Microsoftは1月14日(現地時間)、2019年および2020年にサポートを終了する主要な製品のリストを発表した。

〇2019年7月9日
Microsoft SQL Server 2008/2008 R2

〇2020年1月14日
Microsoft Windows 7
Microsoft Windows 7 for Embedded Systems
Microsoft Windows Server 2008/2008 R2
Microsoft Exchange Server 2010

〇2020年10月13日
Microsoft Windows Embedded Standard 7
Microsoft Office 2010 client
Microsoft Projext Server 2010
Microsoft SharePoint 2010

サポートが打ち切られると、セキュリティアップデートが提供されなくなるため、セキュリティ上大きな問題が生じる可能性があるため、注意が必要。

（川原 龍人/びぎねっと）

［関連リンク］
記事本文

　Linuxなどで広く利用されているブートシステム「systemd」に3件の脆弱性が発見された（「CVE-2018-16864」、「CVE-2018-16865」、「CVE-2018-16866」）。これらの脆弱性は、systemd内におけるメモリの取り扱いに関する脆弱性で、メモリの破壊などを引き起こしたり、ローカルユーザが管理者権限を不正に奪取できてしまう危険がある。ただし、この脆弱性はディストリビューションによっては問題が限定的になるという。

これらの脆弱性を修正したアップデートが各ベンダーからリリースされているため、ユーザはアップデートを適用することが強く推奨される。

(川原 龍人/びぎねっと)

[関連リンク]
cve-2018-16864(Red Hat)
cve-2018-16865(Red Hat)
cve-2018-16866(Red Hat)

Linux kernelに、システムクラッシュを引き起こす可能性のある脆弱性が発見された。

この脆弱性は、CVE-2019-3701において指摘されている。「Linux 4.19.13」およびそれ以前のLinuxカーネルにおいて、cgw_csum_xor_relのチェック漏れがあったため、非特権ユーザによりシステムをクラッシュされる危険があるという。

この脆弱性を修正するパッチは既に公開されている。Linux 4.19.13およびそれ以前のバージョンのカーネルを利用しているユーザは、パッチを適用するか、ベンダーから提供されているアップデートを施すことが強く推奨される。

(川原 龍人/びぎねっと)

[関連リンク]
kernel.org

SplashDataは12月17日(現地時間)、2018年版の「危険なパスワードトップ100」を発表した。

もっとも危険なパスワードとなったのは「123456」。これは過去にも複数回「危険なパスワードの1位」となっている。

今回発表された危険なパスワードのうち、トップ20は次のとおり。

1位 123456
2位 password
3位 123456789
4位 12345678
5位 12345
6位 111111
7位 1234567
8位 sunshine
9位 qwerty
10位 iloveyou
11位 princess
12位 admin
13位 welcome
14位 666666
15位 abc123
16位 football
17位 123123
18位 monkey
19位 654321
20位 !@#$%^&∗

単純な規則性を持ったパスワードが上位を占めているが、「!@#$%^&∗」のようにキーボードを単純に移動させたものなども見られる。上位のパスワードは毎年似通っており、危険なパスワードとして利用しないよう勧告されているが、実情としては未だに広く使われてしまっている。これらのパスワードはブルートフォースアタックによってすぐに破られるため、非常に危険であり、利用は推奨されない。

(川原 龍人/びぎねっと)

[関連リンク]
記事本文

Sophosは10月24日(現地時間)、SSHサーバが動作しているホストを標的としたDoSボットネットの活動が激しくなっている兆候を把握したとし、注意喚起を発表した。

今回発表された注意喚起によると、該当するボットネットは「Chalubo」「ChaCha-Lua-bot」と呼ばれるもの。主にLinuxを標的とし、SSHサーバに対して攻撃を仕掛け、ボットネットを構築するという。SSHサーバの設定が弱い場合に標的となりやすく、ブルートフォースアタックによって、パスワードが簡単なものである場合などに攻撃を受け悪用される危険がある。また、IoTで活用されているLinuxも標的になるとしている。

今回の記事では、可能であればパスワード認証ではなく公開鍵認証にすること、不可能であればパスワードを強いものにすることを推奨している。

（川原 龍人/びぎねっと）

［関連リンク］
プレスリリース

JPCERT/CCは10月18日(米国時間)、「インターネット定点観測レポート(2018年 7～9月)」を発表した。

JPCERT/CCは、このレポートの中で、2018年8月12日以降にTCPの445番ポート（microsoft-ds）へのアクセス増加が観測されたとしている。この現象は、日本だけでなく世界的に観測された現象であり、2017年5月以降に活動が確認されたWannaCryなどの探索活動とは異なる特徴のパケットが見られるという。

送信元IPアドレスは中国が1位で、2位がロシア、3位が米国となっている。ウクライナからのアクセスも増加傾向にあるという。

この活動は、マルウェアに感染したWindows 2003やWindows 2008R2などが行っていることが確認されたとされており、ユーザには脆弱性対策が施された最新版を利用するよう推奨している。

(川原 龍人/びぎねっと)

[関連リンク]
JPCERTによる発表

情報処理推進機構（IPA）は8月24日、Webアプリケーション作成ツール「Apache Struts2」に存在する脆弱性について注意喚起を発表した。

今回の脆弱性は、
・alwaysSelectFullNamespace を true に設定している
・Struts設定ファイルに、オプションのnamespace属性を指定しないか、ワイルドカードネームスペースを指定する “action”タグまたは “url”タグが含まれている
以上の両者を満たす場合に、リモートで任意のコードが実行される危険がある。

なお、本脆弱性を悪用する攻撃コードが公開されており、実際にLinuxマシンに影響するクリプトジャッキング攻撃に悪用されている事例もあるという。対象となるのは、Apache Struts 2.3 系列 2.3.35 より前のバージョン、および2.5 系列 2.5.17 より前のバージョン（Apache Struts1にも同様の脆弱性が存在するがサポートが打ち切りとなっており利用は推奨されない）。ユーザは直ちに最新版にアップグレードすることが強く推奨される。

（川原 龍人/びぎねっと）

［関連リンク］
注意喚起本文

Microsoftは8月15日（日本時間）、同社製品をの2018年8月度の月例セキュリティ更新プログラムを公開・配信した。

今回対象となっているソフトウェアは、Microsoft Windows/Microsoft Edge/Internet Explorer/Microsoft Office and Microsoft Office Services and Web Apps/ChakraCore/Adobe Flash Player/.NET Framework/Microsoft Exchange Server/Microsoft SQL Server/Visual Studio。なお、７月のセキュリティ更新で不具合が発見され、配信が中止された「.NET Framowork」の更新プログラムも含まれている。

今回修正された不具合の中には深刻度「緊急」のものもあり、ユーザは早急に更新プログラムを適用することが推奨される。なお、更新プログラムは「Windows Update」および「Microsoft Update Catalog」から入手できる。

（川原 龍人/びぎねっと）

［関連リンク］
アナウンス

JPCERT/CCは 8月9日、LinuxカーネルおよびFreeBSDにDoS攻撃を受ける危険のある脆弱性が存在するとして注意喚起を発表した。

この脆弱性は、IPフラグメント再構築を行う機能に不具合があり、特定の条件で高負荷状態になってしまうというもの。この脆弱性を悪用されると、細工されたパケットによってDoS攻撃を受ける危険がある。

対象となるバージョンは以下の通り。
〇 Linux 4.9 およびそれ以降のバージョン
〇 FreeBSD 11/11.1/11.2、10および10.4

この脆弱性は、Linuxカーネル開発者およびFreeBSDのベンダが提供する修正済みのバージョンに更新するか、パッチを適用することで解消される。ユーザは、アップグレードを施すなどの対応を迅速に行うことが強く推奨される。

(川原 龍人/びぎねっと)

[関連リンク]
アナウンス

情報処理推進機構は8月15日、Microsoft社の製品に関する脆弱性について注意喚起を発表した。

今回の注意喚起で対象となっている脆弱性は複数存在し、悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンの制御権を不正に奪取されるなど、深刻な被害が発生する危険がある。なお、Microsoftは今回の脆弱性を悪用した攻撃が確認されていると発表しており、今後被害が拡大する危険があるため、至急、修正プログラムを適用するよう強く推奨している。

対策としては、Windows Updateを利用してアップデートを適用することで脆弱性を解消する手法が挙げられている。夏季休暇明けなどで一定期間利用していなかったWindows PCなどを利用する場合は特に注意が必要。

(川原 龍人/びぎねっと)

[関連リンク]
注意喚起本文