はじめる人のびぎねっと。

プライバシーポリシー

びぎねっとITニュース

ESET、Flashを装うAndroid向けのランサムウェア「DoubleLocker」に注意喚起

ESETは10月13日(現地時間)、新種のAndroid向けランサムウェア「DoubleLocker」に関する注意喚起を発表した。

「DoubleLocker」は、Adobe Flash Playerを装ってAndroidデバイスに侵入を試みる。乗っ取りはAndroidのアクセシビリティ機能を利用して行う。この乗っ取りはまず、PINコードをランダムな値に変更することで行われる。デバイスは身代金が支払われるまでロックされる。さらに、デバイス内部のファイルが暗号化されてしまい、攻撃者から復号用の鍵を受け取らない限り復元が不可能となる。あらかじめデバッグモードに入っている場合以外では、DoubleLockerが活動を始めてしまうと工場出荷時の状態に戻す以外に駆除方法がないと見られており、深刻な状況に陥る恐れがある。

(川原 龍人/びぎねっと)

[関連リンク]
記事本文

WPA2プロトコルに関する脆弱性の情報が公開、多数のWi-Fi機器に存在する可能性

Mathy Vanhoefは10月16日(現地時間)、WPA2プロトコルに存在する脆弱性に関する情報を公開した。Wi-Fiクライアント機器全般に影響を与える恐れがある。

今回発表された脆弱性は、鍵を再インストールすることによってWPA2(Wi-Fi Protected Access II)プロトコルの脆弱性を攻撃するというもの。この攻撃を受けると、WPA2で暗号化されたWi-Fi通信から情報を盗み出される危険がある。この脆弱性は、WPA2プロトコル自体に存在しているため、OSやハードウェアに関わらずWi-Fiに対応するクライアント機器のすべてが影響を受ける可能性がある。

今回の脆弱性はパッチにより解消できるという。また、今回の脆弱性はクライアント機能を対象としたもので、家庭など小規模向けアクセスポイントやルータは影響を受けない可能性が大きく、クライアント機能および802.11r機能を無効にすることで予防できるという。

(川原 龍人/びぎねっと)

[関連リンク]
記事本文(pdf)

Qualys、2年前に発見されたLinuxカーネルの脆弱性に関する問題について注意喚起

Qualysは9月27日(現地時間)、Qualys、2年前に発見されたLinuxカーネルの脆弱性に関する問題について注意喚起を発表した(CVE-2017-1000253)。

この脆弱性は、Linuxカーネルが「Executable and Linkable Format(ELF)」形式の実行ファイルの読み込みについての問題で、メモリ破損や特権昇格の危険があるというもの。この脆弱性は2015年に発見されており、パッチも公開済みとなっている。

今回の脆弱性が問題になっているのは、長期サポート(LTS)版にこのバグが存在しているケースがあるため。具体的には、「CentOS 7」の1708より前のバージョン、「Red Hat Enterprise Linux 7」の7.4より前のバージョン、「CentOS 6」と「Red Hat Enterprise Linux 6」のバージョンなどに存在するという。

(川原 龍人/びぎねっと)

[関連リンク]
記事本文(英語)

JPCERT/CC、NTTドコモのLG製Wi-Fi STATIONの脆弱性に関する注意喚起を発表

JPCERT/CCは9月12日、NTTドコモのLG製「Wi-Fi STATION L-02F」に存在する脆弱性について注意喚起を発表した。

この脆弱性は、リモートからの攻撃によって、任意のコードを実行されたり (CVE-2017-10845)、機器に保存されている設定情報を取得
される (CVE-2017-10846) 危険があるもの。JPCERT/CC の定点観測システム「TSUBAME」での観測では、前者の脆弱性が悪用された攻撃を観測しており、ユーザには早急な対応を強く推奨している。

今回の脆弱性は、NTTドコモから提供されているソフトウェア「V10h」にアップグレードすることで解消できる。

(川原 龍人/びぎねっと)

[関連リンク]
リリースアナウンス

日立製作所、重要インフラ向けのサイバー防衛訓練サービスを提供

日立製作所は8月29日、重要インフラ事業者向けサイバー防衛訓練サービスを8月30日から提供開始すると発表した。

同社は、重要インフラに対するサイバー攻撃に対応するための総合訓練・検証施設を日立の事業所内に開設し、日立がこれまで培ってきた制御システムと情報システムの技術・ノウハウ、先進のICTを組み合わせた、重要インフラ事業者向けのサイバー防衛訓練サービスを提供する。まず第一弾として、電力事業者を対象に、ユーザの実システムを模したシステム環境を施設内に構築し、システム監視や指揮命令を行う関連部門の組織訓練を目的としたプログラムと、サイバー攻撃に備えた運用手順の検証やセキュリティ製品の評価ができるサービスを提供する。

これに先立ち、同社は5月末にイスラエルのCyberGym社との間でサイバー防衛演習関連サービス、ソフトウェアの日本国内における独占販売契約を締結し、今回提供開始するサービスを今後さらに強化していく。

サイバー防衛訓練サービスは、分野ごとに個別構築する模擬システムを使って、サイバー攻撃に対する組織としての対応・判断力を訓練するプログラムを提供するとともに、運用手順やセキュリティ製品の防御有効性の検証・評価を行う。本サービスはヒトや組織の強化に着目した実践的な訓練・検証サービスで、重要インフラ事業者におけるセキュリティインシデントへの対応スキル向上と、システムや運用の改善を図り、日進月歩のサイバー攻撃に対して迅速に対処できる組織づくりに貢献する。

(川原 龍人/びぎねっと)

[関連リンク]
プレスリリース

Linuxカーネルにバッファオーバフローの脆弱性

Linux kernelにバッファオーバーフローを引き起こす危険がある脆弱性が発見された(CVE-2017-12762)。8月11日(現地時間)に公表された。

この脆弱性に対応するパッチが公開されているため、Linuxのユーザはパッチを適用するか、各ベンダーから提供されているカーネルのアッグレードを行うことが強く推奨される。

(川原 龍人/びぎねっと)

[関連リンク]
CVE-2017-12762

Zscaler、不正ソフトウェアがSSL/TLSを悪用している傾向について注意喚起を発表

Zscalerは8月2日(現地時間)、マルウェア、アドウェア、エクスプロイトキット、マルウェアコールバックなどの不正ソフトウェアが従来よりもSSL/TLSを悪用している傾向が観測されているとする注意喚起を発表した。

「SSL/TLS」は通信をセキュアに行うために通信を暗号化するための仕組みだが、これはサイバー攻撃も秘匿してしまう可能性を持っているとしている。

注意喚起の中では、SSL/TLSの悪用事例も紹介されている。たとえばフィッシング詐欺で正規の認証局が発行するSSL/TLS証明書が悪用され、発行元はわかっても、適切な目的で利用されているのか、不正な目的のために利用されているのかは判定できない。また、マルウェアとC&Cサーバの通信でもSSL/TLSが悪用されているという指摘もある。

同社は、今後もサイバー攻撃においてSSL/TLSの悪用が進む危険があるとして、注意を呼びかけている。

(川原 龍人/びぎねっと)

[関連リンク]
注意喚起本文

NRIセキュア、「サイバーセキュリティ傾向分析レポート2017」において最新のセキュリティリスクを指摘

NRIセキュアは7月27日、顧客企業に提供した情報セキュリティ対策サービスを通じて蓄積したデータを元に、最新の動向分析と推奨する対策を、「サイバーセキュリティ傾向分析レポート2017」としてまとめ、発表した。

発表によると、今回のレポートで注目される点は次の3点。

○セキュリティ対策が十分でないIoT機器への攻撃が大幅に増加
○HTTPS通信(暗号化通信)への移行が加速する一方、新たな問題が浮上
○企業Webサイトのうち、4割が容易に攻撃可能な状態

1点目については、NRIセキュアが提供するマネージドセキュリティサービスにおいて、2016年度中にファイアウォールでブロックした通信(全標本数22.6億件)のうち、48.1%(10.9億件)が遠隔操作に用いられるtelnetポートへの通信だったとしている。2点目では、 「FNCセキュアインターネット接続サービス」において、Webアクセスに関するログ(調査対象企業数20社)を集計したところ、HTTPS通信の割合が2016年4月の19%程度から、2017年3月には40%にまで増加しているとしている。3点目は、世界中に点在している顧客企業に関連するWebサイトを探索し、棚卸しするサービス「Webサイト群探索棚卸サービス GR360」で、NRIセキュアが2016年度に調査したWebサイト(全標本数4,039サイト)のうち、4割が容易に攻撃される可能性があるとしている。

(川原 龍人/びぎねっと)

[関連リンク]
記事本文

US-CERT、Windowsの脆弱性修正アップデートの適用をユーザに呼びかけ

US-CERTは7月11日(現地時間)、Microsoft Windowsにリモートからシステムの制御権を不正に奪取されるなど、危険な脆弱性が複数存在するとして、ユーザにアップデートを呼びかけた。

Microsoftから、2017年7月の定例アップデートが公開されており、これらの脆弱性が修正されている。US-CERTやMicrosoftは、すべてのWindowsユーザ・管理者に対してアップデートを適用することを強く推奨されている。

(川原 龍人/びぎねっと)

[関連リンク]
リリースアナウンス

WordPressのプラグイン「Responsive Lightbox」に反射型XSS脆弱性が存在

 情報処理推進機構(IPA)は7月4日、Webサイト構築ソフトウェアWordPressのプラグイン「Responsive Lightbox」にXSS(クロスサイトスクリプティング)脆弱性が存在すると公表した。

 この脆弱性が存在するのは「Responsive Lightbox 1.7.1」およびそれ以前のバージョン。この脆弱性は、「1.7.2」で修正されており、WordPressの利用者は早急なアップグレードが強く推奨される。

 今回のXSSは「反射型XSS」。リクエストに仕込まれたスクリプトが、Webアプリケーションで実行される恐れがある。スクリプトはサーバに残らず、標的ユーザを狙い撃ちにすることができるという特徴がある。悪意のあるスクリプトでも実行されてしまうため、危険性が高い。

(川原 龍人/びぎねっと)

[関連リンク]
Responsive Lightbox

1 / 2612345...1020...最後 »
 

このページのTOPへ

Powered by Wordpress