はじめる人のびぎねっと。

プライバシーポリシー

びぎねっとITニュース

OpenSSH 7.2p2以前のバージョンに脆弱性

US-CERTは3月11日(現地時間)、OpenSSHに脆弱性が発見されたと発表した。この脆弱性を悪用されるとリモートから情報窃取が行われる危険性がある。

脆弱性が存在するバージョンは「OpenSSH 7.2p2」以前のバージョン。脆弱性は、X11Forwarding機能を有効にしている場合に現れる。この問題を一時的に回避するためには、X11Forwarding機能を無効にする(デフォルトでは無効)。また、アップデートを適用することで脆弱性を解消できる。

(川原 龍人/びぎねっと)

[関連リンク]
US-CERTの注意喚起

情報処理推進機構、「内部不正による情報セキュリティインシデント実態調査」報告書

情報処理推進機構(IPA)は3月3日、内部不正についてその動機や抑止・防止策を明らかにするために意識調査を実施した。2012年に行われた調査に続き、2回目の調査となる。

今回は、民間企業の従業員と内部不正を行った経験を有する者にアンケートを実施し、より実態を掘り下げる調査を目指した。調査結果のポイントは、

(1)内部不正の理由の約6割は故意が認められない「うっかり」
(2)主たる情報の持ち出し手段は「USBメモリ」
(3)経営者などが重要視していない対策が内部不正行為の抑止に有効
(4)内部不正経験者の約5割がシステム管理者(兼務を含む)

となっている。

報告書は、Webサイトからダウンロードできる(pdf形式)。

(川原 龍人/びぎねっと)

[関連リンク]
リリース本文

無線接続するキーボードやマウスなどの入力機器に脆弱性、傍受・不正操作の恐れ

JVNは2月25日、無線接続するキーボードやマウスなどの入力機器に、傍受や不正操作などを受ける脆弱性が存在すると発表した。

この脆弱性は、無線接続を行う特定のキーボード・マウスに存在する。複数の開発者が提供している無線接続のキーボードやマウスなどの入力機器に、安全でない無線通信プロトコルを使用しているという。なお、Bluetoothの無線機器は同脆弱性の影響を受けない。

現在、ロジクールはこの問題を修正するファームウェアアップデートを提供しているという。

(川原 龍人/びぎねっと)

[関連リンク]
JVNによる注意喚起
影響を受ける製品一覧

Linux Mint ProjectのWebサイトが不正侵入被害、Linux MintのISOイメージ改ざん

Linux Mint Projectは2月21日(現地時間)、同プロジェクトのWebサイトが外部から侵入され、改ざん被害に遭ったと発表された。その際、改ざんされたLinux MintのISOイメージが公開されていたという。

改ざんされたイメージが公開されていたのは2月20日(現地時間)。「Linux Mint 17.3 Cinnamon」のISOイメージが改ざんされていたという。該当するISOイメージファイルをダウンロードした可能性がある場合は、早急にMD5を確認した上で、不適切な場合は即座に利用を中止することが望まれる。

また、forums.linuxmint.comで利用されている、アカウント情報などのデータ窃取も確認されたという。パスワードは暗号化された状態で窃取されたものの、ブルートフォースによる推測の危険があるため、すべてのユーザにパスワードの変更を呼びかけている。

(川原 龍人/びぎねっと)

[関連リンク]
Blogによる記事(Webサイト改ざん被害)
Blogによる記事(forums.linuxmint.comデータベース被害)

「glibc」に重大な脆弱性、セキュリティパッチが公開

Googleは2月16日、標準Cライブラリ「glibc」に重大な脆弱性が発見されたと発表した。また、これに対応するセキュリティパッチも公開されている。

今回発見された脆弱性は複数存在し、その中には深刻度が最高の「Critical」となっているものもある。これらの脆弱性を悪用されると、バッファオーバーフローなどを引き起こす危険があり、任意のコードを実行される恐れがあるため、利用者は早急にパッチを適用するか、各ベンダーから提供されているアップデートを施すことが強く推奨される。glibcは広く利用されているため、影響は広範囲に及ぶと推測される。

セキュリティパッチは、Webサイトから入手できる。
 

(川原 龍人/びぎねっと)

[関連リンク]
アナウンス

JPCERT/CC、バッファローのネットワーク機器に存在する脆弱性に関する注意喚起

JPCERT/CCは1月22日、バッファロー社製のネットワーク機器において、クロスサイトリクエストフォージェリ・クロスサイトスクリプティングの脆弱性について注意喚起を行った。

脆弱性が存在するプロダクトは以下の通り。

○WSR-1166DHP
○WHR-600D
○WHR-300HP2
○WMR-433
○WMR-300
○WEX-300
○BHR-4GRV2

該当するプロダクトの利用者は、ファームウェアを迅速にアップデートすることが強く推奨される。

(川原 龍人/びぎねっと)

[関連リンク]
JVN#09268287
JVN#49225722

Oracle、「Java 8 Update 71」リリース

Oracleは1月19日(現地時間)、「Java 8 Update 71」をリリースした。

同リリースは定例アップデートの一環であり、8件の脆弱性が修正されている。この脆弱性の中には、リモートから認証なしで悪用される可能性があるものも含まれている。また、他にも複数の不具合修正や、タイムゾーンデータのアップデートなどが施されており、ユーザは早急なアップデートが必要となる。

なお、今回のアップデートに伴ってインストーラも更新されており、このインストーラを利用するとシステムに存在している古いバージョンのJava SEが自動的に削除される機能が追加されているため、java.comから最新のインストーラを入手した上でアップデートを行うことが推奨されている。

(川原 龍人/びぎねっと)

[関連リンク]
Blogによる記事

US-CERT、Ciscoプロダクトの脆弱性について注意喚起

US-CERTは1月13日(現地時間)、複数のCiscoプロダクトに脆弱性が存在すると発表した。

今回発表された脆弱性は、悪用された場合にリモートからの攻撃によってシステムが乗っ取られる危険があるため、対処が必要となる。

脆弱性の存在するプロダクトは以下の通り。

○Cisco Wireless LAN Controller
○Identity Services Engine
○Cisco Aironet 1800 Series Access Points

管理者は、Ciscoから提供されているアップデートを適用することが強く推奨されている。

(川原 龍人/びぎねっと)

[関連リンク]
アナウンス

OpenSSHに脆弱性、修正された「OpenSSH 7.1p2」がリリース

OpenSSHにメモリリークが起こる可能性のある脆弱性が発見された。OpenSSHは1月14日(現地時間)、この脆弱性を修正した「OpenSSH 7.1p2」をリリースした。

この脆弱性は、「ローミング」と呼ばれる機能を有効にしている場合に現れる。この脆弱性を悪用されると、秘密鍵などメモリ内のデータが盗まれる危険性が盗まれる。

この脆弱性は「OpenSSH 5.4」から「OpenSSH 7.1」に存在する。該当するバージョンを利用している場合には、アップグレードやパッチを適用する必要がある。なお、「/etc/ssh/ssh_config」に「UseRoaming no」と記述することで、この脆弱性を一時的に回避することができるという。

(川原 龍人/びぎねっと)

[関連リンク]
undeadly.orgの記事
OpenSSH 7.1p2

「ISC DHCP」の複数のバージョンに脆弱性、アップデートを推奨

ISCは1月12日(現地時間)、「ISC DHCP」の複数のバージョンに存在する脆弱性について、注意喚起を発表した。

脆弱性が存在するのは、ISC DHCPの「4.0.x」、「4.1.x」、「4.2.x」、「4.1-ESVから4.1-ESV-R12」、「4.3.0から4.3.3」。この脆弱性(CVE-2015-8605)を悪用されると、不正なIPv4 UDP長フィールドを持つパケットを受信することで、DHCPサーバ、DHCPクライアント、DHCPリレーが異常終了する危険がある。

この脆弱性は、「ISC DHCP 4.1-ESV-R12-P1」および「4.3.3-P1」で修正されている。ユーザは速やかにアップデートを施すことが推奨されている。

(川原 龍人/びぎねっと)

[関連リンク]
アナウンス

 

このページのTOPへ

Powered by Wordpress