drupal.orgは3月21日（現地時間）、オープンソースのCMS「Drupal」にセキュリティ修正を行う予告を発表した。

「Drupal」は、当初はBBSシステムとして開発されたシステム。PHPで実装されており、ApacheやIISで動作する。動作にはMySQL、PostgreSQL、MongoDBなどのRDBMSが必要。Drupalはユーザ管理、レイアウトカスタマイズ、ブログ作成システム、フォーラムなどCMSの基本的な機能をカバーしている。

今回の発表では、UTC 年3月28日 18:00〜19:30に「Drupal 7.x/8.3.x/8.4.x/8.5.x」についてセキュリティフィクスを行うとしている。対象となっている脆弱性の重要度は「Critical」となっており、またこの脆弱性はセキュリティ情報を公開した後数時間のうちにこの脆弱性を悪用される攻撃が可能になってしまう可能性があるとしており、同プロジェクトはユーザに対して準備時間を確保し、新バージョンがリリースされた直後にアップデートを適用することを推奨している。

(川原 龍人/びぎねっと)

[関連リンク]
リリースアナウンス

The OpenSSL Projectは3月20日(現地時間)、SSLプロトコルのオープンソース実装「OpenSSL」の脆弱性修正の予告を発表した。

今回の予告では、UTCで3月27日13時～17時の間に脆弱性の修正が施された「OpenSSL versions 1.1.0h」および「1.0.2o」がリリースされる予定、となっている。影響度は「中程度」と発表されているが、リリース後ただちに攻撃手法が開発される恐れがあるため、ユーザへの準備時間の確保のために予告が発表されたと見られる。

(川原 龍人/びぎねっと)

[関連リンク]
The OpenSSL Project Announcement

Check Point Software Technologiesは3月12日(現地時間)、仮想通貨のマイニングにおいて不正を行う攻撃が急激に増加しているとして注意喚起を発表した。

不正マイニングは、2017年11月にBitcoinの価格急騰に伴って急増。不正マイニングによって仮想通貨が得られ、攻撃者が不正に報酬を得られることから、攻撃が急増したと考えられている。2018年3月現在、Bitcoinの価格は落ち着いているものの、攻撃の増加は止まっておらず、また日本でも数多くの攻撃が観測されているという。

また、仮想通貨マイニング攻撃が犯罪となるか否かは法的に曖昧な点があり、広告に代わる収益源と考える傾向すらあるため、今後法的な整備なども必要だとされている。

(川原 龍人/びぎねっと)

[関連リンク]
記事本文

Cisco Systemsは3月7日（現地時間）、同社製品に関する22件のセキュリティ情報を公開した。

　「Cisco Prime Collaboration Provisioning（PCP）」に存在する脆弱性（CVE-2018-0141）は、悪用されるとローカルのからSSH経由でPCPが稼働するLinuxにアクセスできてしまうという。また、「Cisco Secure Access Control System（SAC）」に存在する脆弱性（CVE-2018-0147）は、細工したJavaオブジェクトを悪用するとリモートから管理者権限で任意のコードが実行できてしまう。このように、危険度の高いものが存在するため、Cisco製品のユーザは注意が必要。

(川原 龍人/びぎねっと)

[関連リンク]
Security Advisory

マイクロソフトは2月14日(現地時間) 、月例のセキュリティ更新プログラムを公開した。

今回対象となるソフトウェアは、「Internet Explorer」「Microsoft Edge」「Microsoft Windows」「Microsoft Office、Microsoft Office ServersおよびWeb Apps」「ChakraCore」「Adobe Flash Player」。これらの脆弱性を悪用された場合、アプリケーションプログラムが異常終了したり、リモートからの攻撃によって任意のコードを実行されたりする可能性がある。

現時点で脆弱性を悪用した攻撃は確認されていないものの、深刻度「緊急」のセキュリティ更新プログラムが多く含まれており、情報処理推進機構やJPCERT/CCも今回のセキュリティ更新は極力早めに適用するよう注意を呼び掛けている。

(川原 龍人/びぎねっと)

[関連リンク]
Trendmicroによる注意喚起
情報処理推進機構による注意喚起

　Android向けトロイの木馬「AndroRAT」に変種が確認された。

　「AndroRAT」の変種は、悪意あるURLを通じて、「TrashCleaner」というアプリに偽装して感染する。AndroRATは感染したのちに、ユーザに中国語の名前が計算機アプリをインストールするように誘導する。ユーザがこのアプリをインストールすると、TrashCleanerのアイコンがUIから削除され、AndroRATがバックグラウンドで動作するようになる。このAndroRATは、リモートから制御され、音声の記録、写真の撮影、通信の監視、デバイスのGPS位置情報の確認、デバイスが接続しているWi-Fi名の窃取など、数多くのアクションが実行できるようになってしまう。

「AndroRAT」は、2016年に公開されたLinux kernelの脆弱性「CVE-2015-1805」を悪用し感染する。このため、新しいAndroidデバイスであればアップデートの適用によりAndroRATの感染を防ぐことができる。

(川原 龍人/びぎねっと)

[関連リンク]
TrendMicroのBlog

Openwallは12月12日(現地時間)、glibcに存在する脆弱性について公開した。

今回公開された脆弱性は、メモリリークの危険がある脆弱性(CVE-2017-1000408)およびバッファオーバフローの危険がある脆弱性(CVE-2017-1000409)。これらの脆弱性は、「CVE-2017-1000366」の修正のパッチを適用することで無効となる。

今回発表された脆弱性に対する対策を施したパッケージが各ディストリビューターから提供されており、Linuxユーザはアップデートが強く推奨される。

(川原 龍人/びぎねっと)

[関連リンク]
OpenWall

　IntelのCPUに特権昇格の脆弱性が発見された。「INTEL-SA-00086」として公開されている。

今回発表された脆弱性が存在するのは、第6/7/8世代 Intel Core プロセッサー ファミリー、Intel Xeon プロセッサー E3-1200 v5/6 プロダクト ファミリーなど。重要度は「Important」で、不正な特権昇格の恐れがあるため、ユーザはファームウェアのアップデートが強く推奨される。

なお、この脆弱性の影響を受けるかどうかをチェックできるツールが、WindowsおよびLinux向けに公開されている。このチェックツールはWebサイトからダウンロードできる。

（川原 龍人/びぎねっと）

［関連リンク］
Security Center

Core Securityは10月31日(現地時間)、「セキュリティを確保する上で行ってはいけない9つの行動」に関する記事を発表した。

この記事では、「セキュリティはソフトウェアで対応するだけでなく、ユーザが意識をしっかり持つことが大事だ」と指摘している。この記事では、9つの好ましくない行動を紹介している。

紹介されている9つの好ましくない行動は、
1. 弱いパスワードを使う
2. ソーシャルネットワークサービスであれこれ情報を共有する
3. 公衆Wi-Fiを利用する
4. “サイバー犯罪やサイバー攻撃は自分には無縁である”と考える
5. アップデートを適用しない
6. セキュリティ対策として、必要なものがわかっていない
7. ITチームに任せっぱなしにする
8. システムからもWi-Fiからもログアウトしないで接続し続ける
9. 自分のスマートフォンやタブレットデバイスなどを会社に持ち込ん使う
となっている。

このうち2．については、SNSで公開した情報は悪意のある人間に知られる可能性があることを認識することが必須で、公開する情報の取捨選択が必要であるとしている。3．については、公衆Wi-Fiはクラッカーによってデータを盗み見される危険があるため、公衆Wi-Fiを利用する場合はVPNを利用し、やりとりするデータ・共有するデータは暗号化することが必須だとしている。8．については、システムやWi-Fiに接続したままでいることにはリスクがあることを認識する必要があるとしている。

(川原 龍人/びぎねっと)

[関連リンク]
記事本文

ESETは10月30日(現地時間)、Linuxを標的とするマルウェア「Linux/Ebury」の新しいサンプルを発見したと発表した。

「Linux/Ebury」は、2014年2月に初めて発見された、OpenSSHにバックドアを仕掛けてLinuxの認証情報を不正に取得するマルウェア。Linux/Eburyは「Operation Windigo」という活動に悪用しているとみられるという。Linux/Eburyは自身を隠蔽する能力が高く、発見が難しい。

Linux/Eburyはkernel.orgやcPanelなども被害に遭った実績がある。今回発見された新しいサンプルを解析したところ、従来型のものより機能が増えており、また現在でもOperation Windigoによるアカウント情報の窃取活動が続いていることから、ESETは注意を呼び掛けている。

(川原 龍人/びぎねっと)

[関連リンク]
アナウンス