ITmedia総合  >  キーワード一覧  > 

「脆弱性」最新記事一覧

ネットワークセキュリティ・情報セキュリティに関して「脆弱性」という場合、それらはシステム上のセキュリティに関する欠陥や、企業・組織・個人に対する行動規範の不徹底や未整備などが挙げられる。
脆弱性 − @ITセキュリティ用語事典

事例で分かる、中堅・中小企業のセキュリティ対策【第11回】
一人情シスが“Windows Update放置PC”を守るための武器とは?
ウイルス対策ソフトでは防ぎきれないサイバー攻撃の1つが、「Java」や「Adobe Flash Player」などの脆弱性を突いた攻撃です。対策は最新版にアップデートして脆弱性をつぶすこと。一人情シスでもできる対策とは?(2017/8/22)

脆弱性にまみれた世界で戦う人たち――バグハンター、CSIRT、レッドチーム
ランサムウェア「WannaCry」のインパクトが記憶に新しい中、ウクライナやロシアを中心に感染を広げた「NotPetya」が登場した直後の開催となった、2017年6月の@ITセキュリティセミナー。レポートシリーズ第2回は、脆弱(ぜいじゃく)性に関する講演を中心に紹介する。(2017/8/23)

セキュリティクラスタ まとめのまとめ 2017年7月版:
Flash Playerが廃止、影響は?
2017年7月のセキュリティクラスタでは、「Adobe Flash Player」が話題になりました。脆弱性によってユーザーが攻撃にさらされることが多く、2020年末に廃止されることが発表されて、ようやくかとほっとするツイート、さらには移行について考えるツイートが多数ありました。7月はあまり大きなセキュリティインシデントが発生せず、無事に米国の「Black Hat USA」「DEF CON 25」に遠征できた方が多かったようです。どちらもとても盛り上がったようでした。(2017/8/17)

SCSKとベリサーブが提供する、ソースコード診断サービスの狙い:
PR:「ものづくり」においてもソフトウェアが重要な今、ソースコードに「品質」プラス「セキュリティ」で企業の価値向上に
10年以上にわたって脆弱性診断サービスを提供してきたSCSKと、そのグループ会社で、製造業を中心にソースコードの品質検査サービスを実施してきたベリサーブ。両社はFortify SCAといった診断ツールを活用してソースコードの脆弱性検査サービスを提供し、ソフトウェアがもたらす価値をさらに高めようとしている。(2017/8/17)

情報セキュリティの深層:
Webサイトを守るために企業が実施すべき対策とは?
ITmedia エンタープライズでも頻繁にニュースとして取り上げる「脆弱性」の情報。ソフトウェアに脆弱性があると、どんな影響があるのでしょうか。企業にとっては、この脆弱性が非常に深刻な脅威なのです。(2017/8/15)

「パスコードロックをかけない従業員」が災いを招く
iPhone最大のセキュリティリスクは「ダメなユーザー」 徹底したい安全3カ条とは
iOS端末の安全は高い評価を誇るが、警戒すべき“脆弱性”を抱えている。それは、「どのような行動が危険を招くか」を理解していないユーザーの存在だ。(2017/8/10)

「Firefox 55」公開、「WebVR」対応や高速化など
「Firefox 55」はWebVRをサポートし、Oculus RiftやHTC ViveなどのVR HMDでVR対応WebゲームやWebアプリを利用できるようになった。「最高」2件を含む脆弱性にも対処した。(2017/8/9)

Androidの月例セキュリティ情報公開、メディアフレームワークに深刻な脆弱性
メディアフレームワークの脆弱(ぜいじゃく)性が悪用されれば、リモートの攻撃者が細工を施したファイルを使って任意のコードを実行できてしまう恐れがある。(2017/8/9)

Microsoft、8月の月例更新プログラムを公開 48件の脆弱性に対処
IE 9〜11とEdge、Windows 7〜10、Windows Server 2008〜2016の各製品に、最大深刻度が4段階で最も高い「緊急」の脆弱(ぜいじゃく)性が存在する。(2017/8/9)

Windowsの脆弱性突くコード公開、米セキュリティ機関が注意喚起
Microsoft Windowsのショートカットファイル処理の脆弱(ぜいじゃく)性を突くコードが公開された。CERT/CCでは、Microsoftが6月に公開した更新プログラムの適用を促している。(2017/8/7)

Microsoft Edgeに深刻な脆弱性、Microsoftが新たに情報公開【訂正あり】
この脆弱(ぜいじゃく)性を悪用すれば、攻撃者が細工を施したWebサイトをEdgeで閲覧するようユーザーを仕向けることによって、任意のコードを実行できてしまう恐れがある。(2017/8/7)

SMBの新たな脆弱性、研究者がDEF CONで発表 Microsoftは対処予定なし
悪用された場合、標的とするマシンにDoS攻撃を仕掛けてメモリとCPUリソースを枯渇させ、サービスを妨害することが可能とされる。(2017/8/1)

Microsoft、Outlookのセキュリティ更新プログラムを公開
今回の更新プログラムでは、Outlookのメモリ破損の脆弱(ぜいじゃく)性と、セキュリティ機能バイパスの脆弱性、情報流出の脆弱性にそれぞれ対処した。(2017/7/31)

Windows 10の脆弱性情報に最大2700万円、Microsoftが新たな報奨金制度
リモートコード実行など、ユーザーのプライバシーやセキュリティを脅かすWindowsの脆弱(ぜいじゃく)性について、500ドル〜25万ドルの報奨金を支払う。(2017/7/27)

リモートで悪用可能なWi-Fiチップセットの脆弱性、Black Hatで詳細発表
問題のチップセットは、幅広いAndroid端末やiOS端末に搭載されている。AppleとGoogleはそれぞれ、7月に公開したセキュリティアップデートでこの脆弱性に対処した。(2017/7/24)

米Appleがセキュリティアップデート一挙公開、iOSやmacOSの脆弱性を修正
iOS、macOS、watchOS、Safari、tvOS、およびWindows向けのiCloudとiTunesのセキュリティアップデートが公開された。(2017/7/20)

米Oracleの四半期パッチ公開、データベースやJavaの極めて深刻な脆弱性に対処
Fusion MiddlewareのWebLogic Serverには、危険度が最も高い脆弱性が存在するほか、データベースやJava SEでも極めて深刻な脆弱性が修正された。(2017/7/19)

WannaCryが突いた脆弱性、多くのマシンで放置 無料スキャンツール公開へ
あるネットワークでは、1万台近いホストのうち2台に脆弱(ぜいじゃく)性が見つかった。こうしたホストが1台でもあれば、ネットワーク全体が危険にさらされかねない。(2017/7/14)

Adobe、Flash PlayerとAdobe Connectの脆弱性を修正
Flash Playerの脆弱(ぜいじゃく)性では、リモートの攻撃者にコードを実行される恐れがあり、できるだけ早く最新版に更新する必要がある。(2017/7/12)

Microsoft、月例セキュリティ情報を公開 Windows Searchに脆弱性
IEやWindows向けの更新プログラムは、多数が「緊急」に指定されている。Windows Searchに存在するリモートコード実行の脆弱(ぜいじゃく)性は、SMB経由でも悪用される恐れがある。(2017/7/12)

「Petya」亜種の被害を防ぐには
“WannaCryショック”の再来か? MBRを暗号化する新ランサムウェアが猛威
「WannaCry」と同じ脆弱性を悪用する、新しいランサムウェアを使った攻撃が急速に広がっている。感染拡大を図る巧妙な仕組みを備えるが、被害を防ぐ方法は幾つかある。(2017/7/12)

7月のAndroidセキュリティ情報公開、メディアフレームワークに深刻な脆弱性
メディアフレームワークの脆弱性は、10件が「Critical(重大)」に分類。リモートからの任意のコード実行に利用される恐れがある。(2017/7/6)

「スマートコントラクト」の脆弱性を診断:
NRIセキュアテクノロジーズ、国内初の「ブロックチェーン診断サービス」を開始
NRIセキュアテクノロジーズが、ブロックチェーンを対象としたセキュリティ診断サービスを開始。「改ざんが困難」とされるブロックチェーンだが、穴がないわけではない。まず「スマートコントラクト」の脆弱性を診断するメニューを用意した。(2017/7/5)

WordPress用プラグインにXSS脆弱性 最新版へアップデートを
脆弱性は最新版で修正されている。(2017/7/4)

OSS脆弱性ウォッチ:
「sudoコマンドの脆弱性はSELinuxが有効になっていたため」が誤解であるワケ
連載「OSS脆弱性ウォッチ」では、さまざまなオープンソースソフトウェアの脆弱性に関する情報を定期的に取り上げ、解説していく。2017年5月30日、Linuxのsudoコマンドに全特権取得の脆弱性が報告された。連載初回は、こちらの詳しい説明と情報をまとめる。(2017/6/29)

Microsoftのマルウェア対策エンジンにまた新たな脆弱性、更新プログラムで対処
攻撃者が不正なファイルをWebサイトに仕込んだり、電子メールなどで送り付けたりする手口を使ってマルウェア対策エンジンにスキャンさせれば、システムを制御することも可能とされる。(2017/6/27)

Microsoft Edgeの報奨金プログラム、今後は期限設けず
MicrosoftはEdgeの脆弱性を発見した研究者に報奨金を支払うプログラムを無期限で継続すると発表した。発見者には500ドル〜1万5000ドルの報奨金を支払う。(2017/6/22)

最大のセキュリティリスクはやはり「人間」?
ロシアが米大統領選で地方職員にサイバー攻撃、“人の脆弱性”を悪用か
米大統領選中に発生した地方自治体職員へのサイバー攻撃は、新たな流出文書でロシアの関与が明らかになった。投票改ざんの有無は不明だが、攻撃者は地方特有の“隙”を狙ったのではないか、という見方がある。(2017/6/21)

過去のiOS 10.2で発生か
「Super Mario Run」配信通知で判明、iOS脆弱性はどのように見つかったか
Appleの通知機能と「iTunes」の脆弱(ぜいじゃく)性を悪用すると、アプリケーション側に有害なスクリプトを挿入する攻撃が可能になることが分かった。専門家のマイケル・コッブ氏がその仕組みを解説する。(2017/6/21)

Google、「Chrome 59」の脆弱性を修正
「Chrome 59.0.3071.104」では5件のセキュリティ問題を修正した。(2017/6/16)

「史上最高のFirefox」――「Firefox 54」公開、32件の脆弱性に対処
Firefox 54では32件の脆弱性が修正され、うち3件については重要度「最高」に分類されている。(2017/6/15)

Adobe、Flash Playerの脆弱性を修正 直ちにアップデートを
Flash Playerの25.0.0.171までのバージョンに、複数の深刻な脆弱(ぜいじゃく)性が存在する。(2017/6/14)

IoTセキュリティ:
オープンソースの採用広がる車載ソフトは「脆弱性も管理すべき」
Black Duck Software CEOのルー・シップリー(Lou Shipley)氏が「自動車業界におけるオープンソースソフトウェア(OSS)の管理と安全確保」について説明。製造業の中でも、ソフトウェア規模の増加が著しい自動車でのOSS採用が拡大しており、「OSSに含まれる脆弱性についてもしっかり管理しなければならない」(同氏)と主張した。(2017/6/13)

古賀政純の「攻めのITのためのDocker塾」:
第43回 Dockerイメージを「Quay.io」で管理する(セキュリティ編)
ホステッドレジストリには、アップロードしたDockerイメージのセキュリティ脆弱性をチェックする機能もあります。「Quay.io」を実際に操作しながら、セキュリティチェックの方法を確認します。(2017/6/12)

脆弱性の大多数、正式公表前に情報露呈 闇サイトや中国サイトで先に公開されるケースも
脆弱(ぜいじゃく)性の75%は、脆弱性情報データベースで公表される前から情報が出回っていたことが判明。5%は公表前に、ディープWebやダークWebに詳しい情報が掲載されていた。(2017/6/9)

Google、「Chrome 59」の安定版公開 脆弱性や不具合を修正
Webブラウザ安定版のアップデートとなる「Chrome 59」がWindows、Mac、LinuxおよびAndroid向けに公開された。(2017/6/8)

セキュリティ以外のリスク
オープンソースの多くで脆弱性を検出、さらに新たな問題が発覚
Black Duck Softwareがオープンソースのアプリケーションを分析した結果、その多くでセキュリティ上の欠陥を内包していることが明らかになった。しかし、判明したリスクはセキュリティ面だけではなかった。(2017/6/8)

登記情報など最大で約20万件流出か:
国交省サイトに不正アクセス 「Apache Struts2」脆弱性
国土交通省の「土地総合情報システム」に不正アクセス。登記情報など最大約20万件が流出した可能性があるという。被害が相次いで報告されている「Apache Struts2」の脆弱性を悪用したもの。(2017/6/6)

国交省に不正アクセス 不動産登記情報など約20万件流出か
国交省のWebサイト「不動産取引価格アンケート回答」が、「Apache Struts 2」の脆弱性を悪用した不正アクセスを受けた。(2017/6/6)

大原雄介のエレ・組み込みプレイバック:
WannaCryがあぶり出した「XP」との長くなる付き合い
猛威を振るったランサムウェア「WannaCry」はWindows OSの脆弱性を利用したもので、Windows XPベースで駆動するATMやPOSにも多数の被害をもたらした。そこからあぶり出されたのは、まだまだ続くXPとの付き合いの長さである。(2017/6/6)

朗報 Nintendo Switch、高さ300メートルから落下させると壊れる脆弱性は見つからず
ただしジョイコンは壊れる。(2017/6/2)

Android脆弱性発見者への賞金、最難関の脆弱性は20万ドルに
最高額の賞金が設定されている脆弱性については、過去2年の間、該当者がいなかったことから、賞金の額を一挙に引き上げた。(2017/6/2)

組み込み開発ニュース:
Java対応テスト自動化ツールに単体テストを効率化する新機能を搭載
テクマトリックスは、Java対応テスト自動化ツール「Jtest 10.3.1」の販売を開始した。JUnitの単体テストを効率化するアシスタント機能を新たに搭載したほか、セキュリティ脆弱性チェックの機能を強化した。(2017/6/1)

Microsoft、新たに発見されたマルウェア対策エンジンの脆弱性を修正
Google研究者によると、Microsoftはマルウェア対策エンジンに見つかった深刻な脆弱性を、5月25日付で修正した。(2017/5/30)

Webサイトをゼロデイ攻撃から守るための最適戦略とは:
PR:徳丸浩氏が斬る2017情報流出事案
脆弱性の注意喚起から攻撃までの期間がますます短くなる――。2017年4月26日に開催された「危険な脆弱性にいかに対処するか 実践的ウェブサイト防衛セミナー」では、ゼロデイ攻撃などに備えるための能動的なWebサーバ防御の在り方について、セキュリティコンサルタントの徳丸浩氏が最近の事案を踏まえてレクチャーした。(2017/5/30)

Webの生命線を守る、アカマイ×ラック協業の中身
「脆弱性対策」と「DDoS攻撃対策」を丸ごとお任せできる簡単な手段とは?
Webサイトは今や、企業の顔だけでなくビジネスの生命線だ。脆弱性を突く不正アクセスやDDoS攻撃など多様な脅威にさらされているWebサイトをどう保護すればよいのか。(2017/5/30)

「Samba」に重大な脆弱性、直ちに対処を
脆弱(ぜいじゃく)性はたった1行の攻撃コードで悪用できるといい、セキュリティ企業は「炎上の可能性もある恐ろしいバグ」と形容している。(2017/5/26)

「セキュリティリサーチャー」って何をする人?:
WannaCry騒動、Struts 2脆弱性、リオ五輪、そのとき「彼ら」は何をしていたのか
サイバーセキュリティの重要性が増すにつれ、ネット上ではさまざまな脅威や脆弱性の情報があふれんばかりに増え続けている。そんな情報過多な状況から、有用な情報だけを選別し、正しく共有していくこともまた必要だ。WannaCry騒ぎ、Apache Struts 2脆弱性……そのとき「彼ら」は何をしていたのか。(2017/5/25)

動画の字幕ファイルを悪用したサイバー攻撃の手口が発見される 端末を外部から操作されてしまう恐れ
「VLC」「Kodi」などのメディアプレーヤーで脆弱性が確認。(2017/5/25)

山市良のうぃんどうず日記(95:特別編):
ランサムウェア「WannaCry」対策で安心してはいけない――いま一度、見直すべきWindowsの脆弱性対策
ランサムウェア「WannaCry」の世界的な感染や、日本国内での感染報告を聞いて、慌ててWindows Updateを実行したユーザーやIT部門の方は多いのではないでしょうか。“セキュリティパッチを当てたからこれで安心”なんて思ってはいけませんよ。(2017/5/24)

米Yahoo!、メール添付画像流出の脆弱性に対処 「ImageMagick」は引退
「ImageMagick」の脆弱(ぜいじゃく)性を悪用してYahoo! Mailの添付画像が他人に盗み見される恐れがあることが分かり、Yahoo!はImageMagickを引退させることで対処した。(2017/5/23)

毎日のように来る「重要度“緊急”な脆弱性」は人ごとじゃない:
PR:脆弱性にはパッチ適用――分かっちゃいるけどうまくいかない時代の「脆弱性対策」を考える
今、単なる資産管理だけではなく、パッチマネジメントや脆弱性管理など、ITセキュリティを含めた管理に対するニーズが高まっている。脆弱性をタイムリーに把握し、公開された脆弱性が自社にとってどの程度のリスクを持つのか、アップデート対応しなければならない端末がどこにどれだけ存在し、パッチ適用のスケジュールを展開できるか――本稿では、このような脆弱性対策が可能になるソリューションを紹介しよう。(2017/5/18)

「Android O」を待つ必要あり?
Google Playアプリのクリックジャッキング対策に不備か
GoogleはAndroidにクリックジャッキング攻撃への対策を講じた。だが悪意ある行為者にとっては抜け道が1つ残っており、この脆弱性が修正されるのは「Android O」以降だという。(2017/5/18)

車載セキュリティ:
クルマのハードウェアの脆弱性を評価、ハッカー目線で作った侵入テストツール
ラピッドセブン・ジャパンは、直接ハードウェアに接続して脆弱性を評価する侵入テストツール「Metasploit Hardware Bridge」の概要を発表した。(2017/5/17)

セキュリティパッチ適用詳説:
今すぐできるWannaCry対策
猛威を振るうランサムウェア「WannaCry」。必ずしも管理が行き届いていない企業内システムで、Windowsに対策パッチを急いで適用する方法は? 脆弱性の見つかったSMBv1を無効化する方法を追記。(2017/5/23)

週明け始業時、不審なメールに注意 ランサムウェア「WannaCry」世界で猛威、日本でも拡大のおそれ
古いWindowsの脆弱性を悪用した「WannaCry」が世界規模で猛威をふるっており、「週明けに日本でも感染が拡大する可能性がある」としてIPAなどが注意を呼び掛けている。(2017/5/15)

Mozilla、脆弱性発見者への報奨金制度を刷新
新しいプログラムでは、対象とするMozillaサイトを「Critical」「Core」「その他」に分類し、それに応じて賞金の額を設定した。(2017/5/12)

WikiLeaksで発覚したCisco IOSの重大な脆弱性を修正
3月に発覚した「Cisco IOS」「Cisco IOS XE Software」の脆弱(ぜいじゃく)性を修正するソフトウェアアップデートが公開された。(2017/5/11)

Adobe、「Flash Player」の脆弱性を修正
Flash Playerの更新版となるバージョン25.0.0.171では、計7件の脆弱(ぜいじゃく)性が修正された。特にWindowsやMacでは更新を急ぐ必要がある。(2017/5/10)

Microsoft、マルウェア対策エンジンの重大な脆弱性を修正
MicrosoftがGoogleの研究者が「最悪」と評していたWindowsの脆弱(ぜいじゃく)性を修正した。同社が月例セキュリティ更新プログラム公開の前日にこうした対応を取るのは極めて異例。(2017/5/10)

「Windows Defender」などで使用のマルウェア対策エンジンに脆弱性 MSが緊急更新で対応
マイクロソフトのマルウェア対策エンジンに脆弱性が見つかり、急きょセキュリティー更新プログラムが公開された。(2017/5/9)

Intelのリモート管理ツールに脆弱性、ファームウェアの更新を
企業向けPCに搭載されているIntelの「Active Management Technology」(AMT)などに脆弱(ぜいじゃく)性が存在する。HP、Lenovo、Dell、富士通などの各社もセキュリティ情報を公開してユーザーに対応を呼びかけた。(2017/5/9)

Windowsに新たな未解決の脆弱性、Google研究者が「最悪」と報告
米Microsoftは5月9日(日本時間の5月10日)に月例セキュリティ更新プログラムを公開する見通しだが、今回の脆弱(ぜいじゃく)性への対処は間に合わない可能性もある。(2017/5/9)

パッチ公開から7年
核施設攻撃マルウェア「Stuxnet」の脅威がいまだに消えない“深刻な理由”
セキュリティ研究者によれば、悪名高いワーム「Stuxnet」が悪用した脆弱性が、いまだに活発に利用されているという。それはなぜなのか。(2017/5/9)

Google、デスクトップ向け「Chrome 58」の脆弱性を修正
現在64ビットのWindowsで32ビット版のChromeを使っている場合、今回のアップデートの間に64ビット版のChromeに切り替わる。(2017/5/8)

Firefox安定版「53.0.2」公開、1件の脆弱性を修正
この問題は、潜在的に悪用可能なクラッシュを引き起こす可能性があるとされ、重要度は「高」に区分けされている。(2017/5/8)

継続的な検知と統合管理で潜在的な脆弱性リスクを排除せよ:
PR:個別の対策を際限なく行う“セキュリティ無間地獄”に陥らないために
サイバー攻撃の新たな手法が次々と出現している今、個別のセキュリティ対策でいつまでも対応し続けることは非常に難しい。では、どうしたら効果的かつ包括的な対策を実現できるのだろうか。そこでお勧めしたいのが、サーバやクライアントPCなどに潜む脆弱性を検出して企業全体のIT資産を統合管理するTenable Network Securityの「SecurityCenter Continuous View(SCCV)」だ。早急に対策すべき箇所を効果的に突き止められるので、最小限の費用と工数で適切なセキュリティ対策が可能になる。(2017/5/8)

攻撃の概要と対策をチェック
150万サイト以上に被害、“WordPress改ざん多発事件”とは何だったのか
2017年に明るみに出た「WordPress」の脆弱性は、世界中で数多くのWebサイトが改ざんされるという大きな被害をもたらした。なぜ被害が広がったのか。有効な対策はあるのか。(2017/5/8)

Janetterで「んほぉぉ!イッぐぅぅ!!」と表示され続けるXSS大流行 → 脆弱性修正へ
なぜ見つからなかった。(2017/5/2)

Twitterクライアント「Janetter」に脆弱性、最新バージョンで修正済み
PC向けTwitterクライアントソフト「Janetter」にXSS脆弱性があることが発覚した。最新版が5月2日にリリースされ、問題は修正された。(2017/5/2)

Androidの月例セキュリティ情報を公開 MediaserverやGIFLIBに重大な脆弱性
Androidの5月の月例パッチは「2017-05-01」「2017-05-05」の2本で構成され、2017年5月5日以降のセキュリティパッチレベルで全ての問題が修正される。(2017/5/2)

IBM、Shadow Brokersの流出情報で発覚したDominoの脆弱性に対処
米NSAのハッキングツール流出にかかわったとされる集団「Shadow Brokers」が公開した情報の中に、Lotus Dominoの脆弱(ぜいじゃく)性を突くエクスプロイトが含まれると報じられていた。(2017/4/27)

「Portrait Display SDK」に脆弱性、富士通などのアプリに影響
「Fujitsu DisplayView Click」などのアプリケーションで、脆弱(ぜいじゃく)性を修正する更新版が公開されている。(2017/4/27)

B.LEAGUEチケットサイトなどから個人情報のべ15万件超が流出の恐れ Apache Struts2の脆弱性が原因
ぴあが運営を受託していたプロバスケットボールリーグ「B.LEAGUE」のチケットサイトとファンクラブ受付サイトに不正アクセスがあった。個人情報のべ15万件超が流出した可能性があり、クレジットカード番号とセキュリティコードも3万2000件あまりが盗まれた可能性がある。(2017/4/25)

ぴあ、チケットサイトから個人情報15万件流出か カード情報も
「Apache Struts 2」の脆弱性を悪用した不正アクセスを受け、ぴあが運営するB.LEAGUEのチケットサイト、ファンクラブサイトから個人情報が流出。(2017/4/25)

「ハッカー視点のセキュリティレポート」の気になる中身【前編】
ハッカーが評価する「脆弱性攻撃ツール」の種類とは? 独自調査で判明
侵入テスト実施者やハッカーを対象とした調査結果をまとめたセキュリティレポートが公開された。IT担当者やベンダーを対象とした一般的な調査からは見えにくかった“真実”とは。(2017/4/25)

Wi-Fiルーターに10件の脆弱性報告、Linksysが対策を勧告
Linksysは攻撃を防ぐための当面の対策として、WiFi Guest Networkの無効化や、デフォルトのパスワード変更を呼び掛けた。(2017/4/21)

「Firefox 53」公開、40件以上の脆弱性を修正
「Firefox 53」では40件以上の脆弱(ぜいじゃく)性を修正。Windows XPとVista、および32ビットのMac OS Xに対するサポートは打ち切られた。(2017/4/20)

多くの企業アプリ、オープンソースに起因する脆弱性を放置 セキュリティ企業が警鐘
特に金融や小売り業界などのアプリで、高リスクの脆弱(ぜいじゃく)性が数多く修正されないまま放置されているとBlack Duckが警告した。(2017/4/20)

米Oracle、Javaなどの定例パッチを公開 FusionやMySQLに極めて深刻な脆弱性
今回のパッチでは合計で299件のセキュリティ問題を修正した。中でもFusion MiddlewareやSiebel CRM、MySQL、Solarisなどの製品に存在する脆弱(ぜいじゃく)性は、危険度が最大値の10.0と評価されている。(2017/4/19)

Lotus Dominoに未解決の脆弱性、Shadow Brokersの流出情報で発覚
影響を受けるのはDominoサーバの9.0.1FP8までのバージョン。危険度は極めて高い。この脆弱(ぜいじゃく)性を突くエクスプロイトは、「EMPHASISISMINE」のコード名で公開されていたという。(2017/4/19)

「NSAのハッキングツール」新たに大量流出 Windowsの脆弱性悪用も
Microsoftによると、ハッキングツールで悪用されていた脆弱(ぜいじゃく)性の大半はすでに修正されている。国際間の銀行決済に使われるSWIFTのシステムがNSAの標的になっていたとの情報もある。(2017/4/17)

アプリで電話番号URLをタップしただけでトラブルに?
Apple「WebKit」の脆弱性を悪用してスマホから勝手に電話、その手口は
Appleの「WebKit」フレームワークの脆弱(ぜいじゃく)性を悪用すると、被害者のスマートフォンアプリから電話を発信させることが可能になる。この攻撃の仕組みを、専門家が解説する。(2017/4/17)

アイ・オー・データ機器、無線LANルーター「WN-AC1167GR」のXSS脆弱性を修正
アイ・オー・データ機器製の無線LANルーター「WN-AC1167GR」にクロスサイトスクリプティング(XSS)の脆弱(ぜいじゃく)性があることが判明。最新版のファームウェアにアップデートされていれば心配はない。(2017/4/14)

Struts 2の脆弱性悪用 総務省サイトから個人情報2万件超流出のおそれ
Struts 2の脆弱性を悪用した不正アクセス被害がまた判明した。(2017/4/14)

BIND 9の脆弱性を修正、DoS攻撃誘発の恐れ
更新版で修正された3件の脆弱(ぜいじゃく)性のうち1件は、危険度「高」に分類され、リモートの攻撃者にDoS状態を誘発される可能性が指摘されている。(2017/4/14)

セキュリティクラスタ まとめのまとめ 2017年3月版:
Apache Struts 2の脆弱性がヤバい、外部からサーバコマンドを実行
2017年3月、セキュリティクラスタが注目したのは簡単に外部からサーバコマンドを実行できる「Apache Struts 2」の脆弱性。Symantecの発行する電子証明書にも話題が集まりました。(2017/4/13)

Microsoft、4月の月例更新を公開 Windows Vistaの更新は今回が最後
Windows Vistaは今回が最後の更新プログラムとなる。以後はサポートが打ち切られ、たとえ脆弱性が発覚したとしても、Vistaは修正の対象から除外される。(2017/4/12)

Microsoft Officeの未解決の脆弱性を突く攻撃が横行、メールで届くWordファイルに注意
「.doc」の拡張子を付けてWordファイルに見せかけたRTFファイルに不正なコードを仕込み、メールで送りつける手口が確認されている。(2017/4/11)

アイ・オー・データ機器の無線LANルーター「WN-G300R3」に任意のOSコマンドを実行される脆弱性
アイ・オー・データ機器が2014年から販売している、IEEE802.11n対応の無線LANルーター「WN-G300R3」に、任意のOSコマンドを実行される恐れがある複数の脆弱(ぜいじゃく)性があることが分かった。(2017/4/10)

WordPress用プラグイン「WP Statistics」にXSSの脆弱性
WordPressのアクセス解析用プラグイン「WP Statistics」に、クロスサイトスクリプティング(XSS)の脆弱性があることが公表された。任意のスクリプトを実行される可能性がある。(2017/4/10)

朗報 iPhone 7 RED、火薬でふっ飛ばすと壊れる脆弱性は見つからず
小さい爆発なら巻き込まれても冷やせば使える。(2017/4/9)

Apache Struts2の脆弱性、ファイル暗号化のランサムウェアに悪用
1カ月前に発覚した「Apache Struts2」の脆弱(ぜいじゃく)性が、ランサムウェア「Cerber」の亜種を使った、Windowsに対する攻撃に悪用される事例が多発しているという。(2017/4/7)

ECサイト構築ソフト「CS-Cart」日本語版に複数の脆弱性 個人情報を不正に取得される恐れ
IPAが、ECサイト構築に利用する「CS-Cart」日本語版に発見された脆弱(ぜいじゃく)性を公表。悪用されると個人情報を不正に取得されたり、意図しない商品を購入させられたりする可能性があるという。最新バージョンに更新することで修正できる。(2017/4/6)

仮想化ソフト「Xen」にPVゲスト脱出の脆弱性 仮想環境を破られる恐れ
悪用されればPVゲストが全てのシステムメモリにアクセスできてしまう恐れがあり、権限を昇格されたり、ホストのクラッシュや情報流出を引き起こす可能性がある。(2017/4/6)

「性行為をのぞき見られる」 カメラ付き女性用アダルト玩具に脆弱性 英セキュリティ企業が注意喚起
カメラを搭載した女性向けバイブレーション「Siime Eye」(米SVAKOM製)に脆弱性が判明したと、英サイバーセキュリティ企業のPen Test Partnersが報告。(2017/4/4)

Apple、「iOS 10.3.1」公開 Wi-Fi関連の脆弱性を修正
iOSは3月27日に「iOS 10.3」を公開したばかりだが、今回のアップデートではGoogle Project Zeroを通じて発見された深刻な脆弱(ぜいじゃく)性に対処した。(2017/4/4)

宮田健の「セキュリティの道も一歩から」(13):
IoT機器に脆弱性を作り込まないための秘策、ズバリ教えます!
「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策。しかし、堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学をお届けします。今回は、エンジニアであれば知っておきたいIoT機器のセキュリティ対策の考え方やアプローチについて取り上げます。(2017/4/3)

脆弱性発見者に約1万ドルの賞金も:
Google、「Chrome 57」「Chrome OS 57」の脆弱性を修正
危険度が極めて高い「Critical」の脆弱性や、ハッキングコンペ「Pwn2Own 2017」を通じて発見された脆弱性などが修正された。(2017/3/31)

MicrosoftのIIS 6に未解決の脆弱性、2016年から攻撃横行
発見者によると、2016年8月の時点でこの脆弱性を突く攻撃が横行していた。しかしWindows Server 2003のサポートは終了しているため、更新プログラムは公開されない見通し。(2017/3/31)

Apple、Windows版iCloudの脆弱性5件を修正
「iCloud for Windows 6.2」では計5件の脆弱性が修正された。(2017/3/30)

VMware、仮想マシン脱出の脆弱性を修正 Pwn2Ownでハッキング実証
Pwn2Ownでは中国のチームがVMwareの複数の脆弱性を突き、ゲストOSからホストOSに抜け出す「仮想マシン脱出」を成功させていた。(2017/3/30)

Apple、iOSやMacなどの深刻な脆弱性を多数修正
iOS 10.3、macOS Sierra 10.12.4、OS X El CapitanとYosemite向けのセキュリティアップデート、Safari 10.1などの更新版が一挙公開された。(2017/3/28)

「iOS 10.3」公開 「AirPodsを探す」やSiriの拡充など
AppleがiPhone、iPad、iPod touch向けに「iOS 10.3」をリリースした。「iPhoneを探す」で無線イヤフォン「AirPods」も探せるようになった他、幾つかの新機能が追加され、多数の脆弱性が修正された。(2017/3/28)

「JINS」に不正アクセス 個人情報75万件流出の可能性 Struts 2の脆弱性悪用
「Apache Struts 2」の脆弱性を悪用した不正アクセス事件がまた。(2017/3/27)

「iTunes 12.6」公開、複数の脆弱性に対処
更新版の「iTunes 12.6」ではSQLiteとexpatに存在する複数の脆弱性を修正した。(2017/3/27)

WordPress用のアンケート作成プラグイン「YOP Poll」に脆弱性 IPAが警告
WordPress用のプラグイン「YOP Poll」にクロスサイトスクリプティング(XSS)の脆弱性があることが判明。サイトにアクセスしたユーザーのWebブラウザ上で、任意のスクリプトを実行されてしまう可能性がある。(2017/3/24)

NTPの更新版公開、DoSなどの脆弱性に対処
悪用されればリモートの攻撃者にサービス妨害(DoS)状態を誘発されたり、不正なコードを仕込まれたりする可能性が指摘されている。(2017/3/23)

Firefox、ハッキングコンペで使われた脆弱性を修正
「Firefox 52.0.1」では、中国のChaitin Security Research LabがPwn2OwnでFirefox破りに使った脆弱性を修正した。(2017/3/21)

Cisco IOSの重大な脆弱性、WikiLeaks情報で発覚 数百種類のスイッチに影響
米Ciscoのスイッチなど何百種類もの製品に搭載されている「Cisco IOS」と「Cisco IOS XE Software」に重大な脆弱性が発覚した。(2017/3/21)

Intelも脆弱性情報に賞金贈呈、バグバウンティ開始 最大3万ドル
Intelのソフトウェアとファームウェア、ハードウェアの脆弱性を発見して報告を寄せた研究者に対し、悪用の難易度に応じて500ドル〜3万ドルの賞金を贈呈する。(2017/3/17)

「安全なウェブサイト運営入門」に脆弱性 使用停止を
IPAが2008年に公開した無料ゲーム「安全なウェブサイト運営入門」に脆弱性が見つかったとして、使用しないよう呼び掛けている。(2017/3/16)

セキュリティ・アディッショナルタイム(16):
「脆弱性情報」をどう扱うか――見つける人、流通させる人、対処する人、それぞれの視点
連日公表されるソフトウェアなどの脆弱(ぜいじゃく)性情報。2016年12月1日に行われた「Internet Week 2016」では、「脆弱性情報と賢く付き合う〜発見から対策までの最前線〜」と題したプログラムが開催された。(2017/3/16)

Shockwave Playerにも更新版:
Flash Playerの深刻な脆弱性を修正、直ちに更新を
AdobeはFlash PlayerとShockwave Playerのセキュリティアップデートを公開し、複数の深刻な脆弱性に対処した。(2017/3/15)

Microsoft、2月と3月の月例更新プログラムを併せて公開
公開が延期されていた2月の分を含め、18件の月例セキュリティ更新プログラムを公開。既に攻撃が発生している脆弱性や、情報が公開されていた脆弱性も含まれる。(2017/3/15)

とにかく速いWordPress(17):
WordPressのバージョンアップを自動化して、最新アップデートを正しく適用する方法
エンタープライズ用途での利用が増えている「WordPress」の高速化チューニングテクニックを解説する本連載。今回は、先日、WordPressの過去バージョンに存在した脆弱性によって多くのページ改ざん被害が発覚した事案を踏まえ、WordPressのバージョンアップを自動化して、最新のアップデートを「正しく」適用する方法を解説します。(2017/3/15)

トレンドマイクロ 2016年 年間セキュリティラウンドアップ:
SCADAにも多くの脆弱性、製造業IoTにセキュリティの重要性増す
注目される製造業IoTだが、トレンドマイクロらの調査で産業制御システム「SCADA」関連製品の脆弱性も多く発見された。製造業IoTの存在感が増すに従い、セキュリティリスクも高まっている。(2017/3/15)

国際郵便マイページサービスからメアドなど約3万件流出の恐れ Struts 2の脆弱性を利用した不正アクセス
日本郵便が提供する「国際郵便マイページサービス」に不正アクセスがあり、送り状やメールアドレスの情報が流出した可能性があることが判明。「Apache Struts 2」の脆弱性を利用した不正アクセスだった。(2017/3/14)

脆弱性別ではCSRFとSQLインジェクション、言語ではPHPが多く狙われた:
CDNetworksが2016年第4四半期サイバー攻撃の分析レポートを公開
シーディーネットワークス・ジャパンは、「2016年第4四半期サイバー攻撃の分析レポート」を公開した。脆弱性タイプ別で最も多かったものは、クロスサイトリクエストフォージェリー。最も頻繁に狙われる言語はPHPだった。(2017/3/14)

セキュリティクラスタ まとめのまとめ 2017年2月版:
WordPressサイトが書き換えられまくり、SHA-1が衝突した2月
WordPressの脆弱性に「SHA-1」衝突。2017年の「サイバーセキュリティ月間」は波乱の幕開けとなったのでした。(2017/3/14)

都税と住宅金融支援機構のクレジット支払サイトに不正アクセス 個人情報流出の可能性
ソフトの脆弱性を悪用した不正アクセスにより、70万件を超える個人情報が流出した可能性がある。(2017/3/11)

Apache Struts 2に深刻な脆弱性、既に攻撃が横行 直ちに更新を
この脆弱性は簡単に悪用でき、既に攻撃が横行しているとの情報もあることから、Apache Struts 2を直ちにバージョン2.3.32または2.5.10.1に更新して、脆弱性に対処するよう呼び掛けている。(2017/3/10)

WordPressのアップデート公開、直ちに更新を 脆弱性悪用でWebサイト制御の恐れも
最新バージョンのWordPress 4.7.3では6件の脆弱性が修正された。(2017/3/8)

Google、Androidの月例セキュリティパッチ公開、多数の深刻な脆弱性を修正
OpenSSLやBoringSSL、Mediaserverに深刻な脆弱性が存在し、メールやWeb閲覧、MMS経由で不正なメディアファイルを処理させる手口でリモートからコードを実行される恐れがある。(2017/3/8)

その知識、ホントに正しい? Windowsにまつわる都市伝説(78):
Adobe Flash Playerの緊急のセキュリティ更新をサーバにインストールできない?
Windows Server 2012以降のWindows Serverに「Adobe Flash Playerのセキュリティ更新が来ないのはなぜ?」「手動でもインストールできないのはどうして?」と疑問に思っている管理者の方はいないでしょうか。Adobe Flash Playerが入っていれば更新されるし、入っていなければ当然、更新されません。そして、脆弱性の影響を受けないのだから、入っていないに越したことはありません。(2017/3/8)

悪質コードのばらまきに悪用される恐れも
「Internet Explorer」の“非常に危険な”脆弱性をGoogleが発見、「Edge」にも影響か
「Microsoft Edge」と「Internet Explorer」に新たな脆弱(ぜいじゃく)性が見つかった。Googleのセキュリティ調査チームが発見した、この脆弱性が及ぼす影響とは。(2017/3/8)

Cloudflareの脆弱性、発覚前に悪用された形跡はなし
米Cloudflareから顧客などの情報が大量に流出した問題で、脆弱性が公になる前に悪用されていた形跡は見つからなかったと同社が報告した。(2017/3/3)

ネットワーク内にあるIoTデバイスの脆弱性発見、危険なサイトへのアクセス制限などを行う「Bitdefender BOX」
家庭内を始め、身の回りに急激に増えたIoTデバイスのセキュリティを守ることを、ユーザーも意識しなくてはならない時代がやってきている。BBソフトサービスが間もなく発売する「Bitdefender BOX」も、そんなIoTデバイスの安全を守る機器だ。(2017/3/2)

ぬいぐるみから80万人のユーザー情報が流出、つながる玩具に警鐘
「ほかにも多数のつながる玩具に深刻な脆弱性が存在しているのは間違いない。メーカーや保護者の知らないうちに不正アクセスされ、データが盗まれているかもしれない」と研究者は警鐘を鳴らしている。(2017/3/2)

アイ・オー・データ機器製ネットワークカメラに脆弱性 任意のOSコマンド実行などの危険が判明
アイ・オー・データ機器製のネットワークカメラに複数の脆弱(ぜいじゃく)性があることが判明。メーカーが公開している最新のファームウェアにアップデートすることで対処できる。(2017/3/2)

ウイルス対策ソフトESETのmacOS版に深刻な脆弱性、更新版で対処
危険度は最も高い「Critical」に分類されおり、ESETではmacOS向け製品のユーザーに対してできるだけ早く更新版をインストールするよう呼びかけている(※3月3日17時40分追記)。(2017/3/2)

セキュリティ・アディッショナルタイム(15):
先駆者に聞く、「バグ報奨金制度」のメリットと課題
日本国内でも幾つかの企業が採用し始めている「脆弱性報奨金制度」(バグバウンティプログラム)。果たしてどれだけの効果があるのか。また課題は? 実際に制度を運営する3社に聞いた。(2017/3/2)

山市良のうぃんどうず日記(85):
トラブルシューター泣かせのイベントログメッセージ(その2)──「システム時刻の変更」に脆弱性あり?
前回に続き、今回もWindowsの「イベントログ」に記録された不可思議なイベントを紹介します。今回は不可思議というよりも、本当だったらちょっと怖いお話です。(2017/3/1)

Microsoftの更新プログラム公開延期で相次ぐ未解決の脆弱性、今度はEdgeとIEにも
米Googleの研究者が、EdgeとIEの未解決の脆弱性を突くコンセプト実証コードを公開した。(2017/2/27)

10年以上前から脆弱性が存在:
Linuxカーネルに脆弱性、主要ディストリビューションが更新版で対処
LinuxカーネルのDCCPプロトコルにダブルフリーの脆弱性があり、非特権プロセスからのカーネルコード実行に悪用される恐れがあることが分かった。(2017/2/24)

GarageBandオンザラン:
GarageBand「任意のコードを実行できる脆弱性」を試してみた(検証動画あり)
iOS版で試してみたが、ある意味危険だった。(2017/2/23)

Apple、Logic Pro Xの更新版を公開 メモリ破損の脆弱性を修正
この問題を悪用すれば、細工を施したGarageBandプロジェクトファイルを開かせることによって、任意のコードを実行できてしまう恐れがある。(2017/2/23)

Microsoftの更新プログラム、Flash Playerの脆弱性のみ対処
Adobeが14日にリリースしていたFlash Playerの更新版のみWindows向けに配信したが、既に公になっているWindowsの脆弱性は未解決のまま残されている。(2017/2/23)

「iOS 10.1」と「iOS 10.2」では修正済み
一体なぜ? 数分で破られた「iOS 10」ローカルバックアップパスワードの脆弱性
2016年、「iOS 10」のパスワード照合システムに不備があり、ハッカーがローカルバックアップを容易に解読できてしまうという問題が発覚した。どうすればこの問題は防げたのだろうか。(2017/2/23)

JavaとPythonに脆弱性、ファイアウォールを突破される恐れ
たとえユーザーがブラウザのJavaプラグインを無効にしていた場合でも、脆弱性を突いた攻撃を仕掛けられる恐れがあるという。(2017/2/22)

Windowsに未解決の脆弱性、Google研究者が情報公開
この問題は、公開が延期された2月の月例セキュリティ更新プログラムで対応される予定だったのではないかとGoogle研究者は推測している。(2017/2/21)

「お名前.comレンタルサーバー」でWAFを標準提供:
PR:GMOインターネット×ラック対談――「Webサーバ防御の課題」とは
脆弱なWebサーバ、特に「WordPress」の脆弱性を狙った不正アクセスが後を絶たない。そんな中GMOインターネットでは、サービス事業者として「安心して利用できる環境」の実現を目指し、ジェイピー・セキュアの「SiteGuard」を用いてデフォルトでWAF機能の提供を開始した。(2017/2/20)

OpenSSLの更新版公開、危険度「高」の脆弱性に対処
更新版の「OpenSSL 1.1.0e」では、認証暗号化方式「Encrypt-Then-Mac」(EtM)の拡張機能に関する脆弱性に対処した。(2017/2/17)

Apple、GarageBandのセキュリティアップデートを公開
脆弱性を悪用すれば、細工を施したGarageBandプロジェクトファイルを開かせることによって、任意のコードを実行できてしまう可能性がある。(2017/2/15)

Adobe、Flash Playerなどの脆弱性に対処 直ちに更新を
特にWindowsやMac向けのFlash Playerでは、差し迫った悪用の恐れがあることから、更新を急ぐ必要がある。(2017/2/15)

OpenSSLが公開予告、深刻度「高」の脆弱性が存在
日本時間では2月16日夜以降にリリースされる見込みだ。(2017/2/14)

Intel、「Threat Landscape Dashboard」発表 攻撃多発の脅威情報を提供
ソフトウェアの脆弱性を突く攻撃や、ランサムウェアなどの攻撃が相次いで浮上する中、管理者が優先的に対処すべき脆弱性を見極められるよう支援する。(2017/2/14)

WordPressサイトの改ざん被害は150万件超に 「最悪級の脆弱性」
「今回、被害に遭っているサイトは、WordPress 4.7.2にアップグレードするまで何度も何度も改ざんされ続ける」とセキュリティ企業は警告している。(2017/2/13)

Android向けのFirefoxに重大な脆弱性、更新版で対処
Android向けに更新版の「Firefox 51.0.3」が公開。1件の重大な脆弱性に対処した。(2017/2/13)

Vistaも終了:
Office 2007のサポート終了まで6カ月 「移行」など対策迫る
これまで127件の脆弱性情報が登録され、IPAは「サポート終了後も引き続き脆弱性が発見される懸念がある」と指摘する。(2017/2/10)

脆弱性をレポートで報告:
「EC-CUBE」特化のECサイト脆弱性診断サービス、ロックオンとHASHコンサルティングが提供
ロックオンは、セキュリティ企業のHASHコンサルティングと協業し、「EC-CUBE」のユーザー向けに「EC-CUBEセキュリティ診断サービス」の提供を開始した。(2017/2/10)

「Ticketbleed」と命名:
F5の「BIG-IP」にメモリ流出の脆弱性、「Heartbleed」との類似点も
F5のアプライアンス「BIG-IP」で「Session Tickets」というオプションの実装に問題があり、1度に最大31バイトの初期化されていないメモリが流出する可能性がある。(2017/2/10)

BIND 9にDoS誘発の脆弱性、特定の条件下で影響の恐れ
「DNS64」と「RPZ」を有効に設定(デフォルトでは無効)している場合に影響を受ける恐れがあるという。(2017/2/9)

IPAの脆弱性体験学習ツールに4件の脆弱性、修正版が公開
脆弱性体験学習ツール「AppGoat」で任意のコードが実行されてしまうなどの複数の脆弱性が報告され、IPAが修正版へのアップデートを呼び掛けている(2017/2/9)

WordPressの脆弱性突く攻撃が激増、6万以上のWebサイトで改ざん被害
脆弱性情報が公開されてから48時間足らずの間に悪用コードが投稿され、脆弱性のあるサイトを探して攻撃を試す動きはインターネット全体に広がった。ハッキングされたWebサイトの数は6万6000以上にのぼり、現在も増え続けている。(2017/2/9)

既に10万以上のサイトで改ざん被害 背景と対処方法を解説:
WordPress脆弱性発覚、その後の状況 4.7.2リリース時に脆弱性が公開されなかった理由
2017年2月に発覚したWordPressの脆弱性により、既に約10万件ものサイトで改ざん被害が発生しているという。セキュリティ企業 ESETが、公式ブログで背景と現状、対処方法を解説した。(2017/2/9)

人気iOSアプリ76本に中間者攻撃の脆弱性、TLS通信傍受や改ざんの恐れ
人気iOSアプリ76本で、TLSで守られているはずの接続に対して中間者攻撃を仕掛けて、移動中のデータの傍受や改ざんができてしまうことが分かった。(2017/2/8)

「WordPressのアップデートは大至急」 攻撃発生でIPAが注意喚起
Webサイトをマルウェア配布に悪用するために脆弱性が悪用される恐れがあることから、コンテンツ管理でユーザーの多いWordPressの更新を急いで適用してほしいとしている。(2017/2/6)

Windowsの未解決の脆弱性、次回月例更新プログラムで対処の見通し 危険度評価は引き下げ
CERT/CCは当初、任意のコードを実行できる可能性も指摘していたが、この部分を削除して危険度評価を引き下げた。(2017/2/6)

WordPress、更新版で深刻な脆弱性を修正 安全確保のため情報公開を先送り
WordPressは1月26日に更新版の4.7.2が公開されたが、この時点では意図的に深刻な脆弱性の存在を明らかにしていなかった。(2017/2/3)

コンセプト実証コードも公開:
Windowsに未解決の脆弱性、クラッシュ誘発の恐れ
コンセプト実証コードも公開されており、不正なSMBサーバにクライアントが接続すると、Windowsがクラッシュしてブルースクリーン状態に陥るという。(2017/2/3)

開発者必須のツールとなるか
Googleがファジングを自動実行する脆弱性検知ツール「OSS-Fuzz」を公開
Googleがファジングテストを行うツールを発表。GitHubでβ版が公開されている。ファジングテストとは何か。OSS-Fuzzを利用することで何が得られるのか。(2017/2/3)

Web改ざん攻撃に変化、ランサムウェア配布などの温床に
Webサイト閲覧者をマルウェアに感染させる改ざん攻撃では、攻撃者が使うツールに変化がみられるという。セキュリティ機関ではWebサイト運営者に脆弱性対策などの取り組みを求めている。(2017/2/2)

「tcpdump」に多数の脆弱性、任意コード実行の恐れも
「ライブの攻撃トラフィック監視にtcpdumpを使っている場合は特に憂慮される」と米セキュリティ機関は指摘している。(2017/2/2)

Netgearのルータにパスワード開示の脆弱性、多数のモデルに影響
Netgearのルータでパスワードを忘れた場合に復元する仕組みに脆弱性があり、Web管理サーバへの単純なリクエストを通じて、パスワードを開示させることが可能だという。(2017/2/2)

「WebEx」プラグインの脆弱性はFirefoxとIEにも影響、Ciscoが更新版で対処
CiscoはGoogle ChromeとMozilla Firefox、MicrosoftのInternet Explorer(IE)向けのソフトウェアアップデートを公開して「WebEx」の脆弱性に対処したことを明らかにした。(2017/1/30)

山市良のうぃんどうず日記(83):
再チェック! ファイル共有プロトコル「SMB」のためのセキュリティ対策
2017年1月、SMBの脆弱性に関するニュースが取り上げられました。そのニュースは、米国のセキュリティ機関の情報を日本語化して伝えているだけのようですが、何だか裏がありそうで、なさそうで……。(2017/1/30)

IPA、Webサイトの脆弱性点検を呼び掛け 中国サイトに約400件の情報登録
SQLインジェクションの脆弱性が存在する約400サイトの情報が中国のポータルサイトに登録されていたといい、悪用の恐れもあることから緊急点検や改修の実施を呼び掛けている。(2017/1/25)

Cisco、Google Chrome向け拡張機能「WebEx」の深刻な脆弱性を修正
悪用された場合、攻撃者が特定のパターンのURLをWebサイトに仕込んでユーザーに参照させ、WebExセッションを開始させることによって任意のコードを実行できてしまう恐れがある。(2017/1/25)

OpenSSLの脆弱性「Heartbleed」、約20万のサーバやサービスでいまだに放置
Shodanの報告書によると、1月22日の時点でHeartbleedの脆弱性が修正されないまま放置されているサーバやサービスは19万9594件に上る。(2017/1/24)

Apple、iOSやmacOS Sierraをアップデート 多数の脆弱性を修正
「iOS 10.2.1」「watchOS 3.1.3」「tvOS 10.1.1」「macOS Sierra 10.12.3」「Safari 10.0.3」およびWindows向けの「iCloud for Windows 6.1.1」が公開された。(2017/1/24)

コンプライアンス基準への理解度が顕著な低さ
社長がセキュリティリスク? 調査で見えた“経営層の脆弱性”
経営幹部の間で、ガバナンス、リスク、コンプライアンス、さらに企業に影響するセキュリティのコンプライアンス要件に対する考えが曖昧であると、最新の調査で明らかになった。(2017/1/20)

ネットワークカメラ「Samsung SmartCam」に脆弱性報告、リモートでコマンド実行の恐れ
セキュリティ研究者が「SmartCam」カメラの脆弱性を突いて、管理者権限でリモートからコマンドを実行できることを実証したとして、詳細情報や実証ビデオを公開した。(2017/1/19)

Apple、作曲ソフト「GarageBand」の深刻な脆弱性を修正
更新版の「GarageBand 10.1.5」と「Logic Pro X 10.3」では、それぞれ1件のメモリ破損問題を修正した。(2017/1/19)

Oracleの四半期セキュリティパッチ公開、計270件の脆弱性に対処
Oracle DatabaseやFusion Middleware、Javaなど多数製品でセキュリティアップデートをリリースした。(2017/1/18)

Windowsの通信プロトコルに脆弱性報告、SMB v1は無効化を
SMBの潜在的な脆弱性に関する情報が公開されたとして、SMBのレガシーバージョンを無効にするなどの対策を徹底するよう米US-CERTが呼び掛けた。(2017/1/18)

BIND 9で4件の脆弱性報告、いずれも深刻度は「高」
影響を受けるバージョンは脆弱性によって異なるが、悪用されると、いずれもDoS状態を誘発されてしまうという。(2017/1/12)

遠隔操作でペースを乱せる可能性:
心臓ペースメーカーのモニタ装置に脆弱性、メーカーがパッチ配信
悪用されれば、心臓ペースメーカーのペースを乱したり、ショックを与えたりすることができてしまう恐れがあるという。(2017/1/11)

Flash Playerの更新版、直ちに適用を Acrobat/Readerの脆弱性も修正
AdobeはFlash Playerを直ちに最新版に更新するよう呼び掛けている。Acrobat/Readerのセキュリティアップデートも公開された。(2017/1/11)

セキュリティクラスタ まとめのまとめ 2016年12月版:
米Yahoo! 情報漏えい、メール送信ライブラリに脆弱性――2016年末のセキュリティニュースまとめ
何事もなくお休みに入れるかと思いきや、クリスマス直後に大きなニュースが飛び込んできたセキュリティクラスタだったのでした……。(2017/1/11)

IBMが発見したAndroidブートモードの脆弱性、1月の月例パッチで修正
Androidの月例パッチを米Googleが1月3日付で公開。深刻な脆弱性が多数修正されている。(2017/1/10)

「PHPMailer」に重大な脆弱性、直ちにパッチ適用を
PHPからのメール送信に使われている、「世界一人気の高いコード」に重大な脆弱性が見つかった。「パッチを適用しないまま放置すれば悪用される」と専門家は警告している。(2016/12/27)

SKYの資産管理ツールにリモートコード実行の脆弱性、緊急パッチが公開
SKYSEA Client Viewに深刻な脆弱性が見つかり、同社がユーザーにパッチ適用を呼び掛けた。JPCERT/CCや警察庁も緊急で注意喚起している。(2016/12/22)

機内システムの脆弱性報告にパナソニック子会社が反論
機内エンターテインメント(IFE)システムの脆弱性を指摘したIOActiveの調査結果について、パナソニックアビオニクスが「不正確で誤解を招く内容が多数含まれている」と反論した。(2016/12/22)

飛行中の航空機をハッキング――機内システムの脆弱性を突く攻撃、セキュリティ研究者が実験
航空機の機内エンターテインメントシステムの脆弱性を突けば、機内を混乱に陥れることもできるかもしれない、とセキュリティ企業のIOActiveが検証。「高度なスキルを持った人物の攻撃に対し、機内システムが抵抗できるとは思えない」と研究者は指摘する。(2016/12/21)

必要なのは、技術的な知見と「あれ、おかしいな」と気付く感性:
千葉大学、学生対象の「セキュリティバグ発見コンテスト」を開催 「きちんと伝える力」を備えたセキュリティ人材の育成に向け
千葉大学が、セキュリティ人材の育成を目的とした「セキュリティバグハンティングコンテスト」を実施する。技術と法律/倫理面で講習を受けた学生に「ライセンス」を与え、実際の大学システムに存在する脆弱性を発見してもらう。独自のルールや仕組みの下で行われる学生向けバグバウンティは国内の大学として初の試みという。(2016/12/16)

「特技はバグ探し」で就活も期待? 千葉大が国内大学初の脆弱性発見イベント
千葉大学は、国内の大学では初という「セキュリティバグハンティングコンテスト」をスタートさせた。学生限定の取り組みながら、セキュリティの向上と人材の育成につなげるのが狙いだ。(2016/12/16)

Firefoxの更新版「50.1」公開、深刻な脆弱性を修正
「Firefox 50.1」「Firefox ESR 45.6」では13件の脆弱性が修正された。(2016/12/15)

Netgear、ルータの脆弱性に対処するBETAファームウェアを公開
Netgearのルータの脆弱性を突くコードが公開されていた問題で、同社がBETAファームウェアを公開し、脆弱性を修正したことを明らかにした。(2016/12/14)

macOS SierraやSafari、Windows向けiCloudとiTunesの更新版公開 深刻な脆弱性が多数
「macOS Sierra 10.12.2」「Safari 10.0.2」、Windows向けの「iCloud for Windows 6.1」「iTunes 12.5.4 for Windows」では深刻な脆弱性が多数修正された。(2016/12/14)

IEユーザーを狙った標的型攻撃も:
Flash Playerの脆弱性突く攻撃を確認、直ちにアップデート適用を
AdobeはFlash Playerなど複数の製品の脆弱性を修正するアップデートを公開した。FlashではIEを狙った攻撃の発生も確認されている。(2016/12/14)

Microsoft、12件の月例セキュリティ情報を公開 IEやEdgeに「緊急」の脆弱性
最大深刻度は12件のうち6件を同社の4段階評価で最も高い「緊急」、残る6件は上から2番目の「重要」に指定している。(2016/12/14)

その知識、ホントに正しい? Windowsにまつわる都市伝説(73):
Shift+F10キーの仕様が危ない理由――Windows 10の機能更新で表面化した脆弱性問題とは?
Windowsセットアップの実行中に使える[Shift]+[F10]キーは、コマンドプロンプトを開いて作業できるという、古くからある裏技的な仕様です。Windows 10の機能更新では、この古くからの仕様が重大な脆弱性になることが専門家から指摘されました。(2016/12/14)

ロック画面から写真や連絡先にアクセスされる恐れ:
「iOS 10.2」、iPhoneやiPad向けに公開 計12件の脆弱性を修正
「iOS 10.2」「watchOS 3.1.1」「tvOS 10.1」ではロック画面からのアクセスに関する脆弱性や、任意のコード実行の脆弱性などが修正された。(2016/12/13)

任天堂が3DSの脆弱性情報提供者に最大230万円の報奨金 海賊版や改造への対策に
海外で実施されたプログラムだが、英文での報告であれば日本からでも参加可能。(2016/12/13)

Netgearのルータに脆弱性、米CERT/CCが当面の使用停止を勧告【更新】
脆弱性は簡単に悪用できてしまうことから、可能であれば修正パッチが提供されるまで、脆弱性のあるデバイスの使用を中止するようCERT/CCでは強く勧告している。ネットギアジャパンは、近日中にファームウェアを公開するとしている(12月12日18時40分追記)。(2016/12/12)

増加するカードのスキミング
「オンラインショップはセキュリティホールまみれ」と研究者が警告
複数の研究者が、オンラインショップの現状に警鐘を鳴らしている。多くのオンラインショップにセキュリティ上の脆弱性が存在し、カード情報を入手するためのコードが埋め込まれたサイトもあるという。(2016/12/9)

BSDの標準ライブラリに脆弱性、FreeBSDやAppleに影響
影響や危険度は悪用の手段やアプリケーションによる同ライブラリの使われ方によって異なるものの、最悪の場合、root権限で任意のコードを実行される恐れも指摘されている。(2016/12/8)

ソニーの防犯カメラにバックドア、遠隔操作で攻撃に利用される恐れも
カメラの画像や映像を操作したり、Miraiのようなマルウェアに感染させてボットネットのネットワークに組み込んだり、カメラの使用者を監視する目的で使われたりする可能性も指摘されている。ソニーは脆弱性に対処するファームウェアアップデートを公開した。(2016/12/7)

Linuxカーネルの脆弱性「Dirty COW」を修正するパッチ、Android向けにも配信
10月に発覚した「Dirty COW」と呼ばれるLinuxカーネルの脆弱性を修正するパッチが、Android端末メーカーなどのパートナーや、Googleの端末向けに配信された。(2016/12/7)



Twitter&TweetDeckライクなSNS。オープンソースで誰でもインスタンス(サーバ)を立てられる分散型プラットフォームを採用している。日本国内でも4月になって大きくユーザー数を増やしており、黎明期ならではの熱さが感じられる展開を見せている。+ こういったモノが大好きなITmedia NEWS編集部を中心に、当社でもインスタンス/アカウントを立ち上げました! →お知らせ記事

意欲的なメディアミックスプロジェクトとしてスタートしたものの、先行したスマホゲームはあえなくクローズ。しかしその後に放映されたTVアニメが大ヒットとなり、多くのフレンズ(ファン)が生まれた。動物園の賑わい、サーバルキャットの写真集完売、主題歌ユニットのミュージックステーション出演など、アニメ最終回後もその影響は続いている。

ITを活用したビジネスの革新、という意味ではこれまでも多くのバズワードが生まれているが、デジタルトランスフォーメーションについては競争の観点で語られることも多い。よくAmazonやUberが例として挙げられるが、自社の競合がこれまでとは異なるIT企業となり、ビジネスモデルレベルで革新的なサービスとの競争を余儀なくされる。つまり「IT活用の度合いが競争優位を左右する」という今や当たり前の事実を、より強調して表現した言葉と言えるだろう。