電子メールの暗号化に広く使われている規格に、暗号化されたメッセージを攻撃者が平文で入手できてしまう脆弱性が報告された。特にApple Mail、iOS Mail、Mozilla Thunderbirdなどのメールクライアントが危険だという。
現代のCPUに潜んでいる重大な脆弱性「Meltdown」「Spectre」は、今後長きにわたって業界全体に影響を及ぼすことになりそうだ。こうした中、米GoogleのWebブラウザー「Chrome」で付随的被害が生じた。Spectre対策としてChrome 67からデフォルトで有効化された「サイト分離（Site Isolation）」という仕組みによって、メモリー使用量が10～13％増えたという。
JPCERTコーディネーションセンター(JPCERT/CC)は2月23日、「Japan Vulnerability Notes(JVN)」でApache Tomcatの脆弱性について伝えた。対象の脆弱性を悪用されると、予期せぬ情報が窃取されるおそれがある。
2018/03/13 JVN#87226910
Ubuntuチームは2018年4月26日（米国時間）、Linuxディストリビューション「Ubuntu」の新版「Ubuntu 18.04 LTS」を公開した。基本機能のみ導入する「最小インストール」モードの追加やMeltdown／Spectre脆弱性の修正などを施した。
「JIS 27000
AppleがiPhone、iPad、iPod touch向けに「iOS 10.3」をリリースした。「iPhoneを探す」で無線イヤフォン「AirPods」も探せるようになった他、幾つかの新機能が追加され、多数の脆弱性が修正された。
一見、理不尽に思えるこの対策ですが、実際のところは……。
イスラエルのセキュリティ企業CTS-Labsによると、AMDのプロセッサ「Ryzen」と「EPYC」に13件の重大な脆弱性が存在する。
CTS-Labsが行った発表は、セキュリティ企業による誇大宣伝だったのではないかという声が相次いでいる。AMD株の取引にかかわる組織が価格操作を狙ったという説も浮上した。
Struts 2の脆弱性を悪用した不正アクセス被害がまた判明した。
headless曰く、脱獄済みiOS向けアプリストアCydia Storeがアプリ購入機能の提供を終了したそうだ（Redditでの発表、SlashGear、Softpedia、The Verge）。
CydiaのJay Freeman（saurik）氏によると、現在は誰もアプリを購入しなくなったため、Cydia Storeが赤字を出すだけでなく維持していく意欲も失っており、年末までに閉鎖したいと考えていたという。しかし、修正の困難な脆弱性が報告されたことから、計画を前倒しすることにしたとのこと。より正式
ハードウェアブレイクポイント機能なるものが今はあるのか、 ブレークポイントはFF入れるもんだと思っていた
2.1.0-ubuntu5 でのubuntuバージョンを見ずにセキュリティ警告するなんてダメなスキャナーが有ったときにはUbuntu CVE Trackerを参照する
グーグルのセキュリティチーム「Project Zero」が、「Windows 10」に影響する未修正の脆弱性を新たに公表している。
4G LTEネットワークの脆弱性を狙う攻撃手法が多数発見された。電話やテキストメッセージの盗聴や、位置情報や緊急アラートの偽装までもが可能になるおそれがある。
あるセキュリティ研究者が、TwitterにWindowsのゼロデイ脆弱性を公開した。この研究者がTwitter上でWindowsのゼロデイ脆弱性を公開するのは、この2カ月間でこれが2回目だ。
以前からセキュリティの懸念があるUniversal Plug and Play（UPnP）ネットワークプロトコルにおける脆弱性を利用したDDoS攻撃が報告された。
RHEL 6/7のDHCPクライアントパッケージに、クリティカルレベルのコマンドインジェクションの脆弱性が見つかった。
ファックスなど、もはや時代遅れのように感じるかもしれないが、企業では未だによく使われている。
今日の全てのノートPCも影響を受ける、新たな「コールドブート攻撃」が発見された。普段ノートPCを持ち歩いている人は注意が必要だ。
すでにBotからマージリクエスト頂いているから、みんなに提供済みだと思ってた
インテルCEOのブライアン・クルザニッチ氏が、SpectreとMeltdownの脆弱性に対するリスクを低減させるため今年広範に発売する第8世代(Coffee Lake)Xeon およびCoreプロセッサーの再設計を実施したと語りました。
再設計はソフトウェアで修正を進めてきた脆弱性(Spectre Variant 1)、ではなくハードウェアでの修正が必要なSpectre Variant 2、Meltdown Variant 3と称する2種類の脆弱性を修正します。
AMDチップに見つかった一連の脆弱性は大きな波風を立てているが、それは事態が重大だからではない。自らの発見を公表した研究者らの、性急で一般うけを狙ったやり方のせいだ。プロの撮影したビデオと広報担当者のいるバグなど見たことがあるだろうか —— しかしAMDが警告を受けたのはわずか24時間前だ。欠陥は本物だとしてもこうしたやり方は不穏当だ。
問題の不具合を見つけたのはイスラエルのサイバーセキュリティー調査会社のCTS Labsで、欠陥にはRyzenfall、Masterkey、Fall
Linus Torvalds氏は1月28日、「Linuxカーネル4.15」のリリースを発表した。年始に明らかになったCPUの脆弱性Meltdown及びSpectreへの対応が中心だが、通常通りの機能強化も多数行われている。 ニュース オープンソース デベロッパー Linux 末岡洋子 関連記事Linuxカーネル4.14リリース、x86_64環境でのメモリ上限が拡大される
Linuxカーネル4.13リリース
「Ubuntu 17.10」公開、デスクトップ環境をGNOMEに移行
Googleは8月30日、暗号ライブラリ「Tink」を発表した。多言語・マルチプラットフォーム対応などが特徴で、Google社内では「Google Pay」などの製品のデータ保護に使われているという。 ニュース オープンソース デベロッパー 末岡洋子 ライブラリ 関連記事Google、Gmailメール暗号化のためのChromeアプリケーション「E2EMail」をオープンソースで公開
Googleのセキュリティチーム、暗号化ソフトウェアの脆弱性テストセット「Project Wycheproof」を発表
GCC（GNU Compiler Collection）開発チームは5月2日、コンパイラコレクション「GCC 7.4」を公開した。バージョン7系の最新版となり、200近くのバグが修正された。 ニュース オープンソース デベロッパー 開発ツール 末岡洋子 関連記事「LLVM 7.0」リリース
8系最初のポイントリリースとなる「GCC 8.2」が公開
「GCC 8.1」リリース
「GCC 7.3」リリース、CPUの脆弱性「Spectre」への対応も含む
ニュース Microsoft、6月の月例セキュリティアップデートを公開、“Spectre V4”緩和策を導入 Windows、IE、Edge、Officeなどの製品が対象。Adobe Flash Playerは定例外で公開済み - 樽井 秀人 2018年6月13日 12
by NDRU 今月も毎月更新されるWindowsのセキュリティ更新やバグ修正が配信されるWindows Updateの日がやってきました。今月は緊急が19件、重要が39件、合計60件の脆弱性にパッチがあてられています。早めにアップデートしておきましょう。 2018 年 8 月のセキュリティ更新プログラム (月例) – 日本のセキュリティチーム https
ニュース 「Google Chrome 67」が正式版に ～“Spectre”脆弱性の緩和策“サイト分離”をテスト “High”9件を含む34件の脆弱性も修正 - 樽井 秀人 2018年5月30日 06
ニュース OSの最大深刻度は“緊急” ～Microsoft、2018年9月のセキュリティ更新プログラムを公開 Windows Server 2008で“ロールアップ”方式のアップデートが始まる - 樽井 秀人 2018年9月12日 15
2019-02-26 to abs, chromeウェブストア, chrome拡張機能, google chrome, googlenews, javascript, policy, security, アプリ, サポート, サーバー, セキュリティ, ツール, データ, ドメイン, プライバシー, ライブラリ, 企業, 安全, 研究者, 米国, 脆弱性, 調査結果, 開発 by takuya
by bruce mars OSの定期的なアップデートはOSの脆弱性を修復したり、新たな機能を追加したりするために必要なことです。しかし、Windows10のアップデートはデバイスの使用中にインストールが開始されるため、ユーザーがPCを使用している最中に突然再起動が始まってしまうことがあります。Microsoftではそんな事態を回避するため、「機械学習を用いてPC使用中にWindows10がアップデートしないように模索している」と報じられました。 Windows 10 now uses machine l
ニュース 「Git」に複数の脆弱性、修正版が公開 ～Microsoftは「Git for Windows」の更新を推奨 細工のあるレポジトリをサブモジュール込みでクローンすると任意のコードが実行される - 樽井 秀人 2018年5月30日 14
ニュース 「Node.js」の2018年8月セキュリティ更新が公開 ～「OpenSSL」もアップグレード 「Node.js」では2件の脆弱性が修正される - 樽井 秀人 2018年8月17日 06
ニュース 「Node.js」に複数の脆弱性、修正版v10.4.1/9.11.2/8.11.3/6.14.3が公開 脆弱性もサービス拒否（DoS）につながる恐れ - 樽井 秀人 2018年6月14日 14
iOS 12にはパスコードを入力せずに端末内にアクセスできる脆弱性が発見されていましたが、最新のiOS 12.0.1でもなお「VoiceOver」機能を使って、パスコードロックをバイパスし、端末内の写真にアクセスするバグが発見され、YouTubeムービーで公開されました。 Passcode Bypass iOS 12 - 12.0.1 - YouTube 上記ムービーの操作を参考に、最新版のiOS 12.0.1にアップデートしたiPhone XSを使って、VoiceOver機能を利用してパスコードロックを
Intelのプロセッサに、深刻な脆弱性「Foreshadow」が新たに発見された。 この問題を発見した研究者らによれば、「ForeshadowはIntel製プロセッサに対する投機的実行を利用した攻撃で、これを利用することで、攻撃者がパソコンやサードパーティーのクラウド内に保管している機密情報を盗むことが可能になる。Foreshadowには2つのバージョンが存在し、最初に発見された攻撃は、Software Guard Extentions（SGX）エンクレーブからデータを抽出するよう設計されており、次世代バ
ソフトバンクは9月28日、IoT（Internet of Things）デバイスにIPアドレスを割り当てることなくデータ通信を行える新技術「NIDD」（Non-IP Data Delivery）の商用環境での接続実験に、世界で初めて成功したと発表した。今後サービス事業者を募り、商用環境での試験サービスを始める。 NIDDは、IoTデバイス向けLTE通信規格「NB-IoT」向けに3GPPが新たに規格化した通信技術。インターネットプロトコルを使わず、IPアドレスの割り当てが不要なため、IoTデバイスを狙った悪
Windows Server 2008サポート終了に伴う移行支援策を発表 「現在、Windows Server 2008は全国で約54万台稼働しているが、そのサーバ全てを2020年1月までにクラウドをはじめとした新しい利用環境に移行していただけるよう、戦略パートナーとともにしっかりと支援していきたい」――。 日本マイクロソフトの高橋美波 執行役員常務パートナー事業本部長は、同社が先頃開いた「Windows Server 2008」および「SQL Server 2008」のサポート終了に伴う新しい利用環境へ
期待のネット新技術 暗号化方式に「AES」を採用した「IEEE 802.11i」や「WPA2」、11n普及とともに浸透 【利便性を向上するWi-Fi規格】（第10回） - 大原 雄介 2018年9月25日 06
米Googleは、Mac/Windows/Linux向けのWebブラウザ「Chrome 71」の安定版を正式公開しました。今年11月から予告されていた新バージョンが、ようやくリリースされたかたちです。Chrome 71は、インターネット上にまん延する詐欺広告を排除することに重きを置いたもの。1つには、Googleが「不快な経験」と定義する挙動が含まれるWebサイトから、一切の広告が排除されて表示されます。 ここでいう「不快な経験」とは、閲覧者の意図しない挙動をする仕掛け全般です。偽のシステムダイアログや警
Linuxカーネルのバージョン4.9以降におけるネットワーク関連のシステムコールに、DoS攻撃を許してしまう脆弱性が存在しているという。カーネギーメロン大学（CMU）のセキュリティ研究機関であるCERT Coordination Center（CERT/CC）の研究者らが警告した。 米国時間8月6日付けで公開されたCERT/CCの情報によると、Linuxカーネルのこれらのバージョンは「受信したすべてのパケットに対して、tcp_collapse_ofo_queue()とtcp_prune_ofo_queue
United States Computer Emergency Readiness Team (US-CERT)は11月19日(米国時間)、「Google Releases Security Updates for Chrome｜US-CERT」において、Chromeに脆弱性が存在すると伝えた。この脆弱性を突かれると、影響を受けたシステムの制御権が乗っ取られる危険性があるとされている。Windows版、macOS版、Linux版のChromeが対象。 脆弱性に関する詳細は次のページにまとまっている。 S
ニュース 「macOS Mojave 10.14.1」が公開 ～32人まで参加できるFaceTimeと新しい絵文字を追加 多数の脆弱性を修正。「High Sierra」「Sierra」「Safari」にもセキュリティ更新 - 樽井 秀人 2018年10月31日 13
ニュース Windows 10にゼロデイ脆弱性、“GitHub”でデモコードが公開される Windows 8.1およびそれ以前のバージョンには影響なし - 樽井 秀人 2018年10月24日 13
2018年8月29日からアメリカで開催されている「Open Source Summit 2018」で、Linux開発者のグレッグ・クロー＝ハートマン氏がIntel製CPUに存在した「Spectre」と「Meltdown」の脆弱性情報について、「Intelの開示があまりにも遅かったために、多くのLinux開発者が大変な思いをした」ことを明らかにしました。 Linux Kernel Developer Criticizes Intel's Meltdown Disclosure http
米Appleが9月24日に公開したmacOSの新バージョン「Mojave」（10.14）について、ユーザーの情報を流出させてしまう未解決の脆弱性が見つかったとして、著名セキュリティ研究者のパトリック・ウォードル氏がデモ映像を公開した。 Appleは同日公開したセキュリティ情報で、Mojaveでは8件の脆弱性を修正したことを明らかにしているが、この中にウォードル氏の指摘する脆弱性は含まれていない。 ウォードル氏によると、情報流出の脆弱性は、Mojaveで追加された新機能の「ダークモード」に存在する。同氏がV
Intelのプロセッサーに「Forshadow(L1 Terminal Fault)」と呼ばれる深刻な脆弱性が発見されました。この脆弱性を突かれた場合、OSやOS上で動作する仮想マシンのメモリなどの情報を第三者に盗み取られる可能性があるとのこと。この脆弱性が一体どのようなものなのか、RedHatが解説しています。 L1TF Explained in 3 Minutes from Red Hat - YouTube IntelのプロセッサーからSpectreとMeltdownのバグが発見されたことから、多く
LinuxのGUIインタフェースに使われているX.OrgのXサーバに特権昇格の脆弱性が発見され、主要Linuxディストリビューションがセキュリティ情報を公開している。 10月25日に公開されたX.Orgのセキュリティ情報によると、脆弱性は、X.Org Xサーバのコマンドラインパラメータの不適切な検証に起因する。Xサーバが高い権限で実行されている場合（例えば「setuid」でインストールされるなど）、特権を持たないユーザーがこの問題を突いて権限を昇格したり、任意のファイルを上書きしたりできてしまう恐れがある
Huawei製品に搭載されている、あるソフトウェア製品のサポートが間もなく終了し、セキュリティアップデートが適用されなくなるという。Reutersが米国時間8月5日に報じた。 問題となっているソフトウェアは、米企業Wind River Systemsが開発した「VxWorks」というOSの特定バージョンだ。HuaweiはこのOSを自社製品に採用している。 VxWorksのうたい文句は「業界の先端を行き、30年以上の実績を誇る、組み込み型デバイス／システム向けリアルタイムOS（RTOS）」というものであり、
ニュース HTTP接続サイトは“安全でない”サイト扱いに ～「Google Chrome 68」が正式公開 “iframe”リダイレクトを悪用する広告をブロックする仕組みも。脆弱性修正は42件 - 樽井 秀人 2018年7月25日 07
ニューヨーク（ＣＮＮ Ｂｕｓｉｎｅｓｓ）米グーグルは１２日までに、同社のソーシャルネットワーク「Ｇｏｏｇｌｅ＋（グーグルプラス）」について当初の予定よりも前倒しでサービスを終了 ...
パスワードマネージャーなど、コンピュータセキュリティにとって重要な10以上のアプリケーションに、プロセス間通信を横取りする攻撃に対する脆弱（ぜいじゃく）性があることが ...
連載「OSS脆弱性ウォッチ」では、さまざまなオープンソースソフトウェアの脆弱性に関する情報を取り上げ、解説する。今回は、LibSSHを「サーバとして」用いた場合にのみ ...
Android端末には生産段階で脆弱性が“仕込まれて”いる──。そんな事実が、米政府の支援を受けたセキュリティ企業の調査で明らかに.
米Appleは12月5日（現地時間）、「macOS Mojave 10.14.2」をリリースした。「macOS Mojave」のユーザーは、無償でアップデートできる。 本バージョンは安定性、互換性、 ...
米Googleは12月12日（現地時間）、Webブラウザー「Google Chrome」の最新安定版v71.0.3578.98を公開した。本バージョンは脆弱性を修正したセキュリティアップデート ...
2019-04-08 to exo, google chrome, googlenews, intel, javascript, web, オープンソース, セキュリティ, ブラウザ, 企業, 研究者, 脆弱性, 開発 by takuya
比較的安全な通信手段と見られていたカラーFAXにハッキング事例が報告され脆弱性があるとされた問題が騒ぎになっています。
