パスワードを忘れた? アカウント作成

ログインするとコメント表示数や表示方法をカスタマイズできるのを知っていますか?

13983590 story
暗号

Bluetooth BR/EDR接続のデバイスに短い暗号鍵を使わせることができる脆弱性 17

ストーリー by headless
鍵短 部門より

オーディオストリーミング等に用いられるBluetooth BR/EDR接続で暗号鍵の長さをネゴシエーション(Key Negotiation Of Bluetooth: KNOB)する際、通信範囲内にいる攻撃者が鍵長を短くできる脆弱性CVE-2019-9506が公表された(Bluetooth SIGのセキュリティ情報CERT: VU#918987The Vergeの記事Softpediaの記事)。

鍵長は接続する2台のデバイス間でネゴシエーションして決められるが、Bluetooth BR/EDR Core v5.1までの仕様では最短の鍵長が定められていないため、攻撃者がメッセージをインターセプトして偽のメッセージを送ることで、最短1オクテットの暗号鍵を使わせることが可能になる。

この脆弱性を悪用する攻撃はKNOB Attackと名付けられており、短い暗号鍵を総当たりで解析することで、暗号化された通信内容の読み取りや任意の暗号文の挿入が可能になる。脆弱性を発見した研究チームではBroadcom・Qualcomm・Apple・Intel・Chicony製のBluetoothチップ17モデルを搭載する24種類のデバイスでKNOB Attackが可能なことを確認したという。脆弱性の存在は2018年後半にCERTやBluetooth SIGに報告されており、以降の更新が行われていないデバイスは未修正とみられる。

これを受けてBluetooth SIGではBluetooth Core Specificationを更新し、BR/EDR接続時の鍵長を最短7オクテットにすることを推奨している。Appleは7月公開のiOS 12.4macOS Mojave 10.14.6などで脆弱性を修正しており、MicrosoftもサポートされるバージョンのWindowsを8月の月例更新で修正している。なお、接続する2台のデバイスの一方で脆弱性が修正されていれば攻撃は成功しないとのことだ。

13982811 story
お金

セブン-イレブン・ジャパン、7pay問題の「お詫び」として加盟店に金券1万円を配るとの報道 68

ストーリー by hylom
またしても謎の対応 部門より

不正利用が話題になったセブン&アイ・ホールディングスのスマートフォン決済サービス「7pay」が9月末でサービス終了することが先に報じられているが、この問題への対応としてセブン-イレブン・ジャパンが加盟店に1万円相当のクオカードを配ることを決めたと報じられている(ITmedia朝日新聞)。

この問題では店頭で対応に追われた店舗もあり、そういったトラブルの「お詫び」としての意味合いのようだ。

13982693 story
Windows

8月のWindows UpdateでVB関係に不具合 47

ストーリー by hylom
IE11の話ではなかった 部門より

8月13日にリリースされたWindowsの更新プログラムを導入した環境で、Visual Basic 6で実装されたアプリケーションやVBAで作成したマクロ、VBScriptで作成したマクロやアプリケーションが応答しなくなる不具合が発生しているという(ニッチなPCゲーマーの環境構築窓の杜)。

Microsoftの発表によると、Windows 10やWindows 8.1、Windows 7 SP1のほか、Windows Serverでもこの問題が発生するようだ。

13982613 story
Windows

XP以来放置され続けたWindowsの入力機構に関する脆弱性、修正される 25

ストーリー by hylom
とりあえず入れましょう 部門より

Anonymous Coward曰く、

8月13日(米国時間)にリリースされた今月のWindows UpdateではWindows XP以降に存在する重大な脆弱性の修正が行われているため、迅速に適用することが推奨されるようだ(SlashdotSecurity NEXTPC Watch)。

この脆弱性はProject ZeroのTavis Ormandy氏によって発見されたCTextFramework(CTF)に関するものMicrosoftのCVE-2019-1162ページ)。この脆弱性を悪用することで、サンドボックスに関係なく非特権ユーザーが容易に管理者権限を取得できる。

興味深いのは、Windows XP時代からこの脆弱性が存在しており約20年にわたり指摘されなかったことだ。そもCTFの意味すら明文化されていない。おそらくCommon Text Frameworkであろうが、脆弱性の宝庫とあってはCatch the flagと揶揄されても仕方なかろう。

13981900 story
インターネット

世の中には「個人情報保護のためにCookieを使用している」と主張するサイトが多数存在する 34

ストーリー by hylom
Cookieを使わなければ保護されるわけだが 部門より

世の中には「個人情報保護のためCookieを使用する」というサイトが存在するそうだ(黒翼猫のコンピュータ日記 2nd Edition)。

たとえば、「リクナビ派遣」ではCookieを無効にして同サイトにアクセスすると「当サイトでは個人情報保護と利便性の観点からCookieを使用しています。」という文言が表示されるという。

なお、Cookieは閲覧中Webサイトが送信した情報をブラウザに記録させ、再度のアクセス時にその情報をサーバーに送信する機構であり、Cookieと個人情報保護の間に直接的な関係はない。

13981816 story
プライバシ

キヤノンのデジタルカメラにランサムウェア攻撃が可能な脆弱性 12

ストーリー by hylom
ネットワーク経由のファームウェア更新の脆弱性は今後色々出てきそう 部門より

headless曰く、

Check Point Researchが画像転送プロトコル(PTP)経由でCanonのデジタルカメラにランサムウェア攻撃が可能な脆弱性を発見し、キヤノンが注意を呼び掛けている(Check Point Researchの記事Canonのニュースリリースサポート情報The Verge)。

発見された脆弱性はPTPコマンドにおけるバッファーオーバーフローの脆弱性5件(CVE-2019-5994CVE-2019-5998CVE-2019-5999CVE-2019-6000CVE-2019-6001)、および認証なしに不正なファームウェアを(PTP接続で)インストール可能な脆弱性1件(CVE-2019-5995)。Check Point Researchではデジタル一眼レフカメラEOS 80 Dにランサムウェアをインストールし、SDカード内のデータを暗号化してランサムメッセージを表示するPoCを作成している。

EOS 80 DはUSBとWi-Fiの両方でPTP接続が可能なため、ターゲットのPCにマルウェアを感染させたり、公衆Wi-Fiアクセスポイントと同名の偽アクセスポイントを用意してカメラを接続させたりすることでランサムウェアをインストール可能になる。CanonのファームウェアはAESで暗号化されており、ファームウェアアップデートで使用する機能をSDカードの暗号化にも流用したという。EOSシリーズにはオープンソースでアドオンを開発するMagic Lanternと呼ばれる大規模なコミュニティがあり、ここから得た情報もファームウェア解析に利用したそうだ。

同様の脆弱性はEOS 80 D以外にも、EOSシリーズのデジタル一眼レフカメラ/ミラーレスカメラやPowerShotシリーズで確認されている。CanonではEOS 80 Dの修正版ファームウェアを公開しており、他機種でも準備を進めているとのことだ。Check Point Researchでは他社製デジタルカメラのPTP実装にも同様の脆弱性が存在する可能性を指摘している。

13981124 story
Android

Googleの一部サービスでAndroid端末の生体認証機能によるログインが可能に。現時点ではPixel端末のみサポート 18

ストーリー by hylom
ぜひ普及が進んで欲しい 部門より

Anonymous Coward曰く、

一部のGoogle系サービスで、パスワードの代わりに指紋認証などを使ってサインインできるようになった(ZDNetSlashdot)。

これは、端末の生体認証機能などをWebサービスでのログインなどに利用できるようにする規格「FIDO2」を利用して実現している(過去記事)。

現時点での対応端末はGoogleの「Pixel」のみでだが、今後は別のAndroid端末にもサポートを拡大するという。対応するGoogleサービスも増えるようだ。

13980483 story
中国

転売や海外での利用が規約で禁じられた東京の3D地図を中国に転売した男性、詐欺容疑で書類送検 34

ストーリー by hylom
転売自体は合法なのか 部門より

国内での利用に限定して販売され、転売も禁止されている東京都心の3次元地図データを購入後に中国へと持ち出して転売した男性が詐欺容疑で書類送検された(産経新聞日経新聞東京新聞)。

この地図データはNTT空間情報が販売しているもので、同社は販売先を国内の利用者に限定しており、転売や譲渡を禁じる内容を含む契約の下で販売しているという。容疑者は元中国籍で、自身が経営する会社のマーケティングに使うとして約200万円で千代田区・中央区・港区と新宿の3D地図データを購入。その後容疑者はデータが記録されたHDDを持って中国に渡航、中国時代に勤めていた企業の元同僚に約200万円で転売したそうだ。

男性はこの元同僚に持ちかけられて転売したと供述しているそうだ。ただ、地図データは輸出規制にはなっておらず、中国への持ち出しや転売自体は違法ではないという。

13980344 story
Chrome

Google Chrome 77ではURLバーのEV証明書の組織表示を廃止へ 18

ストーリー by hylom
確かにあまり意識していない 部門より

現在Google ChromeやFirefoxなどでは、Extended Validation証明書(EV証明書)を使ったHTTPSでの接続時に、その証明書の発行先組織名がブラウザのURL欄に表示されるようになっている。しかし、Googleは今後この表示をやめる方針だそうだ(ぼちぼち日記Chromeリポジトリの解説文書)。

これによると、今後はEV証明書を使ったサイトにおいても、URL欄にはその証明書は表示せず、表示される鍵アイコンをクリックして表示されるポップアップ内にその組織名を表示する方式になるという。

Googleはこの変更に向けて大規模フィールドテストを行っており、その結果URL欄での組織名表示は効果がないという結論に至ったそうだ。

13980245 story
Intel

InteのIvy Bridge以降のCPUに新たな脆弱性が見つかる 20

ストーリー by hylom
またか 部門より

Anonymous Coward曰く、

IntelのIvy Bridge以降のCPUに、新たな脆弱性「CVE-2019-1125」が見つかった。この脆弱性はCPUの投機実行に関連するもので、以前話題になった「Spectre」の亜種に当たるという(PC Watch)。

セキュリティ企業Bitdefenderによると、この脆弱性を悪用することで「SWAPGS Attack」という新たなサイドチャネル攻撃が可能になるそうだ(Bitdefenderの発表)。SWAPGS Attackはその名の通り「SWAPGS」命令を使うもので、Ivy Bridge以降のCPUでは、このSWAPGS命令をユーザーモード内で投機実行することがあるために問題が発生するようだ。また、この攻撃はSpectreやMeltdownといった既知の脆弱性に対する緩和策が導入されていても実行できるという。

Windowsにおいては、すでにこの問題に対処するアップデートがリリースされている。また、BitdefenderはApple製デバイスにおいてはこの影響を受けないとも記している。

13979585 story
アメリカ合衆国

米国ではどこでも銃撃事件が発生する可能性があるという在デトロイト日本総領事館の注意喚起、トランプ大統領も反発 141

ストーリー by headless
返礼 部門より

米国のドナルド・トランプ大統領は9日、銃乱射事件を受けて複数の国で渡航注意情報が出されていることについて記者から質問を受け、米国にネガティブなことをする国にはお返しすると回答している(会見全文USA TODAYの記事[1])。

米国への渡航注意情報はウルグアイベネズエラで出されており、Amnesty Internationalも注意喚起している(Los Angeles Timesの記事USA TODAYの記事[2])。

記者からの質問で特に名指しされたのは日本だが、これは渡航注意情報ではなく、4日にオハイオ州で発生した銃乱射事件について在デトロイト日本総領事館が情報提供を呼び掛けたものだ。ただし「銃社会である米国では銃撃事件の可能性は潜在的にどこにでもある」という注意喚起の一文が最後に添えられている。Los Angeles Timesは米国が銃社会と呼ばれたことに強く反応しており、質問した記者は米国で銃撃事件の可能性がどこにでもあるという部分を強調していた。

トランプ大統領は質問に対し、そのようなことは想像もできないが、実際にやられたとすればやり返すだけだと回答。米国は自分を頭とするお返しの国であり、誰かが国レベルで我々にネガティブなことをするなら、同じことを彼らにもするとのこと。米国は同盟国を含め他国に利用され続けてきたが、それはやめたとも述べている。

13979474 story
プライバシ

キャセイパシフィック航空、機内監視カメラで乗客を撮影するとプライバシーポリシーに明記 13

ストーリー by headless
監視 部門より

キャセイパシフィック航空がプライバシーポリシーを更新し、機内の監視カメラによる乗客の撮影を明記している(日本語版プライバシーポリシーCNN Travelの記事SlashGearの記事)。

記述がみられるのは同社が収集する個人情報のうち同社製品・サービスの利用に関する2.1(e)だ。日本語版の該当部分は「弊社空港ラウンジおよび航空機内CCTVによって取得されたお客様の画像」となっている。このほか、同項目では過去の予約やフィードバック、手荷物の紛失、機内エンターテインメントシステムや通信サービスの利用、貨物便の利用、機内での免税品購入などが挙げられている。

同社がCNN Travelに語ったところによると、機内の監視カメラの1台は操縦室のドア近くに設置されており、洗面所には設置されていないとのこと。機内エンターテインメントシステムに搭載されたカメラが数か月前に話題となったが、同社の機内エンターテインメントシステムにはカメラやマイク、センサーといったものは搭載されておらず、各席で乗客を撮影することもないとのことだ。

13979121 story
スラッシュバック

LibreOffice 6.3リリース、イベントハンドラーによるLibreLogoマクロの実行をブロック 12

ストーリー by headless
阻止 部門より

The Document Foundationは8日、LibreOffice 6.3をリリースした(アナウンスリリースノートThe Registerの記事)。

LibreOfficeのタートルグラフィックス描画機能LibreLogoでは、Writer上に書いた一部のPythonコードがそのまま実行されてしまう問題があり、イベントハンドラーによるマクロ実行と組み合わせることで任意コードが実行可能となっていた。この脆弱性はLibreOffice 6.2.5で修正されたが、ハイパーリンクのイベントハンドラーからのLibreLogoマクロ呼び出しはブロックされるようになったものの、「文書を開いた時」などのイベントではブロックされていなかった。

アナウンスやリリースノートでは特に触れられていないが、LibreOffice 6.3では文書操作などのイベントでもLibreLogoマクロの呼び出しがブロックされるようになったようだ。一方、Writer上のPythonコード実行はブロックされておらず、LibreLogoツールバーから「Logoプログラムの実行」をクリックすればPythonコードを実行できる。また、現在もLibreLogoは標準でインストールされるオプション機能となっている。

なお、LibreOfficeのダウンロードページでは安定版と最新版の2バージョンを提供しており、今回の問題を受けて安定版が一時消えていたが、LibreOffice 6.3リリースに伴ってLibreOffice 6.2.5が安定版に移動している。ただし、LibreOffice 6.2.5では上述のようなイベントからのLibreLogoマクロ呼び出しはブロックされないので注意が必要だ。LibreLogoマクロはマクロのセキュリティ設定にかかわらず、ユーザーに確認を求めることなく実行される。

13979119 story
クラウド

Broadcom、Symantecのエンタープライズセキュリティ事業を107億ドルで買収へ 13

ストーリー by headless
買収 部門より

BroadcomとSymantecは8日、Symantecのエンタープライズセキュリティ事業をBroadcomが買収することで合意に達したことを発表した(BroadcomのプレスリリースSymantecのプレスリリースThe Registerの記事Neowinの記事)。

BroadcomによるSymantec買収の動きは7月初めに報じられたが、7月半ばには買収条件が折り合わずに取りやめになったとも報じられていた。

今回の買収条件には「Symantec」のブランド名使用も含まれ、Broadcomは同社の販路を通じてSymantecのエンタープライズセキュリティ製品を展開していく。一方のSymantecはコンシューマー/スモールビジネス向けセキュリティ製品に注力することで、収益拡大が可能と考えているようだ。

買収総額は現金で107億ドル。米国・EU・日本の規制当局の承認と慣習的な取引完了条件を前提とし、Broadcomの2020会計年度第1四半期中(2019年末まで)に完了する見込みだという。取引完了後、Symantecは同社の株主に1株当たり12ドルの特別配当を実施する計画だ。

13977554 story
セキュリティ

マイクロソフト、IoT経由で企業ネットワークへの侵入を試みるロシアハッカーを発見 8

ストーリー by hylom
狙われるIoTデバイス 部門より

Anonymous Coward曰く、

Microsoftのサイバーセキュリティ部門の1つであるMicrosoft Threat Intelligence Centerは、ロシア政府の支援を受けているとみられるハッカー集団が企業ネットワークへの侵入手段としてIoTデバイスを攻撃していると発表した。さらに価値が高い他の標的にアクセスするのが目的とみられる。

これらの攻撃を実行した集団について、Microsoftは「Strontium」と呼んでいるが、一般には「APT28」や「Fancy Bear」という名称でも知られている。Microsoftは、同社スタッフが2019年4月、Strontiumが「複数の顧客の拠点において一般的なIoTデバイスへの侵入」を試みているのを発見したとしている。

同社はこれらの攻撃を初期段階で見つけてブロックしたため、調査担当者らはStrontiumが侵入したネットワークから何を盗もうと試みたのかを特定できなかったという(Microsoft Threat Intelligence CenterArs TechnicaSlashdot)。

typodupeerror

犯人は巨人ファンでA型で眼鏡をかけている -- あるハッカー

読み込み中...