「US-CERT」関連の最新 ニュース・レビュー・解説 記事 まとめ

CISA「バッドプラクティス」に単一要素認証を追加
US-CERTは「バッドプラクティス」（セキュリティリスクの高い悪しき慣行）のリストに「単一要素認証」を追加した。特に重要インフラストラクチャや国家基幹機能サービスでの単一要素認証のみの利用は推奨できないとしている。（2021/9/1）

OpenSSLにDoS攻撃を引き起こす脆弱性　迅速なアップデートの適用を
US-CERTは、広く利用されるSSL/TSLライブラリ「OpenSSL」に脆弱性が発見されたと伝えた。脆弱性を利用されるとサービス運用妨害（DoS：Denial of Service）が引き起こされる危険性がある。（2021/8/27）

Exchange Serverの脆弱性情報まとめ　US-CERTが連日注意喚起を発する異例の事態に
2021年3月に入ってからMicrosoft Exchange Serverの脆弱性に関する発表が続いている。次々と新しい情報がでていることから、対応済みの場合も、新しいセキュリティアドバイザリや当局からの発表をくまなく確認する必要がある。（2021/3/8）

動的IPアドレスは2000以上：
北朝鮮のマルウェア「Volgmer」、米当局がIPアドレスなど公表
US-CERTは、Volgmerが使っているIPアドレスなど感染の兆候となる情報や特徴を公開し、組織に対策を促している。（2017/11/16）

WordPressの更新版「4.8.3」公開、SQLインジェクション誘発の恐れ
米セキュリティ機関US-CERTも、脆弱性を悪用されればリモートの攻撃者にセンシティブな情報を取得される恐れがあるとして、ユーザーや管理者に対応を呼び掛けた。（2017/11/2）

Google、「Chrome 62」の脆弱性を修正　DoS誘発の恐れ
米US-CERTはこの問題について、悪用されればサービス妨害（DoS）状態を誘発される恐れがあるとして、アップデートの適用を呼び掛けている。（2017/10/30）

Windowsの通信プロトコルに脆弱性報告、SMB v1は無効化を
SMBの潜在的な脆弱性に関する情報が公開されたとして、SMBのレガシーバージョンを無効にするなどの対策を徹底するよう米US-CERTが呼び掛けた。（2017/1/18）

Appleが「iOS 10.1.1」公開、不具合やセキュリティ問題を修正
米セキュリティ機関のUS-CERTによると、一部の脆弱性を悪用されればリモートの攻撃者にシステムを制御される可能性がある。（2016/11/1）

大規模DDoS攻撃横行の恐れ、IoTマルウェア「Mirai」のソースコード公開で米機関が注意喚起
マルウェア「Mirai」による大規模DDoS攻撃の危険が高まったとして、米US-CERTなどがIoTデバイスのデフォルトのパスワードを変更するといった対策を促している。（2016/10/17）

「BIND 9」の更新版公開、DoSの脆弱性に対処
悪用されればサービス妨害（DoS）攻撃を仕掛けられる恐れがあるとして、米セキュリティ機関のUS-CERTも更新版の適用を呼び掛けている。（2016/9/29）

「ファイアウォールやIDSだけではネットワークを守れない」――米国の警戒発動
世界的にネットワーク機器を狙う攻撃が増えており、「周辺デバイスだけでは、もはやサイバー侵入からネットワークを守ることはできなくなった」とUS-CERTは指摘する。（2016/9/9）

ランサムウェア被害続出で米政府が注意喚起、「身代金を払ってはダメ」
「支払いに応じたとしても、暗号化されたファイルが戻る保証はない。例えファイルの暗号が解除されても、マルウェアそのものが削除されたわけではない」とUS-CERTは指摘している。（2016/4/5）

Joomlaの更新版が公開、深刻な脆弱性を修正
JoomlaなどのCMSについては、脆弱性を悪用されてサイバー攻撃に利用されるケースが後を絶たないとして、US-CERTが以前から対策を促していた。（2015/12/24）

サイバー攻撃で狙われるすごく危険な脆弱性、4ベンダー30種が公開
システムにパッチを当てない状態が長引くほど、脆弱性を突かれる危険は高まる。「標的型攻撃の85％は防止できる」とUS-CERT。（2015/5/1）

「Firefox 37.0.2」が公開、新たな脆弱性を修正
リモートの攻撃者にシステムを制御される恐れがあるとして、米US-CERTもアップデートの適用を呼び掛けている。（2015/4/23）

Lenovo、不正ソフトの削除ツール公開　他のアプリに影響も
US-CERTによると、LenovoのノートPCにプリインストールされていたSuperfishには重大な脆弱性があり、暗号化されたWebブラウザのHTTPS通信をリモートの攻撃者に読まれたり、Webサイトを偽装されたりする恐れがある。（2015/2/23）

Ciscoのサーバ用管理サービスに脆弱性、US-CERTが注意喚起
攻撃を受けて反応しなくなったIMCは、ブレードの電源スイッチを使って再起動するなど物理的な対応を迫られる可能性が高いという。（2014/9/12）

「UPnP」に脆弱性見つかる、ルータなど数千万台に影響
脆弱性に対処した更新版の「libupnp 1.6.18」が公開されたが、パッチが行き渡るまでには時間がかかる見通し。US-CERTでは、可能であればUPnPを無効にするなどの対策を促している。（2013/1/30）

必要なければJavaは無効に――今後も攻撃は続くと米機関が予想
どうしてもJavaを実行する必要がない限りは無効にするようUS-CERTは助言する。今回修正されたのは、攻撃に利用されていた2件の脆弱性のうちの1件にすぎないとの指摘もある。（2013/1/16）

ブラウザ設定変更で無効化を推奨：
Java 7に未パッチの脆弱性、すでに攻撃も発生
US-CERTは米国時間の1月10日、Java 7 Update 10以前に、任意のコード実行につながる深刻な脆弱性が存在することを報告し、注意を呼び掛けた。（2013/1/11）

Javaに新たな「ゼロデイ」の脆弱性、既に悪用攻撃も横行
悪名高い「Blackhole」や「Nuclear Pack」などのツールキットが既にこの脆弱性を悪用しているという。US-CERTはWebブラウザでJavaを無効にする対策を奨励している。（2013/1/11）

ハリケーン「アイリーン」に便乗の詐欺メールに注意を　US-CERT
アイリーンに関連した件名、添付ファイル、リンクを含んだメールには注意が必要だ。（2011/8/30）

3D表示規格の「WebGL」に深刻なセキュリティ問題、主要ブラウザに影響
WebGLはFirefox 4とGoogle Chromeではデフォルトで有効にされ、AppleのSafariにも組み込まれている。US-CERTはWebGLを無効にすることを勧告している。（2011/5/11）

大手メーカーのUSB充電器用ソフトにバックドア見つかる
US-CERTによると、米大手メーカーが配布しているUSB充電器用ソフトにバックドアが仕込まれていることが分かった。（2010/3/8）

気を緩めるのは早い：
Conficker.Cの危険は去らず、世界の感染率は4％に
4月1日を過ぎても警戒を解いてはいけないと、US-CERTは警鐘を鳴らしている。（2009/4/6）

金銭や個人情報を盗難：
景気刺激策に便乗するフィッシング詐欺に注意
FTCやUS-SERTは、米政府の発表した景気刺激策に便乗する詐欺行為が増加しているとして警戒を呼び掛けた。（2009/3/9）

機能するやり方を：
「MSのAutorun無効化方法は不適切」とUS-CERTが指摘
US-CERTのアラートによると、Microsoftの方法ではWindowsのAutorun機能を適切に無効化できないという。（2009/1/21）

不正サイトでの悪用も：
SSL証明書の偽造に成功、ハッシュ関数の脆弱性を応用
US-CERTや米Microsoftは、MD5はもはや安全ではないと指摘して利用中止を促している。（2009/1/6）

ターゲット型攻撃も多発：
MSのAccessビュワーに未修正の脆弱性
Microsoft Access用のSnapshot Viewerに未修正の脆弱性が発見され、MicrosoftとUS-CERTが注意を呼び掛けている。（2008/7/8）

GNOME Evolutionに脆弱性。Linuxベンダーがアップデート公開
GNOMEの個人情報管理ツール「Evolution」に脆弱性が見つかり、US-CERTがアップデート適用を呼びかけている。（2008/3/10）

FirefoxとOperaにビットマップ処理の脆弱性
US-CERTはFirefoxとOpera最新版へのアップデートを勧告している。（2008/2/19）

Leopardのファイアウォール問題でUS-CERTが注意喚起
ファイアウォールの設定状態をユーザーが誤認識する可能性が指摘された。SkypeやWorld of Warcraftが機能しなくなるという報告も。（2007/11/7）

AxisのネットワークカメラにXSSの脆弱性
US-CERTによると、Axis Communicationsのネットワークカメラに関する脆弱性情報が公開されたという。（2007/10/4）

GoogleがGmailの脆弱性に対処、ただし注意も必要
Gmailに見つかったクロスサイトリクエストフォージェリ（CSRF）の脆弱性についてUS-CERTがアラートを公開した。（2007/10/2）

Firefox関与のQuickTime脆弱性、US-CERTなどが危険度「高」と評価
細工を施したQuickTimeファイルをユーザーが開くと、任意のコードを実行されてしまう恐れがある。（2007/9/17）

Yahoo! Messengerの脆弱性確認、Webカメラの招待に注意
中国語フォーラムに投稿されたゼロデイ脆弱性情報を、US-CERTやMcAfeeが確認した。（2007/8/17）

Storm Wormがまた浮上、グリーティングカードスパムで拡散
Storm Wormを使ったスパムメールが再び出回っているとして、US-CERTやWebsenseがアラートを出した。（2007/8/15）

MSのDirectX Media SDK脆弱性でエクスプロイトコードが登場
US-CERTによると、FlashPix ActiveXコントロールの脆弱性を突いたエクスプロイトが公開された。（2007/8/15）

WindowsのGDI+に未パッチの脆弱性、ただし影響は軽微？
US-CERTのアラートによると、GDI+のICO解析コンポーネントに整数ゼロ除算の脆弱性が存在する。（2007/6/7）

Google Readerにログイン妨害の脆弱性
US-CERTのアドバイザリーによると、GoogleのRSSリーダーにXSRFの脆弱性が存在し、悪用されるとサービスにログインできなくなる可能性がある。（2007/4/19）

Intel Centrinoの無線LANアダプタドライバに脆弱性
US-CERTによると、Intel CentrinoワイヤレスアダプタのWindows用ドライバに脆弱性が存在する。（2007/4/6）

Solarisのtelnetにゼロデイの脆弱性
Solarisのtelnetデーモンにゼロデイの脆弱性が発見された。US-CERTやSANSはSolarisのtelnetを無効にするよう強く勧告している。（2007/2/13）

QuickTimeの脆弱性でUS-CERTがアラート公開
「MySpaceワーム」にも利用されたApple QuickTimeの脆弱性について、US-CERTがアラートを公開して注意を促した。（2007/1/13）

アルカイダが米金融機関にサイバー攻撃？
アルカイダが米金融機関にサイバー攻撃を仕掛けるかもしれないとして、US-CERTが警戒を呼び掛けた。（2006/12/2）

Sober亜種の二次攻撃？　US-CERTなどが再度注意呼びかけ
Soberワームの亜種が1月5日以降に仕掛ける攻撃に備え、US-CERTや複数のセキュリティ企業が警告を発した。幸いにして今のところ、大きな被害は報告されていない模様だ。（2006/1/5）

マルウェア共通命名計画が10月に始動へ
US-CERTはMitreなどとともに、ウイルスやワーム、悪意あるコードに対する共通の命名プログラムを10月より開始する計画だ。だが同計画の行く手には障害も残っている。（2005/9/30）

「Netscape Directory Server」など複数のLDAPサーバに脆弱性
JPCERT/CCやUS-CERTは1月11日、LDAPを実装したディレクトリサーバのいくつかにバッファオーバーフローの脆弱性が存在するとし、情報を公開した。（2005/1/13）

そろそろIEを捨てる時？
US-CERTはIEの脆弱性報告が相次いでいることを受けて、IE以外のブラウザへの乗り換えを勧めている。IEを捨てて別のブラウザに走ることで、セキュリティ問題は解決されるのだろうか？（IDG）（2004/9/2）

TCPにDoS攻撃を可能にする脆弱性
NISCCやUS-CERTなどが、TCPの脆弱性に関する警告を発している。これを悪用するとDoS攻撃が可能になり、「インターネットの大きなパイプを扱う」BGPにも影響する恐れがある。（IDG）（2004/4/21）