セキュリティホール memo - 2009.07

このページの情報を利用される前に、注意書きをお読みください。

• 》 日本医師会 市民公開講座「新型インフルエンザ(H1N1)の教訓」 (日本医師会)。 2009年09月05日、東京都文京区、無料。taka さん情報ありがとうございます。

• 》 NGNのIPv6接続方式が固まる,申請通りトンネルとネイティブの2案が認可へ (日経 IT Pro, 7/29)

• 》 IMSS 7.0 Linux 版 Service Pack 1 Patch 1 の公開が再開されています。藤井さん情報ありがとうございます。

• 》 Common Management Agent / McAfee Agent とその役割について (マカフィー, 7/31)

• 》 ASISインターナショナル日本支部、次回のセキュリティミーティング (2009年08月18日) は「お詫びHPの分析−横浜市の事例を中心として」だそうで。

• 》 マグナ・カルタとアンネ・フランクの日記を世界記憶遺産に登録:UNESCO (国連情報誌SUNブログ対応版, 7/31)

• 》 DNSセキュリティ拡張の実装を促進するオープンソースプロジェクトOpenDNSSEC (sourceforge.jp, 7/31)

• 》 静かすぎるハイブリッド車にまつわる難問── 音を出すシステムには厄介な「副作用」がある (日経 IT Pro, 7/23)

• 》 違法配信の利用促すムック本が後を絶たず、レコ協が対策で苦慮 (Internet Watch, 7/30)

• 》 ハードディスク全体のイメージをバックアップする「Macrium Reflect」 (日経 IT Pro, 7/23)

• 》 車両回路ショート、変電所ブレーカー落ちず 京葉線不通 (asahi.com, 7/31)

  [引用] 電車は通常、架線から取り込んだ電流でモーターを回し、残った電流はレールを介して変電所に戻る。しかし、今回は電流がモーターに流れず、そのまま線路に流れたため、過大な状態で変電所に戻ったとみている。過大な電流をカットするための変電所のブレーカーも機能せず、火災につながったという。
  JR東は火災による停電が起きた後、別の二つの変電所から送電して復旧を試みたが、問題の電車が線路上にあったため、過大な電流がこの変電所にも送られて送電が止まる事態が繰り返された。このため、全面復旧まで7時間もかかったとみられる。

  うーむ、反射攻撃ですか。キングシーサーか。

• 》 マイクロソフト伝説の「闘うプログラマー」に関する3年前の誤報 (日経 IT Pro, 7/27)。デイブ・カトラーは Windows Azure をやってました話。

• 》 非正規労働者:23万人が失職、派遣が6割で最多 7月 (毎日, 7/31)

• 》 F22追加生産、米議会が断念 下院も修正案を可決 (asahi.com, 7/31)

• 》 「多国籍軍」→「イラク米軍」 7月末で他国軍は撤退 (asahi.com, 7/31)

• 》 インフル薬にお茶の力 カテキン加工、タミフルより効果 (asahi.com, 7/30)。緑茶おそるべし。

• 》 「決着の夏、杉並集会」に満杯の参加者 (保坂展人のどこどこ日記, 7/31)。あと 1 か月ですね。

• 》 GREEが18歳未満を「ゾーニング」、携帯フィルタリングで年齢確認 (Internet Watch, 7/30)。mixi につづいて GREE でも。

• 》 第9回神戸情報セキュリティ勉強会「セキュメロ」のご案内。 2009年08月29日、兵庫県神戸市、無料。

• 》 どうすればSEは狩猟民族的になるか? (日経 IT Pro, 7/24)

• 》 開発者の皆さん,「オペミス」を気にしていますか? (日経 IT Pro, 7/24)

• 》 中国、資源の宝庫が火薬庫に 新疆ウイグル自治区はエネルギー戦略の要衝 (日経ビジネス, 7/23)

• 》 検出率99.9%の法人向けウイルス対策製品「G Data」が日本進出 (Enterprise Watch, 7/31)。日本でも法人向け製品を売ることになったようで。 目前に迫った岬ちゃん時代への対応かしら。

• 》 Alan Cox、Linusからの厳しい指摘に「もうたくさんだ」と言い残してTTYのメンテから降りる (slashdot.jp, 7/30)。Time To Say Goodbye.

BIND Dynamic Update DoS

関連:

• Correction to signatures on yesterday's BIND 9 releases (ISC, 2009年07月29日)。匿名希望さん情報ありがとうございます。

• ISC BIND 9 Remote Dynamic Update Message Denial of Service PoC (milw0rm)

• BIND9 Dynamic DNS の脆弱性について (ntt.com, 2009年07月30日)

Potential Adobe Reader, Acrobat, and Flash Player issue

新 Flash Player / AIR 出ました: APSB09-10: Security updates available for Adobe Flash Player

安定性の向上が主なようだが、少なくともこれ↓はセキュリティ欠陥の修正のように見える。

[引用] 6. Vulnerability that allowed disabling of computer protection using an external script has been eliminated.

Flash Player 9.x / 10.x および Adobe AIR version 1.5.1 以前に、 CVE-2009-1862 ねたや MS09-035 ねたを含む複数の欠陥。 Flash Player 9.0.246.0 / 10.0.32.18 および AIR version 1.5.2 において修正されている。

• Get Flash Player (Adobe)

• Flash Player ダウンロード (Adobe)

• Adobe AIR ダウンロード (adobe)

Download Adobe Flash Player (adobe) の記述によると、Flash Player 9.x は 2009年10月31日 までしか維持されないようだ。Flash Player 9 利用者は、速やかに Flash Player 10 に移行しよう。

2009年08月01日 追記:

bulletin の題名が「Security updates available for Adobe Flash Player」から 「Security updates available for Adobe Flash Player, Adobe Reader and Acrobat」 に改訂され、Adobe Reader / Acrobat 9.1.3 が公開されました。

• Adobe Reader for Windows

• Adobe Reader for Macintosh

• Adobe Reader for Unix

• Acrobat for Windows

• Acrobat 9 Pro Extended for Windows

• Acrobat for Macintosh

2009年08月03日 追記:

記事中の Flash Player のダウンロードリンクのリンク先を変更した。

当初掲載していたのは APSB09-10 の公開直後のページに記載されていたリンクのはずで、そこに MSI パッケージなどがあったので驚いて「別途許諾を取得する必要はなくなったようだ」という記載を行ったと記憶している。 のだが、現在の APSB09-10 にあるのは別のページへのリンクで、yuu さんや山下さんから懸念のメールを頂いた (ありがとうございます)。

APSB09-10 の魚拓を取ってないので当初どうだったのかを確認できないのだが、少なくとも現状においては直リンクが想定されていないページとなっているようなので、ダウンロードリンクのリンク先を変更した。

GJ。

• 》 JR京葉線:「暑くて死ぬ」本紙記者乗り合わせ (毎日, 7/30)、 JR京葉線:運転再開 11万8千人に影響 (毎日, 7/30)

  [引用] 同2時半ごろ、車両はゆっくり新木場駅へ戻り始めたが、ホームの約300メートル手前で停車。2時50分ごろ、線路への誘導が始まったが、出口は最後尾車両の1カ所だけのため全員がはしごを使って線路に降りるまで、約1時間半かかった。

  うぅむ......。

• 》 Linux R&D チームのChallenge (エフセキュアブログ, 7/30)

  [引用] カーネル2.6.25以降、カーネル側でシステムコールテーブルの書き換えを禁止するようになっているため、今までの方法ではリアルタイム検査ができなくなっているのです。(中略) Linux R&D チームは、現在この問題を解決する新バージョンの開発に取り組んでいます。

• 》 グーグル幹部、「マイクロソフトとヤフーの提携はユーザーにとってマイナス」と発言 (ComputerWorld.jp, 7/30)。さすがは Google、笑いを誘いますね。

• 》 自民、自己評価したら「前回公約で未達成なし」 (asahi.com, 7/29)。さすがは自民党、笑いを誘いますね。

• 》 バンキシャ誤報、日テレに検証番組を勧告 (読売, 7/30)

• 》 アフガン:米無人機による攻撃、南部で多発 子供ら犠牲に (毎日, 7/30)。これが USA クオリティ。

• 》 アリコ顧客情報流出:カード不正、2700件に 500件増、さらに拡大の恐れ (毎日, 7/30)。アリコの web ページにはこの情報は (まだ) ないなあ。(16:40)

• 》 サンゴ:オニヒトデの食害で絶滅の危機 和歌山・串本 (毎日, 7/30)。壊滅状態。

• 》 情報流出、法律間に合わず 摘発「奥の手」頼り (asahi.com, 7/29)

  [引用] コンピュータソフトウェア著作権協会の調査では、共有ソフトの利用者は、06年まではネット利用者の3%ほどだったのが、08年には推定約1割まで増えている。

  それ、調査方法が異なるので比較すること自体に意味がないのだが。これが asahi.com クオリティ。

• 》 コソボの独立宣言に関する公判で公聴会を12月に開催:ICJ (国連情報誌SUNブログ対応版, 7/30)

• 》 Black Hat 2009 USA 方面

  • URL Rewriting Session at Black Hat (The Security Development Lifecycle, 7/27)

  • マイクロソフト、IEの新たな脆弱性に対しパッチを緊急公開へ IEのセキュリティ機構「Kill Bit」を回避する攻撃手段を研究者が発見 (ComputerWorld.jp, 7/28)

  • Black Hat USA 2009にてiPhoneのSMSリモートコード実行脆弱性が公表に (エフセキュアブログ, 7/29)

  • BlackHatUSA & DEFCON17 (てっしーの丸出し, 7/28)

  • Black Hat USA 2009 Speaker Materials Now Online (てっしーの丸出し, 7/30)

• 》 チェックしておきたいぜい弱性情報 <2009年7月30日> (日経 IT Pro, 7/30)

• 》 WiiとPS3のセキュリティを再び調べてみた (日経 IT Pro, 7/30)

• 》 www.juniper.net のSSL証明書の有効期限が切れている... (ともちゃ日記, 7/30)。匿名希望さん情報ありがとうございます。

• 》 都会の真ん中でも農業を可能にする「垂直農場」のコンセプトアート (gigazine, 7/30)。とりあえずメンテナンスコストは度外視かな。

• 》 女性は目の前のものを、男性は遠くのものを見るのが得意 (gigazine, 7/30)

• 》 Debianが固定リリースサイクルを採用、1年おきの12月にフリーズ (sourceforge.jp, 7/30)

• 》 タミフル、安価な合成法 原料供給安定 岡山大グループ (asahi.com, 7/27)

  [引用] タミフルは2017年ごろには特許が切れ、後発医薬品(ジェネリック)としての製造販売が可能になる。国内外で10以上のグループが、シキミ酸を用いない新規合成法の開発に取り組んでいる。

• 》 アイヌ:偏見、差別解消へ学校教育充実を 有識者懇報告書 (毎日, 7/29)

• 》 シューマッハーF1復帰へ フェラーリにマッサの代役で (asahi.com, 7/30)。うひゃあ。

• 》 「ロボット倫理学」の現在:ロボットの責任や精神病もテーマに (WIRED VISION, 7/30)

• 》 Twitter 方面

  • Everywhere a tweet, tweet (Sophos blog, 7/30)

  • Twitter spam/phish (SANS ISC, 7/28)

  • Malicious Twitter Posts Get More Personal (trendmicro blog, 7/27)

• 》 楽曲無断使用のYouTubeビデオ、アーティストのアルバムセールスを伸ばす (P2Pとかその辺のお話, 7/28)

• 》 成田空港:東側誘導路の供用スタート (毎日, 7/30)。日本の恥ずかしい玄関、ちょっと改善。

  関連: 成田B滑走路「への字」誘導路改善へ (読売, 7/27)。

• 》 止まらない Yahoo! Japanのフィッシング〜 今月も引き続き大量発生 (so-net セキュリティ通信, 7/28)

• 》 文部科学省、関連サイトが不正アクセス受け改ざん〜ウイルス感染のおそれ (so-net セキュリティ通信, 7/28)

• 》 TrendWatch Relaunch (trendmicro blog, 7/29)

• 》 海上自衛隊ヘリ空母「ひゅうが」、日向市に初寄港 (JANJAN, 7/29)

  [引用] 宮崎県日向市は、建国神話に出てくる「日本海軍発祥之地」でもあり、「ひゅうが」就役時から地元は「初寄港はぜひ日向市へ」と熱い要望が海上自衛隊へ寄せられていた。その念願がかない、7月25日に入港し、26、27日に一般公開された。

• 》 ヒューマンテクノロジーズ、Linux対応の指紋認証開発キット (sourceforge.jp, 7/29)

• 》 ソマリア沖海賊行為に対するアジア太平洋域内の連携強化のためのワークショップの結果概要について (国土交通省, 7/29)

  [引用] (3)わが国の取り組みへの反応
  7月24日(金)の海賊対処法施行後の我が国の最初の護衛活動について、護衛可能な範囲内で日本関係船舶以外の護衛を受け入れる用意があること、そのための申請手続き等について説明するとともに本日(29日:日本時間)から最初の外国船舶の護衛を行う旨発言したところ、諸外国からは大いなる期待と賞賛が示された。

  期待を裏切ることのないように。

  関連: 海賊対処行動:海自艦が初の外国籍船護衛...ソマリア沖 (毎日, 7/29)

• 》 インスパイア、セイバーのエアバッグ死亡事故 リコール (asahi.com, 7/29)。輸入車に問題があるようで、ホンダのリコールのページには情報がない。 リコールの届出について(ホンダオブアメリカ インスパイア 他) (国土交通省, 7/29) を参照。ホンダじゃなくてホンダオブアメリカが届出してるのね。

  BMW も来てますね。輸入代理店が届出してるのかな。

  • リコールの届出について(BMWアルピナ B3ビ・ターボ クーペ) (国土交通省, 7/29)

  • リコールの届出について(BMW BMW335iクーペ 他) (国土交通省, 7/29)

• 》 アンブロークンアロー 戦闘妖精・雪風 (ハヤカワオンライン)。いま読んでいる最中。

  へぇ、「夏への扉」の新訳版が出るのですか。訳者は小尾芙佐氏。 「彷徨える艦隊 3 巡航戦艦カレイジャス」もまもなく登場。

BIND Dynamic Update DoS

BIND 9 DoS attacks in the wild (SANS ISC, 2009年07月29日) だそうです。

Microsoft 2009 年 4 月のセキュリティ情報

You cannot install a Windows Installer package under the Local System context on a Windows XP-based computer that has update KB956572 installed (Microsoft KB 971913)。 MS09-012 patch による副作用の hotfix があるみたい。

The home page of Internet Explorer 7 in Windows Vista is reset after you install the cumulative security update for Internet Explorer MS09-014 (KB963027) (Microsoft KB 973926)。MS09-014 patch による副作用の hotfix があるみたい。

マイクロソフト セキュリティ情報の事前通知 - 2009 年 7 月 (定例外)

関連:

• MS09-035 を WSUS から配布する (Japan WSUS Support Team Blog, 2009年07月29日)

• ATL, MS09-035 and the SDL (The Security Development Lifecycle blog, 2009年07月28日)

• MS09-034: Cumulative security update for Internet Explorer (Microsoft KB 972260)。 Non-security-related fixes that are included in this security update 覧に注意。

• Overview of the out-of-band release (Microsoft Security Research & Defense, 2009年07月28日)

• Internet Explorer Mitigations for ATL Data Stream Vulnerabilities (Microsoft Security Research & Defense, 2009年07月28日)

• ATL vulnerability developer deep dive (Microsoft Security Research & Defense, 2009年07月28日)

• MSVIDCTL (MS09-032) and the ATL vulnerability (Microsoft Security Research & Defense, 2009年07月28日)

• 過去に類を見ないほど"怖い"脆弱性、MSがパッチを緊急リリース 開発ツールのライブラリーに"穴"、他社製品にも影響、Webアクセスだけで被害 (日経 IT Pro, 2009年07月29日)

• Squid Proxy Cache Security Update Advisory SQUID-2009:2 (squid-cache.org, 2009年07月27日)。squid 3.0 / 3.1 に DoS 攻撃を受ける欠陥がある模様。 squid 2.x にはこの欠陥はない。 CVE-2009-2621 CVE-2009-2622

  Squid 3.0.STABLE17 / 3.1.0.12 で修正されている。

• 「VLC Media Player 1.0.1」公開、危険度の高い脆弱性を修正 (Internet Watch, 2009年07月29日)

  関連: [DZC-2009-001] The Movie Player and VLC Media Player Real Data Transport parsing integer underflow.

• URL bar spoofing vulnerability (Mozilla Security Blog, 2009年07月28日)。Firefox 全バージョンが該当、修正版はまだない。

• Cisco Security Advisory: Multiple Vulnerabilities in Cisco Wireless LAN Controllers (Cisco, 2009年07月27日)。 CVE-2009-1164 CVE-2009-1165 CVE-2009-1166 CVE-2009-1167

• JVN#59748723 - MySQL Connector/J における SQL インジェクションの脆弱性 (JVN, 2009年07月29日)

2009年08月04日 追記:

Squid 3.0.STABLE17 なのだが、FreeBSD 上で落ちまくるという話が: [squid-users] Squid 3.0.STABLE17 is available あたりからのスレッド参照。手元の FreeBSD 7.1-RELEASE amd64 でもボロボロ。 STABLE ってレベルじゃない。

当該スレッド上で紹介されている patch は、daily release 版に反映されている模様。

2009年08月05日 追記:

Squid 話つづき。一晩試してみたが、daily release 版 (20090804) でも落ちるなあ。

あと、URL bar spoofing vulnerability (Mozilla Security Blog, 2009年07月28日) については Firefox 3.5.2 / 3.0.13 で修正された模様。 MFSA 2009-44: 不正な URL での window.open() を通じたロケーションバーと SSL 表示の偽装 の件。

2009年09月02日 追記:

Squid Proxy Cache Security Update Advisory SQUID-2009:2 ですが、2009年08月04日 付で出し直しされてますね。Squid 3.0.STABLE17 / 3.1.0.12 は実は未修正で、3.0.STABLE18 / 3.1.0.13 で修正、とされている。 なんじゃそりゃー。

• 最初のバージョン

• 現行バージョン

• 》 住友生命保険、Winnyで従業員情報約1600人分がネット流出と発表 (マイコミジャーナル, 7/29)

• 》 MS09-035 を WSUS から配布する (Japan WSUS Support Team Blog, 7/29)

  [引用] なお、"Microsoft Visual Studio .NET 2003 Service Pack 1 (KB971089)" 用の更新プログラムは、WSUSから配布することが出来ません。 これは、WSUS 3.0がVisual Studio .NET 2005 以降の製品のみを配布対象としてサポートしているためです。
  SMS 2.0 SUSFPもしくはSMS 2003 with SUSFP はVisual Studio .NET 2003 用の更新プログラムを配布できます。 しかし、Visual Studio .NET 2005 以降のバージョンは配布できませんのでご注意ください。

  ややこしや。

• 》 神奈川の生徒情報流出、50歳男逮捕 著作権侵害の疑い (asahi.com, 7/29)。神奈川県立高校生徒情報流出事件の件。

  [引用] 個人情報約2千人分を含むファイルを共有ソフト「シェア」で流出させ、日本IBMの著作権を侵害したとして、警視庁は、東京都八王子市館町、無職川嶋一洋容疑者(50)を著作権法違反容疑で逮捕したと29日発表した。川嶋容疑者は「ファイルの欠陥を指摘したのに無視されたのでやった。シェアで流すことが違法とは知らなかった」と否認しているという。

• 》 40年ぶりの「衆議院解散後の死刑執行」に抗議する (保坂展人のどこどこ日記, 7/28)

マイクロソフト セキュリティ情報の事前通知 - 2009 年 7 月 (定例外)

出ました。

MS09-035 - 警告: Visual Studio の Active Template Library の脆弱性により、リモートでコードが実行される (969706)

Visual Studio .NET 2003 / 2005 / 2008、 Visual C++ 2005 / 2008 再頒布可能パッケージに欠陥。 これらに含まれる Microsoft Active Template Library (ATL) に 3 つの欠陥があり、これを利用して作成されたコンポーネントまたはコントロールに欠陥が生じる。

• ATL の未初期化オブジェクトの脆弱性 - CVE-2009-0901。任意のコードの実行を招く。 Exploitability Index: 1

• ATL COM の初期化の脆弱性 - CVE-2009-2493。 この欠陥によって kill bit を無視することが可能となり、任意のコードの実行を招く。 Exploitability Index: 1

• ATL の Null 文字列の脆弱性 - CVE-2009-2495。情報漏洩を招く。 Exploitability Index: 3

開発環境の欠陥ということで 3rd party アプリが心配なわけですが、たとえば Adobe の場合は、 この欠陥が Flash Player と Shockwave Player に影響していたそうで: Impact of Microsoft ATL vulnerability on Adobe Products (Adobe PSIRT blog, 2009年07月28日)

• Shockwave Player については最新版 11.5.1.601 で修正されている。 APSB09-11: Security update available for Shockwave Player を参照。 APSB09-08: Security Update available for Shockwave Player で公開されていたのは 11.5.0.600 なので注意。

• Flash Player については、 2009年07月30日 (日本時間では 2009年07月31日 だと思われ) に公開される予定の新 Flash Player で修正される。 APSA09-04: Security advisory for Adobe Flash Player を参照。

MS09-034 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (972260)

IE 5.01 / 6 / 7 / 8 に存在する 3 つの欠陥が修正されている。 ただし、Windows 7 上の IE 8 にはこれらの欠陥はない。

• メモリの破損の脆弱性 - CVE-2009-1917。任意のコードの実行を招く。 Exploitability Index: 1

• HTML オブジェクトのメモリの破損の脆弱性 - CVE-2009-1918。任意のコードの実行を招く。 Exploitability Index: 2

• 初期化されていないメモリの破損の脆弱性 - CVE-2009-1919。任意のコードの実行を招く。 Exploitability Index: 2

さらに、MS09-035 に関連した 2 層の防御機構が追加されている。

1. 「ATL ベースの ActiveX コントロールが持続的なデータを読み取る方法を変更」。具体的には、MSVidCtl.dll (MS09-032) でも問題となったコールパターンを削除。 この機構はデフォルトで有効。

2. 「個々のコントロール内の IPersistStream* および IPersistStorage* インターフェイスの実装の使用を制限」。 この機構はデフォルトでは無効であり、有効とするにはレジストリ設定が必要。

マイクロソフト セキュリティ アドバイザリ (973882) Microsoft ATL (Active Template Library) の脆弱性により、リモートでコードが実行される (Microsoft) も参照。

bind 9.x に欠陥。当該サーバにおいて master となっている zone に対して、細工した動的更新メッセージを送るとサーバが終了してしまう。動的更新を無効に設定していても攻撃は成功する。slave な zone に対する攻撃は成功しない。回避策は存在しない。 CVE-2009-0696

bind 9.4.3-P3 / 9.5.1-P3 / 9.6.1-P1 で修正されている。関連:

• (緊急)BIND 9のDynamic Update機能の脆弱性を利用したDoS攻撃について - 緊急のパッチ適用を強く推奨 - (JPRS, 2009年07月29日)

• JVNVU#725188 - ISC BIND 9 におけるサービス運用妨害 (DoS) の脆弱性 (JVN, 2009年07月29日)

• Debian Bug report logs - #538975: bind9 dies with assertion failure (db.c:579) (debian.org)。ソースあり。

2009年07月30日 追記:

BIND 9 DoS attacks in the wild (SANS ISC, 2009年07月29日) だそうです。

2009年07月31日 追記:

関連:

• Correction to signatures on yesterday's BIND 9 releases (ISC, 2009年07月29日)。匿名希望さん情報ありがとうございます。

• ISC BIND 9 Remote Dynamic Update Message Denial of Service PoC (milw0rm)

• BIND9 Dynamic DNS の脆弱性について (ntt.com, 2009年07月30日)

2009年08月14日 追記:

セキュリティアップデート 2009-004 について (Apple, 2009年08月13日)

2009年12月16日 追記:

トレンドマイクロ InterScan MSS がようやく対応:

• InterScan Messaging Security Suite 7.0 Solairs版 Critial Patch(Build_81550) の概要および適用方法 (トレンドマイクロ, 2009年12月15日)

  [引用] なお、弊社がBINDのサポートを行うわけではありませんので、バンドルされているBINDを外部公開に使用することは推奨いたしません。

  なんじゃこりゃ......。

• InterScan Messaging Security Suite 7.0 Windows版 ServicePack1 Patch2(Build_63710) の概要および適用方法 (トレンドマイクロ, 2009年12月15日)

• InterScan Messaging Security Suite 7.0 Linux版 ServicePack1 Patch2(Build_3390) の概要および適用方法 (トレンドマイクロ, 2009年12月15日)

• InterScan Messaging Security Suite 7.1 Linux版 Critial Patch(Build_12412) の概要および適用方法 (トレンドマイクロ, 2009年12月15日)

• 》 前橋気象台、竜巻と断定 風速50〜69mの可能性も (中日, 7/28)。 「バリバリ」ガラス割れ停電 店内パニック 群馬の突風 (asahi.com, 7/27) の件。 竜巻雲の写真は、 横倒しの車、吹き飛ぶ屋根...「茶色い塊が向かってきた」群馬・館林 (産経 MSN, 7/27) の方がわかりやすいか。

• 》 トヨタ、世界販売26%減 日米欧で落ち込み鮮明 (中日, 7/28)。すごい数字だなあ。

• 》 クリエイティブ・コモンズ・ジャパンがフェアユースに関するアンケートを始めました (MiAU, 7/25)。さきほどアンケートに答えてみた。

• 》 児童ポルノ方面

  • MIAU(インターネットユーザー協会)の『児童ポルノ禁止法緊急声明』に賛同する (保坂展人のどこどこ日記, 7/25)、 「児童買春・児童ポルノ禁止法についての緊急声明」のご報告と今後の対応について (MiAU, 7/22)

    [引用] 単純所持罪の新設による過剰な表現規制・インターネット規制等が懸念されていた児童ポルノ法の改正案は、2009年7月21日の衆議院解散に伴い廃案となりました。しかしながら、緊急声明で指摘した下記の5点については、今後も積極的な活動を行っていく必要があるという情勢は変わりないものと認識しております。
    
    1. 児童ポルノの定義を客観的・限定的にすること
    2. 処罰対象を曖昧にせず、客観的にすること
    3. 冤罪の可能性がある処罰の新設ではなく確実な法執行で児童を守ること
    4. インターネットの規制の前に憲法や他の法律等との整合性を取ること
    5. 今後に向け、本当に児童を守るための施策を検討すること

  • 児童ポルノ禁止法・単純所持規制の危うさを毎日新聞が報道 (保坂展人のどこどこ日記, 7/20)、 児童ポルノ禁止法:改正案の課題 与党と民主、異なる「単純所持」定義 (毎日, 7/20)

  • 児童ポルノ禁止法と表現及び言論の自由について (保坂展人のどこどこ日記, 7/18)

  • 児童ポルノ単純所持を犯罪とする海外で何が起きているか (保坂展人のどこどこ日記, 7/15)

  • イタリア「テレホノ・アルコバレーノ」児童ポルノ国別調査は (保坂展人のどこどこ日記, 7/2)

• 》 プリンスホテル:3億円賠償命令 日教組使用拒否問題 (毎日, 7/28)。プリンスホテル全面敗訴。

• 》 X-Force-TLS

  • Locking up the valuables: Opt-in security with ForceTLS (Mozilla Security Blog, 7/27)

  • Force-TLS 1.0.1 (Firefox アドオン)

• 》 Microsoft @ Black Hat 2009 USA

  • 米Microsoft、「Office」攻撃対策など新しいセキュリティツールを発表 (Enterprise Watch, 7/28)。OffVis、Project Quant、Security Update Guide。

    参照: Microsoft, Industry Make Progress Defending Against Online Threats (Microsoft, 7/27)

  • MS、1年前に導入したセキュリティプログラムの成果を報告 (CNET, 7/28)

• 》 死刑3人執行 大阪姉妹殺害・ネット自殺サイト事件など (asahi.com, 7/28)

• 》 ひこにゃん悩ますそっくりキャラ なんと同じ原作者 (asahi.com, 7/28)。原作者がまたもや、懲りずに困ったことをしている模様。 今回も円満解決できるといいのだが。

• 》 トレンドマイクロが企業向けウイルス製品を刷新,パターン配信を10KB未満に (日経 IT Pro, 7/27)。Trend Micro ウイルスバスター コーポレートエディション 10。

• 》 ブラウザの「SSL証明書が無効です」警告は無意味?——研究者らが指摘 大半のユーザーは警告を無視してしまうという調査結果を公表 (ComputerWorld.jp, 7/27)。世の中そんなもん。

• 》 「Twitterバグ月間」,セキュリティ・ホール情報の限定開示プロセスを採用 (日経 IT Pro, 7/28)。そういえば、やってたんですね。 TwitPwn。

• 》 フレッツ光ネクストの罠 (パソコントラブル出張修理・サポート日記, 7/21)。これは確かに罠だなあ。

• 》 Panda SafeCD 3.4.3.5 Released (Panda Research blog, 7/27)。残念ながら日本語は選択できない? でも Language 覧のこの並びって、sort されてない感じだなあ。

• 》 H1N1ショートカット・マルウェア (エフセキュアブログ, 7/27)。ショートカット (.lnk) ファイルにはバッチを書ける、という事実。

• 》 「アフリカのゲイ男性間のHIV蔓延はホモフォビアが原因」:オックスフォード大が「ランセット」誌に発表 (みやきち日記, 7/24)

• 》 JASRAC排除措置命令、公正取引委員会で審判手続きがスタート (Internet Watch, 7/27)

• 》 mixi、携帯フィルタリング活用の年齢確認を8月18日から実施 (Internet Watch, 7/28)

  [引用] 具体的には、フィルタリング判別専用サイトを設け、そのサイトにある画像(1ピクセル程度)をmixiのトップページなどに貼り付ける。mixi自体は、モバイルコンテンツ審査・運用監視機構(EMA)の認定サイトであるため、フィルタリングを通過できるが、貼り付けた画像は認定サイト外から持ってきたものであり、フィルタリングを通過できない。よって、その画像が表示されなければ、18歳未満のユーザーということになり、保護施策が適用される。

• 》 深夜に打ち上げ花火、TBSに厳重注意 亀有署など (asahi.com, 7/28)。こんなネタばっかりだなこの局は。

• 》 IPv6 Helper Service fails to start (Microsoft KB 2000718)。IP アドレスいっぱいな環境で不具合が生じる模様。

  [引用] There is a IsaTap function that relates to IPv4 addresses that has a 1 second delay for *each* IPv4 address. On a system with more than 120 IPv4 addresses configured, this would cause the IPv6 Helper Service to take over 2 minutes to start. The Event occurs due to a timeout in the Service Control Manager waiting for the IPv6 Helper Service to report its status as "Started".

• 》 アリコジャパン、顧客のカード情報が社外に流出、カード不正使用から発覚 (so-net セキュリティ通信, 7/24)。関連:

  • お客様情報の流出の可能性に関するお詫びとお知らせ (アリコ, 7/23)

  • アリコ客情報流出 最大11万件、カード不正請求1千件 (asahi.com, 7/23)

  • アリコ・カード情報流出 1日で8500件の相談 (asahi.com, 7/24)

  • 金融庁、アリコの管理態勢を調査方針 カード情報流出で (asahi.com, 7/24)

  • アリコ従業員が持ち出しの可能性も 情報大量流出問題 (asahi.com, 7/25)

  • アリコ情報流出:カード不正使用の被害拡大 (毎日, 7/27)

  • お客様情報の流出懸念に伴う被害防止へのご協力のお願い (アリコ, 7/27)

    [引用] 不正使用に関する照会は、現在把握している限りでは、7 月25 日現在で約2,200 件となっております。これらについては、クレジットカード会社のご協力により不正使用は事前に検知されております。
    (中略)
    次の条件に該当されるお客様に、現時点でカードの不正使用の傾向が特にみられております。
    ・2008 年5 月までの期間に広告等をご覧になり弊社へお申し込みくださったお客様のうち、
    ・証券番号の下一桁が 2 または3 を含む契約をお持ちで、かつ、
    ・クレジットカードで弊社保険契約の保険料をお支払いいただいているお客様

  • アリコ情報流出:テストデータの可能性 退職者も含め調査 (毎日, 7/27)

• 》 Don't Let Google Close the Book on Reader Privacy (EFF)

• 》 楽天政治 LOVE JAPAN やってます。現時点では楽天カードしか使えません。

• 》 冷房で密閉ご注意!炭火のCO中毒相次ぐ (読売, 7/27)

  こんなのも: 塗装工事中のガス事故多発 給気口ふさがれ住民死亡も (asahi.com, 7/27)

• 》 米通信大手、携帯特許巡り不当契約 公取委が排除命令へ (asahi.com, 7/27)。Qualcomm ねた。

• 》 Relationships 101: Don't write malware for Girlfriend !! (Sophos, 7/27)。L'Arc-en-Ciel ねた。

• 》 東京バス協会:公益法人で自民入党あっせん 複数の加盟社、党費肩代わり (毎日, 7/27)、 東京バス協会:あっせん取りやめ 自民入党、党費納入 (毎日, 7/27)。 viva! 自民党。

• 》 社説:違法献金捜査 審査会の声どう届く (毎日, 7/27)

• 》 夏への扉 (水無月ばけらのえび日記, 7/27)。古典ですから。萌え SF でもあります。

• 》 ルイジアナ州立大学、学内の違法ファイル共有ユーザに50ドルの罰金 (P2Pとかその辺のお話, 7/21)

• 》 MSがブラウザ選択画面の具体案を提案、欧州委員会もまずは歓迎 (Internet Watch, 7/27)

• 》 Amazon CEO、「消えたKindle電子書籍」問題で謝罪 (ITmedia, 7/27)

  関連: FSF、米Amazonに対し「Kindle」でのDRMフリーとフリーソフトウェア化を呼びかけ (sourceforge.jp, 7/27)

• 》 タスポの利用履歴が検察に提供されていた (slashdot.jp, 7/27)、タスポ:個人情報、警察に提供 照会応じ、検察にも‐‐たばこ協会 (毎日, 7/27)。「会員の規約には明文化していない」「任意で」というところが問題。

• 》 韓国与党「メディア法」単独可決で言論の自由がピンチ —— 既存大新聞社と大企業が放送業に進出・支配する恐れ (JANJAN, 7/23)、 韓国民主党、「メディア法」に抵抗して議員職総辞職を決議 (JANJAN, 7/27)。

• 》 InterScan Messaging Security Suite 7.0 Linux版 Service Pack 1 Patch1 のインストーラに含まれる問題について (トレンドマイクロ, 7/23)。 IMSS 7.0 Linux 版 SP1 Patch 1 を適用すると、VSAPI 8.70 がインストールされている場合でも、強制的に VSAPI 8.50 に置きかえてしまうという問題があるそうで。 藤井さん情報ありがとうございます。 この問題のため、7/23 以降、SP1 Patch 1 の公開が停止されています。

  VSAPI 8.70 がインストールされている環境に SP1 Patch 1 を適用してしまった場合は、あわてず騒がず、記載されている手順どおりに VSAPI 8.70 に戻せばよいようです。

• 》 年齢制限ゲームの広告排除と言論の自由 - 米業界団体とシカゴ交通局が対立 (マイコミジャーナル, 7/27)。

  [引用] 業界団体の米Entertainment Software Association (ESA)は7月22日(現地時間)、米イリノイ州のシカゴ市交通局であるChicago Transit Authority (CTA)に対し、年齢制限のついたゲームの広告の掲載を禁じたルールは米合衆国憲法修正第1条における言論の自由に違反するものとして裁判を起こしたことを発表した。 (中略) 実際、TVなどで年齢制限つきの映画の予告編を画一的に排除するようなことはなく、こうした自主規制に近いルールに基づいて制定された年齢設定と、広告掲載側の自主ルールがどこまで許されるのかが争点となる。

• 》 「iPhone 3GS」の暗号化は簡単に解読できる--専門家が警告 (CNET, 7/27)。♪見え過ぎちゃってェ、困るのォ〜 (C) マスプロ電工

• 》 アンダーグラウンドの臭いがする「Nine-ball」,アジアに忍び寄る危機 (日経 IT Pro, 7/27)

• 》 サポート環境 - VirusScan Enterpriseがサポートしている環境 (マカフィー, 7/27 更新)。Vista SP2 は VSE 8.7i patch 1 / 8.5i patch 6 以降でサポート。

• 》 最高裁にも裏金疑惑、元高裁判事が指摘 —— 情報開示請求に最高裁はナシのつぶて (JANJAN, 7/23)

• 》 C/C++ セキュアコーディング ハーフデイキャンプ のご案内 (JPCERT/CC)。「C/C++ セキュアコーディング ハーフデイキャンプ 2009夏 part2 申し込み受付中 」

• 》 内閣官房 パブコメ 「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針(第3版)」(案) (まるちゃんの情報セキュリティ気まぐれ日記, 7/25)

• 》 Windows 7への無料アップグレード、Vista Home Basic搭載PCにはやはり適用されず ウォルマートが売り出したHP製ノートPCで"実証" (ComputerWorld.jp, 7/27)。世の中そんなもの。

• 》 ベルギー:著作権料徴収団体、アーティストへの不払い等の不正が発覚、立件へ (P2Pとかその辺のお話, 7/25)

• 》 韓国版スリーストライク法施行、オンラインすべてのコンテンツに適用可能? (P2Pとかその辺のお話, 7/24)

  [引用]

  スリーストライク法の施行を伝えるレイバーネットによれば、著作権侵害の判断は裁判所ではなく、韓国著作権委員会なる機関が行なうとのこと。この点については、フランスで違憲判断が下された理由でもあるため、多くの問題を抱えることになりそうだ。

  既に情報共有連帯IPLeftと進歩ネットワークセンターが、このフランスの例をあげ、韓国においてもスリーストライク制度は違憲であると主張し、違憲訴訟を提起する予定であるという。詳細は、レイバーネットを参照していただきたい。

• 》 Apple、iPhone改造法の削除要求を撤回 (ITmedia, 7/24)。 Apple Backs Down On Bluwiki Threats (EFF, 7/22)

• 》 ウイグル関連映画上映の豪映画祭、サイトにハッカー (CNN, 7/26)。メルボルン国際映画祭。

• 》 売るのは子どもか、腎臓か パキスタン貧困層の苦悩 (CNN, 7/26)

• 》 航空機をテロから守れ——米政府の「爆弾」研究所 (CNN, 7/26)

• 》 偽ウイルス対策ソフトの使う防御策 (日経 IT Pro, 7/24)

• 》 使用済み核燃料、貯蔵ほぼ満杯 再処理進まず原発ピンチ (asahi.com, 7/25)。予定どおり大幅に遅れて (C) 本の雑誌。

• 》 クレジットマスター (Okumura's Blog, 7/26)

  [引用] なんだ,単にチェックディジットを合わせるだけか。要は,チェックディジットが正しいだけで注文できてしまうタコなショッピングサイトがあるということらしい。

• JVN#29852698 - futomi's CGI Cafe 製 RevoCounter CGI (アニメーションカウンター) におけるクロスサイトスクリプティングの脆弱性 (JVN, 2009年07月24日)。修正版あるみたい。

• WordPress 2.8.2 (WordPress Blog, 2009年07月20日)。XSS 欠陥が修正されているそうで。 関連かな: Wordpress 2.8.1 (url) Remote Cross Site Scripting Exploit (milw0rm)

• milw0rm 9158 "stack overflow" crash not exploitable (CVE-2009-2479) (Mozilla Security Blog, 2009年07月19日)。Firefox 3.5.1 も影響を受ける DoS 欠陥がある模様。任意のコードの実行は招かない。

Microsoft 2009 年 7 月のセキュリティ情報

MS09-029 (961371) patch を適用すると、印刷で不具合を起こす 3rd party アプリがある模様。

• セキュリティー更新(KB961371)を適用するとCPS(XenApp)で複数ページの印刷が出来ないらしい (type-y.com, 2009年07月25日)

• Windows Updateセキュリティ更新(KB961371)ダウンロード後にアプリ印刷不正発生 (OKwave, 2009年07月17日)

Potential Adobe Reader, Acrobat, and Flash Player issue

実は未知ではなかった: アドビの「ゼロデイ脆弱性」は8ヶ月前から知られていたことが明らかに (ZDNet, 2009年07月27日)。なんじゃそりゃ〜。

EC-CUBE2.3.2とEC-CUBE1.4.9をリリースいたしました。(2008年11月07日)

いまだに修正されていないサイトがあるらしく、IPA から改めて注意喚起が: 「EC-CUBE」の古いバージョンを利用しているウェブサイトへの注意喚起 (IPA, 2009年07月27日)

[引用] 現時点では2009年7月8日に公開されたEC-CUBE 2.4.1が最新版のため、これ以前のものを使用している場合は、EC-CUBE 2.4.1以降の最新版への更新が必要です。

この件: DD-WRT (httpd service) Remote Command Execution Vulnerability (milw0rm)。 remote から無認証で任意のコマンドを実行できてしまう模様。

• DD-WRT httpd vulnerability (milw0rm.com report) (dd-wrt.com)

• DD-WRT Root exploit posted today (dd-wrt.com, 2009年07月20日〜)

DD-WRT build 12533 以降で修正されている。

• 》 イラン:元議長が治安機関批判 「シオニストよりひどい」 (毎日, 7/26)。そんなにひどいのか。

• 》 Malware Is Their Business...and Business Is Good! (McAfee blog, 7/22)、 Counting Badness (McAfee blog, 7/24)

• 》 マイクロソフトが公開したLinuxコードはGPL違反——エンジニアが指摘 (ComputerWorld.jp, 7/24)。世の中きびしい。

• 》 米Google、「Google Wave」プレビュー版を9月30日に一般公開 (sourceforge.jp, 7/24)

• 》 War walking in Dubrovnik (viruslist.com, 7/23)。"アドリア海の真珠"ドブロブニクで War driving ならぬ War walking をしてみるテスト。

2009年07月29日 に定例外 patch がリリースされる予定だそうで。IE x 1、Visual Studio x 1。

2009年07月29日 追記:

出ました。

MS09-035 - 警告: Visual Studio の Active Template Library の脆弱性により、リモートでコードが実行される (969706)

Visual Studio .NET 2003 / 2005 / 2008、 Visual C++ 2005 / 2008 再頒布可能パッケージに欠陥。 これらに含まれる Microsoft Active Template Library (ATL) に 3 つの欠陥があり、これを利用して作成されたコンポーネントまたはコントロールに欠陥が生じる。

• ATL の未初期化オブジェクトの脆弱性 - CVE-2009-0901。任意のコードの実行を招く。 Exploitability Index: 1

• ATL COM の初期化の脆弱性 - CVE-2009-2493。 この欠陥によって kill bit を無視することが可能となり、任意のコードの実行を招く。 Exploitability Index: 1

• ATL の Null 文字列の脆弱性 - CVE-2009-2495。情報漏洩を招く。 Exploitability Index: 3

開発環境の欠陥ということで 3rd party アプリが心配なわけですが、たとえば Adobe の場合は、 この欠陥が Flash Player と Shockwave Player に影響していたそうで: Impact of Microsoft ATL vulnerability on Adobe Products (Adobe PSIRT blog, 2009年07月28日)

• Shockwave Player については最新版 11.5.1.601 で修正されている。 APSB09-11: Security update available for Shockwave Player を参照。 APSB09-08: Security Update available for Shockwave Player で公開されていたのは 11.5.0.600 なので注意。

• Flash Player については、 2009年07月30日 (日本時間では 2009年07月31日 だと思われ) に公開される予定の新 Flash Player で修正される。 APSA09-04: Security advisory for Adobe Flash Player を参照。

MS09-034 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (972260)

IE 5.01 / 6 / 7 / 8 に存在する 3 つの欠陥が修正されている。 ただし、Windows 7 上の IE 8 にはこれらの欠陥はない。

• メモリの破損の脆弱性 - CVE-2009-1917。任意のコードの実行を招く。 Exploitability Index: 1

• HTML オブジェクトのメモリの破損の脆弱性 - CVE-2009-1918。任意のコードの実行を招く。 Exploitability Index: 2

• 初期化されていないメモリの破損の脆弱性 - CVE-2009-1919。任意のコードの実行を招く。 Exploitability Index: 2

さらに、MS09-035 に関連した 2 層の防御機構が追加されている。

1. 「ATL ベースの ActiveX コントロールが持続的なデータを読み取る方法を変更」。具体的には、MSVidCtl.dll (MS09-032) でも問題となったコールパターンを削除。 この機構はデフォルトで有効。

2. 「個々のコントロール内の IPersistStream* および IPersistStorage* インターフェイスの実装の使用を制限」。 この機構はデフォルトでは無効であり、有効とするにはレジストリ設定が必要。

マイクロソフト セキュリティ アドバイザリ (973882) Microsoft ATL (Active Template Library) の脆弱性により、リモートでコードが実行される (Microsoft) も参照。

2009年07月30日 追記:

関連:

• MS09-035 を WSUS から配布する (Japan WSUS Support Team Blog, 2009年07月29日)

• ATL, MS09-035 and the SDL (The Security Development Lifecycle blog, 2009年07月28日)

• MS09-034: Cumulative security update for Internet Explorer (Microsoft KB 972260)。 Non-security-related fixes that are included in this security update 覧に注意。

• Overview of the out-of-band release (Microsoft Security Research & Defense, 2009年07月28日)

• Internet Explorer Mitigations for ATL Data Stream Vulnerabilities (Microsoft Security Research & Defense, 2009年07月28日)

• ATL vulnerability developer deep dive (Microsoft Security Research & Defense, 2009年07月28日)

• MSVIDCTL (MS09-032) and the ATL vulnerability (Microsoft Security Research & Defense, 2009年07月28日)

• 過去に類を見ないほど"怖い"脆弱性、MSがパッチを緊急リリース 開発ツールのライブラリーに"穴"、他社製品にも影響、Webアクセスだけで被害 (日経 IT Pro, 2009年07月29日)

2009年08月05日 追記:

MS09-029のスプーラーの件と MS09-034 & MS09-035の更新 (日本のセキュリティチーム, 2009年08月05日)。

• MS09-034 の韓国語版 IE 6 patch に印刷関連の不具合があり、再リリースされた。 日本語版や英語版にこの不具合はない。

• Windows Update や MBSA における MS09-035 patch の検出方法に不具合があり、適用済であるにもかかわらず「要適用」とされることがあった。検出方法を修正して対応。

2010年01月18日 追記:

MS09-035 が改訂されています。

[引用] 2010年01月13日: このセキュリティ情報を再リリースし、影響を受けるソフトウェアに Windows Embedded CE 6.0 を追加しました。Windows Embedded CE 6.0 用の新しい更新プログラム (KB974616) はマイクロソフト ダウンロードセンターでのみご利用いただけます。Windows Embedded CE 6.0 プラットフォームをご使用のお客様はこの累積的な更新プログラムの適用を検討してください。その他の更新プログラムについては、この再リリースによる影響はありません。

Potential Adobe Reader, Acrobat, and Flash Player issue

getPlus_HelperSvc.exe の件は、本件とは別の件だったようで: Local Privilege Escalation in Adobe Reader Installer (Adobe PSIRT blog, 2009年07月22日)。

SA 出ました: APSA09-03 - Security advisory for Adobe Reader, Acrobat and Flash Player (Adobe, 2009年07月23日)。CVE-2009-1862。どうやらこういうことみたい。

• Flash Player v9.0.159.0 / v10.0.22.87 に、任意のコードの実行を許す欠陥が存在する。 2009年07月30日 (例によって US 時間でしょう) に更新版が公開される予定。

• 同じ欠陥が Adobe Reader / Acrobat 9.x の authplay.dll にも存在する。 2009年07月31日 に更新版が公開される予定。

  authplay.dll を rename したり削除したりすることでこの欠陥を回避できるが、swf を含む PDF を開くと crash するという副作用がある。

Adobe Reader / Acrobat においては、既に 0-day になっている模様。

• New 0-Day Attacks Using PDF Documents (McAfee blog, 2009年07月22日)

• Next-Generation Flash Vulnerability (Symantec blog, 2009年07月22日)

• YA0D (Yet Another 0-Day) in Adobe Flash player (SANS ISC, 2009年07月22日)

Ilion さん、北井さん情報ありがとうございます。

• 》 RainbowCrack 1.4 だそうです。

• 》 マイクロソフト、Windows 7 RTM版のリリース・スケジュールを明らかに MSDN/TechNet加入者には8月6日より提供開始 (ComputerWorld.jp, 7/22)。夏休みの宿題。

• 》 「核持ち込み密約」をリークした外務省の思惑 (日経ビジネス, 7/22)

• 》 PHP6移行で増える脆弱なWebアプリ (yohgaki's blog, 7/18)。徳丸さん追記3の情報ありがとうございます。

  [引用] 追記:PHP5.3のコードを見てみたら、バックポートすべきではないのにバックポートされてました。つまり、PHP6がリリースされたらと言う問題ではなく、今ある問題になっています。一応、改修を提案するつもりですがどうなるか判りません。
  (中略)
  追記3: 前に読んだ時は斜め読みだったので、もう一度コードをよく見てみると一応必要そうなチェックは入っています。決めうちしているのは別の部分だったので対丈夫でしょう。

  けっきょく、PHP 5.3 は無問題と理解していいんですかね。

• 》 あんしん処 セキュリ亭 第 4 回〜ノート PC 紛失時の対策〜 (Microsoft Technet)。マイクロソフト セキュリティ ニュースレター 第 5 巻 7 号、通巻 59 号 : 2009 年 7 月 22 日から引用:

  今月公開のセキュリ亭 (第 4 回 〜ノート PC 紛失時の対策〜) では、セキュリティ レスポンス マネージャーの小野寺が出演しています。普段とは一味違う姿を、ぜひご覧ください。

• 》 ワシントン大,機密情報を一定時間後に自然消滅させるツールを公開 (日経 IT Pro, 7/22)。 Vanish (washington.edu)。 おはようフェルプス君......という感じではないみたい。

• 》 大地に刻まれた"核" 〜旧ソ連・核実験村からの警告〜(仮) (NHK スペシャル, 8/6 放送予定)。セミパラチンスク話。

• 》 Kindle 向け電子書籍に回収騒動、Kindle 内から「勝手に」削除される (slashdot.jp, 7/22)。♪も、え、あ、が、れ〜燃えあがれ〜燃え上がれ〜1984〜 (字あまり)

• 》 大型クラゲの群れ、8月若狭湾へ 水産庁が注意呼び掛け (中日, 7/22)、 大型クラゲ関連情報について(平成21年第5報) (水産庁, 7/22)

• 》 ソフトウェア等の脆弱性関連情報に関する届出状況 [2009年第2四半期(4月〜6月)] (IPA, 7/22)

  [引用] (1)クロスサイト・スクリプティング、DNSキャッシュポイズニング、SQLインジェクションの脆弱性の届出が継続しています
  (2)過去1年間の届出に対して58%のウェブサイトの運営者が対応未完了です
  (3)2004年7月8日の届出受付開始から5年が経過し、届出件数の累計が5,660件となりました

• 》 「ツールを利用した標的型攻撃の広がり」についての調査結果の公開 −「脆弱性を利用した新たなる脅威の監視・分析による調査」最終報告書− (IPA, 7/21)

• 》 NICT,富士電機,パナソニック,東京ガスなど,米IEEE802.15にスマートメーターの無線方式を共同提案 (日経 Tech On, 7/21)

• 》 ウイグル族と漢民族は相容れないのか 「少数民族優遇」を食い物にした漢民族の詐欺行為 (日経ビジネス, 7/17)

• 》 宇宙大国から転落する米国 アポロ11号打ち上げ40周年、日本の宇宙産業のリーダーに聞く(上) (日経ビジネス, 7/22)

  [引用] —— ただ、商業衛星の受注は極めて難しい状況ですね。
  
  浅田 最近はロシアのロケット会社であるILS社の独り勝ちです。それはロシアの通貨であるルーブルが安くなり、圧倒的な価格競争力が出ているからです。
  同社の主力ロケット「プロトン」は、5〜6トンクラスの衛星を打ち上げる大型ロケットが得意ですが、最近ではH2Aが得意とする2トンクラスの衛星用ロケットにまで手を広げてきました。
  ロケットの商業衛星の打ち上げはもともと、利益を確保することが難しいのです。
  ウクライナや米国などの企業が出資するロケット大手のシーローンチ社も経営破たんしました。商業衛星分野で世界シェアの半分を持つ欧州のアリアン・スペースにしても、ほとんど利益が出ていない状況です。欧州連合(EU)から多額の補助金を受けているにもかかわらずです。

  シーローンチ、破綻していたのか......。

• 》 危険デザイン:繰り返される「類似事故」 (日経 KEN-Plats, 7/17)。紹介されているのは 1979 年の事故だが、今でも類似事例が発生しているのだそうで。

• 》 乳児が墜落した吹き抜け階段で、事故原因を探る (日経 KEN-Plats, 7/15)

  [引用] 手すり柵の基準について詳しい日本大学建築学科専任講師の八藤後猛氏は、次のように話す。
  「事故現場に立って分かったのは、墜落事故を防ぐような手すりの高さになっていなかったことだ。建築基準法では、階段部の手すりの高さの基準を定めていないので、法的な問題はないのだが、事故が起きる前の階段部の手すりの高さが低い。事故個所の手すり高さは段鼻(踏み面先端)から91cm。90cm台だと、普通に歩いていても、何かの拍子で、手で抱えたものが、手すりを越えて飛び出すことが十分にある」。

• 》 実用 Subversion 第2版 (オライリー) という本が出るそうで。wakatono さん情報ありがとうございます。

• 》 米上院:F22追加調達費の削除法案を可決 (毎日, 7/22)。やっぱり買えなさそう。

• 》 二階氏秘書の不起訴不当議決 東京第3検察審査会 (中日, 7/22)。当然だよね。

• 》 和歌山カレー事件 無罪もとめて再審請求 (asahi.com, 7/22)

• 》 中国、油田権益1千億円で買収 アンゴラ沖 (京都新聞, 7/18)

• 》 大好評アンチウイルス機能搭載セキュリティUSBメモリー 「ED-Vシリーズ」のサポートサービス更新ソフトウェア発売予定! (IO DATA, 7/22)。価格がどこにも書かれてない......。

• 》 New Tabs Open Very Slow on Internet Explorer 8 with Skype 4.1 IE add-on installed (Microsoft KB 973818)。IE8 + Skype 4.1 IE add-on な環境で、新規タブを開くのがすげー遅くなる模様。原因は Skype 側にある (と Microsoft は主張している) けど、Microsoft Fix it ついてます。

• 》 膨張色,収縮色 (Okumura's Blog, 7/20)

• 》 A Practical Guide to Internet Technology for Political Activists in Repressive Regimes -- EFF Releases 'Surveillance Self-Defense International' for Iranian Dissidents and Other Protestors (EFF, 7/21)

• 》 米Microsoft、「Hyper-V」LinuxドライバをカーネルコミュニティにGPLv2で提供 (sourceforge.jp, 7/21)

  [引用] このコードを利用することで「Windows Server 2008 Hyper-V」または「Windows Server 2008 R2 Hyper-V」上でゲストOSとして動くLinux OSが直接ハイパーバイザーとやりとりできるようになる。これによりLinux仮想マシンをHyper-V上で動作させる場合でもWindows仮想マシンと同様の最適化が得られ、性能を改善できるという。

• 》 WindowsMediaPlayer11を起動しないとどうなる? (パソコントラブル出張修理・サポート日記, 7/12)

• 》 DoS 攻撃機能を備えたウイルス(Mydoom 亜種)の概要について (@police, 7/21)。なぜ今頃になってこの程度の情報を......。

• 》 マイケル・ジャクソン・マルウェアは死せず (エフセキュアブログ, 7/21)。まだまだ続いているようで。

• 》 現実世界のウィルス対コンピュータ・ウィルス (エフセキュアブログ, 7/21)。新型ウイルスエンザをねたにしたコンピュータウイルス話。

• 》 無償アンチウイルスソフトは、誤った安全の感覚を与えるか (ZDNet, 7/21)。むしろ、有償アンチウイルスソフトこそ、誤った安全の感覚を与えているんじゃないの。有償アンチウイルスソフトウェアベンダーは、アンチウイルスソフトが何の役にも立たない可能性をきちんと説明してないよな。

• 》 サーバーに設計見直しを求めたXeonプロセサ5500番台 (日経 IT Pro, 7/22)

Adobe Reader and Acrobat 9.1.2 というのはこれだろうけど、

• Adobe related service (getPlus_HelperSvc.exe) local elevation of privileges (milw0rm)

• Adobe Acrobat 9.1.2 NOS Local Privilege Escalation Exploit (milw0rm)

Flash Player 9 and 10 というのは?

2009年07月23日 追記:

getPlus_HelperSvc.exe の件は、本件とは別の件だったようで: Local Privilege Escalation in Adobe Reader Installer (Adobe PSIRT blog, 2009年07月22日)。

SA 出ました: APSA09-03 - Security advisory for Adobe Reader, Acrobat and Flash Player (Adobe, 2009年07月23日)。CVE-2009-1862。どうやらこういうことみたい。

• Flash Player v9.0.159.0 / v10.0.22.87 に、任意のコードの実行を許す欠陥が存在する。 2009年07月30日 (例によって US 時間でしょう) に更新版が公開される予定。

• 同じ欠陥が Adobe Reader / Acrobat 9.x の authplay.dll にも存在する。 2009年07月31日 に更新版が公開される予定。

  authplay.dll を rename したり削除したりすることでこの欠陥を回避できるが、swf を含む PDF を開くと crash するという副作用がある。

Adobe Reader / Acrobat においては、既に 0-day になっている模様。

• New 0-Day Attacks Using PDF Documents (McAfee blog, 2009年07月22日)

• Next-Generation Flash Vulnerability (Symantec blog, 2009年07月22日)

• YA0D (Yet Another 0-Day) in Adobe Flash player (SANS ISC, 2009年07月22日)

Ilion さん、北井さん情報ありがとうございます。

2009年07月27日 追記:

実は未知ではなかった: アドビの「ゼロデイ脆弱性」は8ヶ月前から知られていたことが明らかに (ZDNet, 2009年07月27日)。なんじゃそりゃ〜。

2009年07月31日 追記:

新 Flash Player / AIR 出ました: APSB09-10: Security updates available for Adobe Flash Player

Firefox 3.0 系列の最新版 3.0.12 登場。6 件の欠陥が修正されている。最高 x 5、高 x 1。Firefox 3.0 系列利用者は、早期に update するか、あるいは Firefox 3.5.1 に乗りかえましょう。

http://mozilla.jp/firefox/locales/older/ によると、Firefox 3.0 系列は 2010.01 まで維持されるそうで。

• 》 Afghanistan-Pakistan-Iraq photos which have appeared on the Cryptome home page (cryptome, 7/19)

• 》 ガイド、救助要請せず山頂付近に1時間半 大雪山系遭難 (中日, 7/21)

• 》 ウェザーニューズ、ゲリラ雷雨の専門サイト「ゲリラ雷雨情報」を開始 (japan.internet.com, 7/21)

• 》 「選挙の顔」2度の好機逃し 首相がけっぷち (asahi.com, 7/21)

  [引用] 首相就任直前、月刊誌への寄稿の中で、「国民の審判を仰ぐのが最初の使命だ」と言い切った麻生首相が、10カ月を経て、ようやく「初志」の衆院解散にこぎつけた。

  空白の 10 か月。というわけで、衆議院:本会議で解散 8月30日投開票へ (毎日, 7/21) です。

• 》 今年のアムステルダムのゲイ・プライド・パレードに、中等学校の生徒たちが参加 (みやきち日記, 7/20)

  [引用] すごいなあオランダ! 「子供に同性愛関連のものを見せたら同性愛がうつる」みたいな迷信がはびこってる日本*1(やリトアニアやロシアやアメリカ宗教右派やその他いろいろ)とはずいぶん違うようですね。

• 》 リトアニア議会、結局アンチゲイな法律を可決 (みやきち日記, 7/16)

• 》 NYでトランス女性を射殺した男、ヘイトクライムで有罪に (みやきち日記, 7/20)

  [引用] それにしても、この手の報道を見ていていつも気になるのが、なんでトランスジェンダーが殺された事件で「同性愛/同性愛者への」偏見が争点になるんだろうってことです。トランスと同性愛は別物なのにね。

• 》 ソマリア中南部での保健状況が劣悪化 (国連情報誌SUNブログ対応版, 7/17)

• 》 交差点信号が同時に「青」、プログラムのミス (slashdot.jp, 7/20)。というか、そういう設定にできるんですね。

• 》 Q & A on "Sexy View" SMS worm (F-Secure blog, 7/20)、 「Sexy View」SMSワームについてのQ&A (エフセキュアブログ, 7/20)

いろいろ (2009年06月12日)

[SA35422] Perl Compress::Raw::Zlib Module Off-by-One Vulnerability は Trojan.Downloader-71014 で悪用されているそうで。 CVE-2009-1391

• FreeBSD 7.2 (pecoff executable) Local Denial of Service Exploit (milw0rm)

• dbus-1.2.14 and dbus-1.2.4.6permissive (freedesktop.org, 2009年05月06日)。 CVE-2008-3834 の誤修正 (CVE-2009-1189) が修正されているそうで。

• CORE-2009-0227: Real Helix DNA RTSP and SETUP request handler vulnerabilities (CORE Security, 2009年07月18日)。 CVE-2009-2533 CVE-2009-2534。 Helix Server / Helix Mobile Server 12.x にはこの欠陥があるが、 Helix Server / Helix Mobile Server 13.x にはこの欠陥はない。

• Adobe related service (getPlus_HelperSvc.exe) local elevation of privileges (bugtraq, 2009年07月20日)。C:\Programmi\NOS\bin\getPlus_HelperSvc.exe は Users: フルコントロールでインストールされているので......話。

Wireshark 1.2.1 登場。AFS (RX), Infiniband, IPMI/ATCA, Bluetooth L2CAP, MIOP, RADIUS, sFlow の各 dissector の欠陥が修正されています。

• 》 新型インフル:国内感染者4千人超す 4日間で千人増 (毎日, 7/20)

• 》 スウェーデンISP、加入者の個人情報開示を拒否 (P2Pとかその辺のお話, 7/18)

• 》 スペイン法廷:非営利のファイル共有は著作権侵害にあらず、よってファイル共有サイトも著作権侵害にはならない (P2Pとかその辺のお話, 7/13)

• 》 The Pirate Bay 方面

  • The Pirate BayのYouTubeキラー、ローンチはまだまだ先の模様 (P2Pとかその辺のお話, 7/6)

  • ブラジル大統領、The Pirate Bayスポークスマンとポーズ (P2Pとかその辺のお話, 7/6)

  • The Pirate Bay:「インターネットは俺たちを必要としている!」 (P2Pとかその辺のお話, 7/6)

  • The Pirate Bayの買収を発表した企業、株価下落で元の水準に (P2Pとかその辺のお話, 7/15)

  • The Pirate Bay、買収後は月額料金制へ (P2Pとかその辺のお話, 7/17)

• 》 海賊党宣言:海賊党の政治課題および理念 (P2Pとかその辺のお話, 7/13)

• 》 スリーストライク方面: まだだ、まだ終わらんよ

  • 「スリーストライク」法が修正を経て再提出、フランス上院を通過 (P2Pとかその辺のお話, 7/10)

  • スペイン:権利者団体、スリーストライクの導入を断念、代わりにBitTorrentサイトを閉鎖に追い込む? (P2Pとかその辺のお話, 7/10)

  • ネットの悪党ことオーストラリア通信相、スリーストライクの導入を叫ぶも前途多難 (P2Pとかその辺のお話, 7/18)

• 》 Moby、無料で提供している曲がiTunesで一番売れているという謎 (P2Pとかその辺のお話, 7/9)

• 》 DRM is Dead:RIAA、DRMの死を認める (P2Pとかその辺のお話, 7/20)。死んだ DRM だけが良い DRM だ。

• 》 IRS.govを名乗ってFAXを送りつけてくるW-8BEN詐欺について (gigazine, 7/20)

• 》 Firefox 3.5 対応 Norton ツールバー

  • Norton Internet Security と Firefox 3.5 の互換性 (シマンテック, 7/15)

  • Norton 360 と Firefox 3.5 の互換性 (シマンテック, 7/15)

  Norton IPS の方はまだ Firefox 3.5 に対応できていない模様です。

• 》 外環道、何と「地上都道計画」も残っている怪 (保坂展人のどこどこ日記, 7/8)、 外環道、地下だけではなく地上も都道で建設か (議事録掲載) (保坂展人のどこどこ日記, 7/9)。めちゃくちゃ。

• 》 Windows 7とWindows Server 2008 R2の新機能「AppLocker」を試す (Enterprise Watch, 7/17)

  [引用] 実際テストしてみて分かったが、AppLockerを利用する場合、きちんとしたActive Director環境が構築されていることが重要だ。適当にActive DirectoryのグループやOU、ユーザー構成にしてしまうと、AppLockerは管理者の想定外の動作を実行することがある。テスト中に管理者にもAppLockerの制限がかかり、グループポリシー管理エディターが起動しなくなるなどのトラブルも発生してしまった。また、スクリプトなどの動作をすべて制限してしまうと、クライアントPCにユーザーがログオンしても、すぐにログアウトして、クライアントPCにアクセスできなくなるという事態も起きたりした。こういったことが起こらないよう、テスト環境でAppLockerを十二分にテストしてから、実環境に展開すべきだろう。

• 》 TOMOYO Linux徹底解剖 第3回:DebianでTOMOYO Linuxを使う (thinkit, 7/16)

• 》 OpenOffice.org導入の会津若松市が、ノウハウをまとめCCで公開 (slashdot.jp, 7/18)

• 》 ストリートビューなどの道路周辺映像サービスに対するパブリックコメント募集中 (slashdot.jp, 7/19)。7/28 まで。

• 》 200 台の PS3 で 112 ビット楕円曲線暗号の解読に成功 (slashdot.jp, 7/16)。最新のコードを使えば 200 台 x 3.5 か月で解けるだろう、だそうで。

• 》 涼しくドライブ、燃費も向上!? 空調服の新作は"空調クッション" (ITmedia, 7/17)。おしりと背中が涼しい模様。いきなり売り切れっぽいですが。

• 》 OSS開発の新たな流れを予感させたTOMOYO Linuxメインライン化記念勉強会 (ZDNet, 7/17)

• 》 強盗事件でメディアは冤罪にいかにかかわり、いかに伝えたか〜沖縄強盗事件 (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 7/7)

  [引用] 逮捕段階で実名報道することがいかに危険か、メディアがいかに社会的に偏見をふりまき冤罪の危険を高めているか、捜査側の一方的な情報に依拠して被疑者だけでなく弁護人まで悪者視する記者の姿勢がいかに問題か(記者から聞いた話では、警察は「否認は弁護士が嘘をつかせた」とほのめかしたとのことです。)、メディアと権力、メディアとと犯罪報道に関して、極めて多くの重要な問題が含まれた事案だったと思います。

• 》 ガザへの平和援助船「スピリット・オブ・ヒューマニティー号」拿捕直前の映像 (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 7/11)

  [引用] このスピリット・オブ・ヒューマニティー号は、ノーベル賞受賞者のマイレッド・マグワイヤさんや、アメリカ合衆国の前下院議員、シンシア・マッキニーさんを含む、11カ国からなる21人の人権活動家が乗り組み、ガザへ薬品などを運ぼうとしていた。当然、丸腰だし、イスラエルの領海を犯すこともなかった。
  しかし、イスラエル軍は、この船を拿捕し、乗組員全員を拿捕した。

• 》 原子力空母の上を飛ぶはずだった飛行機が迂回〜航空路を変えた訴訟の控訴審が明日9日に (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 7/8)。ジョージ・ワシントンねた。

  [引用] ということで、横須賀市民ら五人が、米海軍横須賀基地への原子力空母配備に伴い、原子力艦船が寄港中に航空機の上空飛行を制限するよう求めて訴訟を起こした。
  結果的に、第1審では敗訴したが、なんと、国側は、ジョージワシントンが横須賀に配備されたその日に、飛行経路を変えたのだ。下の図を見てほしい。
  TAURAというポイントを南にずらすことで、横須賀港の真上を飛ばないですむようにしたのだ。
  変更された日付は2008年9月25日。

• 》 A DirectAccess access failure occurs after the DNS servers that are running Windows Server 2008 return empty responses for AAAA queries in a WINS zone (Microsoft KB 972516)

• 》 Slow system response together with many other performance issues occur on a virtualization server that is running Windows Server 2008 and that has the Hyper-V role installed (Microsoft KB 972045)。パフォーマンス低下ねた。patch あるそうで。

• 》 An update is available that enables RRAS servers that are running Windows Server 2008 to use the DH-2048 algorithm together with the AES-256 algorithm to negotiate IKE in the L2TP (Microsoft KB 967167)。 L2TP における IKE で DH-2048 + AES-256 をネゴれるようにする patch がある模様。

• 》 山手線に"不正利用者"はこんなに居た!「マジコン調査隊」報告No.01 (gpara.com, 7/17)。目視確認による調査。

• 》 Squid Proxy Server On Ubuntu 9.04 Server With DansGuardian, ClamAV, And WPAD (Proxy Auto-Detection) [Updated 07-08-09] (howtoforge.com, 7/1)。 DansGuardian というものがあるのですか。 Squid および Oops! と連携......。Oops! proxy server というものがあるのですか。

• 》 水着でも児童ポルノ DVD販売、容疑の社長ら逮捕 (産経 MSN, 7/19)。判断基準がわけわかめ。

  [引用] 同課は「ポーズなどが性行為を連想させ、表現が露骨」として、わいせつ画像と判断した。

  そのうち「女子はバナナ食べるの禁止」になるぜきっと。

• 》 ロシア人権活動家暗殺、チェチェン大統領関与か (読売, 7/18)。ナタリヤ・エステミロワ暗殺事件。

コンパイラ最適化の副作用話。コンパイラが悪い、ではなく、コンパイラに誤解されないようなコードを書くべし。関連:

• super fun 2.6.30+/RHEL5 2.6.18 local kernel exploit in /dev/net/tun (milw0rm)

• Re: PROBLEM: tun/tap crashes if open() /dev/net/tun and then poll() it. (lkml.org, 2009年07月06日)。修正個所。

• 》 Symbian携帯を狙った新たなモバイル・ワームが出現 SMS経由で拡散する「Sexy Space」ワームの亜種、"モバイル・ボットネット"を狙う? (ComputerWorld.jp, 7/18)

• 》 PHP6移行で増える脆弱なWebアプリ (yohgaki's blog, 7/18)。実は PHP 5.3 でも該当する模様だそうです。

• 》 「マジコンの自動販売機」を大阪の電気店街日本橋で発見しました (gigazine, 7/18)。唖然。

• 》 Rescue-CD 3.10 on the works. (F-Secure Linux blog, 7/17)。USB メモリへのインストールもサポートされたようで。

• 》 皆既日食:GPS「異変」...紫外線が急減 電波に影響 (毎日, 7/18)。精度の低下により 2〜3m ズレる?

• 》 セブン−イレブン:弁当値引き容認へ 批判受け方針転換 (毎日, 7/18)。ようやく重い腰を上げたようで。

• 》 ニュースリリース(ウィルスバスターとの相性問題について) (秀まるおのホームページ, 7/17)。2009年07月17日 に公開されているということは、この現象は最近になって発生するようになった、と理解していいのかな。

  [引用] これらの現象が発生する原因は、ウィルスバスターの「ウィルス/スパイウェア対策」という機能の中の「不正変更の監視」内の「不審な挙動」というオプションと「ウィルスバスター2009のファイルと設定に対する不正な変更を防ぐ」というオプションが関係しています。
  これらの機能は、ウィルスバスターのプログラム用ファイルや設定ファイルにアクセスしようとしたプログラムを強制終了させてしまうという機能です。
  
  例えば秀丸メールが終了してしまう例では、デスクトップにウィルスバスターのショートカットがある場合に、デスクトップ上ファイルのアイコンを表示させようとして、結果としてウィルスバスターのプログラム用ファイルにアクセスしてしまい、それで秀丸メールが強制終了させられています。秀丸エディタで grep検索した場合には、設定ファイルにアクセスした瞬間に終了させられてしまってます。

  read access するだけで強制終了ですか。実にご立派な機能ですな。 というか、「ウイルスバスターのショートカット」をデスクトップに置いたのは、ウイルスバスター自身じゃないの?

  で、秀まるおさんは、回避策としてウイルスバスターの「不審な挙動」と「ウイルスバスター2009のファイルと設定に対する不正な変更を防ぐ」の無効化を指示しているわけですが、 例外設定を設定したほうが良いに決まっていると言っている人もいます。 各自で判断すればいいと思いますが、 俺的には、ウイルスバスターはやりすぎとしか思えない (ウイルスバスター自身が「不審な挙動」をしているように見える) ので、秀まるおさんの方を支持するなあ。

• 》 総務省の行政指導にBPO「懸念」 TBS情報番組巡り (asahi.com, 7/17)

• 》 NHKを訴えた保守派が犯した大いなる「勘違い」 —— 台湾の親日感情はうれしいが、他民族の主権を奪った反省が先 (JANJAN, 7/11)

• 》 個人情報流出事件(2009年07月02日〜07/16) (so-net セキュリティ通信, 7/17)

• 》 朝鮮総連詐欺:緒方元長官有罪 判決(要旨) (毎日, 7/17)

• 》 「淫」「呪」「艶」「賭」などは不適切な漢字? (slashdot.jp, 7/17)、淫・呪・艶・賭...常用漢字の追加再検討へ (読売, 7/17)

  [引用] 191字は使用頻度や、漢字とひらがなの交ぜ書きの解消などの観点から今年1月に選ばれた。文化審は「学校で教える漢字は常用漢字すべてではなく、学校現場の判断に委ねるべきだ」という方針から、踏み込んだ議論は行わないとしてきたが、学校などからの反対意見が相次いだため再検討を決めたという。

  「学校など」のウンコっぷりに呆れまくり。局所最適化の典型であろ。

  関連:

  • 文化審議会国語分科会漢字小委員会(第32回)議事次第 (文化庁, 5/13)

  • 第4回 MIAU勉強会「インターネット標準(RFC)から見た新常用漢字表の矛盾」 (MIAU, 7/3)。プレゼン資料。

  • 本日の漢字小委員会にて (slashdot.jp, 7/17)

    [引用] 本日、問題の国語分科会漢字小委員会 [bunka.go.jp]がありまして、冒頭、林史典分科会長より本記事について、記事にあるような理由による見直しは行なわれないし、そのような決定をしたこともない旨、説明がありました。
    (中略)
    どうも、本日の議事次第を事前に知って、曲解して報じたもののようです。

• 》 オウム元幹部・早川紀代秀被告の上告棄却、死刑確定へ (読売, 7/17)

• 》 大阪市、破綻の試算 15年度にも財政再生団体に (asahi.com, 7/16)

  [引用] 今回の収支見通しには、第三セクター「大阪ワールドトレードセンタービルディング」(WTC)の二次破綻に伴う最大495億円の損失補償など未確定の要素は含まれておらず、実情はさらに厳しいと見られる。

• 》 記者の目:ウイグル暴動 漢族中心の弊害露呈=鈴木玲子 (毎日, 7/17)

• 》 神奈川県警の国際捜査課警部補、電車で盗撮 (読売, 7/17)

• 》 殺人など重大犯は時効廃止へ...法務省が最終報告 (読売, 7/17)

• 》 日本のワクチン輸入は「残念」 新型インフルでWHO・進藤氏 (47news.jp, 7/16)。お前ら金持ってるんだから、全体最適化のために働きやがれ話。

• 》 第1回東北情報セキュリティ勉強会。 2009年08月01日、宮城県仙台市、1000円。まっちゃさん情報ありがとうございます。

• 》 Twitter,社員の「Google Apps」アカウントから社内文書が流出 (日経 IT Pro, 7/16)、 Twitterの情報流出で問われるクラウドの安全性 (ITmedia, 7/16)

• 》 オンライン スキャナ 4.1 (エフセキュアブログ, 7/17)。Firefox 3.0 にも対応しているけど、3.5 はまだみたい。

• 》 B-CAS見直し案、パブリックコメント募集スタート (slashdot.jp, 7/15)。ま、何言っても無駄でしょうけどね。

• 》 Nmap 5.0 released (SANS ISC, 7/16)

• 》 フィンランドで生まれた大人の童話 (エフセキュアブログ, 7/14)。ムーミンねた。 今となっては、旧アニメ版は黒歴史のようで。

• 》 自分だけの「痛ネットブック」を作成できるシートが登場、賞品付きコンテストも開催 (gigazine, 7/17)。 あくまで「天板保護シート」ですから。

• 》 ランタイム DAT の FAQ (マカフィー, 7/16)。VSE 8.7i patch 1 方面。

• 》 デジタルアドバンテージ 「太陽生活ドットコム」 (fx-it.com, 7/17)。裕次郎 23 回忌にあわせて......ではない、多分。

• 》 Yahoo!ジオシティーズの大規模障害、データ消失は免れたと案内 (Internet Watch, 7/16)

• 》 「楽天トラベル」詐欺事件、2005年の情報流出事件とは「無関係」 (Internet Watch, 7/16)。楽天がそう主張している、という話。

• 》 違法コピーソフト利用の石川県、4000万円支払いで和解 (ITmedia, 7/17)

• 》 仮想PCで学ぶ「体当たり」Windowsシステム管理 第2回 仮想ディスクの種類とSID重複問題

• 》 セッション管理無しのケータイサイト (水無月ばけらのえび日記, 7/15)

• 》 Skypeが使えないのはなぜ? (パソコントラブル出張修理・サポート日記, 7/7)。プリインストールなアンチウイルスソフト話。

  [引用] それにしても、
  
  インストールされているのに設定画面が出せないウイルス対策ソフト
  
  だなんて、メーカー製パソコン特有の現象です...勘弁してほしいですね...。

• 》 『セキュアWebアプリケーション開発』研修 (トライコーダ)。 「また上野宣か」でおなじみの人による研修プログラム。 TIP さん情報ありがとうございます。

• 》 OpenSSL 1.0.0 beta 3 が出ているそうです。iida さん情報ありがとうございます。

• 》 視点・論点「WHO・新型インフルエンザ対策」 (NHK, 7/17 AM 04:20〜 放送予定)。taka さん情報ありがとうございます。

XML Signature の仕様に欠陥。HMAC truncation 処理における HMACOutputLength の取扱いに関する記述が不足していたため、極めて短い長さが指定されている場合にも正当であるとして処理する実装が存在。 CVE-2009-0217

欠陥のある実装は多数存在する。

• VU#466161: XML signature HMAC truncation authentication bypass (US-CERT)。 Systems Affected の項を参照。

• US-CERT Vulnerability Note VU#466161 - XML signature HMAC truncation authentication bypass (Sun, 2009年07月14日)。JDK / JRE 6 update 14 以前に欠陥あり。 修正版は現在準備中。

XML Signature の仕様については、Errata for XML Signature 2nd Edition, E03: HMAC truncation (CVE-2009-0217) で修正されている。HMAC-SHA1 の場合には、80 bit 未満の指定は無視される。

関連: HMAC truncation in XML Signature: When Alice didn't look. (w3.org, 2009年07月14日)

Critical JavaScript vulnerability in Firefox 3.5

Firefox 3.5.1 で修正されました。リリースノート。

ISP 製のオフィシャル patch にスパイウェアが入っている話。

• Make sure you update that Java (SANS ISC, 2009年07月15日)。JDK / JRE 6 update 12 以前、 JDK / JRE 5.0 update 17 以前の人は今すぐ更新を話。 Sun Java Runtime Environment (JRE) Pack200 Decompression Integer Overflow Vulnerability (iDefense, 2009年03月26日) の exploit が出回っている模様。

• Stable, Beta update: Bug fixes (Google Chrome Release, 2009年07月16日)。Google Chrome 2.0.172.37 登場。 メモリ破壊 → 任意のコードの実行を招く 2 件の欠陥が修正されている。

• HTCのBluetoothに遠隔的に悪用可能なホール (エフセキュアブログ, 2009年07月15日)

• [SA35752] mimeTeX Multiple Vulnerabilities (secunia, 2009年07月14日)。 最新版では修正されているそうです。 奥村さん情報ありがとうございます。

• 》 ネコはゴロゴロとのどを鳴らして人間をコントロールする (slashdot.jp, 7/16)。 ぷいにゅ〜。

• 》 Winny開発者・金子勇氏の控訴審が結審、判決は10月8日 (Internet Watch, 7/16)。そういえば、今日だったのか。おつかれさまです。

• 》 個人情報流出事件(2009年06月27日〜07/09) (so-net セキュリティ通信, 7/10)

• 》 ヤフーカスタマーサービスかたる詐欺メール出回る〜ヤフーが注意呼びかけ (so-net セキュリティ通信, 7/14)

• 》 「学校裏サイト」監視に取組む自治体増加〜業者委託のほか「生徒参加型」も (so-net セキュリティ通信, 7/9)

• 》 全ての国に新型インフルエンザワクチンが必要:WHO (国連情報誌SUNブログ対応版, 7/14)

• 》 今なお増設されるイスラエルの分離壁 (国連情報誌SUNブログ対応版, 7/9)。イスラエルですから。

• 》 街頭防犯カメラシステムの第1回研究会開く 〜有識者の観点から運営方針などの検討・調査行う〜 (ポリスチャンネル, 7/16)

• 》 iPod nano の発火による火災が再び発生 (slashdot.jp, 7/16)。リコールしないことも含め、それが Apple クオリティ。 いつものことですよ。

• 》 「プライバシーマーク」付き詐欺サイトにご用心〜削除勧告無視で運営続行 (so-net セキュリティ通信, 7/16)。ただの画像ですから。 つーか、プライバシーマーク公布元は民事訴訟を起こすとかすべきであろ。 ちゃんとブランドを守れよ。

• 》 指紋鑑識や血液鑑定などの科学捜査が体験できる「体験王〜鑑識捜査編〜」 (gigazine, 7/16)、体験王〜鑑識捜査編〜 (タカラトミー)。顕微鏡の倍率は「100倍・200倍・300倍の3つ」だそうで。これはほしい。

• 》 Microsoftとゲイツ氏,物理学者ファインマンの講義ビデオを無償配信 (日経 IT Pro, 7/16)

• 》 集英社がビジネス書を自主回収、「重大な誤りが判明」 (日経 BP, 7/15)。書籍「サブプライム後の会社番付 アブナイ会社、倒産しない会社はここだ!」。

• 》 新型インフル、60〜80代も「抗体ない」東大など発表 (asahi.com, 7/13)

  [引用] 60歳以上の高齢者の3〜4割は新型の豚インフルエンザウイルスに対する抗体を持っていて何らかの免疫があるという調査が日米で報告されていたが、60〜80歳代には抗体がなく、安心できないことがわかった。90歳代の人には抗体があった。

• 》 SNSサイトのTagged.com,不正メール大量送信でNY州が提訴へ (日経 IT Pro, 7/10)

• 》 コンセントからキー入力を読み取る (slashdot.jp, 7/14)。こういうことをよく思いつくなあ。

• 》 ロシアを迂回し欧州へ天然ガス 「ナブッコ計画」にトルコなど5カ国が調印 (産経 MSN, 7/13)。ロシアパッシング作戦発動。しかし、ガスの送り元がまだ決まっていない模様。

• 》 偽ウイルス対策ソフトを見分けるための団体「CCSS Forum」設立 (Internet Watch, 7/14)。にせアンチウイルス、多過ぎるからなあ。 岬ちゃんが正式リリースされれば、そのうち淘汰されると思うけど。

• 》 医薬品ネット規制訴訟初公判、原告は「省令はネット潰し」と主張 (Internet Watch, 7/14)

• 》 MIAUの"ネットの教科書"にマイクロソフトが助成金 (Internet Watch, 7/14)

• 》 燃料消費は固定翼機の3分の1、英社のバイブリッド飛行船が50回目の試験飛行に成功 (technobahn, 7/13)。リフティングボディ化されているので、従来の飛行船よりも燃費がいいようで。形がなんだかサンダーバード 2 号っぽい。

• 》 DNSクエリを見ればIPv6の浸透度が分かる? (@IT, 7/14)

• 》 中国政府、ネット中毒への電気ショック療法を禁止 (ITmedia, 7/15)

• 》 Yahoo!ジオシティーズの大規模障害、一部データ消失の可能性 (Internet Watch, 7/15)

• 》 「クレジットマスター」か? 警視庁がVIPルーム宿泊男を逮捕 (Internet Watch, 7/16)

  [引用] 瓜生容疑者の逮捕容疑は、4月6日から18日までの間、不正に入手した7人分のクレジットカード番号を使って、旅行サイト「楽天トラベル」から札幌市内のホテルの宿泊予約代金を決済し、計54万8千円の支払いを免れたとしている。瓜生容疑者は、1泊3万5千円のVIPルームに泊まっていた。
  (中略)
  また、瓜生容疑者のノートパソコンからは、約2千件のクレジットカード番号が見つかった。同センターの調べに「4〜5年前に暴力団関係者から、約1200 人分の楽天トラベルの会員情報が入ったCD-ROMをもらった」と説明。入手経路や暴力団組織の関与についても調べる。

• 》 不正アクセス容疑などで再逮捕 タイの邦人殺害関連捜査 (asahi.com, 7/14)。棚橋貴秀氏殺害事件方面、浦上剛志容疑者を再逮捕。

• 》 記者の目:郵便不正の虚偽公文書作成事件=玉木達也 (毎日, 7/14)

• 》 緒方元公安調査庁長官に有罪判決 朝鮮総連巡る詐欺事件 (asahi.com, 7/16)、 【朝鮮総連事件】激しい検察批判 微妙な被害者意識 (産経 MSN, 7/16)

• 》 トヨタ、マツダと提携へ=ハイブリッド装置供給 (時事, 7/16)

• 》 東京・芝のエレベーター事故死:シンドラー社など幹部ら在宅起訴へ 業過致死罪で (毎日, 7/16)、 シンドラー幹部ら在宅起訴 高校生死亡のエレベーター事故 (中日, 7/16)

• 》 「そのまんま麻生解散」 本紙が勝手に命名 (中日, 7/15)。うまいこと言うね。

• 》 麻生降ろし:最終局面 執行部「時間切れ」狙う (毎日, 7/15)、総会要求署名、16日に提出 自民、党内対立激化 (中日, 7/16)。信任した直後に梯子を外してみるテスト。

  関連: 両院総会求め署名した自民党議員の全氏名 (読売, 7/16)

• 》 F22増産に拒否権方針 米大統領、上院委に (asahi.com, 7/15)。ファイナルアンサー。

• JVN#31110006 - shiromuku(fs6)DIARY におけるクロスサイトスクリプティングの脆弱性 (JVN, 2009年07月14日)

• Cisco Security Advisory: Vulnerabilities in Unified Contact Center Express Administration Pages (Cisco, 2009年07月16日)。 CVE-2009-2047 CVE-2009-2048

• [GSEC-TZO-44-2009] One bug to rule them all - Firefox, IE, Safari,Opera, Chrome,Seamonkey,iPhone,iPod,Wii,PS3.... (bugtraq, 2009年07月16日)。 巨大な引数つきで select() すると crash したりする話。 Firefox や Opera、Chrome、iPhone、Webkit では修正されているが、 IE はまだ直ってないのだそうで。 CVE-2009-2536

• [SA35824] Virtualmin Multiple Vulnerabilities

Buggy 'smart meters' open door to power-grid botnet: Grid-burrowing worm only the beginning

Black Hat USA 2009 //Schedule によると、Mike Davis: Recoverable Advanced Metering Infrastructure は 7/30 ですね。 この他にも、同じく 7/30 の Joe Grand, Jacob Appelbaum & Chris Tarnovsky: "Smart" Parking Meter Implementations, Globalism, and You が似たような話なのかなあ。

この件ですかね: Mozilla Firefox 3.5 (Font tags) Remote Buffer Overflow Exploit (milw0rm)。Just-in-time (JIT) JavaScript コンパイラの欠陥なのだそうで。 about:config から javascript.options.jit.content を false にすれば回避できるそうで。

2009年07月17日 追記:

Firefox 3.5.1 で修正されました。リリースノート。

• 》 西日本沿岸 「副振動」で被害 (NHK, 7/15)

• 》 フリー/オープンソースの法律ジャーナルが初創刊 (sourceforge.jp, 7/15)。 International Free and Open Source Software Law Review(IFOSSLR)。

• 》 Office 2000のサポート、完全に終了 (slashdot.jp, 7/15)。さようなら。

• 》 ネットの激流に飲まれた官製"検閲ソフト"(前編) 「グリーンダム」の搭載強制に批判噴出、セキュリティの欠陥も露呈 (財経, 6/22)

• 》 「児童ポルノ禁止法」で日本のマンガ・アニメが衰退する (日経 BP, 7/14)

• 》 児童ポルノ:禁止法改正案は廃案の見通し 衆院解散で (毎日, 7/14)

• 》 自民2議員側への献金告発で西松建設元社長を不起訴処分 (asahi.com, 7/14)。国策捜査ですから当然です。

• [SA35816] mathTeX Multiple Vulnerabilities。 2009年07月13日 以降の版なら ok だそうで。

• [SA35818] MediaWiki "Special:Blocks" Cross-Site Scripting Vulnerability。 MediaWiki 1.14.1 / 1.15.1 で修正されているそうで。

• [SA35817] LibTIFF tiff2rgba and rgb2ycbcr Integer Overflow Vulnerabilities。ユーティリティの欠陥。

ISC DHCP 2.0〜4.1 に欠陥。 DHCP クライアント (dhclient) に buffer overflow する欠陥があり、 攻略 DHCP パケットによって任意のコードを実行できる。CVE-2009-0692

ISC DHCP 4.1.0p1 / 4.0.1p1 / 3.1.2p1 で修正されている。DHCP Security Vulnerability - Stack Overflow in 'dhclient' script_write_params() (ISC, 2009年07月14日) も参照。

出てます。Oracle や WebLogic な方はどうぞ。

予定どおり 6 つ。

MS09-028 - 緊急: Microsoft DirectShow の脆弱性により、リモートでコードが実行される (971633)

DirectX 7.0 / 8.1 / 9.0 に 3 つの欠陥。Exploitability Index はいずれも 1 (安定した悪用コードの可能性)。影響するのは Windows 2000 / XP / Server 2003 のみ。

• DirectX の NULL バイトの上書きの脆弱性 - CVE-2009-1537。 マイクロソフト セキュリティ アドバイザリ (971778) Microsoft DirectShow の脆弱性により、リモートでコードが実行される の件。

• DirectX のポインターの検証の脆弱性 - CVE-2009-1538

• DirectX のサイズの検証の脆弱性 - CVE-2009-1539

いずれも、攻略 QuickTime ファイルによって任意のコードを実行できる。

MS09-029 - 緊急: Embedded OpenType フォント エンジンの脆弱性により、リモートでコードが実行される (961371)

Windows 2000 / XP / Server 2003 / Vista / Server 2008 の Embedded OpenType (EOT) フォント エンジンに 2 件の欠陥。Exploitability Index はいずれも 1 (安定した悪用コードの可能性)。

• Embedded OpenType フォントのヒープ オーバーフローの脆弱性 - CVE-2009-0231

• Embedded OpenType フォントの整数オーバーフローの脆弱性 - CVE-2009-0232

いずれも、EOT フォントが埋め込まれた Word / PowerPoint 文書や Web ページによって、任意のコードを実行できる。

関連: MS09-029: Vulnerabilities in the EOT parsing engine (Microsoft Security Research & Defense, 2009年07月14日)

MS09-030 - 重要: Microsoft Office Publisher の脆弱性により、リモート コードが実行される (969516)

Publisher 2007 SP1 に欠陥。古いバージョンの Publisher ファイルを読み込むときにメモリ破壊が発生、攻略 Publisher ファイルによって任意のコードを実行できる。Exploitability Index は 1 (安定した悪用コードの可能性)。 CVE-2009-0566

Publisher 2007 SP2 にはこの欠陥はない。

MS09-031 - 重要: Microsoft ISA Server 2006 の脆弱性により、特権が昇格される (970953)

Internet Security and Acceleration (ISA) Server 2006 に欠陥。 以下の全てが yes の場合に、非認証ユーザが特権を獲得できるみたい。

1. 攻撃者は管理者アカウントのユーザー名を知っている

2. Radius One Time Password (OTP) 認証を Forms-Based 認証と組みあわせて使用している

3. Kerberos Constrained Delegation を行っている

Exploitability Index は 1 (安定した悪用コードの可能性)。 CVE-2009-1135

関連: MS09-031: More information about the ISA issue (Microsoft Security Research & Defense, 2009年07月14日)

MS09-032 - 緊急: ActiveX の Kill Bit の累積的なセキュリティ更新プログラム (973346)

0-day in Microsoft DirectShow (msvidctl.dll) used in drive-by attacks の件。Exploitability Index は 1 (安定した悪用コードの可能性)。って、既に流通してますが。

MS09-033 - 重要: Virtual PC および Virtual Server の脆弱性により、特権が昇格する (969856)

Virtual PC 2004 / 2007、Virtual Server 2005 に欠陥。 ゲスト OS において、ユーザーモードアプリがカーネルモードの命令を実行できてしまい、ゲスト OS 上で権限上昇が発生する。 この欠陥は、ホスト OS には影響しない。また、他のゲスト OS に対して影響を与えることもない。 Exploitability Index は 2 (不安定な悪用コードの可能性)。 CVE-2009-1542

Hyper-V にはこの欠陥はない。

関連: MS09-033: The Virtual PC vulnerability is not a VM breakout issue (Microsoft Security Research & Defense, 2009年07月14日)

関連:

• Microsoft July Black Tuesday Overview (SANS ISC, 2009年07月14日)。MS09-028 と MS09-032 が PATCH NOW 扱い。

• 2009年7月のセキュリティ情報 (日本のセキュリティチーム, 2009年07月15日)

2009年07月27日 追記:

MS09-029 (961371) patch を適用すると、印刷で不具合を起こす 3rd party アプリがある模様。

• セキュリティー更新(KB961371)を適用するとCPS(XenApp)で複数ページの印刷が出来ないらしい (type-y.com, 2009年07月25日)

• Windows Updateセキュリティ更新(KB961371)ダウンロード後にアプリ印刷不正発生 (OKwave, 2009年07月17日)

2009年08月05日 追記:

MS09-029のスプーラーの件と MS09-034 & MS09-035の更新 (日本のセキュリティチーム, 2009年08月05日)。Microsoft でも MS09-029 patch による不具合を確認済で、現在対応作業中だそうだ。

2009年08月26日 追記:

MS09-029 - 緊急: Embedded OpenType フォント エンジンの脆弱性により、リモートでコードが実行される (961371) の Windows XP 用出し直し版 patch が、自動更新で配布されています。

[引用] なぜこのセキュリティ情報は 2009 年 8 月 26 日に更新されたのですか?
マイクロソフトはこのセキュリティ情報を更新し、印刷スプーラーが応答しなくなる問題を解決するため、サポートされている日本語版のすべてのエディションの Windows XP 用の更新プログラムを自動更新、Windows Update、Windows Server Update Service で再提供したことをお伝えしました。Windows XP Service Pack 2、Windows XP Service Pack 3 または Windows XP Professional x64 Edition Service Pack 2 の日本語版の更新プログラムを既にインストールされているお客様は、自動更新で再度提供している更新プログラムをインストールして、上記で記載している印刷スプーラーの問題を解決する必要があります。(中略) また、2009 年 8 月 12 日に再リリースした Windows XP 用の 改定版セキュリティ更新プログラムを手動でインストールされてたお客様は、この改定版のセキュリティ更新プログラムを再度インストールする必要はありません。

2010年01月18日 追記:

The wrong fonts appear in Web pages, in printed Word documents, or in printed PowerPoint presentations after you install security update 961371 (Microsoft KB 978909)。MS09-029 patch による副作用が MS10-001 - 緊急: Embedded OpenType フォント エンジンの脆弱性により、リモートでコードが実行される (972270) の patch で修正されているそうで。

マイクロソフト セキュリティ アドバイザリ (971778) Microsoft DirectShow の脆弱性により、リモートでコードが実行される

MS09-028 - 緊急: Microsoft DirectShow の脆弱性により、リモートでコードが実行される (971633) (Microsoft, 2009年07月15日) で修正されました。

0-day in Microsoft DirectShow (msvidctl.dll) used in drive-by attacks

MS09-032 - 緊急: ActiveX の Kill Bit の累積的なセキュリティ更新プログラム (973346) (Microsoft) で対応されています。って、kill bit つけてるだけですが。

Microsoft Office XP / 2003 Web コンポーネントに欠陥。ActiveX コントロールに欠陥があり、攻略 Web ページに接続すると任意のコードが実行される。 CVE-2009-1136

Microsoft Office XP / 2003 Web コンポーネントは Office 2002 (XP) / 2003 の他、ISA 2004 / 2006 や Microsoft Office Small Business Accounting 2006 にも塔載されている模様。

patch はまだない。 ActiveX コントロールに kill bit を設定して無効化すれば回避できる。 ふつうの人は、KB 973472 に掲載されている Microsoft Fix it を使って kill bit を設定しよう。

関連:

• Vulnerability in Microsoft Office Web Components Control Could Allow Remote Code Execution (SANS ISC, 2009年07月13日)

• More information about the Office Web Components ActiveX vulnerability (Microsoft Security Research & Defense, 2009年07月13日)

• インジェクション Office Web Componentの脆弱性(973472) (cNote, 2009年07月14日)。攻略サイト事例。

• 》 西松建設 ×ばつ 二階俊博

  • 西松事件:元社長、二階派に資金提供認める 地裁公判再開 (毎日, 7/14)

  • 西松建設献金事件:元社長公判再開 20年前から親交、二階氏に情報期待 (毎日, 7/14)

• 》 MSオフィス無料提供へ、グーグルに対抗 (読売, 7/14)。Microsoft(R) Office 2010 および関連製品のテクニカルプレビューを開始 (Microsoft, 7/14) のこの部分の模様:

  [引用] マイクロソフトはまた、Officeのエディションを8から5に簡素化することや、新しいアプリケーションと機能によりそれぞれのエディションを強化することを発表しました。また、Office Web applications を次の3つの方法で利用可能にすることを発表しました。
  
  * Windows Live(TM)を通じた利用: 4億人以上のユーザーが無償で利用可能
  * オンプレミス環境: Office のボリュームライセンスを契約されている企業のお客様が利用可能(製品提供時には、ソフトウェア アシュアランスにより約9,000万人のお客様)
  * マイクロソフト オンラインサービス: サブスクリプションの購入により利用可能

  あくまで Office Web applications のお話。

• 》 改正児童ポルノ法案は「ネット利用に大きな弊害」 MIAUが声明、賛同者募集 (ITmedia, 7/13)

• 》 政府提出法案、17本の廃案が確実に (読売, 7/13)、貨物検査法:廃案へ (毎日, 7/13)。あらあら。

• 》 新型インフルエンザ 大流行にどう備えるか (NHK 生活ほっとモーニング, 7/14 放送予定)。taka さん情報ありがとうございます。

• 》 「国際平和協力センター」構想はムダじゃない (佐藤正久, 7/8)。ハコモノがほしい人はみんなそう言います。

• 》 「計画中止を」、"アニメの殿堂"準備委で議論が紛糾 (日経 KEN-Plats, 7/9)。樋口真嗣監督吠える。

• 》 臓器移植法:参院も「A案」で成立 「脳死は人の死」 (毎日, 7/13)。おぉ。

• 》 太りすぎで新型インフル、重症の恐れか (読売, 7/12)

  [引用] CDCの判断の基になったのは、米ミシガン大学の報告。5月下旬から6月中旬までの間に、新型インフルエンザが悪化し、同大大学病院の集中治療室に運ばれた患者10人を調べたところ、9人の体格指数BMIが30以上(高度肥満)だった。

• 》 首相が週内解散決意...自民党内の反発必至 (読売, 7/13)

  [引用] 衆院解散には閣僚の署名が必要で、週内の解散には閣僚が署名を拒否する事態も予想され、ハードルは高い。

  ......と言っている間に決まったらしいですよ: 衆院:21日にも解散、8月30日投開票 首相、与党合意 (毎日, 7/13)

• 》 イラク:バビロンの遺跡、米軍駐留で損壊 ユネスコ調査 (毎日, 7/13)。さすがは USA、なんでも壊すよ。

• 》 セキュリティUSBメモリ 『Password Lockerウィルススキャン』ソフトウェアアップデートのご案内 (ハギワラシスコム, 7/10)。マカフィーが入っている USB メモリっぽい。

  [引用] ・ネットワーク接続されているにも関わらず、ウィルス定義ファイルが更新されない場合がある問題を改善しました。
  ・プロキシサーバー経由でのウィルス定義ファイルの更新ができない問題を修正しました。
  ・ウィルス定義ファイルとスキャンエンジンのバージョンをSecureFlash AVSから確認できるようになりました。
  ・SecureFlash AVSの動作安定性が改善されました。
  ・複数のフォルダ選択時におけるドラックアンドドロップ操作による復号に対応しました。
  ・ウィルス定義ファイル復旧機能を追加しました。

  なんというか......改善前のものは「使いものにならない」レベルだったように見えるのだが。

• 》 NOD32 が秀丸メールを誤検出

  • ウィルス誤検出について (サイトー企画, 7/11)

  • ESET Smart Security / ESET NOD32アンチウイルスにおける誤検出について (canon-its.jp, 7/10)。ウイルス定義データベース バージョン 4228〜4229 において誤検出。

  この他にも、IO データの地デジチューナーに含まれるファイル IVIVIDEO.ax、IviAvCtl.dll を誤検出していたようで。

  • またもや誤検知 (Guess what ?, 7/10)

  • ESET Smart Security / ESET NOD32アンチウイルスにおける誤検出について (canon-its.jp, 7/10)。ウイルス定義データベース バージョン 4225〜4230 において誤検出。

• 》 NHK 都議選 開票速報 (NHK)......出ましたね。

  自民	公明	民主	共産	ネット	社民	幸福	諸派	無
  今回	38	23	54	8	2	0	0	0	2
  前回	48	22	34	13	4	0	0	1	3

  依然として自民 + 公明 > 民主ではあるものの、ついに過半数割れ。 これはつまり......都政のキャスティング・ヴォートを握ったのは、実は共産党ですか?! まぁ、今後の公明の出方が見物、でもあるのだろうけど。公明自身は議席を増やしてすらいるのだしなあ。

  なお、奈良市は民主でした: 奈良市長に民主推薦33歳仲川氏 前自民衆院議員ら破る (asahi.com, 7/12)

• 》 自民党と自殺

  • 自殺論議は「お涙ちょうだい」河村官房長官、鳩山代表を批判 (読売, 6/18)。さんざん批判された挙句、1 か月も経ってからようやく陳謝: 河村官房長官:自殺対策の「お涙ちょうだい」発言で陳謝 (毎日, 7/11)

  • 鳩山邦夫氏「自殺にはDNAが働いている」シンポで発言 (asahi.com, 7/12)

• 》 スウェーデン、LGBTフレンドリーな老人ホーム実現に一歩前進 (みやきち日記, 7/11)

  [引用] 「私たちが望むのは、老人ホームの入居者が、長年面会に来てくれている恋人のことを『あの人は私の恋人だよ』とホームのスタッフに言えずにいるという、今日でも時々起こる事態を回避するということです」

• 》 チェイニー氏、CIAに情報隠ぺいを直接指示 消息筋 (CNN, 7/12)

• 》 「電車内の痴漢事犯への対応」について捜査上の留意事項等を通達 〜証拠の保全・収集の徹底促す〜 (ポリスチャンネル, 7/10)。 電車内における痴漢事犯への対応について (警察庁, 6/25)

• 》 投資・協働・電縁で日本復活へ、総務省が09年版「情報通信白書」 (Internet Watch, 7/10)。子供向けには「投資・協働・電縁」なんて言葉は出てこないのだろうなあ。

• 》 US / 韓国 DDoS 攻撃と Mydoom

  • MYDOOM Code Re-Used in DDoS on U.S. and South Korean Sites (trendmicro blog, 7/9)。 日本語版: MY DOOM再び! 米国・韓国の大手サイトにDDoS攻撃をしかける (トレンドマイクロ セキュリティ blog, 7/13)

  • アンラボ、韓国/米国におけるサイバーテロの踏み台となる DDoS 攻撃用 悪性コードの駆除ツールを無料提供 (アンラボ, 7/10)。椎名さん情報ありがとうございます。

• 》 核持ち込み密約方面

  • 核搭載艦寄港:外務省に密約本文 元条約局長が証言 (毎日, 7/11)。 村田良平・元外務事務次官とは別の人からも証言が得られた模様。

  • 核密約:村田元次官と会い証言を確認 河野衆院外務委員長 (毎日, 7/11)

• 》 PHP逆引きレシピは概ね良いが、SQLインジェクションに関しては残念なことに (ockeghem(徳丸浩)の日記, 7/11)

• 》 児童ポルノ禁止法改正にMIAUが声明、真に児童を守るための施策を (Internet Watch, 7/10)

• 》 児童買春・児童ポルノ禁止法改正案、単純所持禁止で与党と民主党が合意?!

  • 児童ポルノ禁止法:「単純所持」も禁止 改正案、与党と民主が合意 (毎日, 7/11)

    [引用] 9日に衆院法務委の両筆頭理事と実務者議員による2度目の修正協議が開かれ、民主党側が「有償・反復取得」を取り下げ「単純所持」を違法とすることで了承。代わりに「自己の意思に基づいた所持」であることを捜査機関が十分に立証するよう求める条文を盛り込むことで合意した。ただし、改正法施行前から所持していた画像については、処罰対象に含むとする与党側と「さかのぼるべきではない」とする民主党とになお隔たりがある。

  • 児童ポルノの単純所持禁止 与党、民主が一致 (共同 / 中日, 7/11)

    [引用] ただ単純所持禁止に関連し、改正法施行前に入手した場合は罰則の対象としない方向で検討が進んでいることに対し与党内に異論があるため、最終調整している。3党は今国会での成立を目指すが、民主党が13日にも内閣不信任案を提出する方針を固めている上に、衆院解散も取りざたされており、成立は不透明だ。

  • 児童ポルノ禁止法の「修正協議」は継続中 (保坂展人のどこどこ日記, 7/10)

    [引用] またもや「児童ポルノ禁止法」の「与野党合意」が成立したという情報が流れた。具体的にはTBSのニュースが報道したものだが、実際はどうだったのかと民主党の担当者に聞いてみると、「持ち越しになった。まだすべて合意したという段階ではない」とのことだった。ならば、なぜ「与野党合意」のニュースが流れたのかと聞くと、与党側が記者レク(ブリーフィング)をしたからではないかとのことだ。

    ベースは与党タレ流し情報ですか。

    [引用] このようなニュースは、一面の真実を伝えているものの正確ではないようだ。そこで、今日の段階で把握出来た限りの状況を記しておくこととする。「一面の真実」と書いたのは、たしかに大筋の合意出来る点が拡がったということのようだ。
    もっとも隔たりのあった「単純所持規制」については、与党と民主の案を折衷する方向で話し合われているが、結論は出ていない。一方、3号ポルノに代表される「児童ポルノの定義」についてはまとまっていない。「マンガ・アニメ、ゲーム」などを対象とした条文については、付則から外す方向で協議が進んでいるようだが、これも結論には至っていない。
    (中略)
    与党案・民主党案の修正の動きがたいへん気がかりだが、児童ポルノ改正案の「論点整理」に記した問題点・疑問点をきっちりただしていきたい。与野党の修正協議は「継続中」だが、日取りも未定とのことだ。それもそのはず、都議会議員選挙の結果次第で、麻生内閣退陣か解散・総選挙になだれこむかもしれないギリギリの状況だ。こんな時だからこそ、「表現の自由」にかかわる法案審議には慎重な扱いが求められるべきだ。

    関連: 児童ポルノ法改正案の最新版「論点整理」 (保坂展人のどこどこ日記, 7/6)

• 》 河村官房長官:自殺対策の「お涙ちょうだい」発言で陳謝 (毎日, 7/11)

• 》 不況でマルウェアの数が減少——資金難に苦しむのは犯罪者も同じ? (ComputerWorld.jp, 7/7)。G DATA 調べ。 新種マルウェア発生数、やや減速化 (G DATA, 7/2) の件かな。

• 》 パキスタン軍がタリバーンと接触、米国とオマール師の交渉可能と (CNN, 7/10)

• 》 新型インフル:ワクチン輸入へ 厚労相表明 (毎日, 7/10)。国内生産分だけでは足りないので輸入すると。

• 》 摘発された児童ポルノ掲示板開設者は何をしたのか? (P2Pとかその辺のお話@はてな, 7/10)。「関西○しろまる交」の件。

  [引用] この私大生19歳はY-BBS 動画保管庫板に「関西○しろまる交」というスレを立て、当該シリーズのビデオがアップロードされたYourFileHostページへのリンクを投稿するよう募った、というところでしょうか。
  
  ただ、そうなると、これは単にY-BBS 動画保管庫板だけの問題ではないようにも思える。おそらく、Y-BBS以外にも今回のケースに類似した掲示板、スレッド、ブログがあるだろう。そうしたものも、これからは摘発の対象とするのだろうか?

• 》 車のナンバーカバー全面禁止 見えにくくしたら罰金 (asahi.com, 7/11)

  [引用] 省令を改正し、今秋にも施行する。

• 》 東京都、携帯などの悩み・トラブルの相談窓口を開設 (Internet Watch, 7/10)。 東京こどもネット・ケータイヘルプデスク。

• 》 ブラックボックスの発信音消える、墜落のエールフランス機 (CNN, 7/11)

• 》 http://www.milw0rm.com/。オカエリナサイ。

• [Security-announce] VMSA-2009-0009 ESX Service Console updates for udev, sudo, and curl (VMware.com, 2009年07月10日)。対象は ESX 4.0 のみ。

• WordPress 2.8.1 (WordPress Blog, 2009年07月09日)。修正リストは これ のようですが、セキュリティ方面はこの 4 つでいいんですかね。

  • Ticket #10226 : Sanitization bypass in clean_url and wp_sanitise redirect

  • Ticket #10246 : New Security check for plugins pages breaks backwards-compatible redirects

  • Ticket #10310 : add_menu_page Security Bug

  • Ticket #10336 : Inline CSS filter for kses

• 》 総務省:テレビ局に「制作会社いじめ」をやめるよう通知へ (毎日, 7/10)。 「放送コンテンツの製作取引適正化に関するガイドライン(第2版)」の策定 (総務省, 7/10) の件。 関連: 放送コンテンツの取引適正化を推進へ,総務省がガイドラインの第2版を公表 (日経 IT Pro, 7/10)

  [引用] 第1版に比べて,新たに四つの取引事例を追加した点が特徴である。
  
  具体的には,「放送番組に用いる楽曲に係る製作取引に関する課題」「アニメの製作発注に関する課題」「出資強制に関する課題」「契約形態と取引実態の相違に関する課題」の四つを取引事例として追加した。これにより, 第2版の取引事例は合計10項目となった。

• 》 パスワードの定期的な変更と心理的な障壁 (Hatena::Group::Securityactionplan::h12o, 7/10)

  [引用] つまり、現状ではパスワード変更に失敗するとリカバーのきかないシステムの方が多い、いいかえればパスワード変更の失敗をリカバーできる仕組みはまだまだオプショナルな扱いなので、パスワードの変更にはつい二の足を踏んでしまうのではないかと思っているわけです。

  Mac にすればいいのに。

• 》 米国・韓国へのDDoS攻撃と北朝鮮 (武田圭史, 7/10)

  関連: 韓国、米国で発生しているDDoS攻撃に関する注意喚起 (JPCERT/CC, 7/10)

• 》 Amazon Web Services を使って Share ネットワークに syn flood 攻撃 (?) を仕掛けている人がいる? fdqjd8400 さん情報ありがとうございます。

  • 【share】amazonからの攻撃対策本部【洒落】 (2ch.net)

  • 【share】amazonからの攻撃対策本部【洒落】 Part2 (2ch.net)

  • 【share】amazonからの攻撃対策本部【洒落】 Part3 (2ch.net)

  • 【share】amazonからの攻撃対策本部【洒落】 Part3(実質4) (2ch.net)

  • 【share】amazonからの攻撃対策本部【洒落】 Part5 (2ch.net)

  • Amazon Web Services

  • 状況事例

  • 攻撃を受けて Share がハングアップすると、次回起動時にキャッシュが消えてしまうことがあるのだそうで。 Part2 #229、 Part2 #257、 Part2 #318

  • amazonからの攻撃対策まとめwiki。 対応としては、SynAttackProtect を有効にする、IP フィルタを使って攻撃元からの接続を拒否する、がある模様。いや、もちろん、Share ステという手もありますが。

    • Microsoft Windows Security Resource Kit, Second Edition, Chapter 10 (Microsoft)

      [引用] SynAttackProtect
      
      Enables SYN flood protection in Windows Server 2003, Windows 2000, and Windows XP. You can set this value to 0, 1, or 2. The default setting, 0, provides no protection. Setting the value to 1 will activate SYN/ACK protection contained in the TCPMaxPortsExhausted, TCPMaxHalfOpen, and TCPMaxHalfOpenRetried values. Setting the value to 2 will protect against SYN/ACK attacks by more aggressively timing out open and half-open connections and preventing scalable windows. In Windows Server 2003, you can set this to be either on (1) or off (0). Turning it on is effectively the same as setting it to 2 in Windows 2000 and Windows XP. Windows Server 2003 Service Pack 1 enables SynAttackProtect.

      関連: Additional Registry Entries (Microsoft)

    • フィルタについては各自が使っているものをそのまま使えばよいと思うが、 スレではなぜか PeerGuardian 2 というソフトが人気のようで。

  まぁ、特定方面の人には、 涼宮ハルヒの憂鬱のエンドレスエイトがついに5週目突入決定!!!! 2ch各板で悲鳴、怒号、罵声、失望の声が飛び交う!! (【2ch】ニュー速VIPブログ, 7/10) の方が重大なのでしょう (俺もそうだが心配するな)。 関連: エンドレスエイトのメタ構造 (螢日記, 7/8)。そういう部分を楽しむのが正しい夏休みの過ごし方というものなのだろう。しかし、ほんと力技だよなあ。

• 》 Windows 7時代の新常識−仮想ハードディスクをドライブとして使う【後編】 VHDファイルをブートドライブにする (Enterprise Watch, 7/10)

• 》 米MS、特許主張しない約束をC#とCLI標準に適用、Monoはソースコードを2分割へ (sourceforge.jp, 7/8)

• 》 CAのアンチウイルスソフト、「Windows XP」のシステムファイルをウイルスと誤判定 (CNET, 7/10)。椎名さん情報ありがとうございます。

• 》 世界で最も利用される兵器『AK-47』:画像ギャラリー (WIRED VISION, 7/10)。AK-47 は傑作だよなあ。

  • ハーネル StG44突撃銃 (ウィキペディア)。「突撃銃」という概念の誕生。

  • AK-47 (ウィキペディア)

• 》 北極海の氷、薄く薄く... NASA、衛星で確認 (asahi.com, 7/9)

• 》 「スルッとKANSAI」偽造団、韓国で摘発 (読売, 7/10)

• 》 熱帯夜の強い味方「ジェル入りマット」はあまり効果がない?国民生活センターが検証 (gigazine, 7/10)。やっぱり空調ベッド (空調服) ですかね。

• 》 ケンコーコム,6月の医薬品売上高は6割減,ネット販売規制で (日経 IT Pro, 7/9)

• 》 マイクロソフトの新ブラウザ「Gazelle」の可能性--ブラウザはOSに近づけるか (CNET, 7/10)

• 》 Google Desktop、64ビットWindowsに対応 (ITmedia, 7/10)

  [引用] それに加え、同ツールは最新版ブラウザ(Google Chrome、Firefox 3、Internet Explorer 8)にも対応。Googleはこれを受けて、同ツールのマルウェア・フィッシング対策機能「Safebrowsing」を7月31日で削除することを決定した。現在はほとんどのブラウザにSafebrowsingに似たセキュリティ機能があるためだという。

• 》 インシデント報告の届出 (JPCERT/CC)。Web からできるようになったはずなのですが、

  [引用] 現在、システムメンテナンスのためフォームでの受付を一時停止しております。ご不便をおかけしますが、電子メールまたは FAX にて届出いただきますようお願いいたします。

  さっそく欠陥が指摘されでもしたのかな......。いや、知らんけど。

• 》 SSL証明書を使う詐欺サイトが急増、乗っ取りサーバで運営 (ITmedia, 7/9)

Windows x 3、Virtual PC 2004 / 2007 & Virtual Server 2005、ISA 2006、Publisher 2007 が予定されてます。

0-day in Microsoft DirectShow (msvidctl.dll) used in drive-by attacks

関連:

• Microsoft Video ActiveXコントロールの脆弱性(CVE-2008-0015)に関する検証レポート (NTT データ・セキュリティ, 2009年07月09日)

• Questions about Timing and Microsoft Security Advisory 972890 (MSRC, 2009年07月09日)。 CVE 番号が CVE-2008-0015 である件などの解説。もともとは、IBM ISS が発見していた欠陥だったそうで。

いろいろ (2009年07月01日)

Nagiosのstatuswml.cgiの脆弱性(CVE-2009-2288)に関する検証レポート (NTT データ・セキュリティ, 2009年07月07日)。[SA35543] Nagios "statuswml.cgi" Command Injection Vulnerability の件。

nagios 3.0 系列は今でも Latest stable release なのですが、 patch は出てませんね。でも cgi/statuswml.c は nagios 3.0.6 と 3.1.0 で全く同じなわけで。nagios 3.1.2 の cgi/statuswml.c に入れかえればよさそうな感じ。 diff 取ってみた。

• 》 フェイのFM局インタビューの日本語訳 (エフセキュアブログ, 7/9)。ケータイウイルス話。

• 》 OpenSSH 0day FUD (SANS ISC, 7/9)

• 》 マスゴミ報道が続いている DDoS 方面ですが

  • 米国および韓国WebサイトへのLyzapo DDoS 攻撃 (エフセキュアブログ, 7/9)

    [引用] この攻撃を、5年前に登場したMydoomワーム・ファミリーに結びつける情報筋もある。以下に、今回の件に関し、我々が知っていることをまとめると:この攻撃に関連するサンプルファイル群は、複数のアンチ・ウィルス・ラボで共有されている。それらのファイルの一つ(MD5: 93322e3614babd2f36131d604fb42905)は、実際、Mydoomの亜種だ。我々はそれがEmail- Worm.Win32.Mydoom.hwであることを確認している。しかし、現在DDoSの標的とされているサイトのいずれかを、このファイルが攻撃するという証拠を発見するには至っていない。

  • Latest Updates on Ongoing DDoS on Governmental/Commercial Websites in USA and S. Korea (SANS ISC, 7/9)

• 》 福知山線事故、山崎正夫・JR 西日本社長を起訴方面

  • 福知山線脱線:JR西社長起訴...事故予見できた 神戸地検 (毎日, 7/9)。あくまで地検の意見。

    [引用] 起訴状によると、山崎被告は鉄道本部長として、JR西日本の取締役会決議に基づき安全対策を一任されていたが、(1)カーブでの速度超過事故防止にはATSが有効(2)東西線と福知山線を結ぶため96年12月20日に事故現場を急カーブに付け替えた(3)97年3月の東西線開通に伴うダイヤ改正と新型車両導入で、現場カーブ直前で最高時速120キロになる電車が大幅に増えた(4)96年12月4日にJR貨物・函館線の急カーブで起きた脱線事故は、ATSがあれば防げた−−の4点すべてを知り、事故を予見できた。だが、経費増大を危惧(きぐ)するなどしてATSを優先的に設置するよう指示せず、事故が起きたとしている。現場カーブ付近のATSは、05年5月に設置することが03年に決まった(実際の設置は05年6月)。

  • クローズアップ2009:JR西社長起訴 幹部責任、異例の追及 (毎日, 7/9)

  • JR福知山線脱線:JR西社長起訴 元事故調委員「予想外」 (毎日, 7/9)

    [引用] 山根次席検事は (中略) 山崎社長1人の起訴にとどまったことに絡んで「JR西日本に過失責任があることは明白だが、法律上、法人の責任は追及できない」とした。

    そもそも法律がおかしい模様。

  • 福知山線脱線:解説...12人不起訴 国も不問 (毎日, 7/9)

  • 鉄道事故調査報告書: 2005年04月25日 福知山線 塚口駅〜尼崎駅間 列車脱線事故 (航空・鉄道事故調査委員会)

• 》 京教大準強姦、他校の女子学生がネット中傷 (読売, 7/9)。この件:

  • 京都教育大生の集団準強姦:被害者中傷で謝罪−−京都文教大 /京都 (毎日, 7/4)。「臨床心理学部の女子学生」ですか。

  • 本学学生のインターネットへの書き込みについて (京都文教大学, 7/3)

  • 本学学生によるインターネットへの書き込みに係る処分について (京都文教大学, 7/9)

• 》 性暴力ゲーム改造版をShareで放流、猥褻物陳列容疑で男性を逮捕 (Internet Watch, 7/9)。改造レイプレイ (モザイクなし) だそうで。

• 》 iTunes Storeに接続できません。 (パソコントラブル出張修理・サポート日記, 6/26)

  [引用] まさか、プロバイダは「ぷらら」じゃ...。
  「そうですよ。それが何か?」
  ...( ̅△しろさんかく ̅;
  出たよぷらら...。
  悪名高きネットバリアベーシックです...。

  悪名高いんだ......。

  [引用] ぷららさんには申し訳ないんですが、ハッキリ言います。
  コレは使えません。意味ありません。
  パケットフィルタは、回線丸ごとiTunes Storeやストリーミング動画が使えなくて、結局OFFにするぐらいなら、最初からない方がマシですし、URLフィルタも、必要があって見なければならないサイトがブロックされるたびにOFF設定を30分もかけて切り替えなければならないだなんて、使えないにも程がある。

• 》 海の向こうの"セキュリティ" 第34回 「FIRST Conference」京都で開催、世界から約400人参加 (Internet Watch, 7/9)

  [引用] 「FIRST Conference」は研究や活動の報告などから構成される「国際会議」ではありますが、同時に、俗っぽい言い方をすれば「オフ会」に近いものがあります。

• 》 [WEB SECURITY] Goodbye Milw0rm :-(。 更新されないだけでなく、現時点ではサイト自体にアクセスできない模様です。

  しかし復活の気運? : http://twitter.com/str0ke/status/2534797494

• 》 カナダで原子炉停止、試薬製造に支障 世界需要の半分 (asahi.com, 7/9)。よくもこんな、わかったようなわからないような記事を書けるなあ。 このあたりの話:

  • 【緊急連絡(第13報)】AECL原子炉トラブルによるテクネチウム製品の供給について(7月8日(水) 〜7月11日(土) 追加納品可能な製品のお知らせ) (日本アイソトープ協会, 7/2)。いちばん下から順番に読みましょう。

  • Unplanned shutdown of NRU reactor extended (AECL, 5/18)

  • NRU Status Report #11 - Most current assessment of Chalk River NRU reactor allows for revised guidance on timeline for return to service (AECL, 7/8)。2009 年末には再稼働する予定のようです。

• 》 F-22のステルスコーティングには潜在的欠陥、ロッキードの元技術者が会社を告訴 (technobahn, 7/8)。これですかね: Ex-Lockheed engineer sues Lockheed for F-22 stealth fraud (flightglobal.com, 6/29)、 Lockheed engineer: F-22 Raptor Stealth tech is 'defective' (The Register, 6/30)

• 》 地デジの著作権保護仕様、「B-CASカード」に加え、ソフトウエアまたは小型チップの新方式併存へ (slashdot.jp, 7/7)

ColdFusion 方面

Adobe から Security Bulletin 出ました: APSB09-09 - Hotfix available for potential ColdFusion 8 input sanitization issue (Adobe, 2009年07月08日)。ColdFusion 8.0.1 に更新した上で Hotfix を適用する。

関連: ColdFusion Spurs Another Mass Compromise (trendmicro blog, 2009年07月08日)

0-day in Microsoft DirectShow (msvidctl.dll) used in drive-by attacks

XREA の無料アクセス解析サービス AccessAnalyzer.com の 2 台のうち 1 台がヤラれている模様です。リネージュ資料室さん情報ありがとうございます。

• XREAアクセス解析改竄 (リネージュ資料室)

• AccessAnalyzerにトロイの木馬が埋め込まれた? (ArtSaltのサイドストーリー, 2009年07月09日)

• 【アクセス解析】AccessAnalyzer.com Part5【XREA】 #534 以降 (2ch.net, 2009年07月07日〜)

あと、wikiwiki.jp から正式アナウンス。Ilion さん情報ありがとうございます。

• 改竄に関するお知らせとお詫び (wikiwiki.jp, 2009年07月09日)

Microsoft Security Essentials Beta

セキュリティ・ベンダーとMicrosoftの衝突が再び勃発 (日経 IT Pro, 2009年07月09日)

2010年中に導入予定だそうですよ奥さん!

Safari 4.0.2 登場。Safari 4.0 に存在した 2 点の欠陥 (いずれも WebKit) が修正されている。Windows 版 / Mac 版共に修正されている。

• CVE-2009-1724。攻略 Web ページによる XSS が可能。

• CVE-2009-1725。メモリ破壊が発生、攻略 Web ページによって任意のコードを実行可能。

• 》 危険なバクテリアに対する世界的基準を策定:コーデックス委員会 (国連情報誌SUNブログ対応版, 7/7)

• 》 「情報セキュリティ早期警戒パートナーシップガイドライン」の2009年版を公開 (IPA, 7/8)

• 》 Windows XP SP2以降のOptInポリシーでDEPが有効になるプロセスの調べ方 (Eiji James Yoshidaの記録, 7/7)、 OptInポリシーでDEPが有効になるプロセス(Windows XP SP2) (Eiji James Yoshidaの記録, 7/7)

• 》 統計突破力 (Okumura's Blog, 7/7)

  [引用] 確率・統計が流行しそうだ。

  このコンテキストでこの一言は......やっぱり釣りなんだろうか。

• 》 児童ポルノ法改正案国会審議入り、与野党修正協議中 (slashdot.jp, 7/7)、 14歳以下と18歳未満と高校3年生以下と成人がごっちゃになってる (slashdot.jp, 7/7)

• 》 筑摩書房など 8 社、書店にも返品コストを負わせる新たな書籍流通方式を導入 (slashdot.jp, 7/8)。こんなことするくらいなら、いっそ、再販制をやめりゃいいのに。

• 》 KoobfaceワームがTwitter空間に進出 (ZDNet, 7/8)

• 》 SQLインジェクション攻撃検知数(2009年6月まで) (LAC, 7/8)

• 》 静岡空港サイトに虚偽情報〜リンク切れに困ったユーザーの書き込みで発覚 (so-net セキュリティ通信, 7/6)。テストデータがまるみえだった。

• 》 OpenSSH Rumors (SANS ISC, 7/7)。今のところ根拠 less っぽい。

• 》 IT事業と知的財産権法[5]特許権が無効と判断されることによる権利行使の制限を検討する (日経 IT Pro, 7/3)

• 》 IT Professionals: Prepare for Internet Explorer 8 availability via Windows Server Update Services (WSUS) in August 2009 (IEBlog, 6/29)。WSUS に IE 8 が流れてくるようです。

• 》 ウルムチは燃えているか

  • 【ウイグル暴動】ウイグル族が漢族襲撃、140人死亡 (産経 MSN, 7/6)

  • ウイグル暴動「不当な扱いへ自発的な抗議」 (産経 MSN, 7/6)。燃えてます。

  • 【ウイグル暴動】独立派を支える民族感情 不安定な状態継続は不可避 (産経 MSN, 7/6)

  • 中国:建国60年 当局衝撃...新疆・ウイグル族暴動 (毎日, 7/7)

  • 【ウイグル暴動】路上に並ぶ遺体...当局、生々しい暴動映像を配布 (産経 MSN, 7/7)

  • 【ウイグル暴動】ウルムチで再び衝突 カシュガルでも暴動の動き (産経 MSN, 7/7)

  • 中国政府、ウイグル暴動を受けてネット規制強化 (ロイター, 7/7)

  • 漢族の逆襲 (といっても、中華政府自体が漢族なわけだが)

    • 【ウイグル暴動】漢族がウイグル族の商店を襲撃 混乱が拡大 (産経 MSN, 7/7)

    • 【ウイグル暴動】漢族、ウイグル族が「自警団」 消えない対立 (産経 MSN, 7/7)

  • ウイグル暴動「漢民族被害」発信狙う 地元政府が取材手配 (中日, 7/8)

  • 装甲車の前に立ちはだかった「松葉杖」 (東亜日報, 7/8)

  • 市民の緊張続く ウイグル暴動で外出禁止令 (東京, 7/8)

  • 厳戒のウルムチに治安部隊続々 「オウ、オウ」と気勢 (asahi.com, 7/8)

  • 【ウイグル暴動】中国でNHKニュース中断 (産経 MSN, 7/8)。「黒く塗れ」を実行。

  • 中国主席が急きょ帰国へ 騒乱対応、G8サミットを欠席 (asahi.com, 7/8)

  • 人権高等弁務官、新疆ウイグル自治区の状況に警告 (国連情報誌SUNブログ対応版, 7/8)

• 》 福知山線脱線事故 JR西社長を業過致死傷罪で在宅起訴 (読売, 7/8)

  [引用] 現場が急カーブに付け替えられた1996年12月当時、山崎社長は鉄道本部長で、地検は、自動列車停止装置(ATS)を設置しなかったとする不作為の責任があったとした。(中略) 兵庫県警が書類送検した歴代幹部8人と遺族が告訴した井手正敬・元相談役(74)ら経営トップ3人については、不起訴(嫌疑不十分)とした。

• 》 京都・伏見で偽札相次ぎ使われる 府警が捜査 (asahi.com, 7/8)

• 》 神戸大法科大学院生2人をネット中傷...大学側が警告文 (読売, 7/8)

• 》 「クレジットマスター」という手法があるのですね。 まぁ、結局は、ただの数字だからなあ。

  • 女性 (21) が逮捕・起訴されていた

    • クレジットマスター:容疑の女逮捕 カード番号不正作成 (毎日, 7/7)

    • カード番号を割り出し 通販サイトから商品盗んだ疑い (asahi.com, 7/7)。

  • 主犯格の男性 (47) にも逮捕状

    • 計算で他人の番号 「クレジットマスター」初摘発 警視庁きょう男に逮捕状 (産経 MSN, 7/7)

    • クレジットマスター事件 空き屋に宅配 捜査を攪乱? (産経 MSN, 7/8)

• 》 グーグル、「Google Chrome OS」を発表——来年には搭載ネットブックがお目見え (ComputerWorld.jp, 7/8)。いよいよ本当に web ブラウザ = OS へ。

• 》 Norton 2009 が squid のうしろにいると LiveUpdate できない話

  • Topic: I cannot use Norton LiveUpdate when is activated squid proxy (Sense Boards, 6/29)

  • Error: "Unable to locate a valid Norton LiveUpdate server. Please run a full system scan and try again" (8921,246) when you run LiveUpdate in a Norton 2009 product (Symantec KB 20090320152130EN, last modified: 7/7)。Hotfix があるので適用して再起動。

  手元で悩んでいた人の NIS 2009 は、上記 Hotfix で解決した。

• 》 海外の児童ポルノアドレス掲載 19歳少年を書類送検 (産経 MSN, 7/8)

  [引用] 児童買春・児童ポルノ禁止法違反(公然陳列)の幇助(ほうじょ)容疑で、千葉県流山市の私立大学2年の少年(19)を書類送検した。また、同法違反容疑で、京都市右京区、韓国籍で派遣社員の金正也容疑者(41)ら3人を逮捕した。

  幇助きましたね。

  [引用] 県警の調べによると、少年は昨年8月、不特定多数から児童ポルノサイトのアドレスが掲載されることを知りながら、同アドレスを掲載するネットの掲示板「関西○しろまる交」を開設した疑いが持たれている。金容疑者らは昨年9月、この掲示板に海外の児童ポルノサイトのアドレスを掲載した疑いが持たれている。

  どう考えても、そのための掲示板ですな。

• 》 US 政府や韓国政府などに DDoS 攻撃が行われてい(た|る)模様

  • Online attack hits US government Web sites (blogs.csoonline.com, 7/8)

  • Federal Web sites knocked out by cyber attack (AP, 7/7)。July 4 以降ずっと続いているの?

  • 韓国政府サイトなどにハッカー攻撃 25機関接続不能 (asahi.com, 7/8)

  • 同時多発サイバーテロ:何者かが「意図的に攻撃」(上)、 同時多発サイバーテロ:何者かが「意図的に攻撃」(下) (朝鮮日報, 7/8)

  • 青瓦台・国防部などにハッキング被害 (中央日報, 7/8)

• 》 楽天、日本初の"ネット政治献金"サービス 政治参加啓発サイト「LOVE JAPAN」本格開始へ (Internet Watch, 7/7)。「本格開始」というのは、「6月25日にベータ版サイトを公開」していたので。

  [引用] 決済はクレジットカードだが、サービス開始当初は、楽天KCが発行するクレジットカードのみ使用できる。

  なんだ、駄目じゃん。

  [引用] 献金ボタンを設置するのは、資金管理団体とサイト運営者間の「献金サービス参加規約」契約を結んだ政治家となる。 (中略) 政治家への案内は7日から開始しており、現在のところ参加見込み人数などは不明だ。「サービス本格開始の27日までに大多数の政治家に利用してもらえるよう働きかけていく」とのこと。

  どれだけの資金管理団体が契約を結ぶかは、まだ未知数みたい。

• 》 エネルギーの情報化シンポジウム (けいはんな情報通信オープンラボ)。2009年07月29日、京都府京都市、無料。

  「エネルギーの情報化」は、電力網の高機能化を目指して欧米で活発な研究開発活動が始められているSmart Gridとは異なり、生活環境における多様なエネルギー(電気、熱、風など)の流れや変化を可視化するとともに、EoD(Energy on Demand)プロトコルに基づいた、エネルギーの蓄積・制御や異なったエネルギー間の相互変換機能を駆使して、従来の個別的省エネ技術では実現がむずかしかった超省エネ生活環境、コミュニティの実現を目指すものです。
  今回のシンポジウムでは、エネルギーの情報化実現に向けた第一歩として始められた、総務省・NICTおよび経済産業省・NEDOのプロジェクトの概要・研究計画の紹介を中心にして、オープンな議論を行い、エネルギーの情報化に関する産官学の連携活動の推進を図って行きたいと考えており、多くの方々のご参加をお願いします。

• 》 第12回ばりかた勉強会のお知らせ。2009年07月25日、福岡県福岡市、1000円。花田さん情報ありがとうございます。

0-day in Microsoft DirectShow (msvidctl.dll) used in drive-by attacks

関連:

• Update on the DirectShow vulnerability du jour (Sophos blog, 2009年07月07日)

• An Artemis View of Zero-Day Attacks (McAfee blog, 2009年07月07日)

• McAfee Coverage of the DirectShow Exploit (McAfee blog, 2009年07月07日)

• Network Security Defeats Microsoft Video ActiveX Exploit (McAfee blog, 2009年07月07日)

• [SA35413] Hitachi Products ZIP and UTF-8 Processing Vulnerabilities。この件:

  • JVNDB-2009-001544: Cosminexus、Processing Kit for XML および Hitachi Developer's Kit for Java におけるエンコーディング処理に関する不正アクセスの脆弱性

  • JVNDB-2009-001545: Cosminexus、Processing Kit for XML および Hitachi Developer's Kit for Java における不正 zip ファイル走査 API による不正アクセスの脆弱性

• [SA35718] Socks Server 5 Unspecified Socks Vulnerability。 Socks Server 5 3.7.8-8 で修正されている。

• [SA35703] Perl IO::Socket::SSL Hostname Matching Security Bypass。 IO::Socket::SSL 1.26 で修正されている。

• [SA35675] KVM "kvm_arch_vcpu_ioctl_set_sregs()" Denial of Service。 5 EXPLOITABLE failure to validate cr3 after KVM_SET_SREGS - ID: 2687641 の件。patch あります。

• [Security-announce] VMSA-2009-0008 ESX Service Console update for krb5 (vmware, 2009年07月01日)。krb5 の更新。

• 》 第171回国会 法務委員会 第12号(平成21年6月26日(金曜日)) (衆議院, 6/26)。児童ポルノ方面の法務委員会会議録、正式版。 関連:

  • 児童ポルノ法改正案の最新版「論点整理」 (保坂展人のどこどこ日記, 7/6)

  • [投稿] ジャニーズや「WATER BOYS」は「児童ポルノ」なの? (保坂展人のどこどこ日記, 7/6)

• 》 SNSと出会い系サイトと法規制 (ComputerWorld.jp, 7/2)

• 》 Norton Toolbar Support for Firefox 3.5 (Updated July 2nd 2009) [ Edited ] (community.norton.com, 7/2)。 現時点では Norton Toolbar は Firefox 3.5 をサポートしていないわけですが、 7/15 に Firefox 3.5 をサポートするための hotfix が登場する模様です。 また、Norton 2010 beta では当初から Firefox 3.5 をサポートしているようです。

これはいい記事ですねえ。地道に独自の調査をしているからこそ書ける記事。

[引用] さて、報告書では激増しているはずの件数が、編集部の集計ではやや減少という全く違った結果となった。調査する者が異なれば結果が違うのは当然だが、同じような調査をして全く違う傾向を示してしまうのは、どこかに問題がある。そこで、編集部なりの分析を行ってみた。

ColdFusion 方面

FCKeditor 2.6.4.1 出ました。http://www.fckeditor.net/download

0-day in Microsoft DirectShow (msvidctl.dll) used in drive-by attacks

Microsoft からセキュリティアドバイザリ出ました。

• マイクロソフト セキュリティ アドバイザリ (972890) Microsoft Video ActiveX コントロールの脆弱性により、リモートでコードが実行される (Microsoft, 2009年07月07日)。やっぱり {0955AC62-BF2E-4CBA-A2B9-A63F772D46CF} だけでは済まないようで。

• Microsoft Security Advisory: Vulnerability in Microsoft Video ActiveX control could allow remote code execution (Microsoft KB 972890)

• New vulnerability in MPEG2TuneRequest ActiveX Control Object in msvidctl.dll (Microsoft Security Research & Defense, 2009年07月06日)

KB 972890 に Microsoft Fix it あります。今すぐ適用しましょう。 欠陥の影響を受けるのは Windows XP / Server 2003 のみですが、多層防御の観点から、 Windows Vista / Server 2008 についても、回避策の適用が推奨されています。

バリュードメインで、この欠陥を利用した攻撃が発生していた模様です。 Ilion さん、リネージュ資料室さん情報ありがとうございます。

• VALUE DOMAINってどうよ? part33 (2ch.net)

• VALUE DOMAINログインページ改竄 (リネージュ資料室)

• 魚拓: http://s03.megalodon.jp/2009-0706-1843-51/https://www.value-domain.com/login.php (JavaScript = OFF でアクセスしましょう)

wikiwiki.jp のエラーページ (http://www.wikiwiki.jp/error/404.html など) にもあったそうで。Ilion さん情報ありがとうございます。

• GENOウイルススレ ★22 (2ch.net)

• 魚拓 (so.7walker.net 経由): http://s03.megalodon.jp/2009-0707-1431-01/so.7walker.net/?site=http%3A%2F%2Fwww.wikiwiki.jp%2Ferror%2F404.html

関連情報:

• IE 0day exploit domains (constantly updated) (SANS ISC, 2009年07月06日)

• AlertCon (ISS)。ひさしぶりに 2 になっている気が。

• New Attacks Against Internet Explorer (McAfee blog, 2009年07月06日)

• Zero-day MPEG2TuneRequest Exploit Leads to KILLAV (trendmicro blog, 2009年07月06日)

• F-Secure ISTP and the 0-day vulnerability in MSVIDCTL.DLL (F-Secure blog, 2009年07月06日)。新製品の宣伝。

• JVNTA09-187A: Microsoft Video ActiveX コントロールにおけるバッファオーバーフローの脆弱性 (JVN, 2009年07月07日)

• 》 海賊対策、海自第2次部隊の2護衛艦が出港 (読売, 7/6)

• 》 ナウシカに隠された宮崎駿の陰謀 ([の] のまのしわざ, 2008年06月07日)。まぁ、ナウシカのアレは、どう見ても特攻ですからね。 「ブラッカムの爆撃機」の冒頭 / 巻末マンガも参照、ですかね。

• 》 5100エンジンとウイルス定義(DAT)ファイル5664でのGeneric PWS!hv.aqの誤認について (マカフィー, 7/3)。サポート対象外ですさようなら。

• 》 与那国島に「陸自配置」 国境の守り、意思明示 (産経 MSN, 7/5)

• 》 ウルムチは燃えているか

  • 中国:ウイグル族3千人暴動 100人死亡情報も (毎日, 7/6)

  • 中国ウイグル自治区の騒乱、新華社は140人以上死亡と (CNN, 7/6)

  • 中国・新疆ウイグル自治区騒乱、死者多数 (asahi.com, 7/6)

  • 中国の暴動、死者140人に 新疆ウイグル、800人負傷 (中日, 7/6)

• 》 静岡知事選:民主系・川勝氏が当選 自公系・坂本氏に小差 (毎日, 7/5)。敵失 (民主党分裂) があったにもかかわらず、与党候補は負けてしまいました。

• 》 新型インフルエンザ方面

  • 新型インフル:「タミフル耐性」公表せず論文投稿 大阪府 (毎日, 7/6)。どう見ても論文優先であろ。

  • 国内高齢者にも免疫か 新型インフルに40%が抗体保有 (中日, 7/5)

  • 警戒呼びかけ「タミフル耐性拡大も」 新型インフルで自治医大教授が講演 (下野新聞, 7/5)。尾身茂氏。

  • 大規模抗体検査実施へ=新型インフル集団感染の高校で−大阪府 (時事, 7/5)。これは興味深い。

  • 関西六大学野球連盟が"オールスター"辞退 (スポニチ , 7/4)。新型インフルエンザの感染確認に伴う注意喚起 (龍大, 7/4)、龍大生が新型インフル感染 (京都新聞, 7/5) の影響。

    あれ、【新型インフル】龍谷大が休講措置 女子学生感染で (産経 MSN, 7/6) になってるぞ。 これか: 新型インフルエンザ発生に伴う臨時休講等の措置について (龍大, 7/5)。感染者数が増えたから、なんだろうか。

• 》 「流さないトイレ」、節水3万3千トン 南海電鉄19駅 (asahi.com, 7/3)。追加配備も予定。

• 》 SANS Future Visions 2009 Tokyo。2009年07月16日〜19、東京都港区、聴講無料。

• 》 長寿アニラジ番組「mamiのRADIかるコミュニケーション」、開始から25周年の2009年10月で番組終了へ (gigazine, 7/6)。始まりがあれば、終りがある。 いつかはこういう日がやってくるものだと、誰もが知ってはいたけれど、25 年も経ってからやってくる (25 年も続けられた!) というのは、それはそれで感慨深いものがある。

  しかし、RADIコミを「アニラジ番組」と言われると、違和感あるなあ。

• 》 Windows 7無料アップグレードの台数制限は"ばかげた"措置——アナリストが批判 (ComputerWorld.jp, 7/1)。というか、そんな制限、管理しようがないよねえ。 Windows 7 Upgrade Option: Frequently asked questions (Microsoft) には 25 なんて数字はどこにもないし。

• 》 セキュリティ研究者がATMメーカーの圧力でBlack Hatの講演を断念 予定していたテーマは「ATMで大金を掴む」 (ComputerWorld.jp, 7/1)。まだ対策を完了していないベンダー (あるいは顧客?) があるということかな。

• 》 エフセキュア主席研究員、ヒッポネン氏が語る「忍び寄る脅威」と「対抗策」 (ComputerWorld.jp, 7/6)。Mikko 氏へのインタビュー。

• 》 減っているのに増えているように錯覚するグラフ (Okumura's Blog, 7/4)。これはすごい。というか、すさまじい。

• 》 New Tool: ProcDump v1.0 | Updates: Autoruns v9.51, VMMap v2.1, PsExec v1.96 | Book released: Windows Internals 5th Edition Released!| Webcast: Case of the Unexplained 2009 (Sysinternals Site Discussion, 7/1)。書籍 Windows Internals 5th Edition が出たそうです。また、ProcDump というツールが新たに登場しています。

  [引用] This new command-line utility is aimed at capturing process dumps of otherwise difficult to isolate and reproduce CPU spikes. It also serves as a general process dump creation utility and can also monitor and generate process dumps when a process has a hung window or unhandled exception.

  リバースエンジニアリング屋さんにうれしいツールなのかな。

• 》 パソコン内蔵地デジチューナーで映らないその理由。 (パソコントラブル出張修理・サポート日記, 6/18)

  [引用] 実際、量販店の店員さんにも聞いたことがあるのですが、単純な話、
  
  パソコンの内蔵チューナーとテレビのチューナーは作りが違う
  
  ということだそうです。

  へぇ〜、そうなんだ......。

• 》 なべて世は非線形 (悪徳商法?マニアックス ココログ支店, 7/4)

• 》 スウェーデンの音楽産業事情についてもう少し調べてみた (栗原潔のテクノロジー時評Ver2, 6/23)

• 》 廃盤ジャズCDの再発と再販制度について (栗原潔のテクノロジー時評Ver2, 6/28)

  [引用] 日本独自の制度である再販制度に対する批判があるとレコード会社(というかコンテンツ提供側)は必ず「CD(書籍)は文化にかかわる商品であり、市場原理だけにまかせていると、売れ筋の商品ばかりが流通することになり、商業ベースに乗りにくい良質な作品を聴く機会が埋もれてしまう」と反論してきます。(中略) しかし、少なくともジャズ廃盤作品の再発状況を見てみると、市場原理だけにとらわれずマイナーでも良い作品を商売気抜きで積極的に再発しようとしているのは再販制度のない欧米のレコード会社であるように見えます。

• 》 2009年度 IPA情報セキュリティセミナー 技術コース専門編 (水無月ばけらのえび日記, 6/26)

• 》 Macでは「何回も何回も観てニヤニヤ」がバレる (高木浩光@自宅の日記, 7/4)。 素敵な機能ですね。

• 》 EV SSLを緑色だというだけで信用してはいけない実例 (高木浩光@自宅の日記, 6/27)。しょせんは、当該ドメインに EV SSL で接続しているというだけの話ですから。当該ドメイン自身の正当性や、そのコンテンツの正当性は、それとは別に担保しないと。

• 》 情報ネットワーク法学会特別講演会を聴講してきた / ビデオ版「日本のインターネットが終了する日」 (高木浩光@自宅の日記, 6/14)

  [引用] 諸外国のように、プライバシーコミッショナーのような専門組織が継続的にこの種の問題を扱っていたなら、こうした事態は避けられたのではないか。

  関連:

  • プライバシー影響評価 PIA の概要 (第1回 個人情報保護とプライバシー影響評価ワークショップ, 2008年03月17日)

    [引用] PIA 実施における課題
    課題 1: PIA 実施法なし
    課題 2: ガイドラインが未整備
    課題 3: 承認・監視・助言体制がはっきりしない (米国の Chief Privacy Officer,カナダ,オーストラリア,ニュージーランドのような Privary Commissioner が存在しない.

  • プライバシー影響評価 に関する法的課題 (第1回 個人情報保護とプライバシー影響評価ワークショップ, 2008年03月17日)

  • プライバシー影響評価(PIA)におけるバイ オメトリクス 日本における PIA 導入可能性 (小笠原国際総合法律事務所, 2008年10月13日)

  欧米にはプライバシー影響評価 (PIA; Privacy Impact Assessment) という概念があるのですね。 環境影響評価 (環境アセスメント) という言葉は日本でもよく聞くようになりましたが、プライバシー影響評価はまだまだ。

• 》 An update from FIRST and what we can learn from the Nijo Castle (Microsoft Malware Protection Center, 7/2)。 二条城から世界を眺めて。

• 》 Gumblar Invades Best Buy (trendmicro blog, 7/2)。超有名サイトにしか行かない人でもウイルスのごやっかいになる今日このごろ。 関連: 有名な家電量販店「ベスト・バイ」のサイトにも「ウイルスのわな」 (日経 BP, 7/3)

• 》 コンピュータウイルス・不正アクセスの届出状況[6月分および上半期]について (IPA, 7/3)

  [引用] 今月の呼びかけ
  
  「 あなたのウェブサイト、改ざんされていませんか? 」
  — ウイルスばらまきサイトに仕立て上げられているかもしれません —

  関連: 「ワンクリック詐欺」の相談件数が過去最多、1カ月で694件に (日経 IT Pro, 7/3)

• 》 FakeAlerts Uncovered (McAfee blog, 7/2)。にせアンチウイルスが本物アンチウイルスから逃げ切るための、あの手この手。

  関連: Generic Rootkit.d Strikes Again in New Variant (McAfee blog, 6/29)

• 》 アダルトビデオ利用の攻撃がWindowsユーザだけでなくMacユーザも狙う (トレンドマイクロ セキュリティ blog, 6/30)。徐々にではあるものの、Mac 向けも増えている感じですねえ。もちろん、商売もあるのでしょうけれど。

• 》 フランス政府、スリーストライク法案を蘇らせようと画策 (P2Pとかその辺のお話, 7/4)

• 》 The Pirate Bay 方面

  • 売却されるThe Pirate Bay、運営を分散化し、Torrentのホスト、トラッキングは停止? (P2Pとかその辺のお話, 7/1)

  • The Pirate Bayより売却に関する公式アナウンス (P2Pとかその辺のお話, 7/2)

  • The Pirate Bayスポークスマン、サイトのこれからを語る (P2Pとかその辺のお話, 7/3)

  • The Pirate Bay買収の陰にインサイダー取引の疑いが浮上 (P2Pとかその辺のお話, 7/3)

  • 新生The Pirate Bayの描く胡散臭い未来 (P2Pとかその辺のお話, 7/3)

• 》 米国政府、ブロードバンド景気対策資金の配布条件でネット中立性を支持 政府による「ブロードバンド」の具体的な定義にも注目 (ComputerWorld.jp, 7/3)

• 》 その後の正規サイト改ざん〔後篇〕 (so-net セキュリティ通信, 7/2)

  • (1):多数ドメインを使うサイト改ざんが継続

  • (2):新たな攻撃手法〜「Beladen」「Nine Ball」

  • (3):新たな攻撃手法〜「新Nine Ball」「8080」

• 》 個人情報流出事件(2009年06月15日〜07/01) (so-net セキュリティ通信, 7/2)

• 》 配下サイトが全滅、恐怖の共有サーバー丸ごと改ざん〜「5+1」件の事例報告 (so-net セキュリティ通信, 7/3)

• 》 アフガン「剣の一撃作戦」、2001年以来の大規模掃討作戦 (佐藤正久, 7/4)

• 》 「検閲」か「編集上の判断」か——Wikipediaの情報削除めぐり批判 (ITmedia, 7/3)

• 》 国税がアマゾンに140億円追徴 日本事業は課税対象 (中日, 7/5)

• 》 日米、NATOモデルに核協議を 元米国防長官が見解 (中日, 7/5)。関連: ジェームズ・R・シュレシンジャー (ウィキペディア)

kill bit 設定用レジストリファイルついてます。って、\ が抜けてるぞ。

2009年07月07日 追記:

Microsoft からセキュリティアドバイザリ出ました。

• マイクロソフト セキュリティ アドバイザリ (972890) Microsoft Video ActiveX コントロールの脆弱性により、リモートでコードが実行される (Microsoft, 2009年07月07日)。やっぱり {0955AC62-BF2E-4CBA-A2B9-A63F772D46CF} だけでは済まないようで。

• Microsoft Security Advisory: Vulnerability in Microsoft Video ActiveX control could allow remote code execution (Microsoft KB 972890)

• New vulnerability in MPEG2TuneRequest ActiveX Control Object in msvidctl.dll (Microsoft Security Research & Defense, 2009年07月06日)

KB 972890 に Microsoft Fix it あります。今すぐ適用しましょう。 欠陥の影響を受けるのは Windows XP / Server 2003 のみですが、多層防御の観点から、 Windows Vista / Server 2008 についても、回避策の適用が推奨されています。

バリュードメインで、この欠陥を利用した攻撃が発生していた模様です。 Ilion さん、リネージュ資料室さん情報ありがとうございます。

• VALUE DOMAINってどうよ? part33 (2ch.net)

• VALUE DOMAINログインページ改竄 (リネージュ資料室)

• 魚拓: http://s03.megalodon.jp/2009-0706-1843-51/https://www.value-domain.com/login.php (JavaScript = OFF でアクセスしましょう)

wikiwiki.jp のエラーページ (http://www.wikiwiki.jp/error/404.html など) にもあったそうで。Ilion さん情報ありがとうございます。

• GENOウイルススレ ★22 (2ch.net)

• 魚拓 (so.7walker.net 経由): http://s03.megalodon.jp/2009-0707-1431-01/so.7walker.net/?site=http%3A%2F%2Fwww.wikiwiki.jp%2Ferror%2F404.html

関連情報:

• IE 0day exploit domains (constantly updated) (SANS ISC, 2009年07月06日)

• AlertCon (ISS)。ひさしぶりに 2 になっている気が。

• New Attacks Against Internet Explorer (McAfee blog, 2009年07月06日)

• Zero-day MPEG2TuneRequest Exploit Leads to KILLAV (trendmicro blog, 2009年07月06日)

• F-Secure ISTP and the 0-day vulnerability in MSVIDCTL.DLL (F-Secure blog, 2009年07月06日)。新製品の宣伝。

• JVNTA09-187A: Microsoft Video ActiveX コントロールにおけるバッファオーバーフローの脆弱性 (JVN, 2009年07月07日)

2009年07月08日 追記:

関連:

• Update on the DirectShow vulnerability du jour (Sophos blog, 2009年07月07日)

• An Artemis View of Zero-Day Attacks (McAfee blog, 2009年07月07日)

• McAfee Coverage of the DirectShow Exploit (McAfee blog, 2009年07月07日)

• Network Security Defeats Microsoft Video ActiveX Exploit (McAfee blog, 2009年07月07日)

2009年07月09日 追記:

XREA の無料アクセス解析サービス AccessAnalyzer.com の 2 台のうち 1 台がヤラれている模様です。リネージュ資料室さん情報ありがとうございます。

• XREAアクセス解析改竄 (リネージュ資料室)

• AccessAnalyzerにトロイの木馬が埋め込まれた? (ArtSaltのサイドストーリー, 2009年07月09日)

• 【アクセス解析】AccessAnalyzer.com Part5【XREA】 #534 以降 (2ch.net, 2009年07月07日〜)

あと、wikiwiki.jp から正式アナウンス。Ilion さん情報ありがとうございます。

• 改竄に関するお知らせとお詫び (wikiwiki.jp, 2009年07月09日)

2009年07月10日 追記:

関連:

• Microsoft Video ActiveXコントロールの脆弱性(CVE-2008-0015)に関する検証レポート (NTT データ・セキュリティ, 2009年07月09日)

• Questions about Timing and Microsoft Security Advisory 972890 (MSRC, 2009年07月09日)。 CVE 番号が CVE-2008-0015 である件などの解説。もともとは、IBM ISS が発見していた欠陥だったそうで。

2009年07月15日 追記:

MS09-032 - 緊急: ActiveX の Kill Bit の累積的なセキュリティ更新プログラム (973346) (Microsoft) で対応されています。って、kill bit つけてるだけですが。

2009年10月05日 追記:

MS09-037 - 緊急: Microsoft ATL (Active Template Library) の脆弱性により、リモートでコードが実行される (973908) で修正されてます。

「マルチバイト文字の 1 バイト目」をわざと与えることで、後続の文字を「マルチバイト文字の 2 バイト目 (以降)」と解釈させて抹消する攻撃の例と、対応方法。

このへん:

• Cold Fusion web sites getting compromised (SANS ISC, 2009年07月02日)

• More on ColdFusion hacks (SANS ISC, 2009年07月05日)

• Potential ColdFusion security issue (Adobe Product Security Incident Response Team (PSIRT), 2009年07月03日)。 ColdFusion 8 に標準添付されている FCKEditor に欠陥。回避方法は ↓を参照。

• [oCERT-2009-007] FCKeditor input sanitization errors。 2009年07月06日 にリリースされる予定の FCKeditor 2.6.4.1 で修正される予定だそうで。CVE-2009-2265。回避方法はこちら:

  [引用] In the meantime we strongly recommend to implement the following mitigation instructions:
  
  * removed unused connectors from 'editor\filemanager\connectors'
  
  * disable the file browser in config.ext
  
  * inspect all fckeditor folders on the server for suspicious files that may have been previously uploaded, as an example image directories (eg. 'fckeditor/editor/images/...') are well known target locations for remote php shells with extensions that match image files
  
  * completely remove the '_samples' directory

2009年07月07日 追記:

FCKeditor 2.6.4.1 出ました。http://www.fckeditor.net/download

2009年07月10日 追記:

Adobe から Security Bulletin 出ました: APSB09-09 - Hotfix available for potential ColdFusion 8 input sanitization issue (Adobe, 2009年07月08日)。ColdFusion 8.0.1 に更新した上で Hotfix を適用する。

関連: ColdFusion Spurs Another Mass Compromise (trendmicro blog, 2009年07月08日)

2009年10月23日 追記:

APSB09-09 - ColdFusion 8の潜在的な入力無害化問題に対処するためのアップデート公開 (Adobe, 2009年10月15日)

Sun-ONE-Web-Server/6.1 で、 http://server/hello.jsp::$DATA のように ::$DATA をつけると、JSP ソースコードが開示されてしまう、という指摘。

• 》 ECサイトから65万人の情報漏洩 20人が70時間,不眠不休で対応 ミネルヴァ・ホールディングス (日経 IT Pro, 7/1)。「ナチュラム」における、カード情報を含む個人情報漏洩の件。

  [引用] 再発防止策の方針に大きな影響を与えたのが,ラックによる調査結果だった。ラックはWebアクセスの大量のログを3週間近くかけて詳細に調査し,ナチュラムのサイトはSQLインジェクションで侵入されていたこと,そして日本初の高度な手口が使われたことを調査結果としてまとめた。その報告を受けた中島氏は,「不正アクセスを100%防ぐのはもう無理。たとえ侵入されても被害を最小限に抑える方策を採るべき」と考えた。

  「事故前提」の対応に変更したそうで。関連:

  • 通販サイト「ナチュラム」で約65万件の個人情報流出の可能性 (Internet Watch, 2008年08月06日)

  • 「アウトドア&フィッシング ナチュラム」への 不正アクセス発生につきまして (ミネルヴァ・ホールディングス, 2008年08月06日)

• 》 「東芝クレーマー事件」の会社員、PC窃盗で逮捕 (ITmedia, 7/3)。「あの人は今こんなことをしている」ですか。

• 》 北朝鮮がスカッド級弾道弾を 7 発発射?

  • 北朝鮮ミサイル:7発を発射...400キロ以上飛行か (毎日, 7/4)

  • 決議違反のミサイル発射なぜ?...制裁に抵抗、米国けん制 (読売, 7/4)

  で、こうなっている模様。ミサイル屋さんはウハウハですか。

  • 新型迎撃ミサイル:導入を検討...地上配備型、迎撃3段構え (毎日, 7/4)。THAAD です。まぁ、パトリオット PAC-3 がアレなのは自明なんですがね。

TOMOYO Linux 1.6.7 / 1.6.7p1 / 1.6.8 に欠陥。 CCS_EXEC_TMPSIZE (= 4096) を割りあてるべき個所において CCS_MAX_PATHNAME_LEN (= 4000) を割りあてていた。メモリアロケータが SLAB または SLUB の場合、 4000 を指定すると 4096 に丸められて処理されるため問題が表面化しないが、 メモリアロケータが SLOB の場合には丸められずに 4000 のまま処理されるため、buffer overflow する恐れがある。

SLOB 利用者は、patch があるので、適用の上、再コンパイルすればよい。SLAB / SLUB 利用者は、そのまま利用し続けてよい。 また TOMOYO のバイナリパッケージでは SLOB は使用していない。

adiary 1.992〜2.08 に欠陥。adiary は、 埋め込みテキストへの JavaScript 等の記述を許可するか否かを trust mode(トラストモード) を使って設定する (デフォルト: 無効)。しかし adiary 1.992〜2.08 においては、 trust mode の設定如何にかかわらず、trust mode 有効の状態になっていた。 このため、第三者に adiary を解放している場合、第三者が JavaScript を使ってセッション cookie を盗聴できてしまっていた。

この欠陥は adiary 2.09 で修正されている。また、adiary セキュリティアナウンスに示された修正ファイルの適用によっても解決できる。

• 》 ロシア、軍事物資の領内通過を承認へ 米軍のアフガン軍事作戦 (CNN, 7/4)

• 》 「武器輸出3原則」の緩和、経団連が提言 (読売, 7/4)。これから提言をまとめる予定みたい。 戦闘機のように、もはや国際共同開発しないとどうしようもない分野は確かにあるし、 US-2 のようなものまで海外に売れないという現状は問題なわけで。

• 》 【新型インフル】香港でもタミフル耐性 (産経 MSN, 7/3)。taka さん情報ありがとうございます。

• 》 海外進出企業の新型インフルエンザ対策 (海外勤務健康センター)。taka さん情報ありがとうございます。

  [引用] 新しい感染症に対する危機管理
  
  薬に頼る対策は、「薬が使えなかった場合、効かなかった場合」に、パニックを引き起こします。薬は準備するとしても、「薬に頼らなくてもよい対策」を軸に体制を整えて下さい。

  確かになあ。書き直すとこうなる。

  新しいマルウェアに対する危機管理
  
  ウイルス対策ソフトに頼る対策は、「ウイルス対策ソフトが使えなかった場合、効かなかった場合」に、パニックを引き起こします。ウイルス対策ソフトは準備するとしても、「ウイルス対策ソフトに頼らなくてもよい対策」を軸に体制を整えて下さい。

• 》 メキシコからの旅客数と新型インフル発生に強力な関係 (日経 Medical Online, 7/3)。taka さん情報ありがとうございます。

• 》 新型ワクチン製造量、大幅に下方修正 (読売, 7/4)。日本における新型インフルエンザ用のワクチンの製造予定量が、2500万人分から1400万〜1700万人分に大幅減少だそうで。

• 》 完全自民所属 (ようやく過去形)

  • 森田知事:自民支部問題 解散、自ら公表せず 県議ら「説明責任果たせ」 /千葉 (毎日, 7/4)

  • 「やっぱり党員だった!」自民党が森田健作・千葉県知事の離党届を受理 (サイゾー, 7/3)

• 》 [memo:9646] UnicornScan 。合掌。

• 》 Twitterとイラン騒動、ネットとメディアに何が起きたのか (ASCII.jp, 7/3)

• 》 2009年第2四半期セキュリティ脅威総括 (エフセキュアブログ, 6/30)。残念ながら、全文が日本語化されているわけではありません。

• 》 クラウド型ウイルス対策「Panda Cloud Antivirus」日本語サイト (Internet Watch, 7/2)

• 》 エチゼンクラゲ対策で協議 水産庁、漁協関係者ら (京都新聞, 7/3)。関連:

  • 大型クラゲの出現・予測について (農林水産省, 7/1)

  • 大型クラゲの出現について (農林水産省, 7/2)

• 》 マンチェスター市役所がConfickerワームで240万ドルの実害を被る (ZDNet, 7/3)

• 》 「MySpaceに性犯罪の法的責任なし」の判決 (ロイター / ITmedia, 7/2)。

  [引用] 第2州控訴裁は、未成年の少女ら(「ジュリー・ドウ」の仮名で呼ばれている)とその保護者によって起こされた類似の複数の訴訟をまとめて判決を下した。原告は、MySpaceが年齢確認システムの実装したり、少女らのアカウントをデフォルトで「非公開」にするセキュリティ設定を導入する対策を取っていなかったと非難していた。
  だが同裁判所は、通信品位法の下、Webサービスは怠慢があったとする原告の訴えを免れ、製造物責任を問われないと判断した。

  関連:

  • Judge Overturns Lori Drew Misdemeanor Convictions (EFF, 7/2)

• 》 脆弱性解決の自動更新機能はもう限界? (ITmedia, 7/3)。 Time to update updating on PCs for 3rd party apps (SANS ISC, 7/2) の件。 OS レベルでの統合アップデート機能が必要でしょう。「Windows Update すれば、3rd party アプリについてもアップデートされる」というような。3rd party 各社ごとに個別にアップデートなんて、一般人には無理ですよ。 (というか、Windows Update、当初は、3rd party にも解放する予定って言ってたよね? )

• 》 次世代セキュリティ情報配信のあり方を探る−ミッコ・ヒッポネンが語る、エフセキュアのブログ運用方針 (Scan NetSecurity, 6/29)

  [引用] −セキュリティ企業の研究所のブログは他にもたくさんありますが、エフセキュアのブログがIT系のメディアだけではなくて、CNNのような一般誌にもよく引用されるのはなぜでしょう?
  
  ミッコ:セキュリティの研究所が出す情報は技術に偏りがちです。ですから、あえて私たちは「人間的な興味や関心の視点」を失わないように心がけており、自動車とかゲーム機とか、DVDソフトとか、身近なもののセキュリティの危険を取り上げるようにしています。
  
  たとえば、Nintendo DSと PSP に、トロイの木馬ウイルスを仕掛けた実証実験がありました。また、トヨタのプリウスを、電波を封鎖するシールド室に入れて BlueTooth で攻撃するという実験も行いました。iPhone 発売当時に行った、iPhone を冷蔵庫に入れてマイナス35°Cに凍らせた実験は、 YouTube で公開したところ、100万以上の閲覧がありました。iPhone を凍らせたのは、エフセキュアの本社があるフィンランドの冬の寒さに耐えられるデバイスかどうかを試してみたかったからです。

  このへんですか:

  • Nintendo DS trojan (F-Secure blog, 2005年10月11日)

  • Playstation Portable Trojan...the demo (F-Secure blog, 2005年10月20日)

  • In-depth investigation of the "Cabir-in-Cars" myth (F-Secure blog, 2005年05月09日)

  • Video - Cold Weather Testing the iPhone (F-Secure blog, 2007年07月27日)

  関連: 「次世代セキュリティ情報配信のあり方を探る」 -発信者としておもうこと (エフセキュアブログ, 7/1)

• 》 新型インフル、国内初のタミフル耐性ウイルス...大阪で確認 (読売, 7/2)

ウイルスバスターコーポレートエディション 7.3 / 8.0、Trend Micro ビジネスセキュリティ 5.0 / 5.1、Trend Microウイルスバスタービジネスセキュリティ 3.0 に欠陥。 長大なパス名の処理に欠陥があり、攻略 zip ファイルによって DoS 攻撃 (リアルタイム検索サービスの停止) を実施できる。

対応 patch が公開されているので、適用すればよい。

詳細は Black Hat USA 2009 で公開、だそうです。 iPhone, Android, Windows Mobile デバイスに対して fuzzed SMS messages をぶつけてみたらどうなったか、という話みたい。

• 》 PostgreSQL 8.4 Released: Now Easier to Use than Ever (PostgreSQL.org, 7/1)

• 》 核持ち込み黙認、米と密約「文書あった」と元外務次官 (asahi.com, 6/29)。元外務事務次官の村田良平氏の証言。関連:

  • 核持ち込み密約:米核持ち込み、密約文書引き継ぐ 村田元次官「外相に説明」 (毎日, 6/29)

  • 社説:核持ち込み密約 詭弁はもう通用しない (毎日, 6/30)

  • 政府高官「密約はないことになっている」 核持ち込みで (asahi.com, 6/30)

  • 核持ち込み密約、元次官から話聞く方針 衆院外務委員長 (asahi.com, 7/1)。外務委員長は河野太郎。

  いいかげん、「非核三原則」の「持ち込ませず」は非現実的な大本営発表だったと認めようよ。

• 》 長年の疑問だった「日本」の読み方が正式に決定される (gigazine, 7/1)。ドッチーモ。

• 》 セブンイレブン問題で朝日が奇妙な報道 (JANJAN, 6/30)

• 》 インド法相、同性愛を違法とする刑法の見直しを示唆 (みやきち日記, 6/30)。現在は違法なのですね。

• 》 LGBTイベント「ロンドン・プライド」にAセクシュアル団体が初参加 (みやきち日記, 6/30)。「Aセクシュアル」(asexual) という状態があるのですね。ぐぐってみると、 http://www.asexual.jp/ というサイトを発見。ふぅむ......。

• 》 コネティカットの教会、「同性愛の悪魔を祓う」動画をYouTubeにupし批判を浴びる (みやきち日記, 6/29)

• 》 サルコジ大統領、「なんとしても」スリーストライクを実現すると決意を表明 (P2Pとかその辺のお話, 6/24)

• 》 米著作権団体、街中で着メロが流れるのは無断使用だから携帯キャリアは使用料を払えと主張 (P2Pとかその辺のお話, 6/25)

• 》 LimeWire、イラン政府によるネット検閲の回避を支援 (P2Pとかその辺のお話, 6/30)

• 》 不満噴出の「基本問題小委員会」、著作権見直しの行く末は (Internet Watch, 6/30)、 複数委員から議論の迅速化を求める声,著作権法の基本問題小委員会から (日経 IT Pro, 6/30)

• 》 JPCERT/CC、ソフト設計工程における脆弱性低減対策の技術書を公開 (Internet Watch, 6/30)。 ソフトウエア設計工程における脆弱性低減対策 「セキュアデザインパターン」 (JPCERT/CC) の件、ようやく日本語版が登場。

• 》 Firefox 3.5リリース (slashdot.jp, 6/30)、 「Firefox 3.5」正式版が公開、高速化と最新標準技術対応 (Internet Watch, 7/1)

• 》 有罪判決受けた「The Pirate Bay」、約7億5000万円で買収される (Internet Watch, 7/1)、The Pirate Bay、ソフトウェア企業に売却され合法化へ? (P2Pとかその辺のお話, 7/1)。おぉ。

  [引用] GGFのHans Pandeya CEOは今回の買収の意義について、「The Pirate BayとPeerialismの買収によって、GGFは国際的デジタルディストリビューション市場における戦略的なポジションに立つことになる。ファイル交換トラフィックは、今日の世界的インターネットトラフィックの半分以上を占めると推定されている。The Pirate Bayはグローバルなブランドであり、毎月2000万ビジターと10億を超えるページビューを記録するなど、重要な位置を占めている」とコメントしている。
  今後の計画については「我々は、コンテンツプロバイダーと著作権所有者が、このサイトからダウンロードされるコンテンツに対して、支払いを受けられるようなビジネスモデルを紹介したいと考えている」と説明している。

• 》 「ウイルスバスター」シリーズ初のMac OS対応製品、今秋発売へ (Internet Watch, 7/1)。日本語版も登場するようで。

• 》 朝日新聞社が「CNET Japan」や「ZDNet Japan」を事業継承 (Internet Watch, 7/1)。へぇ。

• 》 「クジラが魚食べて漁獲減」説を政府が撤回 —— 国際捕鯨委員会で森下・政府代表代理が「修正」発言 (JANJAN, 6/30)

• 》 児童買春・児童ポルノ禁止法改正案方面

  • Great Firewall of Japan が構築される可能性について (崎山伸夫のBlog, 6/26)

  • 児童ポルノブロッキングで黄昏ていくであろう通信の秘密 (崎山伸夫のBlog, 6/28)

  • あなたにも分かる児童ポルノ単純所持処罰化の未来 (崎山伸夫のBlog, 6/28)

  • 児童ポルノ単純所持処罰化とタイムマシン (高木浩光@自宅の日記, 6/29)

    [引用] ところで、今、この日記を、Mac OS 上の Safari(またはGoogle Chrome)で読んでいる人は、「ダウンロード」フォルダに、pictures.zip がさきほど入ったはずだ。(中略) そんなわけで、Mac OS 10.5 ユーザは、Time Machine の設定で、「バックアップから除外する項目」に、「ダウンロード」フォルダを含める設定をするのが賢明と思う。

  • 罠サイトで「所持」 (水無月ばけらのえび日記, 7/1)

  • 児童ポルノ法の制定目的とかけ離れた監視国家への道 (保坂展人のどこどこ日記, 6/29)

    [引用] さらに、99年の立法目的から逸脱が著しいのが「マンガ・アニメ・ゲーム」などへの波及だ。与野党の議員の中には「犯罪とすべき」という人も相当いたが、「3年間検討する(法律の条文では「この法律の施行後三年を目途として、この法律の施行状況、児童の権利の擁護に関する国際的動向等を勘案し、検討が加えられ、その結果に基づいて必要な措置が講ぜられるものとする」)」と附則に盛りこまれた。「被害者が存在するか否か」は問題ではなく、マンガ・アニメで描かれている絵がたとえ創作物であっても犯罪とするべきだという考え方だ。しかも、「児童ポルノ」であるかどうかの定義は幅広いので、18歳以下の少年少女が登場するシーンは大幅に規制されることになる。
    
    これは、戦前の治安維持法が猛威をふるった「心の中に土足で入り込む」状況を再来させる危惧がある。「児童買春・児童ポルノ」という社会的に問題となる実体物をめぐる取締りから、「人の性的傾向」の善し悪しが処罰されるという社会に陥らないために、憲法には「内心の自由」が明記してあるのだ。もし、「性的傾向」が処罰対象となれば、「小説」「歌」「演劇」などすべてが、監視・処罰対象となる。

  • 6月26日 児童ポルノ禁止法 法務委員会でのやりとり その1 (保坂展人のどこどこ日記, 7/1)

    [引用] ○しろまる保坂委員 (中略) ちょっと法務省にお聞きしたいんですけれども、この児童ポルノの単純所持がないというのが問題だという声がずっと強いんですね。そうすると、単純所持規制が生まれた国で、それ以前の子供対象の性犯罪発生率みたいなものがそこで抑止された、横ばいになったり、あるいは減ったというような例はあるんでしょうか。もし数字が言えたら教えていただきたい。
    
    ○しろまる大野政府参考人 諸外国における児童に対する性犯罪の動向に関する統計資料でございますけれども、私ども、手元に有しておりませんので、今の御質問に対してお答えできません。

  • 6月26日 児童ポルノ禁止法 法務委員会でのやりとり 2 (保坂展人のどこどこ日記, 7/1)

  • 「Santa Fe」問題 (奥村徹弁護士の見解, 6/29)

    [引用] ネタとしてはおもしろいですが、児童ポルノで摘発されることはないと思います。単純所持罪を作ったとしても、与党案では3号ポルノ定義は変えないわけですから。

• 》 子供の顔と大人の裸体の合成画像は児童ポルノ ? (slashdot.jp, 6/29)。US での事例。

• 》 ソマリア方面

  • ソマリアで新たな戦闘勃発 (国連情報誌SUNブログ対応版, 6/18)

  • 避難民続出のソマリア (国連情報誌SUNブログ対応版, 7/1)

• 》 F1で飢餓問題を啓発:WFP (国連情報誌SUNブログ対応版, 6/19)。パナソニック・トヨタ・レーシングの 2 台で。

  [引用] F1にかけるお金の一部を直接その支援に回したほうが...という気がしますが。

  それを言っちゃあ、おしめぇよ。

• 》 KERS (f1.panasonic.com, 6/23)

  [引用] パナソニック・トヨタ・レーシングも採用する準備はしていたが、どうしてもメリットを見いだせないとして、レースでの採用は見送ってきた。トヨタは市販車でプリウスというハイブリッド車を販売しており、KERSに対しても一日の長があるはずである。しかし、「だからこそ、採用を見送ることができた」と木下美明TMG副社長は語る。
  
  「F1のKERSはとてもプリミティブ(原始的)なんですよ。市販車では、ブレーキング時に電子制御で違和感がないようにブレーキをコントロールしています。しかし、F1はそれが許されていないから、ドライバーがブレーキを踏むと、リアだけエネルギー回収用の制動力が上乗せされる。さらにその回収したエネルギーを使用するときには、ボタンを押さなければならない。こんなシステムなんてあり得ない。(中略) F1のKERSは、基本的なところがまったくわかっていない。これでは市販車の技術にフィードバックなんかされないし、地球環境にも全然やさしくない。そんな技術に何十億円、何百億円という大金を注ぎ込むなんて、われわれには価値が見いだせない。だから、何度もFIAにシステムの変更を提案したんですけどね......」

• 》 あなたのウイルス対策は本当に正しいですか? Conficker,JSRedir-Rが印象付けた"対応"策の重要性 (日経 IT Pro, 6/30)

• 》 Windows 7の仮想ハードディスクがスゴイ!─(5) マルチブートなテスト環境を構築する

• 》 IBM,機密を保ったまま暗号化データを処理する技術を開発 (日経 IT Pro, 6/26)。よくわからん......。orz

• 》 学校職員による、生徒を裸にした所持品検査は憲法違反。米最高裁が判決。 (slashdot.jp, 6/29)

  [引用] なお、この判決で最高裁は学校職員らの個人的な責任は問えないとも判断したとのことだ。

• 》 IT事業と知的財産権法

  • IT事業と知的財産権法[1]各種知的財産権法とIT事業の関係 (日経 IT Pro, 6/5)

  • IT事業と知的財産権法[2]ソフトウェアが特許として認められるための要件 (日経 IT Pro, 6/12)

  • IT事業と知的財産権法[3]特許権によるソフトウェア発明等の保護を検討する (日経 IT Pro, 6/19)

  • IT事業と知的財産権法[4]ソフトウェアやシステムに関する特許権の間接侵害等を検討する (日経 IT Pro, 6/26)

• 》 ASTER 全球 3 次元地形データ配布開始 (slashdot.jp, 7/1)

• 》 どうすれば部下全員の管理・指導ができるか? (日経 IT Pro, 6/26)。馬場式部下指導法。

  [引用] プロジェクト管理などの仕事指向・ビジネス指向の見方だけではダメだ。個人別月間活動計画など個人の切り口で見ることも不可欠である。システム開発プロジェクトや販売活動など仕事を管理する仕組みを"縦の管理"とするならば,それを行なう個々人のSEを管理する仕組みは"横の管理"である。この二つの管理をやって初めて,ビジネスもうまくいき部下もやる気も起こし成長もする。

• 》 「ソマリア海賊狩りツアー」という嘘ニュース、あたかも事実のようにネットを伝わる (slashdot.jp, 6/30)

  [引用] 何を信じれば良いのやら部門より。

  何かを信じた時点で負けでしょ。

• 》 グーグルとグラミン財団、"情報へき地"向けの携帯情報サービスを開始 (ComputerWorld.jp, 6/30)

• 》 トラッキングCookieを無効化する「Targeted Advertising Cookie Opt-Out」拡張 (sourceforge.jp, 6/30)

• 》 FTC settles with scareware scammers on reduced terms (The Register, 6/29)。にせアンチウイルスねた。「儲かりまっか?」「ウハウハですわ」

• 》 第30回 NT-Committee2関東勉強会ご案内。2009年07月04日、東京都文京区、1000円。 人間系の話がおもしろそうだなあ。

• 》 中央大ブログ、職員が改ざん容疑 「イベント中止」と嘘 (asahi.com, 6/30)。容疑者は否認中なのだが、 産経 MSN はおもいっきり決めつけタイトルですな: 「学生惨殺で哀悼...」 ブログ書き換えた中央大職員逮捕 (産経 MSN, 6/30)

  関連: 本学専任職員の逮捕について (中央大学, 6/30)

• 》 セキュリティホール memoの注意書きに、「rrrrr」が! (ふうてんのまっちゃだいふくの日記, 7/1)。あぁ、それは小人さんですね。 ラミパス ラミパス ルルルルル。

いろいろ (2009年06月04日)

[SA35623] Intel e1000 Driver Denial of Service Vulnerability。e1000 の件、Intel から修正版ドライバが公開された模様。

• [SA35628] Gizmo SSL Certificate Validation Security Issue。まだ直ってないみたい。

• [SA35546] Tor DNS Spoofing and Denial of Service Vulnerabilities。Tor 0.2.0.35 で修正されているそうです。

• [SA35543] Nagios "statuswml.cgi" Command Injection Vulnerability。 nagios 3.1.1 で修正されているそうです。

• Ver 1.6.7 XSS脆弱性の修正 (XOOPS マニア, 2009年06月19日)。PukiWikiMod 1.6.6.2 以前に XSS 欠陥があり、1.6.7 で修正されたそうです。

  [引用] なお、今回の脆弱性情報につきましては、JPCERT/CC および 情報処理推進機構 IPA を通して連絡を頂きました。

  これか: JVN#12244807: XOOPS マニア製 PukiWikiMod におけるクロスサイトスクリプティングの脆弱性 (JVN, 2009年06月19日)。しかし、なぜ JVN top ページ からたどれないのだろう。英語版 top ページからはたどれるのに。

• [SA35359] IrfanView 1BPP Image Resampling Integer Overflow Vulnerability。 IrfanView 4.25 で修正されているそうです。

• [SA35581] KDE Multiple Vulnerabilities。KDE 3.x に 5 つの欠陥がある模様。 [SA35627] KDE Multiple Vulnerabilities によると、SA35581 の #1 と #3 については、SVN 版では修正されているのかな。

• FreeBSD 7.2-RELEASE 方面。セキュリティではないのだけど。

  • FreeBSD Errata Notice FreeBSD-EN-09:02.bce - bce(4) does not work with lagg(4) LACP mode

  • FreeBSD Errata Notice FreeBSD-EN-09:03.fxp - Poor TCP performance of fxp(4)

  • FreeBSD Errata Notice FreeBSD-EN-09:04.fork - Deadlock in a multi-threaded program during fork(2)

2009年07月10日 追記:

Nagiosのstatuswml.cgiの脆弱性(CVE-2009-2288)に関する検証レポート (NTT データ・セキュリティ, 2009年07月07日)。[SA35543] Nagios "statuswml.cgi" Command Injection Vulnerability の件。

nagios 3.0 系列は今でも Latest stable release なのですが、 patch は出てませんね。でも cgi/statuswml.c は nagios 3.0.6 と 3.1.0 で全く同じなわけで。nagios 3.1.2 の cgi/statuswml.c に入れかえればよさそうな感じ。 diff 取ってみた。

[私について]