Bill Hates曰く、

昨年度からドライブレコーダーをふるさと納税の返礼品に用意している海老名市では、今年度に入ってから毎月の申込件数が前年同月を上回っているそうだ(カナロコの記事)。

返礼品のドライブレコーダーは市内に本社を置くオウルテックの製品。8月の申込件数は22日の段階で昨年8月の6倍に達し、本年度のドライブレコーダー分寄附金額は既に昨年度1年分に並んだという。海老名市商工課はあおり運転対策でドライブレコーダーが選ばれているとみるが、スラド諸氏はドライブレコーダーの選定時にどのような機能を重視するだろうか。

RubyGemパッケージ「rest-client」のメインテナーのRubyGem.orgアカウントが不正アクセスを受け、悪意あるコードを含むバージョンが立て続けに公開されていたそうだ(rest-client Issue#713、 The Registerの記事、 CVE-2019-15224)。

不正に公開されたのはバージョン1.6.10/1.6.11/1.6.12/1.6.13の4バージョン。1.6.13では外部にデータを送信するコードをpastebinからダウンロードして実行するコードが含まれていたという。1.6.x系列は2014年に1.7.0で置き換えられた非常に古いバージョンで、何らかの理由により最新版へアップグレードできない場合のために残されているものだが、1.6.13は1,061回ダウンロードされていたそうだ。

不正アクセスを受けたメインテナーのHacker Newsへの投稿によると、RubyGems.orgアカウントと他サービスでパスワードを共有しており、そのパスワードは他サービスから漏洩していたという。RubyGems.orgアカウントは10年以上前に作成したもので、最近はほとんど活動していなかったことからパスワードの安全性にも注意を払っていなかったとのこと。攻撃の流れとしては、価値の高いターゲットライブラリを選んでアカウント名を取得し、流出パスワードのリストと照合したとの見方を示している。

RubyGems.orgは影響を受けるバージョンをすべて公開停止し、1.6.9と同じ内容の1.6.14を新バージョンとしてリリースしている。さらに、二要素認証の使用などメインテナーに求めるセキュリティプラクティスの確立や、アクティブなメインテナーの維持に関するポリシーの導入などを計画しているとのこと。なお、これに関連して不正なコードを含むパッケージが多数見つかり、すべて公開停止となっている。

RubyGems.orgアカウントへの不正アクセスとしては、3月にバックドアを含むbootstrap-sass 3.2.0.3が公開されたことがスラドでも話題になったが、6月にもバックドアを含むstrong_password 0.0.7が公開されていたとのことだ。不正アクセスを受けたstrong_passwordのオーナーも他サービスで流出した古いパスワードの使用していた点や最近活動していなかった点など、rest-clientのメインテナーと状況が似通っている。

Appleが5月にiOS 12.3で修正した脆弱性が7月リリースのiOS 12.4で復活していることが判明し、最新版のiOSが脱獄可能な状態となっている(Motherboardの記事、 Mac Rumorsの記事、 SlashGearの記事、 The Next Webの記事)。

問題の脆弱性CVE-2019-8605はカーネルの解放済みメモリ使用脆弱性で、悪意あるアプリケーションがシステム権限で任意のコードを実行できるというものだ。iOS 12.3リリース後に発見者のNed Williamson氏がGoogle Project Zeroのスレッドで「SockPuppet」と呼ばれるエクスプロイトを公開しており、このエクスプロイトを利用した脱獄ツールもGitHubで公開されていた。

ところが、このエクスプロイトがiOS 12.4でも動作することが判明し、脱獄ツールもiOS 12.4対応が進められている。脱獄コードの多くはAppleによるパッチを避けるため非公開となっており、最新版のiOSに対応する脱獄コードが公開されるのは久しぶりとのこと。一方、この脆弱性がスパイウェアインストールなどに悪用される可能性もあり、注意が呼びかけられている。

Anonymous Coward曰く、

一党独裁が続く中央アジアのカザフスタンでは、2016年より国民に政府発行のルート証明書のインストールが義務付けられている。これに対しては政府がHTTPS通信を傍受できるのではないかと危惧されていたが、今年7月に実際にカザフスタン政府による中間者攻撃が報告されたことから、主要ブラウザが一斉にこの証明書をブロックする事態となっている（GIGAZINE、ITmedia、ZDNet Japan）。

ブロックを行ったのはFirefoxおよびGoogle Chrome、Safari。また、Chromiumのソースコード内に含まれているブロックリストにこの証明書が追加されているため、ほかのChromiumベースのWebブラウザでもブロックが行われるとのこと。

headless曰く、

Microsoftは20日、Chromiumベースの新Microsoft Edge初のベータ版を提供開始した（Windows Experience Blog、Microsoft Tech Community、ダウンロードページ）。

対応OSは既にCanary/Dev版が提供されているWindows 7～10およびmacOS。新機能はCanary/Dev版での品質テストが完了したものだけが追加され、メジャーアップデートの間隔は約6週間おきとなる。これとは別にバグやセキュリティ修正のためのマイナーアップデートも提供される。現在提供されているバージョンは77.0.235.9で、Canary/Dev版（現在バージョン78.0.2xx.x）では1か月ほど前のバージョンになる。新Microsoft Edgeはまだプレビューの段階ではあるものの、ベータ版は日常の使用に耐えるものになっているとのこと。

ベータ版の提供開始に合わせ、Microsoftでは新Microsoft Edgeの脆弱性発見に対する新報奨金プログラム「Microsoft Edge Insider Bounty Program」を発表している。新報奨金プログラムはChrome Vulnerability Reward Programを補完するのが目的とのことで、最新のパッチがすべて適用されたWindows（Windows 7 SP1/8.1/10）またはmacOS上の最新版Microsoft Edge（Dev/Beta）でのみ再現し、Google Chromeでは再現しない脆弱性が報奨金（最高30,000ドル）の対象となる。なお、Windows 10 Insider Preview上の現行版Microsoft Edge（EdgeHTML）を対象としたMicrosoft Edge（EdgeHTML）on Windows Insider Preview Bounty Program（報奨金最高15,000ドル）も引き続き実施されるとのことだ。

headless曰く、

英セキュリティ企業Cygenta共同設立者のFC氏（Freakyclown）が英プロバイダーVirgin Mediaのアカウント情報を思い出せず、パスワードリセットを要請したところ、なぜか元のパスワードが郵送されてきたそうだ（FC氏のツイート、The Next Web）。

FC氏は数年前にVirgin Mediaでアカウントを設定したまま一度もサインインしたことがなかったため、アカウントの詳細を忘れてしまったという。コールセンターとの通話中にようやく電子メールアドレスだけは思い出し、パスワードリセットを要請。パスワードを郵送するという担当者の言葉を妙だとは思ったものの、FC氏は受け入れたそうだ。しかし、郵送されてきたパスワードを見た途端、自分が設定したパスワードだということを思い出したとのこと。

どのようなパスワードだったのかは説明されていないが、偶然に一致するようなものではなかったようだ。FC氏はVirgin Mediaがパスワードを平文で保存していたことと、パスワードをリセットせずに郵送したことを批判する。この批判に対しVirgin Mediaでは、他人の郵便物を開封するのは違法なので（パスワードの）郵送は安全だ、とTwitterで返信している。

headless曰く、

SiriやAlexaといったデジタルアシスタントをだまして偽コールセンターへ電話をかけさせる、という詐欺手法があるそうだ（Better Business Bureauのニュースリリース、SlashGear、Mashable）。

デジタルアシスタントは使用者の要求に応じてWeb検索の結果から企業などの電話番号を抽出し、連絡先に登録されていない相手に電話をかけることができる。しかし、見つけた電話番号が本物かどうかをデジタルアシスタントは確認できないため、詐欺師は偽サイトを検索結果に紛れ込ませたり、偽広告を検索結果に表示させたりすることで、偽コールセンターへ電話をかけさせることが可能になるという。

偽コールセンターはいわゆるテクニカルサポート詐欺のほか、航空会社のカスタマーサービスを偽って予約変更料金を送金させようとするようなものもあるそうだ。Better Business Bureauでは偽コールセンター詐欺の被害を回避するためのアドバイスとして、Web検索やデジタルアシスタント任せではなく正規のWebサイトで連絡先を確認すること、偽広告に注意すること、支払いには後で拒否しやすいクレジットカードを使うことを推奨している。

headless曰く、

Google ChromeでFTPサポートを削除する計画が進められている（Chrome Platform Status、Googleドキュメント— Intent to Deprecate: FTP Support、gHacks、Bleeping Computer）。

Google Chromeの現在のFTP実装では暗号化された接続（FTPS）もプロキシもサポートしていないが、FTPの使用率が低いこともあって機能向上のための投資は不可能だという。影響を受けるすべてのプラットフォームでより高機能なFTPクライアントが利用可能なことも理由に挙げられている。

GoogleはChrome 59でHTTP/HTTPSページでのFTPサブリソース読み込みを廃止するなど、ChromeのFTPサポート機能を徐々に削減している。Chrome 72以降ではFTPサイトでのリソースレンダリングが廃止されており、ディレクトリリスト表示とダウンロードのみが可能となっている。

今後の計画としては、2019年第4四半期にChrome 78でFTPサポートをコントロールするフラグとエンタープライズ向けのポリシーを追加し、プリリリースチャンネルではFTPサポートを無効化する。2020年第1四半期のChrome 80では安定版で順次FTPサポートを無効化していき、第2四半期のChrome 82でFTP関連のコードとリソースをすべて削除するとのこと。

FTPサポート無効化後、Google Chromeは「ftp://」URLを解決できなくなり、既定のハンドラーでURLを開こうとする。Google Chromeが既定のハンドラーに指定されている場合の対応は今後検討するという。プロキシ自動設定（PAC）スクリプトをFTPでダウンロードすることは不可能となるため、ユーザーは別の手段に移行する必要がある。

なお、Chrome Canaryは既にバージョン78だが、現在のところFTP関連のフラグは追加されていないようだ。

headless曰く、

8月3日～8日に米国・ラスベガスで開催されたBlack Hat USA 2019だが、参加者は麻疹ウイルス曝露の可能性があるようだ（Mashable、Southern Nevada Health District）。

Southern Nevada Health Districtの発表によると、麻疹感染が確認された人物が8月1日～6日にBlack Hat会場付近を訪れており、3日夜と5日夜にはBlack Hat会場となったMandalay Bay内のレストランを利用している。Black Hat会場からは少し離れているが、DEF CON 27などのイベントも同時期にラスベガスで開催されており、参加者に注意が呼びかけられている。

趣味でセキュリティ関連ソフトウェアを開発しオープンソースとして公開したエンジニアの下に、海外のセキュリティ企業からソフトウェアの譲渡や雇用のオファーが来たそうだ。このエンジニアがブログでその経緯を説明している（knqyf263's blog）。

このソフトウェアは「Trivy」という、「コンテナ」と呼ばれる仮想化システム向けの脆弱性スキャンツール。簡単に指定したコンテナ内の脆弱性をスキャンでき、精度も既存のものと比較して高いとされ、公開後国内外で話題となった。

今回このTrivyを買収したのは、米国やイスラエルに拠点を持つAqua Securityという企業。Trivyの比較対象になるようなツールを提供している企業であるが、この企業のCTOから作者の元に連絡が来て、その後ソフトウェアの買収や、同社での雇用がオファーされたという。

最終的にTrivyはAqua Securityに売却されることとなり、作者も同社に雇用されることになったとのこと。Aqua Securityではこのソフトウェアのメンテナンスやそのほかオープンソースソフトウェアの開発を行うことになるという。

オーディオストリーミング等に用いられるBluetooth BR/EDR接続で暗号鍵の長さをネゴシエーション(Key Negotiation Of Bluetooth: KNOB)する際、通信範囲内にいる攻撃者が鍵長を短くできる脆弱性CVE-2019-9506が公表された(Bluetooth SIGのセキュリティ情報、 CERT: VU#918987、 The Vergeの記事、 Softpediaの記事)。

鍵長は接続する2台のデバイス間でネゴシエーションして決められるが、Bluetooth BR/EDR Core v5.1までの仕様では最短の鍵長が定められていないため、攻撃者がメッセージをインターセプトして偽のメッセージを送ることで、最短1オクテットの暗号鍵を使わせることが可能になる。

この脆弱性を悪用する攻撃はKNOB Attackと名付けられており、短い暗号鍵を総当たりで解析することで、暗号化された通信内容の読み取りや任意の暗号文の挿入が可能になる。脆弱性を発見した研究チームではBroadcom・Qualcomm・Apple・Intel・Chicony製のBluetoothチップ17モデルを搭載する24種類のデバイスでKNOB Attackが可能なことを確認したという。脆弱性の存在は2018年後半にCERTやBluetooth SIGに報告されており、以降の更新が行われていないデバイスは未修正とみられる。

これを受けてBluetooth SIGではBluetooth Core Specificationを更新し、BR/EDR接続時の鍵長を最短7オクテットにすることを推奨している。Appleは7月公開のiOS 12.4やmacOS Mojave 10.14.6などで脆弱性を修正しており、MicrosoftもサポートされるバージョンのWindowsを8月の月例更新で修正している。なお、接続する2台のデバイスの一方で脆弱性が修正されていれば攻撃は成功しないとのことだ。

不正利用が話題になったセブン＆アイ・ホールディングスのスマートフォン決済サービス「7pay」が9月末でサービス終了することが先に報じられているが、この問題への対応としてセブン－イレブン・ジャパンが加盟店に1万円相当のクオカードを配ることを決めたと報じられている（ITmedia、朝日新聞）。

この問題では店頭で対応に追われた店舗もあり、そういったトラブルの「お詫び」としての意味合いのようだ。

8月13日にリリースされたWindowsの更新プログラムを導入した環境で、Visual Basic 6で実装されたアプリケーションやVBAで作成したマクロ、VBScriptで作成したマクロやアプリケーションが応答しなくなる不具合が発生しているという（ニッチなPCゲーマーの環境構築、窓の杜）。

Microsoftの発表によると、Windows 10やWindows 8.1、Windows 7 SP1のほか、Windows Serverでもこの問題が発生するようだ。

Anonymous Coward曰く、

8月13日（米国時間）にリリースされた今月のWindows UpdateではWindows XP以降に存在する重大な脆弱性の修正が行われているため、迅速に適用することが推奨されるようだ（Slashdot、Security NEXT、PC Watch）。

この脆弱性はProject ZeroのTavis Ormandy氏によって発見されたCTextFramework（CTF）に関するもの（MicrosoftのCVE-2019-1162ページ）。この脆弱性を悪用することで、サンドボックスに関係なく非特権ユーザーが容易に管理者権限を取得できる。

興味深いのは、Windows XP時代からこの脆弱性が存在しており約20年にわたり指摘されなかったことだ。そもCTFの意味すら明文化されていない。おそらくCommon Text Frameworkであろうが、脆弱性の宝庫とあってはCatch the flagと揶揄されても仕方なかろう。

世の中には「個人情報保護のためCookieを使用する」というサイトが存在するそうだ（黒翼猫のコンピュータ日記 2nd Edition）。

たとえば、「リクナビ派遣」ではCookieを無効にして同サイトにアクセスすると「当サイトでは個人情報保護と利便性の観点からCookieを使用しています。」という文言が表示されるという。

なお、Cookieは閲覧中Webサイトが送信した情報をブラウザに記録させ、再度のアクセス時にその情報をサーバーに送信する機構であり、Cookieと個人情報保護の間に直接的な関係はない。