Last modified: Mon May 30 01:36:58 2011 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
》 Google, HP, eBay, Yahooが死刑制度賛成コマーシャルに(間接的に)出資 (techcrunch, 10/29)
》 Google、「場所検索」を開始 (WIRED VISION, 10/29)
》 軍事と治安に傾斜する韓国政権 (ル・モンド・ディプロマティーク日本語・電子版, 10/28)
》 レアアース、中国が輸出停止措置解除か (読売, 10/29)
》 不可解な反日デモ、若い世代のガス抜きが目的か (日経 BP, 10/27)
[Full-disclosure] Secunia Research: Winamp VP6 Content Parsing Buffer Overflow Vulnerability (secunia, 2010年10月27日)。攻略メディアファイルによって任意のコードを実行できる。Winamp 5.59 Beta Build 3033 で修正されている。
[SA41977] Apple iOS Emergency Call Passcode Lock Security Bypass Weakness (secunia, 2010年10月28日)。 【注意】iPhoneにロック画面をくぐり抜けるバグが判明 (gizmodo, 2010年10月26日) の件。 CVE-2010-4012
Shockwave Player 11.5.9.615 登場。 APSA10-04: Security Advisory for Adobe Shockwave Player (Adobe, 2010年10月21日) (CVE-2010-3653) の件を含む、 11 件の欠陥が修正されている。
Flash Player 10.1.85.3 以前、Flash Player for Android 10.1.95.2 以前、 および Adobe Reader / Acrobat 9.x の authplay.dll に 0-day 欠陥。 既に Adobe Reader / Acrobat 9.x 向けの攻略プログラムが世に出回っている。 Flash Player 向けの攻略プログラムは確認されていない。 CVE-2010-3654。 Adobe Reader / Acrobat 8.x にこの欠陥はない。 kenics さん情報ありがとうございます。
Flash Player 10.x / Flash Player for Android 10.x 向けの更新プログラムは 2010年11月09日 に、Adobe Reader / Acrobat 9.x 向けの更新プログラムは「2010年11月15日 の週」に提供される予定。
Adobe Reader / Acrobat 9.x の場合は回避方法が存在する。
Windows 版: authplay.dll を、削除したり、名前を変更 (rename) したり、authplay.dll へのアクセスを禁止したりする。 authplay.dll は通常、 C:\Program Files\Adobe\Reader 9.0\Reader\authplay.dll (Adobe Reader) あるいは C:\Program Files\Adobe\Acrobat 9.0\Acrobat\authplay.dll (Acrobat) に存在する。
Mac OS X: AuthPlayLib.bundle ファイルを削除あるいは移動する。 方法は APSA10-05 を参照。
Linux: libauthplay.so.0.0.0 ファイルを削除する。 方法は APSA10-05 を参照。
また authplay.dll ですか......。関連:
New Adobe 0day (bug in flash player),CVE-2010-3654 (BugiX - Security Research, 2010年10月28日)
Adobe Reader / Acrobat だけでなく、Flash についても in-the-wild 状態に突入している模様です。
Fuzz My Life: Flash Player zero-day vulnerability (CVE-2010-3654) (Fortinet, 2010年10月29日)
APSA10-05: Security Advisory for Adobe Flash Player, Adobe Reader and Acrobat が 2010年11月02日 付で改訂されてます。Flash Player 10.x for Windows / Mac / Unix の提供予定が 2010年11月04日 に前倒しされました (明日ですね)。Flash Player 10.x for Android は 2010年11月09日 のまま。
......新版出ました: APSB10-26: Security update available for Adobe Flash Player (Adobe, 2010年11月04日)
関連:
Flash Player / Adobe Reader&Acrobat 0-day(CVE-2010-3654) vs FFR yarai (FFR Blog, 2010年11月04日)
「mstmp」は「ガンブラー」? Adobe製品へのゼロデイ攻撃ふたたび! - 2010年10月の脅威動向を振り返る (トレンドマイクロ セキュリティ blog, 2010年11月05日)
Adobe Readerのゼロデイ脆弱性を悪用する攻撃を確認 (IBM ISS, 2010年11月05日)
Prenotification: Out-of-Cycle Security Updates for Adobe Reader and Acrobat (Adobe PSIRT Blog, 2010年11月12日)。US 時間で 2010年11月16日 だそうです。日本だと 2010年11月17日 水曜日ですね。
APSB10-28: Security updates available for Adobe Reader and Acrobat (Adobe, 2010年11月16日)。Adobe Reader / Acrobat 9.4.1 登場......ですが、Windows / Mac 版のみ。Unix 版は 2010年11月30日 だそうです。
》 情報システム学会がトヨタリコール問題に提言 (日経 IT Pro, 10/25)
[引用] 提言は三つある。一つめは、ソフトに手を入れた場合に、手を入れた部分以外に予期しないバグを埋め込んでいないか確認する回帰テストをきちんと実施すべきというものだ。二つめは、自動車を「情報システム」ととらえたうえで、利用者の安全性や利便性をどう向上させるかを考えるべきというもの。三つめは、自動車システムの安全性に関する国際規格として策定が進む「ISO 26262」が発行になった場合に速やかにJIS規格にするなど、経済産業省は自動車の安全性にかかわる議論を牽引すべきというものだ。》 マルウェア業界の M & A (シマンテック, 10/27)
》 REMO - Rule Editor for ModSecurity (netnea.com)
》 三菱電機インフォメーションシステムズ(MDIS)の「真剣にやってないんだから色々言うなよ」な納品 (日々是・・・, 10/27)
》 告訴受理を受けて (壇弁護士の事務室, 10/27)。恫喝取調の件。
[引用] 忘れてはならないことは、この事件はどこかの発展途上国で起こった出来事ではない。ごく、身近なところで日常的に起こっている事件であるということである。》 学術情報メディアセンターセミナー「公共IT調達とCIO・CIO補佐の役割」 (京都大学, 10/27)。 2010年11月30日 (火)、京都府京都市、無料。
》 週刊文春 2010年11月04日 号『検察の「調書捏造」を告発する』、何のことかと思ったら、 高知白バイ冤罪事件の話だった。
》 「男子臭いバス乗れない」女子悲鳴でにおい対策 (読売, 10/28)。脱臭機つきバスが必要ですかね。
》 記者の目:大阪地検特捜部証拠改ざん事件=和泉かよ子 (毎日, 10/28)。毎日新聞記者が報道の実態を暴露。
[引用] 私も大阪地検を担当したことがあるが、通常、逮捕された容疑者を直接取材できない中、日々情報を得るのに必死で、特捜部の捜査をチェックするどころではなかった。検察が望まない記事を書くと、庁舎への「出入り禁止」を言い渡され、逮捕や起訴の際の会見にも出席できなかった。こういう状態が、「大阪地検」でない場所でも起こっているのでしょう。
[引用] 「おれたちは『怖い顔』をしていることが大事なんじゃないのか」。昨年春の裁判員制度の導入を控え、検察の準備状況を取材していた時、大阪地検幹部はこう話した。検察にも「分かりやすさ」や「親近感」が求められる時代になろうとしていたが、それに抵抗感があるようだった。「検察は怖い。うそをついてもすぐばれる。そう思うから容疑者は取り調べで本当のことを話す気になるんだ」実際には、「検察は怖い。本当のことを何度言っても認めてもらえないどころか、脅迫までされる。そう思うから容疑者は取り調べで嘘だらけの調書に署名してしまうんだ」となっているようなのですけどね。関連: こうして調書は捏造される (The Journal, 9/22)
》 「.jp」は世界で最も安全なccTLD、McAfeeの調査で2年連続 (Internet Watch, 10/28)
[SA41954] Moodle phpMyAdmin Module Multiple Vulnerabilities (secunia, 2010年10月26日)
[SA41980] Moodle phpCAS Multiple Vulnerabilities (secunia, 2010年10月26日)
[SA41964] Blue Coat ProxyAV Cross-Site Request Forgery Vulnerability (secunia, 2010年10月26日)。 ProxyAV 3.2.6.1 で修正されている。
Cisco Security Advisory: CiscoWorks Common Services Arbitrary Code Execution Vulnerability (Cisco, 2010年10月27日)
TYPO3 Security Bulletin TYPO3-SA-2010-021: Cross-Site Scripting vulnerability in extension powermail (TYPO3, 2010年10月26日)。powermail バージョン 1.5.5 で修正されている。
TYPO3 Security Bulletin TYPO3-SA-2010-020: Multiple vulnerabilities in TYPO3 Core (TYPO3, 2010年10月06日)。TYPO3 バージョン 4.2.15 / 4.3.7 / 4.4.4 で修正されている。
Firesheep に関する Mozilla セキュリティチームからのコメント (Mozilla Japan ブログ, 2010年10月28日)
はまもとさんによる現場からの報告: いきなり襲ってきた「mstmp」ウィルスに大わらわ (日経 IT Pro, 2010年10月28日)。
[引用] 図3のウィルス感染経路の図に沿って説明しよう。まず、被害者は通常の方法でWebサイトを閲覧する(図3の丸数字1)。すると、ホームページサーバーに埋め込まれたアクセス解析サイトのプログラムによりアクセス解析サイトへ転送される(同2)。アクセス解析サイトへアクセスしたユーザーのPCが改ざんされたスクリプトを読み込んで実行してしまう(同3)。「アクセス解析サイト」って、そういうことですか......。
[引用] なお、これらの感染経路の調査にはネットワークフォレンジック機器のパケットブラックホールが使われた。今回のような複数のドメインをまたがり感染経路が多岐に渡るような場合、本当にどこが攻撃元かを判定するのは、ドメイン遷移しかわからないプロキシログの情報だけでは至難の業である。実際のWebコンテンツの中身を解析して見てはじめて、そのコンテンツがウィルスに感染していることが判明するわけで、今後はウィルス対応にネットワークフォレンジック機器の重要度は増すことが予想される。なるほど......。
修正版出ました。Firefox 3.6.12 / 3.5.15、Thunderbird 3.1.6 / 3.0.10、 SeaMonkey 2.0.10。
Firefox と Thunderbird のセキュリティアップデートを公開しました (Mozilla Japan ブログ, 2010年10月28日)
Mozilla Foundation セキュリティアドバイザリ 2010-73 (mozilla-japan.org)
SeaMonkey 2.0.10。まだβテスト中みたい。
関連:
Using the Browser Cache to Bypass Security (Symantec, 2010年10月28日)
》 ZFSで暗号化ディスクへ自動バックアップを実施する方法 (FreeBSD Daily Topics, 10/26)
》 Wi-Fi傍受騒動の中、グーグルがプライバシー対策を強化 電子メール全文やURL、パスワード収集の反省対策として (ComputerWorld.jp, 10/25)
》 ジャーナリストが最新中国ネット言論事情を語る(1)── 劉暁波氏、ツイッターがもたらす言論の自由、そして蒼井そら現象・・・ (The Journal, 10/27)
》 Zeus ボットネットの進化 (シマンテック, 10/22)
》 Apple decides Flash users need to secure themselves (Sophos, 10/22)
》 欧州ENISAのクラウドコンピューティングのセキュリティに関するガイドラインの翻訳を公開 (IPA, 10/25)
》 Bredolabボットネットがシャットダウン (エフセキュアブログ, 10/26)。
[引用] 面白いことに、犯罪対策局は感染したPCに警告を送信すると発表した:「このネットワークからのウイルスに感染したコンピュータのユーザは、次のログインの時点で、感染の程度に関する情報を含む通知を受けとる。」Bredolab 関連:
Bredolab Takedown, Another Win for Collaboration (Microsoft Malware Protection Center, 10/26)
Bredolab botnet shut down (Sophos, 10/26)
Suspected Bredolab botnet operator arrested at Armenian airport (Sophos, 10/26)
》 Inside Adobe Reader Protected Mode - Part 2 - The Sandbox Process (Adobe Secure Software Engineering Team (ASSET) Blog, 10/26)
》 Weekly Roundup of Web Hacking Incidents (SANS SSI, 10/25)
》 AVTOKYO meets HackerJapan 開催! (てっしーの丸出し, 10/25)
》 〈オリンパス裁判〉控訴審のゆくえ 〜光前弁護士に聞く〜 (JANJAN blog, 10/23)
》 Mr. Anderson が罪状を認める (エフセキュアブログ, 10/23)。マルウェア作者。
》 P2PサービスのLimeWireが停止 裁判所命令で (ITmedia, 10/27)、 LimeWireの終焉:差し止め命令を受けサービスを停止 (P2Pとかその辺のお話, 10/27)
》 テレビ局側敗訴見直しか まねきTV訴訟、最高裁が12月弁論 (ITmedia, 10/27)
》 技術4社が支配する「メディア新時代」 (WIRED VISION, 10/27)。 Apple, Google, Facebook, Amazon。
》 和歌山県太地町、シー・シェパードとの対話集会の実施に踏み切る (slashdot.jp, 10/27)
》 JSCPR公開講座2010 「大学におけるカルト問題の今 −現場・理論・対策−」 (日本脱カルト協会)。2010年11月27日、東京都新宿区、資料代1000円。
関連: カルトの勧誘に注意してください! (龍谷大学, 10/26)
》 ロフトプラスワンで異色の仏教トーク (やや日刊カルト新聞, 10/27)。 ポスターがインパクトありすぎ。
》 反日デモより怖かったもの (「日中文化交流」と書いてオタ活動と読む, 10/22)。 SARS な話。
》 萌えキャラ「ひのもと おにこ」を創作して日中関係を......? (slashdot.jp, 10/27)。すばらしい。
MS10-074、脆弱なアプリの実例: PowerZip 7.21 (Build 4010) Stack Buffer Overflow (exploit-db.com)、 CVE-2010-3227
関連:
「mstmp」系ウイルス(仮称) に感染しているか確認する方法 (にわか鯖管の苦悩日記, 2010年10月27日)
アクセス解析サービスを使用した Web サイト経由での攻撃に関する注意喚起 (JPCERT/CC, 2010年10月27日)
ドライブ・バイ・ダウンロード攻撃で感染する"mstmp"ウイルスについて (IBM ISS, 2010年10月27日)。9 月中旬ごろからはじまっているんだなあ。
正規サイト改ざん:国内サイトに広まる新たな改ざんコード汚染 (so-net セキュリティ通信, 2010年10月25日)
Firefox 3.5 / 3.6 の JavaScript 実装に 0-day 欠陥、既に攻略スクリプトが世に出まわっているそうだ。現状で回避するには、JavaScript を無効化するしかない。 関連:
JS_NINDYA.A (トレンドマイクロ)。 無警告でファイルをダウンロード・実行してしまう模様。
Firefox Zero-Day Found in Compromised Nobel Peace Prize Website (trendmicro blog, 2010年10月26日)
Firefoxに未修正の脆弱性、ノーベル賞サイトで悪用見つかる (ITmedia, 2010年10月27日)
Firefox を標的としたゼロデイ攻撃が発生 (シマンテック, 2010年10月27日)
[引用] シマンテックでは、この悪用コードが実行されたときに %Windir%\Temp に投下される悪意のあるファイルを Backdoor.Belmoo として検出します。なぜかはわかりませんが、このファイルの名前は「symantec.exe」となっています。このファイルは、台湾でホストされているリモートドメインへの接続を試み、うまくいくとコマンドシェルを開いて接続を開始します。Firefox hit by critical zero-day vulnerability (Sophos, 2010年10月27日)
修正版出ました。Firefox 3.6.12 / 3.5.15、Thunderbird 3.1.6 / 3.0.10、 SeaMonkey 2.0.10。
Firefox と Thunderbird のセキュリティアップデートを公開しました (Mozilla Japan ブログ, 2010年10月28日)
Mozilla Foundation セキュリティアドバイザリ 2010-73 (mozilla-japan.org)
SeaMonkey 2.0.10。まだβテスト中みたい。
関連:
Using the Browser Cache to Bypass Security (Symantec, 2010年10月28日)
Using the Browser Cache to Bypass Security (Symantec, 2010年10月28日) の日本語版: ブラウザのキャッシュを利用したセキュリティの回避 (シマンテック, 2010年10月28日)
》 『袴田巌は無実だ』もう時間がない!再審の扉を今すぐに開けよ!! (JANJAN blog, 10/23)
》 市民デモ 「検察とマスコミの横暴を許すな」 (田中龍作ジャーナル, 10/24)
》 COP10会場にて上関原発アクション展開。現地では最後の台船が退散。 (JANJAN blog, 10/25)
[引用] *1 執拗に職質を繰り返す警察》 「一刻も早く派遣法の改正を」 国会に要請 (田中龍作ジャーナル, 10/25)
[引用] 派遣法の改正は、参院で野党が過半数を占めていることから成立は微妙な情勢だ。厚労行政に深く関わる複数の議員は「(学会員が多い)中小・零細企業に配慮するように修正を加えて、公明党を上手に抱き込み成立を目指す」と話す。》 「縛り首にしてしまえ」ウガンダのタブロイド紙、同性愛者100人の顔写真と住所を公開して扇動(追記あり) (みやきち日記, 10/23)
》 セルビアのゲイパレードで反対派が暴徒化、少なくとも141人が負傷 (みやきち日記, 10/23)
》 Windows Server 2008 ベースのコンピューターで、コマンド プロンプトらからアプリケーションを実行した際に STOP エラー "0x000000F4" が発生してシステムが再起動する場合がある (Microsoft KB 2453240)。いきなり再起動ねた。Hotfix はまだない。
[引用] この現象は、WINSRV.DLL におけるコンソール IME に対する処理に問題があり、不正なアドレスへのアクセスが発生してしまう条件があるために発生します。》 NHK番組改編事件訴訟の全容が明らかになる2冊が近日発売...記念イベントでは長井さんの講演も (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 10/26)
[引用] (小島注: 出版記念) シンポジウムが、10月30日午後1時半、明治大学駿河台キャンパス・リバティータワー1階1011号室で開かれる。政治家の圧力を告白した当時の番組担当デスク長井暁さんが出演し、いまだから言える話をしてくれることになっている。@random な勉強会とおもいっきりかぶってるな......。
[引用] そうそう、発行される資料集と評価集は次の通り。日本評論社の Web ページにはまだ案内はないようだ。 「NHK裁判資料集」・「評価集」出版記念シンポジウム NHK番組改変事件、10年目の検証 (NHKを監視・激励する視聴者コミュニティ, 10/16) によると「1冊1万円」の模様。 現代書館については、 近刊案内 に案内が載っている。 こちらは「定価2600円+税」。
》 カモのふんから鳥インフルウイルス 北海道稚内 (asahi.com, 10/26)。H5N1。
》 MacのJavaサポートは終了か?--Appleが"見切る"影響を考える (ZDNet, 10/26)
》 ISP「ぷらら」、児童ポルノサイトのフィルタリング機能を追加 (Internet Watch, 10/26)
》 かんたんログイン方式で漏洩事故が発生 (高木浩光@自宅の日記, 10/25)。 携帯版「クロネコメンバーズのWebサービス」 クイックログイン機能の脆弱性への対応について の件。
[引用] 今回、意図した攻撃ではなく、不意に他人の情報が見えてしまう事故が発生したのは、SBrowser利用者の何割かが、「ランダム設定」ボタンをちょうど 1回押した状態の設定で使用していて、かつ、謳われている「携帯サイトのテスト」用途ではなく、実用としてガラケーサイトで使っていたためだろう。関連:
ヤマト運輸、かんたんログインの脆弱性で個人情報が露出 (水無月ばけらのえび日記, 10/26)
携帯サイト「なりすまし」脆弱性(1) ヤマト運輸、個人情報が閲覧可能に (so-net セキュリティ通信, 10/27)
携帯サイト「なりすまし」脆弱性(2) 個体識別番号悪用で不正ログインの危険 (so-net セキュリティ通信, 10/27)
》 最高検察庁、「検察官が必要ないと判断したメモは速やかに廃棄せよ」と指示していたことを認める。 10/24 のつづき。
最高検「不要メモ廃棄を」 保管通知の際に補足説明 (東京新聞, 10/25)
不要取り調べメモ迅速廃棄、最高検指示していた (読売, 10/26)
最高検、保管通知の補足で「必要ないメモは廃棄を」 (asahi.com, 10/25)
【郵便不正事件】最高検、メモ廃棄を「指示」 大阪特捜は「従って廃棄」 ( (産経 MSN, 10/26)
》 AKARI 1.0.2 をリリースしました。 (熊猫さくらのブログ, 10/25)。仕様変更、機能向上、不具合修正。
Linux 2.6.30 〜 2.6.36-rc8 に欠陥。Reliable Datagram Sockets (RDS) プロトコルの処理に欠陥があり、local user が root 権限を奪取できる。 CVE-2010-3904
Linux 2.6.36 では直っているみたい。関連:
patch: De-pessimize rds_page_copy_user (git.kernel.org)
回避方法: root 権限で以下を実行
[引用] echo "alias net-pf-21 off" > /etc/modprobe.d/disable-rdsBug 642896 - (CVE-2010-3904) CVE-2010-3904 RDS sockets local privilege escalation (Red Hat) には、次の方法が述べられている。
[引用] For users that do not run applications that use RDS, you can prevent the rds module from being loaded by adding the following entry to the end of the /etc/modprobe.d/blacklist file:RHSA-2010:0792-1 - Important: kernel security update (RHEL 5)
[CentOS-announce] CESA-2010:0792 Important CentOS 5 x86_64 kernel
JVNVU#362983: Linux カーネルにおける RDS プロトコルの実装に脆弱性 (JVN, 2010年10月26日)
RHSA-2010:0793-1 - Important: glibc security update (RHEL 5)、 USN-1009-1: GNU C Library vulnerabilities (Ubuntu)、[CentOS-announce] CESA-2010:0793 Important CentOS 5 x86_64 glibc (CentOS)、 JVNVU#537223: glibc に権限昇格の脆弱性 (JVN, 2010年10月26日) を追記。
APSB10-21: Security updates available for Adobe Reader and Acrobat
日本語版: APSB10-21: Adobe ReaderおよびAcrobat用セキュリティアップデート公開 (Adobe)
Firefox 用のアドオン Firesheep 0.1 登場。Amazon や Google、Windows Live、Facebook、Twitter、Evernote、Dropbox などに対して、オープンワイヤレスネットワークにおける HTTP セッションハイジャックが可能な模様。
関連:
「Firesheep」:複雑だったことを容易にするツール (エフセキュアブログ, 2010年10月25日)
Twitter、Facebook、Dropbox、Evernote、全部危ない - WiFiでログイン情報を盗み取れるFirfoxアドオンFiresheep (techcrunch, 2010年10月26日)
FiresheepからWiFiでログイン情報を守る方法 (techcrunch, 2010年10月26日)
Force-TLS (mozilla.org)
HTTPS Everywhere (EFF)
Ill take the Firesheep with a side order of ARP Poisoning please... (McAfee Labs Blog, 2010年10月25日)
Firesheep に関する Mozilla セキュリティチームからのコメント (Mozilla Japan ブログ, 2010年10月28日)
BlackSheep - 恐怖のハイジャッカー、Firesheepを検知して警告するFirefoxアドオン登場 (techcrunch, 2010年11月09日)
関連:
HTTPセッションハイジャック騒動から1週間、倫理と合法性 (マイコミジャーナル, 2010年11月04日)
HTTPセッションハイジャックツール、さらに登場Idiocy (マイコミジャーナル, 2010年11月08日)
Cookie Theft (SideJacking or Session Hijacking) for Normal People. (ESET, 2010年11月09日)
セッションハイジャックツールFiresheepと対抗アドオンBlacksheepを検証してみた (security.gs, 2010年11月20日)
》 【現場ルポ】尖閣諸島上陸をめぐる「なんだかなー」な攻防戦 (週プレニュース, 10/25)。漁くらいさせてやれよ。
》 The "Enforce password history" and "Minimum password age" Group Policy settings do not work when you reset the password for a Windows Server 2008 R2-based computer (Microsoft KB 2386717)。Hotfix あります。
》 Shareユーザーの2割・2万人以上が児童ポルノコレクターとの調査結果 (Internet Watch, 10/22)
[引用] 調査では、Shareの「クラスタ」設定に基づきカウントした。具体的には、児童ポルノ画像の流通によく用いられるピンポイント的な"特殊クラスタワード"のほか、一般的に児童ポルノを示すと考えられる用語を計25種類ほどリストアップ。それらをクラスタワードとして設定しているユーザーを、児童ポルノコレクターとみなしている。とは言え、インターネット利用者数は 2009 年末で推計 9,408 万人 なので、2 万人 = 0.02% というのは、そんなもんかなという気がする数字。
》 携帯版「クロネコメンバーズのWebサービス」 クイックログイン機能の脆弱性への対応について (ヤマト運輸, 10/25)。ケータイ ID ねた。なんも考えてなかったので、ケータイ ID 詐称でそのまま通れちゃった。 パスワード認証が必須となるよう改修して対応。 HAMUCHI さん情報ありがとうございます。 関連:
クイックログインに"穴"、ヤマト運輸の携帯Webサイトに脆弱性 (ITmedia, 10/25)
iPhoneで人の情報丸見え...閲覧ソフト原因 (読売, 10/25)。ちょっとあれな記事。
YOMIURI ONLINEに掲載された「iPhoneで人の情報丸見え」記事について、当事者から。 (Moba Photo Life!!, 10/25)。つながってびっくりした当人の話。
[引用] とりあえず画面キャプチャを撮影した後(iPhoneはキャプチャがすぐ撮れてこういう時に助かる)、クロネコヤマトに通報するべきかと最初は思ったが、一般人が言ったところで聞いてもらえるかは分からないし、そもそもどこにどう通報していいのかも全く分からない。JPCERT/CC は広報を「もうすこしがんばりましょう」。 こういう場合の届出はこちらから: インシデントの報告 (Web フォーム) (JPCERT/CC)
「一般人が言ったところで聞いてもらえるかは分からない」という認識は正しいです。 別の意図 (ゆすり、たかり等) があるのかと勘ぐられたりすることもありますから、直接やりとりする事は推奨しません。 また、ウェブアプリケーション脆弱性関連情報の届出 (IPA) は一般人には敷居が高すぎると思うので、私は推奨しません。
ケータイ脳が大手SI屋にまで侵蝕、SI屋のセキュリティ部隊は自社の統率を (高木浩光@自宅の日記, 4/17)。高木さんのところは、つながりにくくなっている模様です。
》 三菱電機IS曰く「2005年に想定した設計・構築、製品に欠陥とは考えていない」 (高木浩光@自宅の日記, 10/24)
》 Google、Street View車両でパスワード情報なども取得したことを認める (日経 IT Pro, 10/25)
》 Dear Microsoft: Please Stop Pushing Potentially Unwanted Software Through Windows Update (Panda Research, 10/23)。PUA 扱い。まぁ、不要な人にとってはそうだよなあ。
》 韓米、今月末の空母参加連合訓練を中止 (中央日報, 10/25)
》 Webメディアの規模縮小が続く (fx-it.com, 10/25)。10〜20% 減ですか。その分ソーシャル系メディアに流れているのかなあ。
》 ハプニング続出でもレースは成立!? F1韓国GPが水を差したタイトル争い。 (Number, 10/25)
[引用] ちょうどそのころ、サーキットの外でも問題が発生していた。雨でぬかるんだ駐車場へ車を入れられなくなった数万人の観客がサーキット周辺の道路に車を乗り捨てて、レース会場に駆けつけたのである。ひどい話だなあ。
》 「大学入試センター試験」が2種類に分けられる方向で検討へ、大学の「全入」状態はより顕著に (gigazine, 10/25)
》 共産党・政府への直接批判も 中国各地で反日デモ (asahi.com, 10/25)
[引用] 「多党制を導入せよ」「住宅が高すぎる」といった横断幕も掲げられ、中国共産党・政府を直接批判する訴えが現れ始めた。(中略)JVN#07497935: 複数の Yokka 提供製品における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月22日)。 NoEditor、 OuiEditor、 UnEditor、 DeuxEditor、 SQLEditorXP、 SQLEditorTE、 SQLEditor8、 SQLEditorClassic が改訂されてます。
》 最高検察庁「検察官が必要ないと判断したメモは速やかに廃棄せよ」と指示
最高検 不要なメモの廃棄指示 (NHK, 10/24)
[引用] NHKでは、最高検察庁が、おととし、取り調べのメモについて全国の検察庁に出した通知とその解説文を入手しました。この中で、最高検は、検察官が裁判で必要ないと判断したメモは速やかに廃棄するよう指示していたことがわかりました。解説文で、最高検は「必要性の乏しいメモを安易に保管しておくと、メモを開示するかどうかで無用な問題が生じかねない。裁判所が取り調べの状況について判断するうえで必要なメモは保管し、それ以外のメモは、プライバシー保護などの観点から速やかに廃棄すべきだ」としています。これについて、元裁判官で法政大学法科大学院の木谷明教授は「最高検の通知は、検察官に役立つメモ以外は廃棄せよという指示で、被告に有利なメモがあっても、弁護側には明らかにされず廃棄されることになり、きわめて不適切だ」と批判しています。日本語に訳すと、検察に都合が悪いメモはガンガン廃棄しろってことだよなあ。 さすがは最高検察庁、検察の親玉なだけのことはある。
大阪地検が取り調べメモ廃棄 最高検通知に違反 (asahi.com, 9/8)
[引用] これを受けて最高検は08年7月と10月、検事や副検事が容疑者の発言や質問事項などを記すメモの取り扱いについて各地検に通知。取り調べ状況が将来争いになる可能性があると捜査担当検事が判断した場合、(1)メモを公判担当検事に引き継ぐ(2)公判担当検事はメモを一定期間保管する——ことを刑事部長名で求めた。で、「取り調べ状況が将来争いになる可能性があると捜査担当検事が判断」しなかった場合はガンガン廃棄しろ、ということが、「その解説文」のところに書かれていた模様。
【NHK】最高検が取り調べメモ隠滅指示〜最高裁の取り調べメモ開示判決の直後 (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 10/24)
[引用] そもそも、この指示は、おととし...つまり、警察官の取り調べメモの開示を最高裁が命じたのが2007年12月だから、この最高裁の判断に驚いた最高検がそのような指示をしたわけだ。明らかに証拠隠滅だ。》 松山千春と佐藤優 「マスコミと検察を斬る」 (田中龍作ジャーナル, 10/22)
[引用] 【佐藤優氏の話】》 派遣労働者が悲鳴「さらに短期化する細切れ雇用」 (田中龍作ジャーナル, 10/23)
[引用] 「派遣ユニオン」の関根秀一郎書記長によれば「派遣先の企業は、3年過ぎたことをハッと気付きすぐ解雇する」のだそうだ。》 葦船お披露目の「いのちのパレード」開催。デニス・バンクス氏も登場。 (JANJAN blog, 10/23)
》 【拡散希望】デモには署名で対抗しよう!〜「中国四川省で反日デモ、警察は行進制止せず」 (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 10/23)
[引用] 日本車のフロントガラスを壊すまでしても、【デモ隊の行進は制止しなかった】そうなので、これは、いわゆる官製デモなのかもしれない。署名ページ: Free Liu Xiaobo (gopetition.com)
》 検察審査会と「市民感覚」の罠 (保坂展人のどこどこ日記, 10/23)
[引用] 「有罪かもしれないから起訴すべき」「黒白つける」という記述には、違和感を覚える。「明らかに有罪と証明出来るから起訴する」「黒=犯罪が立証された時に有罪、シロ=犯罪の立証が不十分だった時に無罪」というのが刑事裁判の原則ではないのだろうか。》 大阪地検事件は「特別公務員職権濫用罪」が相当(郷原信郎氏) (保坂展人のどこどこ日記, 10/22)
》 最高検察庁、『幻の記者会見』を開く。 (フリーランスライター畠山理仁のブログ, 10/22)。これだけ可視化が叫ばれている昨今であるにもかかわらず、記者会見すら可視化できないという。阿呆か。
》 Weekly Roundup of @Risk Web Application Vulnerabilities (SANS SSI, 10/22)
》 もうすぐAmazonはKindleのユーザがeブックを人に貸すことを認める (techcrunch, 10/23)。すばらしい。
》 攻撃者は騙されない? (cNotes, 10/23)
[引用] 9月の終り頃に話題になっていた最近よく利用されているといわれているexploitpackの一つCRiMEPACKに付属しているdeny listについて調べてみました。》 FCC、米国で2014年に275MHzの「周波数不足」が発生と予想 無線データ通信需要の拡大で2014年の必要帯域が822MHzに (ComputerWorld.jp, 10/22)
》 IBM、クラウドを保護する「Virtual Protection System」を開発 仮想環境向けのルートキット検出機能を提供 (ComputerWorld.jp, 10/21)
》 哨戒艦沈没:ヨノ型潜水艇は脅威対象外だった!? (朝鮮日報, 10/23)
[引用] これは、天安事件当時に韓国軍当局が、西海(黄海)に面した南浦港から出港し、天安を攻撃したと推定されるヨノ型潜水艇について、実戦配備前の段階にあり、韓国の艦艇を攻撃する可能性は薄かったと判断した可能性があることを示している。この点について金東聖(キム・ドンソン)議員(ハンナラ党)は、「合参の情報判断が誤っていたのではないか。対潜警戒態勢が発令されるべきではなかったのか。合参の過ちを、なぜ海軍に押し付けるのか」と質問した。これに対し、金泰栄(キム・テヨン)国防長官は、「今なら当然警戒態勢を発令するが、当時は6・25戦争(朝鮮戦争)以来、そのような攻撃を受けたことがなかったため、適切な判断ができなかった。すべてはわれわれの不注意だった」と答弁した。また、この日の国政監査に証人として出席したチェ・ウォンイル艦長は、「わたしに機会を与えて下さるのなら、もう一度海に出向き、残虐無道な敵を粉々にしたい」と語った。GNU libc のダイナミックリンカに 2 つの欠陥、local user が root 権限を奪取できる。
[Full-disclosure] The GNU C library dynamic linker expands $ORIGIN in setuid library search path (Full-disclosure ML, 2010年10月18日)
ELF の仕様では、SUID / SGID なバイナリでは $ORIGIN を取り除くことになっているのだが、glibc はそうしていない。 CVE-2010-3847
[Full-disclosure] The GNU C library dynamic linker will dlopen arbitrary DSOs during setuid loads. (Full-disclosure ML, 2010年10月22日)
環境変数 LD_AUDIT と PCPROFILE_OUTPUT を使うことで権限上昇できてしまう。 CVE-2010-3856
修正告知:
RHSA-2010:0793-1 - Important: glibc security update (RHEL 5)
[CentOS-announce] CESA-2010:0793 Important CentOS 5 x86_64 glibc (CentOS)
関連:
JVNVU#537223: glibc に権限昇格の脆弱性 (JVN, 2010年10月26日)
RHSA-2010:0793-1 - Important: glibc security update (RHEL 5)、 USN-1009-1: GNU C Library vulnerabilities (Ubuntu)、[CentOS-announce] CESA-2010:0793 Important CentOS 5 x86_64 glibc (CentOS)、 JVNVU#537223: glibc に権限昇格の脆弱性 (JVN, 2010年10月26日) を追記。
「mstmp」系ウィルス補完計画 (ハニーポッターの部屋, 2010年10月22日)。 マカフィーがだめだめだった模様ですが、マカフィーな人は Artemis 使っててもだめだめだったのかなあ。Artemis 使ってない場合、マカフィーは全く使い物にならないと個人的には思ってます。
手元での Artemis 使用事例: 龍谷大学理工学部におけるウイルス感染事例 part 2
》 Linuxカーネル2.6.36リリース、AppArmorがマージされる (sourceforge.jp, 10/22)。おめでとうございます。
ちなみに、昨日 10/21 はあかりの日だった模様。AKARI ちゃんもがんばれ。(じゃがバターが食べたくなった......)
》 One Year Later: Metasploit Framework 3.5.0 Released! (Metasploit.com, 10/20)
》 アップル、「Mac OS X」のJavaを更新--今後の同梱中止を示唆 (CNET, 10/22)、 Java for Mac OS X 10.6 Update 3 and 10.5 Update 8 Release Notes (developer.apple.com, 10/20)
》 キプロスでの地雷撤去が25000個に (国連情報誌SUNブログ対応版, 10/22)。地雷は便利な武器なのだけど、後かたづけが大変なんだよね。
》 記者の目:検察審査会の強制起訴制度=和田武士(東京社会部) (毎日, 10/19)
[引用] だが、民主党の小沢一郎元代表を政治資金規正法違反で起訴すべきだとした東京第5検察審査会の議決は、その当否は別にして、理由に疑問を感じた。議決要旨(10月4日公表)で「国民は裁判所によって無罪なのか有罪なのかを判断してもらう権利がある」と明記したが、ある法曹関係者は「当事者ではない事件にまでそんな権利があるという解釈はあり得ない」と指摘する。「国民の責任で黒白をつけようとする制度である」とも書いたが、「国民の責任」との表現に違和感を持つ人も少なくないと思う。》 口蹄疫改めて「シロ」 宮崎県が確認、東部も畜産再開へ (asahi.com, 10/22)
》 朝日新聞「臨床試験中の癌治療ワクチン」記事(2010年10月15日)に見られる事実の歪曲について (日経 Medical Online, 10/21)。 ストーリーありきの報道?
[引用] 今回の朝日新聞の記事を見ると、かなり昔のことですが、高邁な自然保護の主張を訴えるために自ら沖縄のサンゴ礁に傷つけた事件があったことをつい思い出してしまいます。今回、傷つけられたのは、医科学研究所における臨床試験にかかわる本当の姿であり、医療開発に携わる研究者たちであり、更には新しい医療に希望をつなごうとしている全国の患者の気持ちです。関連:
朝日の癌ワクチン報道に対し、東大医科研が会見 中村教授は「自然な出血がなぜ問題になる」と憤りを隠さず (日経 Medical Online, 10/19)
》 「日本の現場 地方紙で読む」の書評 (ニュースの現場で考えること, 10/22)。おもしろそうなので発注した。
》 石原知事が築地移転予算執行を表明 民主の反発必至 (産経 MSN, 10/22)
》 コースはあるけど......施設は未完成。 主催者の謝罪で始まったF1韓国GP。 (Number, 10/22)
[引用] また、関係者用ホテルの多くはビジネス用には相応しくない歓楽街の宿泊施設であったため、欧米人の多くが戸惑いを隠せなかった。いわゆるラブホテルだそうで。
コリアに着いたムニダ! (ピーノ! ピーノ! まっちゃんの本"松"転倒記, 10/21)
[引用] 確かにちょっとしたら、笑い話に出来るかもしんないけどさ、韓国GPの主催者の方々には、ちゃんと考えていただきたいですよ。ほんとに。サーキットは出来てない、紹介したホテルがこれで......、もしレースウイークに何かあったら、どーするんでしょ?ラブホでお泊り。 (金子博カメラマンのF−1撮影生活とCB750とくるま趣味, 10/21)
サーキット全体が"巨大な工事現場" (ESPN, 10/20)
F1韓国GP、サーキットでは工事が終わらず (TopNews, 10/20)
F1韓国GP、開催直前とは思えない工事風景 (TopNews, 10/20)
F1韓国GP、サーキット工事に軍隊も投入 (TopNews, 10/21)
F1韓国GP主催者、工事遅延のゴタゴタを謝罪 (TopNews, 10/21)
》 日本ベリサインのObjectSigning 対応 Digital ID がセキュリティ機能に定評のあるFirefoxに対応 2048bit化を実現することで、暗号の2010年問題へ対応 (VeriSign, 10/21)
[引用] コードサイニング証明書※(注記)1「Object Signing対応Digital ID」※(注記)2の申請用ブラウザを、この度、従来のNetscapeからFirefox3.6(以降)に変更し、対応署名ツールにはjarsignerを追加しました。》 あなたはジョンより賢い? (エフセキュアブログ, 10/21)。なかなか強烈ですね。
》 これぞ知財高裁!というべき判決〜「引用」理論の新たな展開 (企業法務戦士の雑感, 10/18)。 というか、これがふつうの感覚だと思うのだけど。
》 末端信者だけではない!日本統一教会本部も正体隠して公共施設を使用!? (やや日刊カルト新聞, 10/22)
》 脆弱性対策情報データベースJVN iPediaの登録状況 [2010年第3四半期(7月〜9月)] (IPA, 10/20)
》 ソフトウエア等の脆弱性関連情報に関する届出状況 [ 2010年第3四半期 (7月〜9月)] (JPCERT/CC, 10/21)、 ソフトウェア等の脆弱性関連情報に関する届出状況 [2010年第3四半期(7月〜9月)] (IPA, 10/21)
》 フィッシング対策セミナー開催のご案内 (JPCERT/CC, 10/21)。 2010年11月17日 (東京都千代田区) / 11.18 (大阪府大阪市) / 11.19 (福岡県福岡市)、無料。
》 「組込みシステムに情報セキュリティを」セミナー開催のお知らせ 〜情報セキュリティ面でも安全な製品開発に向けて〜 (IPA, 10/21)。 2010年11月02日 / 22、東京都文京区、無料。11.02 の回の募集が開始されている。
いよいよリアルにこういう時代になってきた。
なんか広がっているらしい mstmp 話。
[引用] トレンドマイクロのサポートセンターへの問い合わせは、2010年10月14日以降、100社を超える法人ユーザから感染被害の報告を受けています。日本でだけ広がっているために、世界的には話題になってない?
「mstmp」系ウィルス補完計画 (ハニーポッターの部屋, 2010年10月22日)。 マカフィーがだめだめだった模様ですが、マカフィーな人は Artemis 使っててもだめだめだったのかなあ。Artemis 使ってない場合、マカフィーは全く使い物にならないと個人的には思ってます。
手元での Artemis 使用事例: 龍谷大学理工学部におけるウイルス感染事例 part 2
関連:
「mstmp」系ウイルス(仮称) に感染しているか確認する方法 (にわか鯖管の苦悩日記, 2010年10月27日)
アクセス解析サービスを使用した Web サイト経由での攻撃に関する注意喚起 (JPCERT/CC, 2010年10月27日)
ドライブ・バイ・ダウンロード攻撃で感染する"mstmp"ウイルスについて (IBM ISS, 2010年10月27日)。9 月中旬ごろからはじまっているんだなあ。
正規サイト改ざん:国内サイトに広まる新たな改ざんコード汚染 (so-net セキュリティ通信, 2010年10月25日)
はまもとさんによる現場からの報告: いきなり襲ってきた「mstmp」ウィルスに大わらわ (日経 IT Pro, 2010年10月28日)。
[引用] 図3のウィルス感染経路の図に沿って説明しよう。まず、被害者は通常の方法でWebサイトを閲覧する(図3の丸数字1)。すると、ホームページサーバーに埋め込まれたアクセス解析サイトのプログラムによりアクセス解析サイトへ転送される(同2)。アクセス解析サイトへアクセスしたユーザーのPCが改ざんされたスクリプトを読み込んで実行してしまう(同3)。「アクセス解析サイト」って、そういうことですか......。
[引用] なお、これらの感染経路の調査にはネットワークフォレンジック機器のパケットブラックホールが使われた。今回のような複数のドメインをまたがり感染経路が多岐に渡るような場合、本当にどこが攻撃元かを判定するのは、ドメイン遷移しかわからないプロキシログの情報だけでは至難の業である。実際のWebコンテンツの中身を解析して見てはじめて、そのコンテンツがウィルスに感染していることが判明するわけで、今後はウィルス対応にネットワークフォレンジック機器の重要度は増すことが予想される。なるほど......。
【注意喚起】大手有名サイトの閲覧で発生したコンピュータウイルス感染について (LAC, 2010年10月29日)
[引用] 下記IPアドレスへのアクセスを行っているPCは、感染している可能性があるため、該当するPCがないかをご確認いただくこと、また該当PCがある場合はそれを特定し、ウイルスの駆除を行ってください。アフィリエイトによる金銭取得が目的か!? - "mstmp""lib.dll"攻撃続報 (トレンドマイクロ セキュリティ blog, 2010年10月29日)
Compromised Websites Use Java Flaws, Hit Japanese Users (trendmicro blog, 2010年11月02日)
Compromised Websites Used For Affiliate Scams (trendmicro blog, 2010年11月11日)。アフィリエイトによる金銭取得が目的か!? - "mstmp""lib.dll"攻撃続報 (トレンドマイクロ セキュリティ blog, 2010年10月29日) の英語版かな。
APSA10-04: Security Advisory for Adobe Shockwave Player (Adobe, 2010年10月21日)。Shockwave Player 11.5.8.612 以前に、任意のコードの実行を許す 0-day 欠陥。 CVE-2010-3653
関連: Adobe Shockwave Player "rcsL" Chunk Memory Corruption Vulnerability (vupen, 2010年10月21日)、 Adobe Shockwave player rcsL chunk memory corruption 0day (exploit-db.com, 2010年10月21日)
Antivirus detection after malware execution (bugtraq, 2010年10月19日)。検出するのはいいけれど、ウイルスが実行されてからでは遅いのです。マカフィー、シマンテック、AVG、F-Secure。 F-Secure はまだ直ってないのかな。
bid 44211: VLC Media Player Mozilla Multimedia Plug-in Remote Code Execution Vulnerability (Securityfocus, 2010年10月19日)。最新の VLC Media Player 1.1.4.1 でも直っていない模様。
[SA41893] Pidgin Multiple NULL Pointer Dereference Weaknesses (secunia, 2010年10月22日)。Pidgin 2.7.4 で修正されているそうです。
APSA10-04: Security Advisory for Adobe Shockwave Player (Adobe, 2010年10月21日) ですが、APSB10-25 (Adobe, 2010年10月28日) で修正されました。
JVN からも出ました:
JVN#89272705: Sleipnir および Grani における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月22日)
JVN#50610528: Sleipnir および Grani における DLL 読み込みに関する脆弱性 (JVN, 2010年10月22日)
Grani にも同じ問題があり、Grani 4.4 で修正されています。
SeaMonkey 2.0.9 も出ています。tvb19131 さん情報ありがとうございます。
》 IPCCの科学的知見と政策──IAC調査報告[前編] 謙虚に受け止めるべき IPCCに対する建設的批判 (日経 BP, 10/18)、 IPCCに関する有識者声明 (Yamaguchi Mitsutsune Homepage, 9/30)
》 NTT東日本のフレッツ 光ネクスト障害、原因はDNSサーバーの操作ミス (日経 IT Pro, 10/19)
》 TCG日本支部(JRF) 第二回 公開セキュリティーワークショップ - ディスク暗号化標準技術(TCG/OPAL) (trustedcomputinggroup.org)。 2010年11月04日、東京都中央区、無料。
》 わざわざレズビアンの運営するサイトの掲示板で「ぼくのかんがえた、どうせいあいしゃをさべつしていいりゆう」を開陳したがる百合オタの皆さまへ (みやきち日記, 10/11)
》 『Glee』シーズン2に、ラトガース大学生の自殺事件をもとにしたエピソードが登場 (みやきち日記, 10/20)
》 「Yuriはレズビアン・アイデンティティー無きレズビアン・コンテンツ」:米国の出版関係者と同性愛者の、「Yaoi」「Yuri」コミックについてのパネルディスカッションが面白い (みやきち日記, 10/21)
[引用] そう言えば日本の百合ものって、女同士で恋をしたりデートしたりキスしたり、場合によってはセックスまでしていても、そこに「レズビアン」という概念はめったに持ち込まれないんですよね。むしろ自分がレズビアンだという発想すらないキャラクタがほとんどなんじゃないかしら。あたしは『プリティ・タフ』(レビュー)のなりりんが「うち レズビアンなんやー!」と言い切る場面が大好きなのですが、それは結局、そこまではっきりしたレズビアン・アイデンティティーを持っているキャラというのがめったにいない(ゼロではないにしても)からだと思い至りました。だからこそ、なりりんのあの台詞の思い切りのよさに感動するわけで。今さらながらそのことに気づかされ、目からウロコが落ちる思いでした。》 Trojan.Zbot.B!inf での Crypto API の使われ方 (Symantec, 10/18)
》 子どもの安全対策〜グリーが対策強化、背景にコミュニティサイトの危険 (so-net セキュリティ通信, 10/21)
》 「死海文書」がオンラインで全文公開へ、Googleとイスラエルが提携 (gigazine, 10/20)
中国、米欧にもレアアース禁輸拡大か 米紙報道 (asahi.com, 10/20)。NYTimes の報道。
レアアース禁輸 欧州委確認急ぐ (産経 MSN, 10/20)
レアアース:中国、欧米向けも停止 資源外交の武器、ハイテク製造見据え (毎日, 10/21)
レアアース輸入停滞 中国側が契約破棄、他国経由も拒否 (asahi.com, 10/21)
[引用] 9月下旬以降、レアアースを扱う日本企業30社のうち中国から輸入できたのは2社だけ。民間の試算では、日本は来年、必要量の3割に当たる1万トンのレアアースが不足する見通しだという。[FT]中国、レアアース管理でWTO規約違反を否定 (Financial Times / 日経, 10/21)
》 誰も批判しない「実燃費」の内外格差 燃費ランキングを鵜呑みにしてはいけない (JBpress, 5/7)
[引用] ある自動車業界関係者が筆者にこう耳打ちしてくれたのが強く印象に残っている。「計測学的に言っても、もはや(10.15基準の)カタログ値は全く意味をなさない」 メディア、アナリストはなぜ見て見ぬフリなのかまたマスゴミか......。リアルなデータが知りたい人は、e燃費 がいいそうです。
》 シェールガスが変える資源のパワーバランス (slashdot.jp, 10/20)。関連:
世界を読む:世界変えるシェールガス(その1) 眠れる宝、技術革新で採掘 (毎日, 10/18)
世界を読む:世界変えるシェールガス(その2止) 「シェール革命」市場喪失の危機 (毎日, 10/18)
【クレムリン経済学】揺れる天然ガス大国ロシア 米国発「シェールガス革命」の衝撃 (産経 MSN, 2/25)
三菱商事、加PWEのシェールガス開発計画に参加 (ロイター, 8/24)
シェールガスは世界を変える (Financial Times / JBpress, 5/26)
》 欧州での不寛容政策への傾向を警告:事務総長 (国連情報誌SUNブログ対応版, 10/20)
》 飢餓と戦うには土地の使用制限も重要 (国連情報誌SUNブログ対応版, 10/19)
》 アフリカ・サヘル地域の食糧問題について根本的な対策を (国連情報誌SUNブログ対応版, 10/18)
》 CSIRT奮闘記 第12回 NRIセキュアテクノロジーズの「NCSIRT」——国を越えた攻撃に素早く対応,コミュニティーの重要性を実感 (日経 IT Pro, 10/18)
》 2ちゃんねるに情報開示命令 日清CM撮影巡る書き込み (asahi.com, 10/20)
[引用] CM製作会社の葵(あおい)プロモーションが2ちゃんねる管理人に対し、掲載内容の削除と発信者情報の開示を求める仮処分を申請していたことがわかった。東京地裁(渡辺哲裁判官)は19日、いずれの申請も認める仮処分決定をした。》 東海地震で新幹線・東名高速分断の恐れ 地震本部発表 (asahi.com, 10/20)
》 20102010 event (Dev-Team Blog, 10/20)
[引用] We’re pleased to release PwnageTool 4.1 for Mac OS X (free of charge, blog ads, and donation requests — as always!). Today’s big new addition to the jailbreak family is AppleTV 2G, which was first shown jailbroken in its release week!》 ヘルメットの代わりになるエアバッグ(動画) (WIRED VISION, 10/21)
[引用] さて、なぜヘルメットでなくこのエアバッグなのだろうか。すぐ思いつく理由はファッション性だ。襟のデザインはいろいろと変えられるし、ヘアスタイルもメットでぺちゃんこにならない。》 グーグル、ネットワーク管理者向けアラート・プログラムにフィッシングURLの通知機能を追加 (ComputerWorld.jp, 10/18)
》 Facebook Connectを殺すFacebook DisconnectをGoogleの技術者が作った (techcrunch, 10/20)
》 マカフィー、暗号化USBメモリーにWindows 7対応の新版 (日経 IT Pro, 10/21)。McAfee Encrypted USB version1.3。
[引用] ウイルス定義ファイルは無償で更新する。》 McAfee社がXenDesktopに最適化されたMOVEウイルス対策プラットフォームをリリース(20101018-6) (virtualization.info, 10/19)
》 Virtual Computer社とSophos社がセキュア・クライアントハイパーバイザーに関する2段階提携を締結(20101019-2) (virtualization.info, 10/20)
[引用] 両社は既に第2段階に取り組んでいる。エンドポイント・エージェントをハイパーバイザーレベルで移動させることで、アウトオブバンド・セキュリティスキャニング(業界ではこれを「内観」と呼ぶ)を提供する。これはまさにCitrix社がMcAfee社とともに準備を進めているものであり、VMware社がvShield EndpointとTrendMicro Deep Security 7.5ウイルス対策ソフトで既に提供中のものだ。》 Hyper-Vは期待を下回っているとするGartner社(20101020-1) (virtualization.info, 10/21)
Hyper-V つながり: Microsoft社がHyper-VホストからVMをデバッグするLive Debuggingツールをアップデート(20101019-4) (virtualization.info, 10/20)
》 木語:反日デモ、正体見えた=金子秀敏 (毎日, 10/21)
[引用] ネット画像で横断幕の文字が読める。第1列は「国恥莫能忘 民族当自強」(国恥忘るなかれ。民族自強せよ)関連:
国旗振り「日本を滅ぼせ」 若者ら横断幕掲げ行進 中国反日デモ (3) (産経 MSN, 10/17)。「中国四川省成都市中心部を行進する、反日デモの大学生ら=16日(ロイター)」写真あり。上記の文言を確認できる。
「琉球取り戻せ」 菅首相"沖縄独立"発言を中国ネット絶賛 (産経 MSN, 10/19)。これもロイター配信の写真なのだけど、撮影日はよくわからないなあ。
針の穴にラクダを通せ! (高知に未来はあるのか?, 10/19)
充実した二日間 (雑草魂, 10/18)
》 「ハッピーバースデートゥーユー」がアメリカの映画やテレビドラマであまり歌われていない理由 (gigazine, 10/19)。こんなのに著作権認めるんだ......。
》 アニメ映画1位に「ルパン三世」 キネマ旬報ベストテン (asahi.com, 10/21)。「ルパン三世 カリオストロの城」。うーん......。確かに傑作なのだけど、これを Best 1 にしちゃうのは正直どうよ。 「千年女優」が best 10 に入ってないのは明らかにおかしいし。 「評論家や文化人総勢67人」が駄目すぎる。 お前らちゃんと観てから語ってるのか?
カリ城については、「BSアニメ夜話 Vol.01 ルパン三世 カリオストロの城」が必読書籍。 読んでから語れ。いや、やっぱり傑作だけどな。
》 ×ばつ浦沢直樹の人気漫画「PLUTO」が実写映画化! アトム実写で登場は...? (cinemacafe / livedoor, 10/21)。関係者のコメントがめちゃ厳しい (特に長崎尚志氏)。変なモノつくったら絶対許さんからな! って感じ。
》 核の脅威を描いた話題作試写会で、前原外務大臣と河野太郎議員がガッチリ握手 (MOVIE Collection / livedoor, 10/21)。映画『カウントダウンZERO』。 前原大臣、試写は見ないまま退却。
》 NFLのスーパースターがアフガンで戦死した裏に (ベイエリア在住町山智浩アメリカ日記, 10/17)。映画『ティルマン・ストーリー』。
》 利用者逮捕に続き個人情報流出 岡崎市図書館、原因はまたも三菱電機系ソフト (日経 IT Pro, 10/21)。日経コンピュータ 2010年10月13日 の再録。
で、その後、さらに出ましたよ、と。
中野区の図書館システムに係る個人情報の流出等の経過と対応について (中野区, 10/20)
中野区立図書館様の個人情報流出に係る流出データファイルの全件完全調査について(お詫び) (MDIS, 10/20)
》 韓国国際サーキット最新状況をロータスレーシングらが報告、レースはいよいよ今週末開催 (gigazine, 10/20)。本来あるべき水準に達していないことは明らかですが、 いやほんと、何事もなく終了してくれることを祈ります。
[SA41738] FreeType "ft_var_readpackedpoints()" Buffer Overflow Vulnerability (secunia, 2010年10月20日)。 GIT リポジトリ上では 修正されている模様。 CVE-2010-3814 CVE-2010-3855
APSB10-23: Security update available for RoboHelp (Adobe, 2010年10月18日)。RoboHelp 7 / 8、 RoboHelp Server 7 / 8 に XSS 欠陥。修正ファイルが配布されているので適用すればよい。 CVE-2010-2885 CVE-2010-2886
APSB10-24: Security update available for InDesign (Adobe, 2010年10月18日)。 InDesign CS5 7.0.2 以前に欠陥。 DLL 読み込みねたの模様。 InDesign CS4 6.0.6 / CS5 7.0.3 に更新すればよい。 CVE-2010-3153
[Full-disclosure] [CORE-2010-0819] LibSMI smiGetNode Buffer Overflow When Long OID Is Given In Numerical Form (Core Security Technologies, 2010年10月21日)。 libsmi 0.4.8 に buffer overflow する欠陥。patch が添付されている。 CVE-2010-2891
Sleipnir 2.9.5 登場。「DLL ファイル読み込みに関する脆弱性も修正いたしました」そうです。
JVN からも出ました:
JVN#89272705: Sleipnir および Grani における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月22日)
JVN#50610528: Sleipnir および Grani における DLL 読み込みに関する脆弱性 (JVN, 2010年10月22日)
Grani にも同じ問題があり、Grani 4.4 で修正されています。
TeraPad 1.00 で修正されているそうです。
Oracle Java SE and Java for Business Critical Patch Update Advisory - October 2010
Mac OS X 10.6 用 Java も Java SE 6 Update 22 になりました。 Mac OS X 10.5 には Java SE 5.0 Update 26 が用意されました。 (Java SE 5.0 Update 26 は、ある意味、貴重なような......)
About the security content of Java for Mac OS X 10.6 Update 3 (Apple, 2010年10月20日)
About the security content of Java for Mac OS X 10.5 Update 8 (Apple, 2010年10月20日)
関連: In other Apple news... Java updates (Sophos, 2010年10月20日)
》 やじうまミニレビュー 諏訪田製作所「栗くり坊主II」 (家電 Watch, 10/20)。昨日死にそうになったばかりなので、すかさず発注した。
》 4KB セクター・ディスクで Linux を使用する: 実用的なアドバイス (IBM, 4/27)。4KB セクター時代ですから。 「適切なパーティションの位置合わせ」を行わないと、ファイルシステムによっては重大な性能劣化が発生するみたい。
関連: Western Digital、3TBのCaviar Greenを出荷開始 (PC Watch, 10/20)、 【WD】WD製HDD友の会 EARS専用 1セクタ目【AFT】 (2ch.net)
》 国際宇宙ステーション(ISS)のペイロード安全審査権限のNASAからの委譲について (JAXA, 10/20)。NASA と同等と認められた結果。
》 Reported Attack Site! - Security Tool's Latest Trick (F-Secure blog, 10/20)。目のつけどころがうまいなあ。 思わず「座布団1枚」と言いたくなってしまう。 こういう攻撃が行われるくらい、Firefox はふつうのブラウザなわけですね。
日本語版: 報告された攻撃サイト! - セキュリティツールの最新のトリック (エフセキュアブログ, 10/20)
》 Chromium,Ports Collectionに登場 (FreeBSD Daily Topics, 10/19)
》 世界通貨戦争、敗者は誰だ (日経ビジネス, 10/18)
Kaspersky USA がハクられて、Product Downloads > KIS > 2011 > English(USA/Canada) から、にせアンチウイルスサイトに飛ばされていた件。関連:
UPDATED: Kaspersky hit by cyber criminals? (IT PRO, 2010年10月19日)
Kaspersky download site hacked to spread fake AV (CounterMeasures.trendmicro.eu, 2010年10月19日)
Kaspersky USA Download Link = Attack Page???, Really?? (Kaspersky Lab Forum, 2010年10月18日)。KL Japan の IT Security Lab Chief Analyst だという Micha 氏の発言はこちらに。
つづきっぽい。
JVN#68536660: Archive Decoder における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月20日)
JVN#85599999: Explzh における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月20日)
Apache httpd (削除) 2.2.16 (削除ここまで) 2.2.17 登場。
Apache httpd 2.2.17 自体にはセキュリティ修正はないみたい。 (大幅な勘違い fix: 芥川さん感謝。Apache httpd 2.2.16 に関する記述をばっさり削除)
同梱されている APR-util が 1.3.10 となった。3 つの欠陥が修正されている。
CVE-2010-1623。apr_brigade_split_line() に対する DoS 攻撃が成功する。
CVE-2009-3560、 CVE-2009-3720。攻略 XML ドキュメントの処理において buffer overflow し、crash する欠陥。
これにあわせてか、Apache 2.0.64 と APR-util 0.9.19 も登場しています。 どちらにもセキュリティ修正が含まれています。
Apache HTTP Server 2.0.64 Released (Apache.org, 2010年10月19日)
Apache Portable Runtime 0.9.19 and APR Utility 0.9.19 Released (Apache.org, 2010年10月17日)
Google Chrome 7.0.517.41 登場。10 件の欠陥が修正されている。
出てます。
Firefox のセキュリティアップデート (3.6.11/3.5.14) を公開しました (Mozilla Japan ブログ, 2010年10月20日)
[引用] なお、Firefox 3.0.x のサポートは 3 月で終了しました ので、できる限り早く 3.6.11 へアップグレードしてください。8 月まで予定していた Firefox 3.5 のサポートは当面延長されていますが、いずれにしても近日中にサポートは終了しますので、早期に 3.6.11 へアップグレードされるよう強く推奨します。あら。3.5 系列、3.5.14 で終了じゃないんだ......。
Thunderbird のセキュリティアップデート (3.1.5/3.0.9) を公開しました (Mozilla Japan ブログ, 2010年10月20日)
SeaMonkey 2.0.9 も出ています。tvb19131 さん情報ありがとうございます。
》 日中「尖閣密約」あった スクープ 政治主導の落とし穴 (AERA, 10/17)、 Japan's secret foreign policy (foreignpolicy.com, 10/18)
》 最近のDNSSECの動向 (NetAgent, 10/19)
》 そのApacheのモジュールは本物ですか? (エフセキュアブログ, 10/19)。いよいよ file integrity check 必須時代に突入か。
》 借金862兆円の真実(仮) (NHK スペシャル, 11/7 放送予定)
》 講演予告3題 (ockeghem(徳丸浩)の日記, 10/18)。 というわけで、@random な勉強会、参加者募集中です〜。
》 FreeBSD 8.2-RELEASEと7.4-RELEASE,2011年1月末リリース予定 (FreeBSD Daily Topics, 10/18)。7 系列は 7.4 で終了の模様。
》 情報セキュリティ対策を自動化する標準仕様"SCAP"セミナー開催のお知らせ 〜CVSSハンズオン編〜 (IPA, 10/19)。2010年11月02日 / 11.22、東京都文京区、無料。11.02 の回の募集が開始されている。
》 情報セキュリティ安心相談窓口を開設 〜情報セキュリティ関連の相談に一元的に対応する窓口〜 (IPA, 10/19)。各種窓口を統合したそうです。
》 ウイルスバスター コーポレートエディション 10.5 Critical Patch 公開のお知らせ (トレンドマイクロ, 10/19)。ファイアウォール機能がメモリリークしていたそうで。
》 Javaの脆弱性を狙う攻撃が激増——Microsoftの報告 (ITmedia, 10/19)、 Have you checked the Java? (Microsoft Malware Protection Center, 10/18)
》 AKARI 1.0.1 をリリースしました。 (熊猫さくらのブログ, 10/18)
》 ベストセラーの「もしドラ(もし高校野球の女子マネージャーがドラッカーの『マネジメント』を読んだら)」アニメ化決定 (gigazine, 10/18)。単に映像にしちゃうと、なんということはないスポコン話になっちゃうような気が。番組の最後に、ミニコーナー「ドラッカー入門」とかほしいな。あるいは、物語の途中に随時解説が挿入される、とか。
よくよく見ると NHK じゃん......。
これの件:
JVN#88850043: Lhasa における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月12日)
JVN#18774708: Lhaplus における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月15日)
JVN#04665167: XacRett における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月15日)
こういう話だそうで:
[引用] 今回発覚した一連のアーカイブソフトの脆弱性は、カレントディレクトリに存在する「explorer.exe」を実行してしまうというものです。バイナリ・プランティングというとDLLファイルが対象となる場合が多いのですが、EXEファイルについても同様の問題が発生するので注意が必要とされます。関連:
WinExec (MSDN)
つづきっぽい。
JVN#68536660: Archive Decoder における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月20日)
JVN#85599999: Explzh における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月20日)
MS10-071 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2360131)
IE 6 / 7 / 8 に 10 個の欠陥。
オートコンプリートの情報漏えいの脆弱性 - CVE-2010-0808
Windows XP / Vista 上の IE 6 / 7 の欠陥。 「オートコンプリート機能が有効にされていた場合、フォーム フィールドに入力された内容をキャプチャする可能性があります」
HTML のサニタイズの脆弱性- CVE-2010-3243
IE 8 の toStaticHTML API の欠陥、XSS が発生。「ユーザーのセキュリティ コンテキストで Web サイトに対しスクリプトが実行される可能性があります」。Exploitability Index: 3
HTML のサニタイズの脆弱性- CVE-2010-3324
IE 8 の toStaticHTML API の欠陥、XSS が発生。「ユーザーのセキュリティ コンテキストで Web サイトに対しスクリプトが実行される可能性があります」。Exploitability Index: 3
CSS 特殊文字の情報漏えいの脆弱性 - CVE-2010-3325
IE 6 / 7 / 8 の欠陥。「Internet Explorer が CSS の特殊文字を正しく処理しないことが原因で、機密データが漏えいする可能性があります」。Exploitability Index: 3
初期化されていないメモリ破損の脆弱性 - CVE-2010-3326
IE 6 の欠陥。攻略 Web ページにより任意のコードが実行される。Exploitability Index: 1
アンカー要素の情報漏えいの脆弱性 - CVE-2010-3327
IE 6 / 7 / 8 の欠陥。「削除済みの情報が HTML コンテンツに残る可能性があります」
初期化されていないメモリ破損の脆弱性 - CVE-2010-3328
IE 6 / 7 / 8 の欠陥。攻略 Web ページにより任意のコードが実行される。Exploitability Index: 1
初期化されていないメモリ破損の脆弱性 - CVE-2010-3329
IE 7 / 8 の欠陥。HtmlDlgHelper Class COM オブジェクトに欠陥があり、攻略 Web ページにより任意のコードが実行される。Exploitability Index: 1
クロス ドメインの情報漏えいの脆弱性 - CVE-2010-3330
IE 6 / 7 / 8 の欠陥。「Internet Explorer のセキュリティ ゾーンまたは別のドメインからコンテンツを閲覧する可能性があります」。Exploitability Index: 3
初期化されていないメモリ破損の脆弱性 - CVE-2010-3331
IE 6 / 7 / 8 の欠陥。攻略 Word ドキュメントを開き、閉じると任意のコードが実行される。Exploitability Index: 1
Hotfix に含まれる非セキュリティな修正はこちら: KB 2360131
SharePoint Services 3.0、SharePoint Foundation 2010、 SharePoint Server 2007、Groove Server 2010、Office Web Apps に、情報漏洩に関する 2 つの欠陥。SafeHTML に欠陥があり、XSS が発生、local user のコンテキストで攻撃スクリプトが実行される。 CVE-2010-3243 (Exploitability Index: 3)、 CVE-2010-3324 (Exploitability Index: 3)
MS10-073 - 重要: Windows カーネルモード ドライバーの脆弱性により、特権が昇格される (981957)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。Windows カーネルモードドライバーに 3 つの欠陥があり、local user による権限上昇が可能。
Win32k の参照カウントの脆弱性 - CVE-2010-2549
Windows Vista / Server 2008 の欠陥。Exploitability Index: 3
Win32k のキーボードのレイアウトの脆弱性 - CVE-2010-2743
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の欠陥。Widnows XP は「重要」、その他は「注意」。この欠陥を利用するマルウェアが存在。Exploitability Index: 1
Win32k のウィンドウ クラスの脆弱性 - CVE-2010-2744
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の欠陥。Exploitability Index: 1
MS10-074 - 警告: Microsoft Foundation Classes の脆弱性により、リモートでコードが実行される (2387149)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 Microsoft Foundation Class (MFC) Library に欠陥があり、
MFC Library を利用しており、かつ
remote から制御できる情報に基づいてウィンドウタイトルを設定している
アプリケーションにおいて、任意のコードが実行される。 CVE-2010-3227。Exploitability Index: N/A
MS10-075 - 緊急: Windows Media Player ネットワーク共有サービスの脆弱性により、リモートでコードが実行される (2281679)
Windows Vista / 7 に欠陥。Windows Media Player ネットワーク共有サービスにおける RTSP パケットの処理に欠陥があり、攻略 RTSP パケットによって remote から任意のコードが実行される。 CVE-2010-3225。Exploitability Index: 1
MS10-076 - 緊急: Embedded OpenType フォント エンジンの脆弱性により、リモートでコードが実行される (982132)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。Embedded OpenType フォントエンジンに欠陥があり、攻略埋め込みフォントを含む Web ページによって任意のコードが実行される。 CVE-2010-1883。Exploitability Index: 1
MS10-077 - 緊急: .NET Framework の脆弱性により、リモートでコードが実行される (2160841)
.NET Framework 4.0 に欠陥。x64 / Itanium 上の JIT コンパイラに欠陥があり、任意のコードが実行される。具体的には、
攻略 XBAP (XAML Browser Application) を含む、攻略 Web ページを閲覧する
攻略 ASP.NET アプリケーションをアップロードされ、実行させられる
といった攻撃が考えられる。 CVE-2010-3228。Exploitability Index: 1
この欠陥は 32bit 環境には影響しない。
Hotfix 適用に関する既知の事項が KB 2160841 に示されている。
MS10-078 - 重要: OpenType フォント (OTF) 形式ドライバーの脆弱性により、特権が昇格される (2279986)
Windows XP / Server 2003 に欠陥。 OpenType フォント (OTF) 形式ドライバーに 2 つの欠陥があり、 local user による権限上昇が可能。 攻略 OpenType フォントを埋め込んだ Web ページを (IE ではなく) 3rd party 製 Web クライアントで開くと攻撃が成立する。
OpenType フォントの解析の脆弱性 - CVE-2010-2740。Exploitability Index: 1
OpenType フォントの検証の脆弱性 - CVE-2010-2741。Exploitability Index: 1
MS10-079 - 重要: Microsoft Word の脆弱性により、リモートでコードが実行される (2293194)
Word 2002 / 2003 / 2007 / 2010、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック、Word Viewer、Office Web Apps、Word Web App に 11 個の欠陥。大半の欠陥は Word 2002 と Office 2004 for Mac にしか影響しない。
Word の初期化されていないポインターの脆弱性 - CVE-2010-2747
Exploitability Index: 2
Word の境界チェックの脆弱性 - CVE-2010-2748
Exploitability Index: 2
Word のインデックスの脆弱性 - CVE-2010-2750
Exploitability Index: 2
Word のスタック オーバーフローの脆弱性 - CVE-2010-3214
Word 2002 / 2003 / 2007 / 2010、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック、Word Viewer、Office Web Apps、Word Web App の欠陥。Exploitability Index: 1
Word の戻り値の脆弱性 - CVE-2010-3215
Exploitability Index: 2
Word のブックマークの脆弱性 - CVE-2010-3216
Exploitability Index: 1
Word のポインターの脆弱性 - CVE-2010-3217
Word 2002 のみの欠陥。Exploitability Index: 2
Word のヒープ オーバーフローの脆弱性 - CVE-2010-3218
Word 2002 のみの欠陥。Exploitability Index: 2
Word のインデックスの解析の脆弱性 - CVE-2010-3219
Word 2002 のみの欠陥。Exploitability Index: 2
Word の解析の脆弱性 - CVE-2010-3220
Exploitability Index: 2
Word の解析の脆弱性 - CVE-2010-3221
Word 2002 / 2003、Office 2004 for Mac、Word Viewer の欠陥。Exploitability Index: 2
MS10-080 - 重要: Microsoft Excel の脆弱性により、リモートでコードが実行される (2293211)
Excel 2002 / 2003 / 2007、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックに 13 個の欠陥。
Excel のレコードの解析の整数オーバーフローの脆弱性 - CVE-2010-3230
Excel 2002 のみの欠陥。Exploitability Index: 2
Excel レコード解析のメモリ破損の脆弱性 - CVE-2010-3231
Excel 2002、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac の欠陥。Exploitability Index: 2
Excel のファイル形式の解析の脆弱性 -CVE-2010-3232
Excel 2003 / 2007、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックに欠陥。Excel 2002 にこの欠陥はない。Exploitability Index: 1
Lotus 1-2-3 のワークブックの解析の脆弱性 -CVE-2010-3233
Excel 2002 / 2003 の欠陥。Exploitability Index: 2
数式のサブシステムのメモリ破損の脆弱性 -CVE-2010-3234
Excel 2002 のみの欠陥。Exploitability Index: 1
数式の Biff のレコードの脆弱性 -CVE-2010-3235
Excel 2002 のみの欠陥。Exploitability Index: 1
境界外の配列の脆弱性 -CVE-2010-3236
Excel 2002、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac の欠陥。Exploitability Index: 1
セルの結合のレコード ポインターの脆弱性 -CVE-2010-3237
Excel 2002、Office 2004 for Mac の欠陥。Exploitability Index: 2
Negative Future Function の脆弱性 -CVE-2010-3238
Excel 2002 / 2003、Office 2004 for Mac の欠陥。Exploitability Index: 1
その他の境界外のレコードの解析の脆弱性 -CVE-2010-3239
Excel 2002 のみの欠陥。Exploitability Index: 1
リアル タイムのデータ配列のレコードの脆弱性 -CVE-2010-3240
Excel 2002 / 2007、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックの欠陥。Exploitability Index: 2
解析における境界外のメモリの書き込みの脆弱性 -CVE-2010-3241
Excel 2002、Office 2004 for Mac の欠陥。Exploitability Index: 2
非実態レコードの種類の解析の脆弱性 -CVE-2010-3242
Excel 2002、Office 2004 for Mac の欠陥。Exploitability Index: 2
MS10-081 - 重要: Windows コモン コントロール ライブラリの脆弱性により、リモートでコードが実行される (2296011)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。Comctl32.dll に欠陥があり、「サードパーティのスケーラブル ベクター グラフィックス (SVG) ビューアーから渡されたスケーラブル ベクター グラフィックスを呼び出」す場合に heap overflow する欠陥があり、攻略 Web ページを開くと任意のコードが実行される。 CVE-2010-2746。Exploitability Index: 1
MS10-082 - 重要: Windows Media Player の脆弱性により、リモートでコードが実行される (2378111)
Windows Media Player 9 〜 12 に欠陥があり、攻略 Web ページを開くと任意のコードが実行される。CVE-2010-2745。Exploitability Index: 1
MS10-083 - 重要: Windows シェルおよびワードパッドの COM の検証の脆弱性により、リモートでコードが実行される (2405882)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。「Windows シェルおよびワードパッドが COM オブジェクトのインスタンス化を検証する方法」に欠陥があり、攻略ファイルや攻略 Web ページを開くと任意のコードが実行される。CVE-2010-1263。Exploitability Index: 1
Hotfix の適用に際して、Windows Search 4.0 をインストールしてある環境では注意が必要な模様: KB 2405882
MS10-084 - 重要: Windows ローカル プロシージャー コールの脆弱性により、特権が昇格される (2360937)
Windows XP / Server 2003 の Remote Procedure Call Subsystem (RPCSS) に欠陥。 RPCSS に含まれる LRPC Server (Local RPC Server; RPC EndPoint Mapper) と、 LPC (Local Procedure Call) との間のポートメッセージの処理に buffer overrun する欠陥があり、local user による権限上昇 (LocalSystem 奪取) が可能。 CVE-2010-3222。Exploitability Index: 1
Widnows Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 「SChannel が SSL/TLS ハンドシェイク中のプロトコル要求を処理する前の論理状態の検査に失敗」するため、攻略 SSL/TLS ハンドシェイクを送信することによって DoS 攻撃 (サーバー応答停止) が可能。CVE-2010-3229。Exploitability Index: 3
MS10-086 - 警告: Windows 共有クラスター ディスクの脆弱性により、改ざんが起こる (2294255)
Windows Server 2008 R2 に欠陥。共有フェールオーバークラスターとして使用している場合に、「管理者がディスクを共有クラスターに追加すると、フェールオーバー クラスター マネージャーが、認証されていないユーザー (Everyone) にフェールオーバー クラスター ディスクの管理用共有への読み取り/書きこみ/削除アクセスを提供する可能性のある方法で共有クラスターディスクにアクセス許可を設定します」。 CVE-2010-3223
hotfix を適用した後で、既に設定されているフェールオーバークラスターディスクについては、 Everyone フルコントロールを Administrators フルコントロールに変更すること。
Windows / Mac / Linux 版の RealPlayer に新たな 7 種類の欠陥。 RealPlayer SP 1.1.5、Mac RealPlayer 12.0.0.1444、RealPlayer Enterprise 2.1.3、Linux 用 RealPlayer 11.0.2.1744 で修正されている。
》 MalwareURL を何気なく見てみる。 ふぅん yahoor7e.com/1mg/am.rar ねぇ......。 何気なく proxy server の log を grep してみる......
133.83.X.X - - [18/Oct/2010:10:33:37 +0900] "GET http://www.yahoor7e.com/1rb/ar1.rar HTTP/1.0" 401 1326
orz
》 はてなランド、開始から2週間で終了 (slashdot.jp, 10/17)
》 「東京都青少年条例」のパロディ演劇は「反社会的」か (保坂展人のどこどこ日記, 10/17)
》 Facebook faces new privacy problems: top apps leak your data (Sophos, 10/17)
》 日本へ:経済を立て直すには失敗した起業家を尊重せよ (techcrunch, 10/18)
》 ウェブサイト運営者向けセキュリティ対策セミナー開催のお知らせ 〜ウェブサイトを安全に運営するための勘どころ〜 (IPA, 10/18)。2010年11月01日 / 11.22、東京都文京区、無料。11.01 の回の募集が開始されている。
》 滋賀医科大学の管理するWebサイトで改ざん被害 (security.gs, 10/18)。これですかね: http://www.zone-h.org/mirror/id/11889943
》 犯罪集団がMicrosoftのシステムを乗っ取り、攻撃に利用——原因は人為ミス (ITmedia, 10/18)
》 もんじゅ終了。 インターネットで読み解く!No.215「もんじゅの炉心用装置落下、死んだも同然に」 (memo, 9/16) のつづき。 例のモノ、変形してひっかかっている模様。
原発ニュース:もんじゅ落下装置引き上げ作業、12日再開 /福井 (毎日, 10/8)。安全装置を一部無効にして、限界ギリギリまでイケるようにしてみた、ってことですかね。
もんじゅ、ふたの穴で詰まる? 燃料交換用機器つり上げ再中断 (中日, 10/14)。しかしそれでも失敗。
もんじゅ:停止長期化も 原子炉容器内落下の装置抜けず (毎日, 10/13)
もんじゅ:装置落下 トラブル対応に批判相次ぐ -- 県原子力環境安全管理協 /福井 (毎日, 10/15)
もんじゅ炉内装置落下 長期化恐れ/原因究明を 福井大・竹田所長に聞く (読売, 10/15)。「福井大国際原子力工学研究所の竹田敏一所長(原子炉物理学)」だそうで。
[引用] ——今後の対処法は簡単に壊せるようなものでもないだろうに。たとえそれができたとしても、落下したモノの回収、炉内の点検はさらに困難だろうし。高速増殖炉がいかに非実用的かを日々証明している事故だなあ。
福井版のみの紙面が多いみたいだなあ。 関連:
高速増殖原型炉もんじゅの炉内中継装置落下に係る状況について (日本原子力研究開発機構, 10/13)
高速増殖原型炉もんじゅの炉内中継装置落下に係る状況について(お知らせ) (日本原子力研究開発機構, 10/18)。検討中、が続いているようで。
もんじゅの落下物つり上げ不能事故が大きく報道されないのはなぜ?〜廃炉も視野の規模?! (情報流通促進計画 by ヤメ記者弁護士(ヤメ蚊), 10/18)
》 【速報】KDDIが通常の音声端末にも「Skype」を提供することを正式発表 (gigazine, 10/18)、【速報】KDDIの「禁断のアプリケーション」は「Skype」であることが判明、従来よりも低消費電力に (gigazine, 10/18)。ルビコンを渡れ。
》 Announcing Adobe Reader X (Adobe Reader blog, 10/18)。エックスじゃなくてテンなんだろうなあ。
[引用] Reader X will be available for download next month and we want to give you a preview of the valuable new features you can expect.来月には登場するそうで。
》 "Stranger Danger" - Introducing SmartScreen Application Reputation (IEBlog, 10/13)
》 「Warhammer Online(ウォーハンマー オンライン)」に潜むマルウェア感染の危険性 (McAfee Labs Blog, 10/18)
》 ヘリ墜落:6管が2カ月ぶりに航空業務再開 (毎日, 10/18)。MH796「あきづる」墜落事故でおなじみの第6管区海上保安本部広島航空基地が航空業務再開。
》 リアリティはないけど、脅威は確かにいるよ (@IT, 10/12)。SSH ブルートフォースねた。
》 「取り調べメモ」広島地検が廃棄 広島少年院暴行事件 (asahi.com, 10/18)
》 ラジヲマン 【復刊書籍】 (復刊ドットコム)、 ラジヲマン (ウィキペディア)。この世の中に、こんなすごいものがあったのか。
》 2011年春の花粉は2010年の2〜10倍、日本気象協会予測 (家電 Watch, 10/15)。ぐはぁ (吐血)。
》 複製権侵害容疑:映画流出目的でダウンロードの男を追送検 (毎日, 10/16)。警察は、「アップロード」するために「ダウンロード」したら複製権侵害、という理屈をこいた模様。
》 史上最悪のNY株価急落、引き金は投資会社の自動取引 (asahi.com, 10/2)
》 PHP開発者 Rasmus Lerdorf氏インタビュー 〜PHPは「利己的」な開発者の集まり (gihyo.jp, 9/29)、 gihyo.jpのRasmusさんインタビューの補足 (yohgaki's blog, 10/3)。
[引用] Rasmus:学術的に純粋であることと実用的であることはあまり関係がありません。何がしたいのか?何ができるのか?どんな問題を解決できるのか? こういった部分と常に向き合っているのがPHPの強みといえると思います。結果,問題を簡単に解決できるPHPが人々にとって魅力的に見えるのだと思います。私もPHPに対する多くの批判には同意できます。PHPには沢山の醜い部分がありますが,これらの醜い部分は「問題を解決」することを阻みません。関数のパラメータの順序が逆になっている場合がありますが,これらは致命的な障害ではありません。順序が同じでないことに腹が立つかも知れませんが,反対にすれば問題なく動作します。確かに美しくないですが,正しく動くことが重要なのです。それに,我々が解決しようとしている問題は美しい問題ではないですよね。美しくない問題を美しくないツールで解決することに何の問題もありません。美しいツールは美しい問題を解決するためには非常に効果的かも知れませんが,多くの場合は必要がありません。さまざまなルールを作り,フレームワークを使い,モデルやビューを使って解決できない問題があるのです。思い出した言葉: 本物のプログラマーはパスカルを使わない
》 ウィキリークスへの献金関与の企業、取引契約を解消 (CNN, 10/16)
》 汚染された泥の流出による健康への影響評価のためにハンガリーに専門家を派遣:WHO (国連情報誌SUNブログ対応版, 10/13)
》 ソマリアと合衆国は子どもの権利条約に批准を (国連情報誌SUNブログ対応版, 10/14)
[引用] 合衆国は、自国民の権利を少しでも脅かす条約や取り決めにはシビアに対応して、頑として批准しないという傾向がありますが、子どもの権利条約の何が気に入らないのでしょうね。》 Phishing URLs and XML Notifications (Google Online Security Blog, 10/14)
》 bit.lyも危ない? 「イスラム法に反した」vb.lyドメインが剥奪される (つやてざニュース, 10/7)、 リビアの管理下にある.lyドメインの利用は避けるべき? (YAMDAS現更新履歴, 10/12)、 NIC.LY statement regarding the decision to block vb.ly (NIC.LY)。 .ly はカダフィ大佐でおなじみのリビア。 ccTLD にはこういうリスクがあるわけです。 mcaf.ee はエストニア、goo.gl はグリーンランド。
》 フランスの高校生や大学生はなぜ政治・社会問題に敏感に反応するのか? (JANJAN blog, 10/13)
》 瀬戸内海原発建設を阻止せよ 参院議員会館での集会参加報告 (JANJAN blog, 10/14)
[引用] 今月中旬から、名古屋で日本を議長国とする生物多様性会議(COP10)が開催されているが、日本が議長国としてふさわしい国であるのかは、この田ノ浦の原発建設計画をみる限り疑問である。折しもCOP10に向けて、環境省が国立・国定公園を見直したところ、同海域の指定地域を拡張すべきと発表した。そんな国立公園のど真ん中に希少な生物の生息する海を埋め立て原発を建設しようというのだから、実に嘆かわしい事態である。関連: cop10おむすび村開村。祝島(上関)原発からのSOSに答えて人を送り出す。 (JANJAN blog, 10/15)
》 (SANS, 10/16)。 L2 への攻撃の解説と、 検出ツールを自分でつくっちゃおう話。 使うのは Python と Scapy。
》 2010年ノーベル平和賞受賞者・劉暁波さんを解放させよう!〜署名活動にご協力を! (情報流通促進計画 ヤメ記者弁護士(ヤメ蚊), 10/8)、 【東京の人が少ないぞ〜】2010年ノーベル平和賞受賞者・劉暁波さんを解放させるための署名活動流通中! (情報流通促進計画 ヤメ記者弁護士(ヤメ蚊), 10/12)。 署名ページ: Free Liu Xiaobo (gopetition.com)
》 小沢起訴は、検審が「国民の責任において、公正な刑事裁判の法廷で黒白をつけようとする制度」だから (情報流通促進計画 ヤメ記者弁護士(ヤメ蚊), 10/5)
[引用] しかし、手続き論を無視するならば(もちろん、無視してはならないのは言うまでもない)、今回検察会が示した方向のうち、1に関する判断は支持したい。》 スパイスイート「Phone Creeper v0.95」 (エフセキュアブログ, 10/15)
》 Adobe Flash, The Spy in Your Computer ? Part 3 (ESET Threat blog, 10/15)。Local Shared Object (いわゆる Flash クッキー) の話。
》 国家公務員の自殺者数を省庁別に知りたい (回答する記者団, 10/15)
》 くら寿司「報道の横暴」と大反論 TBS「私どもの見解とは異なる」 (J-CAST ニュース, 10/14)、 TBS「NEWS23クロス」での放映について (くらコーポレーション, 10/13)。
》 派遣法改正大詰め 経団連よ労働者の惨状を聞け (田中龍作ジャーナル, 10/15)、 湯浅誠・派遣村々長 「貧困は広がっている」 (田中龍作ジャーナル, 10/16)
》 相次ぐホームページからの個人情報流出〜7月以降、8件が明らかに (so-net セキュリティ通信, 10/15)
》 迷惑メール:出会い系業者 BEAR を消費者庁が行政処分、特定商取引法違反で (so-net セキュリティ通信, 10/15)
》 AKARI プロジェクト始めました。 (熊猫さくらのブログ, 10/16)、 AKARI という名前の由来について (熊猫さくらのブログ, 10/16)。うわぁ、水無灯里さんだったのか。
》 布川事件:虚偽自白強要された...桜井さんら訴え 再審公判 (毎日, 10/16)
》 パネルディスカッション「岡崎市立図書館事件を我々はどう捉えるべきか?」 (読書ノートのつもり?なつれづれ日記, 10/15)。「会場にいたJPCERTの方」は、 この tweet によると歌代さんだった模様。
》 「割り算」どころか「足し算」も間違える検察審査会事務局のテキトーさ。 (フリーランスライター畠山理仁のブログ, 10/14)
》 17年もの歳月を経て完成した超大作、戦艦ヴィクトリーのあまりにも精密な彫刻 (gigazine, 10/15)。HMS Victory の「彫刻」。
[引用] 本物のヴィクトリーから取られた1つの木材から彫り出されたあまりにも緻密な彫刻 (中略) ヴィクトリーの低い位置にあった砲列甲板から取られたカシは、まるでコンクリートのように非常に堅く、この彫刻を完成させるにあたって、彼自身が想像したよりも長い時間を要したとBrennan氏は述べています。我もチャレンジしたい! という方は、 まずは The Raw Material (Victory Oak Collection) を入手しましょう、ということになるのかな。
》 検索だけじゃない!Googleが世間に知らしめたい3つの重要な数字 (techcrunch, 10/14)
》 FSF、フリーソフトウェアを採用するハードウェアの認定プログラムをスタート (sourceforge.jp, 10/15)
》 第6回 IPA 情報セキュリティ標語・ポスターコンクール 受賞作品決定 〜 大賞として、標語部門は「パスワード ぼくだけ知ってる たからもの」、 ポスター部門は「あなたの情報 ネットの海に流出中」を選定 〜 (IPA, 10/15)
》 凶悪ウイルス「Zbot」が猛威、ツールキットで簡単作成 マイクロソフトが注意喚起、無料の駆除ツールで新たに対応 (日経 IT Pro, 10/14)。ZeuS / Zbot ねた。
》 PacSecに協賛しました! (エフセキュアブログ, 10/15)。楽天が PacSec 2010 に協賛したという話。確かに、Supporter Sponsors の欄に楽天が。 個人的には、これが興味深い。
[引用] "Malware migrating to Gaming Consoles : Embedded devices, an AntiVirus-free safe hideout for Malware" Dong-Joo Ha, AhnLab + Ki-Chan Ahn, Hanyang Univ》 KDDIがスマートフォンに「禁断のアプリケーション」として「Skype(スカイプ)」を搭載か、NTTドコモも検討 (gigazine, 10/15)
》 ウイルス感染PCのAdobe Readerバージョンを調査 (日経 IT Pro, 10/14)。ヤラレ PC を調べてみたら Adobe Reader 7 がとっても多かった、という話。 とっとと Adobe Reader 9.4 にアップグレードしませう。今なら一発でインストールできるし。(Adobe Reader 9.3.4 だと、けっこう大変だった。正直、「だめだこりゃ」と思った)
...... noritama.rice さんから (情報ありがとうございます)
さっそく掲題についてですが,下記Anonymous FTPサイトからフルパッケージをダウンロードすることができます.
更新日時によれば,2010年08月14日にはアップロードされていたようです.
ftp://ftp.adobe.com/pub/adobe/reader/win/9.x/9.3.4/jpn
今回に限らず,Adobeのウェブサイトからではリンクが貼られていないものの, モノ自体は既にアップロードされているといったことがよくあります.
おぉ、そんな場所があったとは。さっそくアクセスしてみた。
lftp ftp.adobe.com:/pub/adobe/reader/win/9.x> dir total 48 drwxrwxr-x 35 filelib 62 4096 Nov 3 2008 9.0 drwxrwxr-x 36 filelib 62 4096 Jun 5 2009 9.1 drwxrwxr-x 3 filelib 62 4096 May 12 2009 9.1.1 drwxrwxr-x 3 filelib 62 4096 Jun 9 2009 9.1.2 drwxrwxr-x 3 filelib 62 4096 Jul 31 2009 9.1.3 drwxrwxr-x 37 filelib 62 4096 Jan 12 2010 9.2 drwxrwxr-x 37 filelib 62 4096 Feb 23 2010 9.3 drwxrwxr-x 3 filelib 62 4096 Feb 16 2010 9.3.1 drwxrwxr-x 6 filelib 62 4096 Sep 16 21:26 9.3.2 drwxrwxr-x 11 filelib 62 4096 Sep 16 21:26 9.3.3 drwxrwxr-x 8 filelib 62 4096 Aug 31 15:11 9.3.4 drwxrwxr-x 34 filelib 62 4096 Oct 5 16:02 9.4.0 lftp ftp.adobe.com:/pub/adobe/reader/win/9.x> dir 9.3.4/jpn total 50436 -rwxrwxr-x 1 filelib 62 51539824 Aug 14 13:12 AdbeRdr934_ja_JP.exe
おぉ、全部フルバージョンかな。
》 非正規切捨てのKDDI、「国際オペレータ通話」廃止 (田中龍作ジャーナル, 10/14)
[引用] 国際オペレータ通話の廃止で困るのは、前段で述べたように海外で緊急時が発生した場合だ——》 郷原弁護士記者レク 2010年10月14日 (Web Iwakami, 10/15)
[引用] (郷原弁護士の論旨)》 カンブリア宮殿で岡田武史が言い放った22の名言 (ajickr blog, 10/15)
》 シンポジウム「特捜捜査の闇と取調べの可視化・証拠開示」 (日弁連)。2010年10月19日、東京都千代田区、無料。弘中弁護士や江川紹子さんの発表もあるよ。
》 弊社図書館システムにおける個人情報の流出について(お詫び) (三菱電機インフォメーションシステムズ, 10/15)
発見者であるたりきさんのつぶやき:
「その後の調査により、更に中野区立図書館様(2名分)の個人情報が」 お前らが調査したわけじゃねえだろ( ́ー`)y-~~~ #librahack (@Vipper_The_NEET たりき, 10/15)
「ダウンロードされたデータの確認は全て完了」確認作業をした覚えは無いけど( ́ー`)y-~~~ #librahack (@Vipper_The_NEET たりき, 10/15)
「ダウンロードされたデータの確認は全て完了しており、今回判明したもの以外に混入した個人情報はございません。」おかしいな,たった今えびのの38件を発見したんだけど( ́ー`)y-~~~ #librahack (@Vipper_The_NEET たりき, 10/15)
公平に朝日新聞さんと中日新聞さんにリークするとしよう。中野区の二件は中日新聞さんに情報を渡すのが遅れてしまったから。 #librahack (@Vipper_The_NEET たりき, 10/15)
それにしてもなあ。三菱電機インフォメーションシステムズって、「三菱電機」というブランドに日々泥を塗り続けていることに気がついているんだろうか。 (typo fixed: @zusanzusan 杜撰な研究者さん感謝)
関連:
本日の名古屋本社版第2社会面に記事が掲載されています。一応特ダネなんですが、扱いとしてはベタになりました。 @h_okumura: 今朝の朝日新聞名古屋版の記事:岡崎市はMDISとの契約打ち切り #librahack (@kanda_daisuke 神田 大介, 10/15)
図書館システム 業者の契約解除 (asahi.com, 10/15)
http://mytown.asahi.com/aichi/news.php?k_id=24000001010150007 この対応は...岡崎市図書館は個人情報に関する責任の所在をどう考えておられるのか? #librahack (@tetsutalow 上原 哲太郎, 10/15)
#librahack氏の名誉回復について市・図書館・MDISの関心が薄すぎる。公務員と企業の言い訳のために個人の自由を侵害してそれっきりか。個人情報管理やソフトウェア品質の問題は、それに比べれば瑣末な問題ではないか。 (@nodeworks KINOSHITA, Kouji, 10/15)
中野区立図書館も情報流出 (asahi.com, 10/15)
中野区の図書館システムに係る個人情報の流出について (中野区立図書館, 10/15)
》 携帯サイト閲覧時の重要なお知らせ (ソフトバンクモバイル, 10/15)
[引用] 暗号化通信の際に弊社ネットワーク機器にて一旦通信を中継しておりましたが、中継処理をしない方式に変更いたします。本ネットワークの仕様変更に伴いまして、インターネットをご利用いただく際に、影響が出る場合がありますので、以下のご対応をお願いいたします。2011.02 以降、secure.softbank.ne.jp は介在しなくなる模様。
》 元米政府高官、安全なインターネット・プロトコル開発への投資を促す セキュリティ・テクノロジーに対する研究開発投資は急務 (ComputerWorld.jp, 10/14)。リチャード・A・クラーク氏、RSA Conference にて。
》 Creative Commons、著作権期限が切れたパブリックドメイン向けの「Public Domain Mark」をローンチ (sourceforge.jp, 10/13)
》 Panda Cloud Antivirusがウォールストリートジャーナル誌の技術革新アワード最終審査で次点に (Panda Security Japan オフィシャルブログ, 10/14)。 the Innovation Awards (WSJ.com) だそうで。 Network Security 部門、選ばれたのは Symantec、次点は Panda と Symplified Inc. Network/Internet Technologies/Broadband 部門で Microsoft の Pivot が次点に、 Technology Design 部門で Panasonic Avionics Corp. が次点になっているなあ。
》 "Stop 0x000000D1" error after you enable an iSCSI Initiator data digest setting that uses CRC or that uses checksum in Windows Server 2008 R2 or in Windows 7 (Microsoft KB 982674)。Hotfix あります。
》 A connection to a load-balancing Exchange mailbox from an Outlook client fails on a computer that is running Windows Vista, Windows Server 2008, Windows 7, or Windows Server 2008 R2 (Microsoft KB 2408168)。Hotfix あります。client 側の問題ということなのかな。
》 You cannot open a scanned TIFF file by using a standard third-party imaging application in Windows 7 or in Windows Server 2008 R2 (Microsoft KB 2406635)。Hotfix あります。
》 第5回東北情報セキュリティ勉強会。 2010年11月13日、宮城県仙台市、一般 1000 円 (学生無料)。
いよいよはじまるよ!
[引用] JPRSでは、JPドメイン名サービスへのDNSSECの導入に先立ち、2010年10月17日よりJPゾーンにおけるDNSSEC署名(以下、単に「DNSSEC署名」とします)を開始します。 [引用] バージョン9.3以降のBIND 9やUnboundなど、キャッシュDNSサーバーからのDNS問い合わせにおいてDOビットが有効に設定されている場合は、今回のDNSSEC署名によってキャッシュDNSサーバー側でDNSSECによる名前検証を有効に設定している/いないにかかわらず、JP DNSからの応答にDNSSEC関連の情報が追加されるようになります。現状で既にかつかつだと、ちょっとあれかもしれません。注意しませう。
消したはずが、実は消えてないそうで。
[引用] 左の写真のJecqui Chengさん。2009年5月にこの写真をDeleteしました。が、実は約16ヵ月たった今現在もfacebookのサーバ上に写真は残っています。Deleteボタンを押してその場ですぐ消えたのは、この写真へのリンクのみ。写真自体は残っているので、そのリンクをすでに知っている人、なんらかの方法で教えてもらった人は、この写真を簡単に見ることができます。昔聞いた似たような話: マイマップを削除しても「すぐ」には消えない (落伍弟子のブログ, 2008年11月07日)
Oracle 方面、いろいろ大量に出ています。
Vulnerability in the PDF distiller of the BlackBerry Attachment Service for the BlackBerry Enterprise Server (BlackBerry, 2010年10月13日)。patch あります。
JVN#36921800: K2Editor における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月15日)。K2Editor 1.5.9 で修正されています。 CVE-2010-3156
JVN#04665167: XacRett における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月15日)。バージョン #50 で修正されています。 CVE-2010-3157
JVNVU#989719: SAP BusinessObjects Axis2 におけるデフォルトパスワードの問題 (JVN, 2010年10月14日)。patch を適用するか、あるいは axis2.xml を手動で変更する。 CVE-2010-0219
JVNVU#538191: Ghostscript にサービス運用妨害 (DoS) の脆弱性 (JVN, 2010年10月13日)。 [gs-commits] rev 10590 - trunk/gs/base で修正されているそうで。 CVE-2010-4054
JVNVU#924300: Oracle WebLogic Node Manager に脆弱性 (JVN, 2010年10月13日)。patch はまだない。
JVN#18774708: Lhaplus における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月15日)。あわせて Lhaplus 1.58 で修正されている。最新版は Lhaplus 1.59。
》 「子宮頸がんワクチン」への疑問:重大な副作用 (ひらがな5文字の「はたともこ」ブログ, 5/16)
[引用] 英国の14歳の少女が接種後死亡した事例などを受け、既に承認していた同じ効果のワクチン「ガーダシル」よりも遅れること約3年、米国でも昨年日本とほぼ同時期に承認された「サーバリックス」ですが、効能効果を読めば読むほど、日本で推奨され集団接種される意味が私にはさっぱりわかりません。新医薬品の「接種上の注意」の解説 サーバリックス (グラクソ・スミスクライン) に、確かにそう書かれている。
子宮がん (癌研有明病院) より:
[引用] HPV6型、11型が見つかる病変はがん化しないということはほぼ間違いがないと考えられています。そういうものなんだ......。
[引用] HPV18型は欧米での研究から高危険型に分類されています。そういうものなんだ......。サーバリックスが予防効果を持つのは、こういうものに対してのみだと。
[引用] HPV52型、58型は欧米の報告ではがんから見つかることが少ないとされ、あまり注目されていません。木語:政治介入フロム米=金子秀敏 (毎日, 10/7)
[引用] 前原誠司外相は「日本の国内法に基づいて粛々と対応する」と強腰だった。船長の拘置期限の29日まで身柄拘束が続くとみられていた。ワンワン!
木語:どこが外交敗北だ=金子秀敏 (毎日, 10/14)
[引用] それでは、外国の圧力を受け入れたことが敗北なのか。前回本欄で紹介したように、船長釈放を求めたのは中国だけではない。米国もクリントン国務長官が日米外相会談で「事件の即時解決」を求めた。前原誠司外相は「まもなく解決」と答え、その翌日、地検が船長釈放を発表した。》 検察審の平均年齢を再訂正、34.55歳に 小沢氏の起訴議決 (日経, 10/13)。 もうわけがわかりません。
[引用] 小沢一郎・民主党元幹事長の資金管理団体「陸山会」を巡る政治資金規正法違反事件で、東京第5検察審査会は13日、小沢氏を起訴議決した9月14日時点の審査員11人の平均年齢を「33.91歳」から「34.55歳」と再訂正した。訂正前は審査員就任時の年齢で計算していた。結局、1回目の議決と2回目の議決の審査員平均年齢は、本当に、全く同じ「34.55歳」なのだそうだ。ただでさえ日本国民の平均年齢を大幅に下回っている上に、構成員を変更したのに平均年齢が全く同じだなんて......。あり得ねえ......。
》 映画「007」シリーズを彷彿......最新「盗撮」機器事情 (ITmedia, 10/13)。ラジオライフの広告とかにふつうに出てるよね。
Facebook、ワンタイムパスワードを導入 (ITmedia, 10/13)
Is Facebook's one-time password system safe? (Sophos, 10/13)
Is it time for Facebook to learn a security lesson from Apple? (Sophos, 10/12)
Facebookがユーザによるコントロールを増強? (エフセキュアブログ, 10/7)。10/13 付で追記されている。
》 「モバゲー監視の状況はいかに」、総務省 青少年WGでDeNAが説明 (日経 IT Pro, 10/12)。 青少年インターネットWG (第1回会合) (総務省, 9/21) の件。
》 Announcing Microsoft Security Intelligence Report version 9 (Microsoft Malware Protection Center, 10/13)。サマリー部分は日本語化されてます。
》 郵便不正事件「冤罪報道」は氷山の一角 「無罪」が確定してもベタ記事扱いで終わった「ヤミ金資金洗浄事件」外銀元行員の報道被害 (牧野洋の「ジャーナリズムは死んだか」, 10/14)
》 検察3つの"公然の秘密" -- 「ストーリー捜査」 「虚偽の自白」「リーク」が、ついに白日の下へ (週刊・上杉隆, 10/14)。しかも被告となった検察官によって。
》 関連記事インデックス 2011年版セキュリティソフトまとめ (Internet Watch)。MSE も入れるべきだよね。
》 Yahoo! Japanのアクセス障害、原因はロードバランサーの物理障害 (CNET, 10/14)
》 マルコム・グラッドウェルの苦言と岡田斗司夫の予言 (WIRED VISION, 10/14)。Twitter / Facebook な話。わぉ、mohri さん登場。
》 国公私立大学図書館が団結、電子ジャーナル購入で大規模コンソーシアム設立 (Internet Watch, 10/13)。「寡占市場を背景に毎年値上げする大手出版社に統一交渉で対抗 」
》 「Unicode 6.0」が策定、絵文字が国際標準に (Internet Watch, 10/14)。こんな時代がやってくるとは......。予想外です。
》 33人全員が生還 チリ落盤事故の救出を終了 (asahi.com, 10/14)。まずはめでたい。
Java SE 6 Update 22 登場。29 種類の欠陥が修正されている。 ダウンロード
既に Java SE 5.0 は End of Servie Life (EOSL) を迎えているので注意。 for Business Support についてはまだまだ続いているようですが。 JavaSE and Java for Business Support Roadmap (Oracle)。 Java SE 6 も来年末には EOSL となるようです。
Mac OS X 10.6 用 Java も Java SE 6 Update 22 になりました。 Mac OS X 10.5 には Java SE 5.0 Update 26 が用意されました。 (Java SE 5.0 Update 26 は、ある意味、貴重なような......)
About the security content of Java for Mac OS X 10.6 Update 3 (Apple, 2010年10月20日)
About the security content of Java for Mac OS X 10.5 Update 8 (Apple, 2010年10月20日)
関連: In other Apple news... Java updates (Sophos, 2010年10月20日)
》 レッドブルのベッテル、日本GPでフライング疑惑が浮上 (TopNews / Yahoo, 10/13)
》 韓国 GP に GO サイン、しかしひどいことになりそうな予感
韓国インターナショナルサーキットをFIAが承認 (ESPN, 10/12)
[引用] 月曜日に撮影された画像を見ると、スタート&フィニッシュラインのストレートにかかる橋がまだ建設中なのが分かる。一方、サーキットへの主要アクセス路は未舗装で、会場を囲うフェンスも完成していない。査察を終えたホワイティング、"満足" (ESPN, 10/12)。 掲載されている空撮写真は、どうひいき目に見ても「絶賛工事中」。
》 ミツバチ大量死の原因、解明か (slashdot.jp, 10/13)
》 9月のサイト改ざん (so-net セキュリティ通信, 10/7)
9月のサイト改ざん(1):広告配信サーバー改ざん、配信先で偽セキュリティソフト被害 (so-net セキュリティ通信, 10/7)
9月のサイト改ざん(2):Adobe Readerのゼロデイ攻撃を仕掛ける改ざんも出現 (so-net セキュリティ通信, 10/7)
9月のサイト改ざん(3):中国からのハッキングがマスコミで話題に (so-net セキュリティ通信, 10/7)
9月のサイト改ざん(4):訪問の心あたりはありませんか〜新告知サイト10件 (so-net セキュリティ通信, 10/7)。薬事日報も VASCO ねた。
》 スパイウェアパターンファイル 1.105.00 における誤警告情報 (トレンドマイクロ, 10/12)
》 ServerProtect 5.8においてスパイウェアパターンファイルの配信ができない現象について (トレンドマイクロ, 10/12)。ServerProtect 側の問題。10/20 以降に修正 patch が公開される予定。
》 視覚障害者のための「歩行ナビ」AndroidアプリケーションをGoogleが提供開始 (techcrunch, 10/12)
》 カーネルレベル暗号ファイルシステムpefs,開発者マージの意思提案 (FreeBSD Daily Topics, 10/12)
》 New Tool: SDL Regex Fuzzer (Microsoft SDL Blog, 10/12)
》 iPhone 4の故障率がiPhone 3GSを大幅に上回る、特にディスプレイが割れやすいことが明らかに (gigazine, 10/13)
》 不正アクセスによるカード情報流出相次ぐ〜家具通販サイトからも1063件 (so-net セキュリティ通信, 10/12)
》 [P2P]情報流出:神奈川県警の会議録/不動産管理会社の顧客情報約20万件 (so-net セキュリティ通信, 10/12)
》 事実は小説よりも奇なり ── 検察審査会審査員の平均年齢をめぐる謎の数々 (The Journal, 10/13)
[引用] カンの鋭い読者は、すでにお気づきのことだろう。そう、この「34.27歳」という平均年齢は、小沢氏に1回目の起訴相当を下した審査員の平均年齢「34.27歳」とまったく同じなのである。なお、検察審査会は、1回目と2回目の議決で審査員の全員を入れかえたことを発表している。いったい、この確率は何パーセントなのか、もはや計算する気もおこらないほどだ。♪謎が謎よぶ検察審査会〜 (字あまり)。 パイプをくわえた探偵の登場を待つしかないのか。 (元ねた)
つづき: RT @haughtyfool: @j_the_journal 数え忘れた人の年齢は37歳。計算が合わないので、検察審査会事務局に確認したところ、審査員全員の年齢を再度確認し、議決時年齢に算出し直したとのことです。 (@j_the_journal THE-JOURNAL編集部, 10/13)
》 『朝日』の「天声人語」による小沢批判は言語道断 (カナダde日本語, 10/7)、朝日新聞の「天声人語」は、「推定無罪の原則」を軽視し、平気で「基本的人権の論理」を侵している (板垣 英憲(いたがき えいけん)「マスコミに出ない政治経済の裏話」, 10/6)。うわ、これは本当にひどい。
本日付のアップデートによって対応されたようです: ウイルスバスター2010に存在する脆弱性に対する修正プログラムの提供について (トレンドマイクロ, 2010年10月13日)、 ウイルスバスター2010に存在する脆弱性に対する修正プログラムの提供について (memo, 2010年10月13日)。
PLC 感染の検出 (シマンテック, 2010年10月12日)
詳細不明だが、ウイルスバスター 2010 に「ネットワーク経由で特定の命令を実行される脆弱性」が発見されたそうで。本日 (2010年10月13日) 付でアップデータが公開されている。アップデート機能を使って自動的に更新される。
ウイルスバスター 2009 や 2011 クラウドにはこの欠陥はないみたい。
......福光さんから (情報ありがとうございます)
ZDI-10-165: Trend Micro Internet Security Pro 2010 ActiveX extSetOwner Remote Code Execution Vulnerability
http://www.st.ryukoku.ac.jp/~kjm/security/memo/2010/08.html#20100827_Trend
のことのようです。
17:00頃アップデートしたところ
UfPBCtrl.dllのバージョンが
17.50.0.1647から17.50.0.1697
に上がりました。
Opera 10.63 出ました。複数のセキュリティ修正が含まれています。
出ました。MS10-071 〜 MS10-086。先月の MS10-063 にひきつづき、今月も OpenType ねたがあるのだなあ。(あとで追記する予定)
関連:
Note on Bulletin Severity for MS10-081 and MS10-074 (Microsoft Security Research & Defense, 2010年10月12日)
MS10-086: Disk Clustering Vulnerability (Microsoft Security Research & Defense, 2010年10月12日)
October 2010 Microsoft Black Tuesday Summary (SANS ISC, 2010年10月12日)。clients は MS10-082, MS10-083 が patch now、 servers は MS10-077 が patch now。
MS10-071 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (2360131)
IE 6 / 7 / 8 に 10 個の欠陥。
オートコンプリートの情報漏えいの脆弱性 - CVE-2010-0808
Windows XP / Vista 上の IE 6 / 7 の欠陥。 「オートコンプリート機能が有効にされていた場合、フォーム フィールドに入力された内容をキャプチャする可能性があります」
HTML のサニタイズの脆弱性- CVE-2010-3243
IE 8 の toStaticHTML API の欠陥、XSS が発生。「ユーザーのセキュリティ コンテキストで Web サイトに対しスクリプトが実行される可能性があります」。Exploitability Index: 3
HTML のサニタイズの脆弱性- CVE-2010-3324
IE 8 の toStaticHTML API の欠陥、XSS が発生。「ユーザーのセキュリティ コンテキストで Web サイトに対しスクリプトが実行される可能性があります」。Exploitability Index: 3
CSS 特殊文字の情報漏えいの脆弱性 - CVE-2010-3325
IE 6 / 7 / 8 の欠陥。「Internet Explorer が CSS の特殊文字を正しく処理しないことが原因で、機密データが漏えいする可能性があります」。Exploitability Index: 3
初期化されていないメモリ破損の脆弱性 - CVE-2010-3326
IE 6 の欠陥。攻略 Web ページにより任意のコードが実行される。Exploitability Index: 1
アンカー要素の情報漏えいの脆弱性 - CVE-2010-3327
IE 6 / 7 / 8 の欠陥。「削除済みの情報が HTML コンテンツに残る可能性があります」
初期化されていないメモリ破損の脆弱性 - CVE-2010-3328
IE 6 / 7 / 8 の欠陥。攻略 Web ページにより任意のコードが実行される。Exploitability Index: 1
初期化されていないメモリ破損の脆弱性 - CVE-2010-3329
IE 7 / 8 の欠陥。HtmlDlgHelper Class COM オブジェクトに欠陥があり、攻略 Web ページにより任意のコードが実行される。Exploitability Index: 1
クロス ドメインの情報漏えいの脆弱性 - CVE-2010-3330
IE 6 / 7 / 8 の欠陥。「Internet Explorer のセキュリティ ゾーンまたは別のドメインからコンテンツを閲覧する可能性があります」。Exploitability Index: 3
初期化されていないメモリ破損の脆弱性 - CVE-2010-3331
IE 6 / 7 / 8 の欠陥。攻略 Word ドキュメントを開き、閉じると任意のコードが実行される。Exploitability Index: 1
Hotfix に含まれる非セキュリティな修正はこちら: KB 2360131
SharePoint Services 3.0、SharePoint Foundation 2010、 SharePoint Server 2007、Groove Server 2010、Office Web Apps に、情報漏洩に関する 2 つの欠陥。SafeHTML に欠陥があり、XSS が発生、local user のコンテキストで攻撃スクリプトが実行される。 CVE-2010-3243 (Exploitability Index: 3)、 CVE-2010-3324 (Exploitability Index: 3)
MS10-073 - 重要: Windows カーネルモード ドライバーの脆弱性により、特権が昇格される (981957)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。Windows カーネルモードドライバーに 3 つの欠陥があり、local user による権限上昇が可能。
Win32k の参照カウントの脆弱性 - CVE-2010-2549
Windows Vista / Server 2008 の欠陥。Exploitability Index: 3
Win32k のキーボードのレイアウトの脆弱性 - CVE-2010-2743
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の欠陥。Widnows XP は「重要」、その他は「注意」。この欠陥を利用するマルウェアが存在。Exploitability Index: 1
Win32k のウィンドウ クラスの脆弱性 - CVE-2010-2744
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 の欠陥。Exploitability Index: 1
MS10-074 - 警告: Microsoft Foundation Classes の脆弱性により、リモートでコードが実行される (2387149)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 Microsoft Foundation Class (MFC) Library に欠陥があり、
MFC Library を利用しており、かつ
remote から制御できる情報に基づいてウィンドウタイトルを設定している
アプリケーションにおいて、任意のコードが実行される。 CVE-2010-3227。Exploitability Index: N/A
MS10-074、脆弱なアプリの実例: PowerZip 7.21 (Build 4010) Stack Buffer Overflow (exploit-db.com)、 CVE-2010-3227
MS10-075 - 緊急: Windows Media Player ネットワーク共有サービスの脆弱性により、リモートでコードが実行される (2281679)
Windows Vista / 7 に欠陥。Windows Media Player ネットワーク共有サービスにおける RTSP パケットの処理に欠陥があり、攻略 RTSP パケットによって remote から任意のコードが実行される。 CVE-2010-3225。Exploitability Index: 1
MS10-076 - 緊急: Embedded OpenType フォント エンジンの脆弱性により、リモートでコードが実行される (982132)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。Embedded OpenType フォントエンジンに欠陥があり、攻略埋め込みフォントを含む Web ページによって任意のコードが実行される。 CVE-2010-1883。Exploitability Index: 1
MS10-077 - 緊急: .NET Framework の脆弱性により、リモートでコードが実行される (2160841)
.NET Framework 4.0 に欠陥。x64 / Itanium 上の JIT コンパイラに欠陥があり、任意のコードが実行される。具体的には、
攻略 XBAP (XAML Browser Application) を含む、攻略 Web ページを閲覧する
攻略 ASP.NET アプリケーションをアップロードされ、実行させられる
といった攻撃が考えられる。 CVE-2010-3228。Exploitability Index: 1
この欠陥は 32bit 環境には影響しない。
Hotfix 適用に関する既知の事項が KB 2160841 に示されている。
MS10-078 - 重要: OpenType フォント (OTF) 形式ドライバーの脆弱性により、特権が昇格される (2279986)
Windows XP / Server 2003 に欠陥。 OpenType フォント (OTF) 形式ドライバーに 2 つの欠陥があり、 local user による権限上昇が可能。 攻略 OpenType フォントを埋め込んだ Web ページを (IE ではなく) 3rd party 製 Web クライアントで開くと攻撃が成立する。
OpenType フォントの解析の脆弱性 - CVE-2010-2740。Exploitability Index: 1
OpenType フォントの検証の脆弱性 - CVE-2010-2741。Exploitability Index: 1
MS10-079 - 重要: Microsoft Word の脆弱性により、リモートでコードが実行される (2293194)
Word 2002 / 2003 / 2007 / 2010、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック、Word Viewer、Office Web Apps、Word Web App に 11 個の欠陥。大半の欠陥は Word 2002 と Office 2004 for Mac にしか影響しない。
Word の初期化されていないポインターの脆弱性 - CVE-2010-2747
Exploitability Index: 2
Word の境界チェックの脆弱性 - CVE-2010-2748
Exploitability Index: 2
Word のインデックスの脆弱性 - CVE-2010-2750
Exploitability Index: 2
Word のスタック オーバーフローの脆弱性 - CVE-2010-3214
Word 2002 / 2003 / 2007 / 2010、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パック、Word Viewer、Office Web Apps、Word Web App の欠陥。Exploitability Index: 1
Word の戻り値の脆弱性 - CVE-2010-3215
Exploitability Index: 2
Word のブックマークの脆弱性 - CVE-2010-3216
Exploitability Index: 1
Word のポインターの脆弱性 - CVE-2010-3217
Word 2002 のみの欠陥。Exploitability Index: 2
Word のヒープ オーバーフローの脆弱性 - CVE-2010-3218
Word 2002 のみの欠陥。Exploitability Index: 2
Word のインデックスの解析の脆弱性 - CVE-2010-3219
Word 2002 のみの欠陥。Exploitability Index: 2
Word の解析の脆弱性 - CVE-2010-3220
Exploitability Index: 2
Word の解析の脆弱性 - CVE-2010-3221
Word 2002 / 2003、Office 2004 for Mac、Word Viewer の欠陥。Exploitability Index: 2
MS10-080 - 重要: Microsoft Excel の脆弱性により、リモートでコードが実行される (2293211)
Excel 2002 / 2003 / 2007、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックに 13 個の欠陥。
Excel のレコードの解析の整数オーバーフローの脆弱性 - CVE-2010-3230
Excel 2002 のみの欠陥。Exploitability Index: 2
Excel レコード解析のメモリ破損の脆弱性 - CVE-2010-3231
Excel 2002、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac の欠陥。Exploitability Index: 2
Excel のファイル形式の解析の脆弱性 -CVE-2010-3232
Excel 2003 / 2007、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックに欠陥。Excel 2002 にこの欠陥はない。Exploitability Index: 1
Lotus 1-2-3 のワークブックの解析の脆弱性 -CVE-2010-3233
Excel 2002 / 2003 の欠陥。Exploitability Index: 2
数式のサブシステムのメモリ破損の脆弱性 -CVE-2010-3234
Excel 2002 のみの欠陥。Exploitability Index: 1
数式の Biff のレコードの脆弱性 -CVE-2010-3235
Excel 2002 のみの欠陥。Exploitability Index: 1
境界外の配列の脆弱性 -CVE-2010-3236
Excel 2002、Office 2004 / 2008 for Mac、Open XML File Format Converter for Mac の欠陥。Exploitability Index: 1
セルの結合のレコード ポインターの脆弱性 -CVE-2010-3237
Excel 2002、Office 2004 for Mac の欠陥。Exploitability Index: 2
Negative Future Function の脆弱性 -CVE-2010-3238
Excel 2002 / 2003、Office 2004 for Mac の欠陥。Exploitability Index: 1
その他の境界外のレコードの解析の脆弱性 -CVE-2010-3239
Excel 2002 のみの欠陥。Exploitability Index: 1
リアル タイムのデータ配列のレコードの脆弱性 -CVE-2010-3240
Excel 2002 / 2007、Excel Viewer、Word/Excel/PowerPoint 2007 ファイル形式用 Microsoft Office 互換機能パックの欠陥。Exploitability Index: 2
解析における境界外のメモリの書き込みの脆弱性 -CVE-2010-3241
Excel 2002、Office 2004 for Mac の欠陥。Exploitability Index: 2
非実態レコードの種類の解析の脆弱性 -CVE-2010-3242
Excel 2002、Office 2004 for Mac の欠陥。Exploitability Index: 2
MS10-081 - 重要: Windows コモン コントロール ライブラリの脆弱性により、リモートでコードが実行される (2296011)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。Comctl32.dll に欠陥があり、「サードパーティのスケーラブル ベクター グラフィックス (SVG) ビューアーから渡されたスケーラブル ベクター グラフィックスを呼び出」す場合に heap overflow する欠陥があり、攻略 Web ページを開くと任意のコードが実行される。 CVE-2010-2746。Exploitability Index: 1
MS10-082 - 重要: Windows Media Player の脆弱性により、リモートでコードが実行される (2378111)
Windows Media Player 9 〜 12 に欠陥があり、攻略 Web ページを開くと任意のコードが実行される。CVE-2010-2745。Exploitability Index: 1
MS10-083 - 重要: Windows シェルおよびワードパッドの COM の検証の脆弱性により、リモートでコードが実行される (2405882)
Widnows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。「Windows シェルおよびワードパッドが COM オブジェクトのインスタンス化を検証する方法」に欠陥があり、攻略ファイルや攻略 Web ページを開くと任意のコードが実行される。CVE-2010-1263。Exploitability Index: 1
Hotfix の適用に際して、Windows Search 4.0 をインストールしてある環境では注意が必要な模様: KB 2405882
MS10-084 - 重要: Windows ローカル プロシージャー コールの脆弱性により、特権が昇格される (2360937)
Windows XP / Server 2003 の Remote Procedure Call Subsystem (RPCSS) に欠陥。 RPCSS に含まれる LRPC Server (Local RPC Server; RPC EndPoint Mapper) と、 LPC (Local Procedure Call) との間のポートメッセージの処理に buffer overrun する欠陥があり、local user による権限上昇 (LocalSystem 奪取) が可能。 CVE-2010-3222。Exploitability Index: 1
Widnows Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。 「SChannel が SSL/TLS ハンドシェイク中のプロトコル要求を処理する前の論理状態の検査に失敗」するため、攻略 SSL/TLS ハンドシェイクを送信することによって DoS 攻撃 (サーバー応答停止) が可能。CVE-2010-3229。Exploitability Index: 3
MS10-086 - 警告: Windows 共有クラスター ディスクの脆弱性により、改ざんが起こる (2294255)
Windows Server 2008 R2 に欠陥。共有フェールオーバークラスターとして使用している場合に、「管理者がディスクを共有クラスターに追加すると、フェールオーバー クラスター マネージャーが、認証されていないユーザー (Everyone) にフェールオーバー クラスター ディスクの管理用共有への読み取り/書きこみ/削除アクセスを提供する可能性のある方法で共有クラスターディスクにアクセス許可を設定します」。 CVE-2010-3223
hotfix を適用した後で、既に設定されているフェールオーバークラスターディスクについては、 Everyone フルコントロールを Administrators フルコントロールに変更すること。
MS10-081: Windows Common Control Library (Comctl32) Heap Overflow (exploit-db.com, 2011年01月10日)
岡崎図書館 → MELIL/CS 方面。
[引用] 情報流出の最終責任は自治体にあり、自治体にはどのような情報がどのような経緯で流出したかを調査し、公表し、今後再発しないよう対策を講じる責務があります。管理業者はデータを漏洩した当事者であるため、第三者の専門機関に流出・流入データの調査を依頼するのが望ましいのですが、それが不可能であったとしても自らの責任において本件について調査・検証する必要があります。どのような情報が流出していたか、他の図書館のどのような情報が自館システムに混入していたかを図書館・自治体が把握せず、単に流出データの消去等が行なわれているのであれば問題です。岡崎市立中央図書館の場合、MDISは他の図書館に流出したデータを全て削除した後、岡崎市立中央図書館に情報漏洩を報告しています。直ちに報告を行なわなかったことや、流出した側の図書館に流出データを削除する際十分な報告を行なったか、など対応に疑問が残ります。業社 (MDIS および/またはその下請け) 任せにすると、事実を隠蔽される (既に事実を隠蔽されている) 恐れがある。 第三者機関に依頼するか、あるいは自らが主体的に、調査・対応してほしい。
と言っているうちに、たりきさんがまたみつけたそうで。 えびののFTPで公開されていたものからだそうです。
》 モルガン・スタンレー、個人でSNSを開発・運営した従業員を解雇 解雇された人物は、ニューヨークの地下鉄乗客のコミュニティ形成に尽力していた (computerworld.jp, 10/8)
[引用] ニューヨークの地下鉄では乗客どうしが非常によそよそしいのが常だが、レデラー氏はそうした通勤者たちにチラシを配り、おもしろい話を披露しあったり、互いにちょっとした頼み事をしたりしないかと呼びかけた。あるときは、仲間のひとりがペットとして飼っているモルモットのケージ掃除を頼みたいとソロモン氏に打診してきた。「地下鉄の乗客どうしであっても、人とふれあうことはできると信じている」と、同氏はインタビューに答えた。かんべむさしの短編小説に、そんな話があったな......。
》 あから2010勝利、コンピュータ将棋の戦いは新たな段階へ (コンピュータ将棋協会blog, 10/11)。 ついにここまで来た。
[引用] 手数は86手と短めでしたが、白熱した内容でした。今回は当初からコンピュータが有利と考えられていましたが、中盤はほぼ互角とみられるねじり合いが続き、人間棋士の強さも証明されたと思います。対局場においても、人類の叡智が機械に屈してしまった、といったような悲壮感は対局後もなく、人間とコンピュータが互いを好敵手として認め合った、という前向きな空気を共有することができました。これからの戦いが、ますます楽しみです。関連:
コンピュータと女流王将の対局、コンピュータが勝利 (slashdot.jp, 10/12)
コンピュータ将棋が女流王将に勝利 (PC Watch, 10/12)
[引用] 対局直後、大盤解説の会場に姿を見せた清水市代女流王将は、大盤解説を行なった男性棋士2人の「予想外の手が多かったのでは」との問い掛けを、「ほとんどの手が読み筋でした。対局前、どれだけコンピュータ将棋の研究をしたと思っているんですか」とその質問を一蹴した。人間の方が意識しすぎて深読みしてしまった、ということか。
[引用] コンピュータが女流王将に勝利したことで、プロ男性棋士との対局を期待する声もあがったが、日本将棋連盟の米長会長は、「まず、今回の対局を細かく精査しなければなんとも申し上げられない。情報処理学会の皆さん、ファンの皆さんの声を踏まえて、今後は決定していきたい。ただ、個人的には清水女流王将のリベンジを期待したい」と感想を述べた。なんにせよ、「おもしろくなってきやがった」(声: 次元大介)
》 Linuxカーネルの再コンパイルなしに利用できるアクセス解析/制限モジュール「AKARI 1.0」リリース (sourceforge.jp, 10/12)
》 三菱自動車岡崎工場で労災隠し (JANJAN blog, 10/12)
》 Malware abusing digital signatures: VB2010 presentation highlights (Sophos, 10/12)
FacebookのGroupsにプライバシー問題はない - しかしスパムに悪用されるおそれあり (techcrunch, 10/8)
FacebookはDMCAへの正しい対応を怠慢し, ファングループを窒息死させた (techcrunch, 10/9)
Can you see who viewed your Facebook profile? Scammers would like you to think so (Sophos, 10/11)
Facebookがユーザによるコントロールを増強? (エフセキュアブログ, 10/7)
[引用] #3 — 自分の情報のダウンロード。プライバシー擁護派は、この機能を長いこと求めてきた。(中略) ここでの真の問題は、もっと身近なところにある。この機能は、あなたの配偶者によって悪用される確率が高いのだ!(理由は分かるだろう。彼女は裁判で、あなたに対してそれを使いたいのだ。)》 NHK記者が捜索情報漏らす 捜査対象の時津風親方に (asahi.com, 10/9)、 情報漏えいのNHK記者「手柄になるかもと考えた」 (asahi.com, 10/9)
マスメディアに倫理語られてもなあ:
捜索情報漏洩 報道倫理逸脱したNHK記者(10月11日付・読売社説) (読売, 10/11)
NHK記者—報道の責任を考え直せ (asahi.com, 10/10)
【主張】捜索情報漏洩 報道の信頼揺るがす愚行 (産経 MSN, 10/10)
捜査情報漏洩で私腹肥やすマスコミ幹部 (JANJAN blog, 10/9)
関連:
収監直前トーク 鈴木宗男VS佐藤優 〜後編〜 (JANJAN blog, 10/9)
[引用] 佐藤優:》 貧困対策と矛盾する京都市空き缶回収禁止条例・・大雨の中、反対デモ (JANJAN blog, 10/9)
》 二大政党批判しながら自らも少数派排除 みんなの党が「自己中の党」に?! (JANJAN blog, 10/10)
》 中国当局による日本人拘束事件 最後の一人帰国 (JANJAN blog, 10/10)
[引用] リスク対策担当の役員、土屋達朗氏は「プロジェクト(石家荘での遺棄化学兵器処理事業)の継続は難しい」と諦めきったようすだった。 [引用] 平成22年9月1日(水)、中華人民共和国南京市郊外で、日本政府を代表し平岡秀夫内閣府副大臣が出席して、日中両国政府の国民、OPCW (化学兵器禁止機関)、国際社会に向かって、遺棄化学兵器廃棄処理事業が日中両国の永年の努力を経て、開始されるというメッセージを発することを目的として、遺棄化学兵器の廃棄事業開始行事を実施した。ようやくはじまったとたんにこれですから。中国は、遺棄化学兵器処理なんて本当はしてほしくないのでは。
》 山谷剛史のマンスリー・チャイナネット事件簿 劉暁波氏ノーベル賞受賞〜ナーバスな問題に対するネットと中国国民の反応 (Internet Watch, 10/12)
》 模倣品・海賊版拡散防止条約 (ACTA) 最終会合後条文案 第2章第5節の翻訳を公開しました。 (MiAU, 10/11)
》 相手が読んだことを確認できるGmailトラッキングサービスEmailOracle - 「そのメール見落としました」は通用せず (techcrunch, 10/12)。 Web バグですか。
》 「不正を暴く権利」はどこまで認められるか? 〜クジラ肉裁判より〜 (JANJAN blog, 10/10)
[引用] 聞くところによれば、青森地裁の小川賢司裁判官(注6)は、いわゆる「立川ビラ配布事件」での高裁裁判官の一人だったらしく、どうやら個人や市民団体が政治にかかわるような活動はえらく気にくわないらしい。「イラクへの自衛隊派遣」にいちいち市民は反対するな、「水産庁の調査捕鯨」にも口出しするな...というのが本音のようにも思われる。うわ......。
[引用] さて、講演会のあとには懇親会も持たれたが、そこで〈クジラ肉裁判〉被告側代理人である海渡弁護士より、驚くことが明かされた。10月9日現在、被告人のもとに、青森地裁の判決文が届いていないというのだ。これがいつもの検察のやりくち。どこぞの FD 男だけが特殊なわけでは全くない。
》 Wireshark 1.4.1 が出ています。
》 支援機関の追放で大きな影響:ソマリア (国連情報誌SUNブログ対応版, 10/9)
》 統一協会(統一教会)合同結婚式インターネット中継リポート (やや日刊カルト新聞, 10/10)
》 英国式事件報道 なぜ実名にこだわるのか (文藝春秋) という書籍があるそうで。
関連: 所変われば新聞も変わる。 (英国ニュースダイジェスト, 2008年03月13日)。 スウェーデン式事件報道 なぜ逮捕段階では名前を出さないのか。
[引用] タブロイド紙、「アフトン・ブラーデット」は、同国で最も過激な新聞として知られる。英国の「ザ・サン」のような存在であり、部数も約40万部と国内最大だ。明日には 10 月分の patch が出るという日にようやく......。
Windows XP / Server 2003 / Vista / Server 2008 / 7 / Server 2008 R2 に欠陥。印刷スプーラー サービスに欠陥があり、攻略印刷リクエストによって任意のコードが実行される。 Windows XP では remote から無認証での攻撃が可能、 他の Windows では local user による権限上昇が可能。 CVE-2010-2729
Windows XP / Server 2003 / Vista / Server 2008 に欠陥。 「MPEG-4 ビデオ デコードに使用されている MPEG-4 コーデック」に欠陥があり、 攻略メディアファイルによって任意のコードが実行される。 CVE-2010-0818
MS10-063 - 緊急: Unicode スクリプト プロセッサの脆弱性により、リモートでコードが実行される (2320113)
Windows XP / Server 2003 / Vista / Server 2008、 Office XP / 2003 / 2007 に欠陥。 「Uniscribe とも呼ばれている新しい Unicode スクリプト プロセッサ (USP10.DLL)」に欠陥があり、攻略 OpenType フォントを含んだ攻略文書ファイルを開くと任意のコードが実行される。 CVE-2010-2738
MS10-064 - 緊急: Microsoft Outlook の脆弱性により、リモートでコードが実行される (2315011)
Outlook 2002 / 2003 / 2007 に欠陥。Outlook における電子メールの処理に欠陥があり、攻略電子メールによって任意のコードが実行される。 CVE-2010-2728 。 ただし、
オンラインモードで Exchange サーバーに接続する場合にのみ欠陥が発現する。Exchange キャッシュモード (デフォルト) や、POP / IMAP サーバのみを使用する場合には、この欠陥は発現しない。
MS10-065 - 重要: Microsoft インターネット インフォメーション サービス (IIS) の脆弱性により、リモートでコードが実行される (2267960)
IIS 5.1 / 6.0 / 7.0 / 7.5 に 3 つの欠陥。
IIS の繰り返されたパラメーター リクエストのサービス拒否の脆弱性 - CVE-2010-1899
IIS 5.1 / 6.0 / 7.0 / 7.5 に欠陥。 ASP スクリプト処理に欠陥があり、.asp への攻略リクエストによって stack overflow が発生、IIS が応答を停止する。
リクエスト ヘッダーのバッファー オーバーフローの脆弱性 - CVE-2010-2730
IIS 7.5 に欠陥。FastCGI が有効な場合のリクエストヘッダーの処理に欠陥があり、remote から任意のコードを実行される。
ディレクトリ認証の回避の脆弱性 - CVE-2010-2731
IIS 5.1 に欠陥。URL の解析において欠陥があり、攻略リクエストによって、認証が必要なはずのページに無認証でアクセスできる。
MS10-066 - 重要: リモート プロシージャー コールの脆弱性により、リモートでコードが実行される (982802)
Windows XP / Server 2003 に欠陥。RPC クライアントにおける RPC 応答の解析におけるメモリ割りあてに欠陥があり、攻略 RPC 応答によって任意のコードを実行される。CVE-2010-2567
MS10-067 - 重要: ワードパッドのテキスト コンバーターの脆弱性により、リモートでコードが実行される (2259922)
Windows XP / Server 2003 に欠陥。ワードパッドの Word 97 テキストコンバーターに欠陥があり、攻略文書ファイルを開くと任意のコードを実行される。 CVE-2010-2563
MS10-068 - 重要: Local Security Authority Subsystem Service (LSASS) の脆弱性により、特権が昇格される (983539)
Windows XP / Server 2003 / Vista (SP2 のみ) / Server 2008 / 7 に欠陥。攻略 LSASS メッセージにおいて、権限上昇が可能。 CVE-2010-0820
MS10-069 - 重要: Windows クライアント/サーバー ランタイム サブシステムの脆弱性により、特権が昇格される (2121546)
Windows XP / Server 2003 に欠陥。 CSRSS のメモリ管理に欠陥があり、local user による権限上昇が可能。 CVE-2010-1891 。
Adobe Patches Vulnerabilities (Symantec, 2010年10月12日)。JavaScript を無効にしても攻撃コードが起動される攻略 PDF ファイルが出回っているそうです。
マイクロソフト セキュリティ アドバイザリ (2269637) 安全でないライブラリのロードにより、リモートでコードが実行される
修正されたアプリ:
JVN#82752978: Lhaplus における DLL 読み込みに関する脆弱性 (JVN, 2010年10月12日)。Lhaplus 1.58 で修正されている。
Detecting PLC Infections (Symantec, 2010年10月08日)
CVE-2010-2883 (APSA10-02: Security Advisory for Adobe Reader and Acrobat の件)、 CVE-2010-2884 (APSA10-03: Security Advisory for Flash Player の件) の他にも、以下が修正されている。
日本語版: APSB10-21: Adobe ReaderおよびAcrobat用セキュリティアップデート公開 (Adobe)
Lhaplus 1.57 以前に欠陥。DLL 検索パスの扱いに欠陥があり、意図しない DLL を読み込んでしまう。CVE-2010-2368
Lhaplus 1.58 で修正されている。ダウンロード。
JVN#18774708: Lhaplus における実行ファイル読み込みに関する脆弱性 (JVN, 2010年10月15日)。あわせて Lhaplus 1.58 で修正されている。最新版は Lhaplus 1.59。
Lhasa 0.19 以前に欠陥。ファイル検索パスの扱いに欠陥があり、意図しない実行ファイルを読み込んでしまう。CVE-2010-2369
Lhasa 0.20 で修正されている。ダウンロード。
》 Google秘密の自動走行プリウス車団:すでに14万マイルを走破 (techcrunch, 10/11)。クルマではなく「自動」車ですから。
関連: 読書感想日記 神林長平「魂の駆動体」 (百物語おかわり。, 2009年01月15日)
》 WebSockets in Opera (Opera blog, 10/11)
[引用] Before people have tried to fake bidirectional communication using XMLHttpRequest, but this is slow since it needs to set up a new TCP connection for each message. WebSockets sets up one TCP connection and confirms that the server can speak WebSocket by doing a special handshake, after which the server and the client can send text messages over the connection at will, resulting in faster communication.へぇ。
[引用] Opera supports version -00 of the protocol (aka -76). This is the same as Chrome 6 and Firefox 4 beta. Older versions of Chrome and Safari supported an older version of the protocol which used a different handshake (version -75). The current version of the protocol (-02) has different framing, but the handshake is the same as in -00/-76.》 被害額4兆円近く、終わらないマジコンの製造・販売に刑事罰の導入を検討へ (gigazine, 10/11)。関連:
マジコン規制問題。先日の経産省産構審では、JEITAが、特定の被害を前提に法改正を検討した結果が一般規制に拡大することは避けるべき、機器の機能複合化等の妨げとなることは避けるべき、不競法要件の拡大に慎重、著作権法での対応は情報材全体へ規制となるので反対、と主張してました。 (@hideharus 江口秀治, 10/11)
産業構造審議会 (経産省)。うーん、ここにはなさげなのだが......。
こっちじゃないかなあ: コンテンツ強化専門調査会 インターネット上の著作権侵害コンテンツ対策に関するワーキンググループ(第3回) (知的財産戦略本部 コンテンツ強化専門調査会, 3/3) の 電子情報技術産業協会資料。 議事録を読みながらどうぞ。
》 模倣品・海賊版拡散防止条約(ACTA)の大筋合意について《海江田大臣談話》 (知的財産戦略本部, 10/2)
》 【竹原信一と仙波敏郎が本音で語る阿久根問題】は必見 (JANJAN blog, 10/22)
[引用] さて、【竹原信一と仙波敏郎が本音で語る阿久根問題】というインタビュー番組がYouTubeに載っている。》 PC-BSDのパッケージ管理PBI (FreeBSD Daily Topics, 10/08)
》 nextboot(8)と同様の操作をブートローダレベルで実施する機能導入,パーティション切り替え起動可能 (FreeBSD Daily Topics, 10/11)。9-CURRENT には実装済だそうです。
[引用] まずPawel Jakub Dawidek氏はシステムを2つのパーティションに分けておき,システムのアップグレードに利用するシーンを紹介しています。起動しているパーティションでアップグレードされたイメージを作成し,dd(1)でもうひとつのパーティションへ上書き。次はdd(1)で書き込んだ方から起動し,成功すればそのパーティションを基本パーティションに,従来のパーティションをdd(1)でアップグレード版を書き込むパーティションとして使用する方法を紹介しています。dd(1)したパーティションからの起動に失敗した場合は,従来のパーティションから再起動するという仕組みです。この仕組みは継続的で安全なアップグレードを実施する方法として組み込み機器などで使われています。Chrome OSも同様の仕組みを採用しています。》 Malicious PDFs: A summary of my VB2010 presentation (Sophos, 10/8)
》 Microsoft has patched more critical vulnerabilities than 2004 and 2005 combined (McAfee Labs Blog, 10/10)。たしか、Critical の定義を変更したことがあったような......。
》 Oracle Critical Patch Update Pre-Release Announcement - October 2010 (Oracle)。Oracle も 10/12 (US 時間) のようです。
》 認知症に挑む 〜治療と予防・最前線からの報告〜(仮) (NHK スペシャル, 10/24 放送予定)
》 貧者の兵器とロボット兵器 〜自爆将軍ハッカーニの戦争〜 (NHK スペシャル, 10/17 放送予定)
》 夢の新薬が作れない 〜生物資源をめぐる闘い〜 (NHK スペシャル, 10/11 放送予定)
》 DMCAの悪用?フェアユースな政治広告をYouTubeから削除 (P2Pとかその辺のお話, 10/11)
》 ネットリテラシ読本Ver1.4(全6セクション)を公開します (MiAU, 10/10)
》 日経Linux、創刊から今までの編集記事をPDF化した全集を発行 (slashdot.jp, 10/10)。 ただし Linux では読めません、って......何それ。 意味わかんね。
》 ファイル/フォルダのタイム・スタンプを書き換える(GUI編) (@IT, 10/8)。これで君も主任検事になれる......わけではない。
》 試合を台無しにする誤審を撲滅せよ! Jリーグの審判に必要な競争と育成。 (Number, 10/9)
[引用] しかし、ドイツに比べて遅れていることもある。》 @random な勉強会。2010年10月30日、京都府京都市、500 円 (学生は無料)。 徳丸さんと上原先生のお話を聞いて議論したいと思っています。
》 <主張>小沢一郎強制起訴ーー検察審査会に告発したのは「在特会」会長だった (情報紙「ストレイ・ドッグ」(山岡俊介取材メモ), 10/7)
[引用] なぜ、本紙がこのことを強調するかというと、その最大の理由は、桜井会長はこの政治資金規制法違反の不起訴がおかしいという以上に、外国人参政権実現に積極的な小沢氏の政治生命を絶ちたかったという別目的のために同制度を利用した可能性が高いことが窺えるからだ。関連: 小沢幹事長を「東京第五検察審査会」に告発したのは「在特会」代表桜井誠氏だった! (杉並からの情報発信です, 8/6)
》 「政治主導」が聞いて呆れる、菅内閣の尖閣問題に対する無責任姿勢 (週刊・上杉隆, 9/30)
》 SORBS.NET - email RBL issues (SANS ISC, 10/7)
》 ファイル共有ソフト「Perfect Dark」でアニメ「みつどもえ」などを配信した女を逮捕 (gigazine, 10/8)
》 【郵便不正】特捜検事の調書を採用せず 「息子を逮捕するぞ」脅迫的取り調べ (産経, 10/8)、 【郵便不正】逮捕ちらつかせ...脅迫の大阪地検特捜部、未曾有の危機 (産経, 10/8)。なぜか産経は実名報道してませんが、 最高検、脅迫的な調べも検証へ 郵便制度悪用事件 (福井新聞, 10/8) などを見ると、上田敏晴検事(37)=現法務省刑事局付=と書かれている。
》 ネットでニュース (壇弁護士の事務室, 10/8)。 大阪府警東署刑事課の警部補(34)と巡査部長(31)が自白強要か の件のつづき。
関連: 「殴るぞ」と自白迫る録音公表 大阪、弁護団が告訴へ (福井新聞, 10/7)
》 「子宮頸がんワクチン」への疑問:重大な副作用 (はたともこブログ, 5/16) サーバリックスを日本人に適用しても無意味では、という話。
[引用] すなわち、サーバリックスは、16型と18型のHPVに対してのみ予防効果が認められるにすぎず、しかも予防効果の持続期間は確立していない(というよりも何年も先のことはまだわからない)のです。最長6.4年の予防効果期間があったとの報告があるがこれには更なる調査が必要であること、また、前駆病変の予防については53%の有効率であることを、FDAも認めています。》 PCI SSC、暗号化に関するガイダンス・ペーパーなどを発表 ポイントツーポイント暗号化とEMV技術に関するPCI SSCの考え方を説明 (ComputerWorld.jp, 10/7)
》 「小沢氏起訴議決は問題あり」郷原弁護士が指摘 (ニコニコニュース, 10/6)
[引用] 元検事でもある郷原弁護士は、議決書のコピーを手に取りながら問題点を指摘。 1度目の検察審査会の議決のときは対象となっていなかった犯罪事実が、 今回の2度目の議決では対象に含まれているのは「非常に問題」「おかしい」と話し、 小沢氏を「起訴すべき」とした審査会の判断に強い疑問を呈しました。 (郷原弁護士の説明は、番組開始後26分20秒ごろから約5分間)関連:
緊急特番「徹底討論!民主党小沢氏強制起訴を問う」 (ニコニコ生放送, 10/6)。タイムシフト視聴可能。
[緊急記者レク〈1〉]郷原信郎:小沢氏に対する検察審査会の起訴相当議決は無効だ! (The Journal, 10/5)
[緊急記者レク〈2〉]郷原信郎:小沢氏に辞職を求める者は「法的なセンス」がない! (The Journal, 10/5)
[引用] (議決は)あくまで「裁判所に最後に最終的な判断を求める」という主旨にすぎないというところをもっと重く受け止め、現時点では、小沢氏に「政治的に責任をとるべき」だとか「議員辞職すべき」だとか「党として除名すべき」ということを言うべきではない。それはおよそ検察審査会制度の趣旨にも、議決の主旨にもあわない。そういうことを語る人は、「見識」や「法的なセンス」が疑われます。『「見識」や「法的なセンス」が疑われ』る例:
小沢氏起訴へ—自ら議員辞職の決断を (asahi.com, 10/5)
社説:検審「起訴議決」 小沢氏は自ら身を引け (毎日, 10/5)
11人の操り人形たち (きっこのブログ, 10/7)。2 回の「起訴相当」を出した検察審査会の年齢構成が異常である、という話と、郷原氏が上記で指摘している話。
小沢氏の「政治とカネ」問題は存在しない (永田町異聞, 9/2)
離党・辞職を否定した小沢氏の"無実"はほぼ確実。 それでもやはり、自ら離党すべきだった (週刊・上杉隆, 10/7)
小沢氏告発の団体とは 「保守」自認、政治的意図なし (asahi.com, 10/8)。「真実を求める会」の主張記事。
》 Inside Adobe Reader Protected Mode - Part 1 - Design (Adobe, 10/5)。Adobe Reader 10 に塔載される予定の sandbox の話。
》 マカフィーとシトリックス、仮想デスクトップセキュリティにおける戦略的提携の成果、第1段階を発表 Citrix XenDesktop向けMcAfee MOVEをリリース、 第2段階はセキュリティをXenClientハイパーバイザーに直接統合 (Citrix, 10/8)。そんなことより VSE を対応させてほしいです。 対応してないの、Citrix だけですよ。
》 長期化する食糧危機への対策強化を各国に要請 (国連情報誌SUNブログ対応版, 10/7)。 『世界食糧不安白書2010』(The State of Food Insecurity in the World 2010)。 食糧危機は続いている。
[引用] 日本では円高のために世界ではまだ食糧価格が高い水準だということが実感できないかも知れませんが。》 複数のJoomla!サイトにおいて、jjencodeを使用して記号だけに難読化したJavaScriptを注入する攻撃 (葉っぱ日記, 10/8)
[引用] jjencodeによる記号化JavaScriptのコードは、IE6、IE7およびIE8(ドキュメントモードがIE8標準モードでない場合)にコードが動作しません。関連: イタリアにおけるブラウザシェア (StarCounter より引用)
》 Windowsで軽快に動作するフリーのFTPSサーバ「Cerberus FTP Server」 (gigazine, 10/8)。Professional 版では SFTP にも対応しているそうです。 各エディションの違い。
関連: List of FTP server software (Wikipedia)
》 風力発電の騒音・低周波音、64か所で苦情 (読売, 10/7)、 風力発電施設16%に騒音の苦情 環境省調査 (47news.jp, 10/7)
[引用] 環境省は7日、全国389カ所の風力発電施設のうち住民から騒音に関する苦情が寄せられたことがあるのは16%に当たる64施設で、このうち25施設は今年4月1日時点でも苦情が続いていたと発表した。25施設における苦情については対応が困難ということですかね......。 関連:
風力発電施設から発生する騒音・低周波音の調査結果(平成21年度)について(お知らせ) (環境省, 3/29)
環境省 報道資料発表(平成22年3月29日) 風力発電施設から発生する騒音・低周波音の調査結果(平成21年度)について(お知らせ) について 風力発電周辺でわずかな騒音測定 最大55デシベル (黙殺の音 低周波音)
風力発電施設に係る環境影響評価の基本的考え方に関する検討会(第1回)の開催について(お知らせ) (環境省, 10/4)。10/29 開催。
Stuxnet (Schneier on Security, 2010年10月07日)
うわ、もうそんな季節だよ......。しかも 16 個もあるよ (緊急 x 4、重要 x 10、警告 x 2) 。Office も含まれてるなあ。Office 2010 や Mac 版も含まれてる。
》 大阪府警東署刑事課の警部補(34)と巡査部長(31)が自白強要か (various, 10/7)
「一生を台無しにするぞ」任意調べでどなる (読売, 10/7)
[引用] 府警や関係者によると、男性は、9月3日、取り調べを受けた際、持ち込んだICレコーダーに様子を録音。警部補らが「警察をなめとったらあかんぞ。殴るぞ」「一生を台無しにするぞ」「家族までいったる」などとどなったり、物をたたいたりする音が記録されていた。警部補、自白強要か=被害男性が告訴へ−大阪府警 (時事, 10/7)
[引用] 同月24日、男性の弁護士から、事情聴取の中で、「会社も令状を取って捜索するぞ」「おまえ、明らかにシャブ中以上のうそつきやんけ」と暴言を吐かれたとする苦情が書面で寄せられた。書面には「男性の足をけった」などとも書かれていたという。「自白を強要」と告訴へ 大阪府警の取り調べで (中日, 10/7)
[引用] 府警によると、男性は「『うそ付き』『会社を捜索する』などと暴言を受け、足やいすをけられる暴行を受けた」と府警に苦情を申し立てたという。府警は「警部補は暴言は認めたが、暴行は否定している」と説明している。この件、壇弁護士のところみたい。
一生を台無しにするぞ」任意調べでどなる (壇弁護士の事務室, 10/7)
[引用] ちなみに、この取調の内容は、もっと、えげつないもので、恫喝、利益誘導、その他、やっちゃいかんだろうのオンパレードだったりする。「自白を強要」と告訴へ 大阪府警の取り調べで (壇弁護士の事務室, 10/7)
[引用] 今日の午後2時半から大阪弁護士会館1001号室で、記者会見である。関連:
任意の取調べの際には、被疑者にICレコーダーを持参するように弁護人は指導しています。RT @Billie_Jean0000: 知らなかった!!勉強になります。 RT @crusing21: 任意の取調べは、被疑者自身が自己防衛のために録音できるんですよね。 (@crusing21 Yamashita_y, 10/7)。そうだったのか!!!!!!!!! 護身用に 1 つ買っておくべきか。
》 「右翼の戦争展」こと「もうひとつの戦争展」を取材。民族派に「日本人とはなにか」と聞く。 (JANJAN blog, 8/20)。 興味深い。
関連: 「左翼の戦争展」こと「平和のための戦争展」取材。19年続く実力を見た。 (JANJAN blog, 10/6)。
》 生物多様性フォーラム、MOP5報告会(10/10,10/11,10/16) (JANJAN blog, 10/7)
[引用] ポスターなどでは「たくさんのいのち」というイメージで宣伝をされていますが、 実際に会議で話し合われる内容は、そのような「ほんわかとした」ものではなくて、 遺伝子資源をめぐる政治的な争いや、今、世界で大問題として浮上してきている、遺伝子組み換え作物が地域を汚染した場合にどうするか、などの、とても政治的な会議でもあります。そのDNSの応答、本当に正しいものですか? 「.jp」でも正式導入、DNSSECの仕組みと意義<前編> (Internet Watch, 10/6)
あなたのキャッシュDNSサーバー、DNSSECしてますか? 「.jp」でも正式導入、DNSSECの仕組みと意義<後編> (Internet Watch, 10/7)
》 米ラトガース大学1年生男子、男性との性行為をルームメイトにストリーム配信され自殺 (みやきち日記, 10/1)、 同級生の性行為をネット配信して自殺させたラトガース大生、懲役10年の刑に直面か (みやきち日記, 10/7)
》 取り調べ可視化「議員立法で」 民主議連、法務省を牽制 (asahi.com, 10/6)
》 検察見直しの「検討会議」近く設置へ 法相諮問機関 (asahi.com, 10/6)
》 海の向こうの"セキュリティ" 第49回:韓国インターネット実名制が個人情報流出の主犯? ほか (Internet Watch, 10/7)
》 ネバダ核地域を警備する自律型ロボット(動画) (WIRED VISION, 10/6)
》 東京円82円台後半、日経平均は小幅な値動き (asahi.com, 10/7)。けっきょく 82 円台なんだ。
》 NATO軍のパキスタン兵攻撃は「過失」 司令官が謝罪 (asahi.com, 10/7)。NATO 軍とパキスタン のつづき。
》 PayPal、近くマイクロペイメントサービス開始へ - 音楽、ビデオ、ゲームなど全デジタルグッズが対象 (techcrunch, 10/7)
》 米議会:インターネット検閲法案(COICA)が提出される (P2Pとかその辺のお話, 10/7)、 アメリカのインターネット検閲法案「COICA」ってなに? (つやてざニュース, 10/4)
[引用] Q: それのどこがいけないの?JPCERT/CC インシデント報告対応レポート [ 2010年7月1日〜2010年9月30日 ] (JPCERT/CC, 10/7)
JPCERT/CC 活動概要 [ 2010年7月1日〜2010年9月30日 ] (JPCERT/CC, 10/7)
》 現地で見た中国ICTセキュリティ最新事情 第4回 上海はフリースポット天国! (日経 IT Pro, 9/29)
》 SQLインジェクション攻撃の波 (日経 IT Pro, 9/30)
》 CSIRT奮闘記 第11回 楽天の「Rakuten-CERT」——既存の体制を生かしながら構築,外部関連組織との連携を強化 (日経 IT Pro, 10/4)
》 相談件数首位はワンクリック不正請求、メール送信型ウイルスに注意(IPA) (so-net セキュリティ通信, 10/5)
》 Adobe Flash, The Spy in Your Computer - Part 2 (ESET Threat Blog, 10/6)
[引用] You can find the details for the configuration file in a document that Adobe publishes at http://www.adobe.com/content/dam/Adobe/en/devnet/flash/articles/flash_player_admin_guide/flash_player_admin_guide.pdf上記 PDF ファイルは Flash Player 10.1 対応版ですが、 今のところ日本語になっているのは、Flash Player 10.0 対応版みたい: Flash Player 10対応Adobe Flash Player管理ガイド (Adobe)
[引用] For an example, I created a configuration file with the following content:上記パラメータは、Flash Player 10対応Adobe Flash Player管理ガイド (Adobe) にも出てくるものばかり。
Part 1 はこちら: Adobe Flash, The Spy in Your Computer \u2013 Part 1 (ESET Threat Blog, 10/6)
》 やじうまミニレビュー センチュリー「レインボーフラッシュLED傘」 〜雨の夜道も安心して歩ける"光る傘" (家電 Watch, 10/7)。気分は LOS ANGELS NOVEMBER 2019。
》 Soft Hyphen - A New URL Obfuscation Technique (Symantec, 10/7)。­ だそうです。
[引用] In HTML4 standards, the soft hyphen is represented as "­". The shy character is ignored by many browsers (for example, Firefox 2 ignores this character), unlike in Microsoft Office documents and in a small number of browsers in which the shy character visible and is treated as a normal hyphen.日本語版: ソフトハイフン - URL 不明瞭化の新たな手口 (シマンテック, 10/7)
Dovecot 1.2.15 / 2.0.5 出ています。
[Dovecot] v1.2.15 released (dovecot.org, 2010年10月02日)。 CVE-2010-3780 CVE-2010-3779 CVE-2010-3707 CVE-2010-3706 が修正されています。
[Dovecot] v2.0.5 released (dovecot.org, 2010年10月02日)。 CVE-2010-3707 CVE-2010-3706 が修正されています。
[Dovecot] ACL handling bugs in v1.2.8+ and v2.0 (dovecot.org, 2010年10月02日)
JVNVU#236703: ActiveCollab のアクセス制御機能における問題 (JVN, 2010年10月07日)。「ActiveCollab 2.3.2 へアップデートしてください」。 CVE-2010-0215
JVN#69191943: AD-EDIT2 におけるクロスサイトスクリプティングの脆弱性 (JVN, 2010年10月05日)。「最新版へアップデートしてください」。 CVE-2010-2367
JVNVU#784855: BIND の ACL の処理に問題 (JVN, 2010年10月01日)。BIND 9.7.2-P2 で修正されてます。 CVE-2010-0218
9.7.2-P2 では他に、CVE-2010-3762 も修正されているそうです。
Openswan 2.6.25 〜 2.6.28 の programs/pluto/xauth.c に buffer overflow など複数の欠陥があり、Openswan 2.6.29 で修正された模様。
http://www.openswan.org/download/CVE-2010-3302/CVE-2010-3302.txt
http://www.openswan.org/download/CVE-2010-3302/openswan-2.6.25-CVE-2010-3302.patch
http://www.openswan.org/download/CVE-2010-3308/CVE-2010-3308.txt
http://www.openswan.org/download/CVE-2010-3308/openswan-2.6.26-2.6.28-CVE-2010-330x.patch
Foxit Reader 4.1.x 以前に欠陥。詳細不明だが、改竄された・詐称された電子署名の扱いに欠陥がある模様。Foxit Reader 4.2 で修正されている。
》 航空機のリアルタイム飛行情報は「セキュリティ上の脅威」? (slashdot.jp, 10/6)。 関連: ADS-Bって何だろうか? (cfijapan.com)
》 ナイジェリアの鉛毒災害で数百人の死亡 (国連情報誌SUNブログ対応版, 10/6)
》 岡崎市長 システム業社に苦言 中央図書館 HP ダウン (中日新聞, 10/5)
市長にしろ館長にしろ、会見で報道通りの言い方をされてないことを本当に望みます。最初に被害者への謝罪があって、次に業者にチクリとやったら、そこだけ報道されたんですよね?と確かめたい気分。単に業者のせいにするのは責任ある方のとるべき態度ではないと思います。 #librahack (@tetsutalow 上原 哲太郎, 10/6)
岡崎市から librahack 氏への謝罪はされているんだろうか......。 そこをクリアしないことには、先に進まないと思うのだが。
》 日韓の情報セキュリティ3団体が提携、企業間の連携推進し世界展開目指す (Internet Watch, 10/6)
[引用] 韓国の知識情報セキュリティ産業協会(KISIA)、特定非営利活動法人日本ネットワークセキュリティ協会(JNSA)、特定非営利活動法人日本セキュリティ監査協会(JASA)の3団体は6日、情報セキュリティ事業で相互協力することに合意し、契約を締結した。》 ハンガリー、堤防決壊4人死亡 大規模化学汚染か (京都新聞, 10/6)
》 「ウメ輪紋ウイルスに関する対策検討会」の開催について (農林水産省, 10/4)。明日開催。
関連: ウメ輪紋ウイルス(プラムポックスウイルス)による植物の病気の発生調査の結果と対応状況について (農林水産省, 7/23)、 プラムポックスウイルスの確認について (滋賀県, 6/16)
[引用] 長浜市で感染が確認されたウメは、東京都青梅市の業者から購入した苗木と、その苗木から接木した観賞用のウメの苗木でした。》 口蹄疫「清浄国」復帰を申請 高級和牛の輸出復活へ (asahi.com, 10/6)、 国際獣疫事務局(OIE)に対する口蹄疫清浄ステータスの回復のための申請について (農林水産省, 10/6)
》 TBS、番組発の乳がん検診中止「20代では根拠なし」 (asahi.com, 10/6)。ようやくですか。
PostgreSQL 9.0.1 / 8.4.5 / 8.3.12 / 8.2.18 / 8.1.22 / 8.0.26 / 7.4.30 登場。
[引用] The security vulnerability allows any ordinary SQL users with "trusted" procedural language usage rights to modify the contents of procedural language functions at runtime. As detailed in CVE-2010-3433, an authenticated user can accomplish privilege escalation by hijacking a SECURITY DEFINER function (or some other existing authentication-change operation). The mere presence of the procedural languages does not make your database application vulnerable.今回の修正では、 PL/Tcl 手続き言語と PL/Perl手続き言語、および SECURITY DEFINER が修正されている。PL/PHP の修正はまだ。 他の trusted な 3rd パーティ製手続き言語にも同様の欠陥が存在する。
なお、PostgreSQL 8.0.26 / 7.4.30 は、これが最終リリース。
Adobe Reader / Acrobat 9.4 / 8.2.5 出ました: APSB10-21: Security updates available for Adobe Reader and Acrobat (Adobe, 2010年10月05日)
Adobe Reader / Acrobat 9.4 / 8.2.5 出ました: APSB10-21: Security updates available for Adobe Reader and Acrobat (Adobe, 2010年10月05日)
》 「小沢一郎、強制起訴」の裏で蠢いたのは... (田中龍作ジャーナル, 10/5)
[引用] それにしても釈然としない。検察審査会は起訴相当に至った理由として、「会計責任者(石川知裕、大久保隆規両被告)が小沢氏に報告、相談したとする供述には信用性が認められる」としている。大久保被告を取り調べていたのは前田検事だった、という点を報道しているメディアは、なぜか少ないように思う。
[引用] さらに首を傾げたくなるのが検察審査会による「起訴相当」の議決が出たのが、9月14日という点だ。この日は民主党の代表選挙の投票日だった。起訴相当を議決する場合は事前に検察に相談しなければならない(※(注記)筆者注)。当然、検察庁は法務大臣に報告する。当然、政敵の小沢氏を屠りたい一心の仙谷官房長官まで情報はあがる。というわけで、今回も記者クラブメディアの勝利。
関連:
検察審査会の小沢一郎氏「強制起訴」について (保坂展人のどこどこ日記, 10/5)
[引用] 不思議な話だ。昨日の昼まで「検察組織の危機」「証拠改竄・調書捏造」が大々的に議論されていて、「陸山会事件」の取り調べをした前田検事は、小沢前幹事長の「陸山会事件」で大久保元秘書の取り調べにあたり供述調書を作成している。郵便不正事件同様に「検察のストーリー」を描こうとしていた捜査中につくられた「供述調書の信用性」が根底から揺らいでいる時に、「供述調書」をもとにして「怪しいから起訴すべきだ」という結論が出る。本来なら、正当で歪曲のない証拠に従って、検察審査会でも、ただちに再検証されてしかるべきだろう。》 The SpyEye Interface, Part 1: CN 1 (trendmicro blog, 10/3)
》 Windowsユーザの66%がまだXPを使っている (slashdot.jp, 10/4)。いかに Windows XP が成功したのかがよくわかる。
Operating System Market Share (Net Applications)
Operating System Market Share: バージョン別 (Net Applications)
Trend for 'Windows XP,Windows 7,Windows Vista' (Net Applications)
》 ウイルスで何百万ドルも盗み出したロシアの21才の女性ハッカーが美人過ぎると話題に (gigazine, 10/5)。 ZeuS / ZBot ねた。「美人過ぎる」は言いすぎだと思う。
ZeuS つながり: Zeus Explosion Leads to More Arrests (Symantec, 10/4)、 Zeus の拡大で逮捕者が続出 (Symantec, 10/5)
》 Snort 2.9.0 Released (snort.org, 10/4)
》 【特別掲載】山本弘『MM9 - invasion - 』第5回(1/4)[2010年10月] (Web ミステリーズ!, 10/5)。いよいよ盛り上ってまいりました。 山本作品だけあって、状況の記述がリアルです。 つづきが待ち遠しい。
》 転載された記事の権利を買ってブロガーを訴える、著作権ゴロの新たなビジネスモデル (P2Pとかその辺のお話, 10/5)、 著作権を買ってグレーなものを訴える著作権トロールが増加 (slashdot.jp, 10/4)
日米軍事演習で「尖閣奪還作戦」 中国の不法占拠想定 (産経, 10/3)、日米「尖閣奪還」演習 強固な同盟 中国に明示 (産経, 10/3)。威勢のいいことで。
[引用] 演習は大分・日出生台(ひじゅうだい)演習場を尖閣諸島に見立てて実施するが、豊後水道が手狭なため、対潜水艦、洋上作戦は東シナ海で行う。日出生台演習場はこのへん。「見立てて」って言われてもなあ。
尖閣奪還・日米統合軍事演習に海兵隊は不参加(現段階)。海兵隊は尖閣の抑止力ではない。米軍再編で海兵隊が沖縄から撤退しグアム・テニアンを拠点にすれば、米日韓比タイ豪やベトナム・マレーシアと共に東・南シナ海での中国海洋戦略への抑止力となる。沖縄に海兵隊を置きたいのは外務・防衛省だけ。 (@hatatomoko はたともこ, 10/4)
尖閣諸島 (ウィキペディア)
尖閣諸島問題 日本の領有は歴史的にも国際法上も正当 ——日本政府は堂々とその大義を主張すべき—— (共産党, 10/4)、 尖閣領有の大義 発信を NHK討論 穀田氏、政府の姿勢ただす (しんぶん赤旗, 10/4)
関連: 共産、「尖閣領有の大義」主張を 弱腰政府にねじをまく (産経, 10/4) (笑)
石垣市長らが官房副長官に「毅然たる態度で」と尖閣の港湾建設を要請 (産経, 10/4)
10/2 に渋谷 (代々木公園) などでデモがあったらしい。海外メディアではけっこう報じられているにもかかわらず、日本のマスメディアではなぜか皆無の模様。
ネットが火をつける若者のナショナリズム (田中龍作ジャーナル, 10/2)
[引用] 主催:頑張れ日本全国行動委員会、草莽全国地方議員の会、日本李登輝友の会頑張れ日本! 全国行動委員会は、田母神氏のところ。
尖閣諸島問題めぐり、渋谷で大規模な抗議集会とデモ (JANJAN blog, 10/2)
中国の尖閣諸島侵略糾弾!集会 デモ行進 (JANJAN blog, 10/3)
元空幕長らの団体が代々木で集会、中国対応で民主党政権を批判 (AFPBB, 10/2)
尖閣諸島問題めぐり東京などで反中デモ (CNN, 10/3)
》 イカタコウイルスが示唆する法整備 (成城大学法学部資料室 隈本 守 / westlawjapan.com, 10/4)
[引用] この容疑者逮捕直後から、不正指令電磁的記録作出罪を刑法に設ける改正の動きが再び急がれているように見えるが、このウイルス作成・使用・所持罪が、印章偽造等に関する箇所に168条の2として検討されていることは、このような社会的信用に対する罪としての理解が反映されたものと考えられる。この考え方をすすめると、ウイルスばかりではなく、電子計算機損壊等業務妨害罪やこれから益々依存度を増していくと考えられるコンピュータネットワークそのものの安定運用を害する行為も含めて、コンピュータ犯罪による社会的混乱に着目した法整備こそが今求められていると、このイカタコウイルスは示唆しているのではなかろうか。》 Misleading Apps Push Browser Security Update Trick (Symantec, 10/5)。にせブラウザアップデート。 ブラウザの偽セキュリティアップデートによるミスリーディングアプリケーションの投下手口 (Symantec, 10/6)
》 著作権法違反〜携帯向けレンタル掲示板で着うた/ShareでPSP用ゲームソフト (so-net セキュリティ通信, 10/4)
》 銀行からmixiまで、パスワードを安全に運用する技 (ascii.jp, 10/5)
[引用] パスワードを管理するウェブサービスもある。定番の「Clipperz」は、アカウント情報を管理できるだけでなく、ワンクリックでログオンする機能も備えている。多数のウェブサービスを利用しているなら、ポータルサイトとして活用できる。外出先からでも利用できるのが便利だ。利用時にはアカウント情報を入力せずに済むので、キーロガーでパスワードを盗まれる心配もない。そのかわり cookie 盗まれたらオワリ、とかいうパターンかなあ。知らんけど。
》 香ばしそうな機能 (極楽せきゅあ日記, 10/5)、File APIでブラウザーからローカルファイルを操作 (ascii.jp, 10/5)
》 Adobe製品へのゼロデイ攻撃、広告配信システムを通じた「Webからの脅威」 - 2010年9月の脅威動向を振り返る (トレンドマイクロ セキュリティ blog, 10/5)
》 全国サイバー犯罪対策担当課長等会議を開く 〜取締り体制の抜本的な強化を指示〜 (ポリスチャンネル, 10/5)。こう抜本抜本言われると、なんだかトイレが詰まったかのような気になる。というか、既存の方法はどうしようもなく駄目だったと?
》 崩壊・特捜検察:/3 ヤメ検と裏取引 ◇捜査優位の弁護依頼 大坪前部長ら「現役とOB一体」批判も (毎日, 10/4)
[引用] 08年にも大坪前部長のこうした手法が問題になったことがあった。神戸地検特別刑事部長だった06年に手がけた神戸市議(当時)の汚職事件。あっせん収賄容疑で逮捕された市議は、自分に不利な上申書を勝手に提出したとして、自身の弁護人への懲戒を大阪弁護士会に請求。同会綱紀委員会は、大坪前部長の知人でヤメ検の弁護人を「懲戒相当」と議決したうえで「依頼者(市議)の有罪の証拠を検察に提出する一種の取引を行った疑問をぬぐえない」と異例の言及をした。しかし、大阪弁護士会は弁護士を最終的に処分しなかった。関連:
弁護士懲戒・大阪弁護士会 (酔うぞの遠めがね, 2008年05月13日)。 読売記事の引用。
[引用] 51歳の弁護士についても綱紀委は「59歳の弁護士に比べて非行は軽いが、非難は免れ難い」とした。また、この弁護士は捜査を担当した神戸地検幹部と懇意で、「(59歳の弁護士の)免責と引き換えに、依頼者の有罪の証拠を検察に提出する一種の取引を行った疑問をぬぐえない」とまで言及した。村岡の弁護士が懲戒処分 (unkar.org, 2009年09月02日)。 読売記事の引用。
[引用] 豊島弁護士とともに村岡被告から懲戒請求され、同会綱紀委員会で「懲戒相当」とされた元検事の弁護士(53)は「処分なし」とされた。NOVA:社員積立金流用 猿橋元社長が無罪主張 -- 控訴審 (毎日, 9/29)。こちらは前田恒彦容疑者の件。
》 ニュースUP:映画「ザ・コーヴ」の舞台は今=京都支局・広瀬登 (毎日, 9/29)
》 米国、1940年代にグアテマラで性病の人体実験 (slashdot.jp, 10/4)。いつもの USA。
》 French Authorities Talk Up Digital Investigations (McAfee Labs Blog, 10/1)
》 可視化議連幹部、「政府がやる気ないからね」 (JANJAN blog, 9/29)、 中国人船長釈放の裏に - 可視化と引き換えた仙谷官房長官 (JANJAN blog, 9/28)
Adobe Readerの修正版が10月5日に公開、ゼロデイ脆弱性を解消 (日経 IT Pro, 2010年10月04日)、APSB10-21: Adobe Reader と Acrobat に関するセキュリティ情報の事前告知 (Adobe, 2010年09月30日)。日本時間の明日公開予定。cadz さん情報ありがとうございます。
Adobe Readerの修正版が10月5日に公開、ゼロデイ脆弱性を解消 (日経 IT Pro, 2010年10月04日)、APSB10-21: Adobe Reader と Acrobat に関するセキュリティ情報の事前告知 (Adobe, 2010年09月30日)。日本時間の明日公開予定。cadz さん情報ありがとうございます。
日本語版: W32.Stuxnet の調査詳細 (Symantec, 2010年09月30日)。PDF 文書 は日本語化されていない。
MS10-018 - 緊急: Internet Explorer 用の累積的なセキュリティ更新プログラム (980182)
IE8 XSS Filterの仕様が微妙に変更されていた。 (葉っぱ日記, 2010年10月04日)。MS10-018 に含まれる XSS Filter の変更の件。
あと、「あとで追記」と言いながら何もやってなかったのでやっておく。
初期化されていないメモリ破損の脆弱性 - CVE-2010-0267
IE 6 / 7。 リモートからのコード実行を招く。 Exploitability Index: 3
エンコード後の情報漏えいの脆弱性 - CVE-2010-0488
IE 5.01 / 6 / 7。 情報漏洩を招く。 Exploitability Index: 3
競合状態のメモリ破損の脆弱性 - CVE-2010-0489
IE 5.01 / 6 / 7。 リモートからのコード実行を招く。 Exploitability Index: 2
初期化されていないメモリ破損の脆弱性 - CVE-2010-0490
IE 6 / 7 / 8。 リモートからのコード実行を招く。 Exploitability Index: 3
HTML オブジェクトのメモリ破損の脆弱性 - CVE-2010-0491
IE 5.01 / 6。 リモートからのコード実行を招く。 Exploitability Index: 1
HTML オブジェクトのメモリ破損の脆弱性 - CVE-2010-0492
IE 8。 リモートからのコード実行を招く。 Exploitability Index: 1
HTML エレメントのクロス ドメインの脆弱性 - CVE-2010-0494
リモートからのコード実行 (IE 6) または 情報漏洩 (IE 7 / 8) を招く。 Exploitability Index: 1
メモリ破損の脆弱性 - CVE-2010-0805
IE 5.01 / 6。 リモートからのコード実行を招く。 Exploitability Index: 2
初期化されていないメモリ破損の脆弱性 - CVE-2010-0806
IE 6 / 7。 リモートからのコード実行を招く。 Exploitability Index: 1
マイクロソフト セキュリティ アドバイザリ (981374) Internet Explorer の脆弱性により、リモートでコードが実行される の件。
HTML レンダリングのメモリ破損の脆弱性 - CVE-2010-0807
IE 7。 リモートからのコード実行を招く。 Exploitability Index: 1
》 日立APが「死に様試験」をする理由 (日経 IT Pro, 9/29)
》 韓国教科部(MEST)の電子図書館にクラックプログラム、636万人の個人情報がアクセス可能に (slashdot.jp, 10/2)、 以前も2300万人分漏洩してたよね (slashdot.jp, 10/4)
[引用] もう韓国には保護すべき個人情報なんてないんじゃないの。》 「冤罪を語る」高知集会(10月17日) (JANJAN blog, 9/26)。 2010年10月17日、高知県高知市、無料。
》 「行動する保守」の「主権回復を目指す会」が内ゲバで空中分解?! (JANJAN blog, 9/26)
[引用] そして、取締を受けると、内部で内ゲバが勃発する。一部の人はますます、過激化していく。どこかで、こんな光景、ありませんでしたか?CIA、パキスタンでの無人機攻撃を強化 - 欧州でのテロ防止で (ウォール・ストリート・ジャーナル日本版, 9/30)
欧州の都市でテロ計画の情報、当局が捜査 (ウォール・ストリート・ジャーナル日本版, 9/30)
米、欧州渡航者にテロ警戒呼び掛け (ウォール・ストリート・ジャーナル日本版, 10/4)
NATO軍が越境攻撃、パキスタン軍兵士死亡 (AFPBB, 10/1)
アフガン駐留軍の誤爆に抗議し一部国境を閉鎖 - パキスタン (ウォール・ストリート・ジャーナル日本版, 10/1)、 パキスタン、NATO補給路を遮断/越境攻撃に反発 (産経 MSN, 10/1)
パキスタンでNATO燃料輸送車に攻撃、3人死亡 (AFPBB, 10/4)、 パキスタンで燃料輸送車襲撃 NATO部隊向け、6人死亡 (共同, 10/4)
》 ZBot gang suspects arrested in the Ukraine (Sophos, 10/1)
》 ACTA許すまじ!民主主義的プロセスを欠く国際条約 (P2Pとかその辺のお話, 9/29)
》 フランス版スリーストライク法 Hadopi始動、数百万のユーザがターゲットに? (P2Pとかその辺のお話, 9/25)
関連:
Stuxnetに関する質疑応答 (エフセキュアブログ, 2010年10月01日)
Stuxnet Used in Blackhat SEO Campaign (trendmicro blog, 2010年09月30日)
From sci-fi to Stuxnet: exploding gas pipelines and the Farewell Dossier (ESET blog, 2010年09月30日)
イラン、「核スパイを逮捕」と報道 (AFPBB, 2010年10月03日)
》 地方ラジオ局:冬の時代 愛知国際放送、初の免許返上 広告収入、リスナー減で (毎日, 10/1)。終りのはじまり。
》 国勢調査オンライン (水無月ばけらのえび日記, 9/24)
[引用] 「本人の仕事の内容」という項目に「......時にはフォームに "><s>test などと入力する仕事」などと書いてみたところ、確認画面で打ち消し線が表示されるという現象に遭遇。色めき立ちましたが、<script> はうまくいかず。どうも、長い英数字が折り返さないように3文字ごとに <wbr/> を挿入しているようですね。<s>はちょうど3文字なので打ち消し線はギリギリ発動しますが、それより長いタグは壊れるので、任意のスクリプトは実行できないようです。偶然だと思いますけども。》 国勢調査の同性カップルに対する扱い (togetter)。間違った統計がなされることがあらかじめ決まっているという事実。まさにうんこくせえ調査。
》 「けいおん!」の放課後ティータイムが国勢調査をアピールするラジオCMが公開中 (gigazine, 10/1)
[引用] そして10月1日からは期間中CMが流れています。調査を知らなかった唯や律がすでに記入を終えた一方で、澪がプライバシーのことを気にしている...という内容です。「封ができるし、郵送でもいいのよ」。B-2 平成22年国勢調査の調査方法は、これまでと比べてどのように変わるのですか (総務省統計局) にある、これですね:
[引用] 平成22年国勢調査では、できるだけ回答しやすく提出しやすい調査とするため、次のとおり、新たな調査の方式を導入することとしています。なお、一部のモデル地域 = 東京都、だそうです。
[引用] 「けいおん!」キャラクターを使用したポスターが張り出されているということで、手に入れる方法は無いかという問い合わせが殺到しているようですが、京都府は「契約により、お分けできないことになっています」と回答しています。ちなみに、龍大瀬田学舎に貼られたポスターは、48 時間以内に消滅しました。sigh.
》 Google、URL短縮サービス「goo.gl」を一般公開 (Internet Watch, 10/1)。 つくってみた: goo.gl/T8ZN。
[引用] サービスにはマルウェアやフィッシング、スパムなどに対する保護機能も備えられているという。どういう意味なんだろう。 Google URL Shortener Gets a Website (Google Social Web blog, 9/30) にはこうある:
[引用] You also know that when you click a goo.gl shortened URL, you’re protected against malware, phishing and spam using the same industry-leading technology we use in search and other products.(中略)Gmail で使われているものと同様のフィルタリング機構に基づく自動 spam 検出が行われているそうで。当該短縮 URL が spam やマルウェア、フィッシングに使われていると判断されると自動的に無効化される、のかな。
関連: Goo.glのすごい隠し機能がどのリンクも瞬時にQRコードに変える (techcrunch, 10/1)
[引用] GoogleのMatt Cuttsがつい先ほど ツイートしたところによると、goo.glのURLの後に「.qr」を付けるだけで、QRコードが生成される。これをQRコードリーダーでスキャンすれば、そのURLに飛べる。goo.gl/T8ZN.qr ってこと? ......おぉッ。http://www.st.ryukoku.ac.jp/~kjm/security/memo/ 用もつくっておいた方がよさげだな。 goo.gl/pwSG、goo.gl/pwSG.qr
短縮 URL って、なんだか、THcomp っぽい?
っていうか、https://goo.gl/ が機能しないと、https:// に飛ばす短縮 URL つくっても意味ないじゃん俺......。
》 『無線LANセキュリティの教科書 2011』本日発売となりました。 (Hacker Japan Blog, 9/27)
》 直輸入無線機器にご用心、「技適マーク」のない製品を使うと電波法違反 (so-net セキュリティ通信, 10/1)
》 PHPカンファレンス2010 ビジネスデイの講演資料(PORVE for PHP) (yohgaki's blog, 9/29)
》 IE9 Beta のマイナーな変更点リスト (葉っぱ日記, 9/22)。「セキュリティ」という項があり、いろいろ書かれてます。たとえばこんなこと:
[引用] IE9ブラウザモードでは、IEは text/plain なコンテンツをスニフにより text/html として扱うことはありません。IE8 ではMIMEスニフから保護するためにはサイトは X-Content-Type-Option: nosniff ヘッダを送る必要がありました。もちろん、信頼できないユーザによりアップロードされたコンテンツを配信するには、このヘッダを送出するのが現状でもベストプラクティスです。マイナーな変更点なんだ......。
》 情報セキュリティ白書2010 (水無月ばけらのえび日記, 9/22)
》 Safe Browsing Alerts for Network Administrators (Google Online Security Blog, 9/28)
》 ロマ人の子どもの半数が初等教育を受けていないと警告 (国連情報誌SUNブログ対応版, 9/28)
》 Amazon EC2も監視できるオープンソースのモニタリングツール「Opsview Community 3.9」公開 (sourceforge.jp, 9/30)
ZeuS Trojan Now Uses False Configuration URLs (trendmicro blog, 9/27)
ZeuS Now Bypasses Two-Factor Authentication (trendmicro blog, 9/29)
「ZeuS」ボットネットを使った新手のモバイル攻撃が登場 SMSを傍受してモバイル・バンキング口座の「2要素認証」を破る手口 (ComputerWorld.jp, 9/30)
U.S. Arrests Zeus-Operating Cybercriminals (McAfee Labs Blog, 9/30)、 Computer cops arrest 19 in dawn ZBot raid (Sophos, 9/29)、 USA charges 60 people as part of international ZBot investigation (Sophos, 9/30)
》 警察庁がネット捜査で新手法 違法情報の摘発強化 (中日, 9/30)。というか、
[引用] ネット上の違法情報は、警察庁が業務委託した財団法人が運営する「インターネット・ホットラインセンター」(IHC)が一般の利用者から受け付けて警察庁に通報しているが、これまで同庁は違法情報の発信地が分からないまま、IHCの通報を全都道府県警に全件通知していた。従来手法がめちゃめちゃだったというだけなのでは......。
》 AVTOKYO 2010 チケット発売開始 (てっしーの丸出し, 10/1)
》 教室でホワイトノイズを流すと注意散漫な生徒の学習効果が上がるが、普段から集中できる生徒には逆効果 (gigazine, 10/1)
》 パネル討論会:「岡崎市中央図書館ウェブサーバ事件」から情報化社会を考える (esd21.jp)。2010年10月02日 (明日)、愛知県f名古屋市、無料。福光さん情報ありがとうございます。
その他の岡崎方面:
こんにちは。本日の朝日新聞名古屋本社版と西部本社版の朝刊に、宮崎県えびの市の図書館からの個人情報流出問題について記事が掲載されました。「登録者リスト」約1800人分と「延滞者リスト」116人分の流出が確認されたという内容です。 #librahack (kanda_daisuke 神田 大介, 9/30)
個人情報:図書館利用者情報、116人分ネット流出 -- えびの市 /宮崎 (毎日, 9/30)
愛知県岡崎市立中央図書館と宮城県えびの市立図書館からの個人情報漏洩 (たぬきん貧乏日記, 10/1)。えびのと岡崎の大きな違い。
朝日新聞名古屋版「パスワード、管理会社員が解除」の記事 (高木浩光@自宅の日記, 9/29)。8/23 の記事。 小島はずっと勘違いしていたのですが、この anonymous FTP って、単に読めるだけじゃなくて、書き込みもできる状態だったのですね。
弊社図書館システムのインターネット経由での個人情報の流出について(お詫び) (千代田興産, 10/1)
[引用] [流出した個人情報]前者は篠栗町・えびの市のFTPサーバーを通じて流出した岡崎市立図書館利用者、後者はえびの市のFTPサーバーにあったえびの市民図書館利用者の数(の一部)だからです @asuka645: 千代田興産の発表とえびの市図書館の発表の数字が違う #librahack (kanda_daisuke 神田 大介, 10/1)
岡崎市・えびの市立図書館の利用者情報流出〜原因はシステム委託先のミス (so-net セキュリティ通信, 10/1)
流石、三菱電機、電光石火の個人情報漏洩への対応 (日々是・・・, 10/1)
》 中国のiPhone 4は"検閲版"、ユーザーが報告 (ITmedia, 9/30)
攻撃用ツールキットを使用した Web サイト経由での攻撃に関する注意喚起 (JPCERT/CC, 2010年10月01日)
今では Windows Update / Microsoft Update にも流れてます (小野寺さんの tweet)。
MS10-070 定例外のセキュリティ情報 FAQ (日本のセキュリティチーム, 2010年09月30日)。
日本語版: Stuxnetワームの最新情報 (McAfee Labs Blog, 2010年09月29日)
関連:
Did The Stuxnet Worm Kill India’s INSAT-4B Satellite? (Forbes, 2010年09月29日)
W32.Stuxnet Dossier (Symantec, 2010年10月01日)、 PDF 文書