攻略画像ファイルを開くと任意のコードが実行される。 Exploitability Assessment: 2
CVE-2020-1425 | Microsoft Windows Codecs Library Remote Code Execution Vulnerability (Microsoft, 2020.06.30)。 対象:
修正は Windows Update ではなく Microsoft Store で提供されるのだそうで。
Affected customers will be automatically updated by Microsoft Store. Customers do not need to take any action to receive the update.
Microsoft Store でどのように更新されると本欠陥の修正となるのか、 さっぱり不明。 窓の杜は「HEIF 画像拡張機能」に注目しているが、当たっているのかどうか。
CVE-2020-1457 | Microsoft Windows Codecs Library Remote Code Execution Vulnerability (Microsoft, 2020.06.30)。対象:
CVE-2020-1425 とは対象 OS が微妙に異なる。 こちらも Microsoft Store で自動更新。
Exploitability Assessment: 2 なのに、なぜか定例外で更新。 よくわからんなあ。
Acknowledgements に ZDI の Abdul-Aziz Hariri 氏が挙げられているので、 そのうち PUBLISHED ADVISORIES (ZDI) に掲載されるのかな。
関連:
Microsoft Windows Codecs Library の脆弱性 (CVE-2020-1425, CVE-2020-1457) に関する注意喚起 (JPCERT/CC, 2020.07.01)
関連: